E-Mails landen im Spam: Ursachen finden und Schritt für Schritt beheben

„Unsere E-Mails landen im Spam“ – dieser Satz fällt oft erst, wenn ein Kunde nach einer Rechnung fragt, die er nie gesehen hat, oder wenn ein Newsletter plötzlich kaum noch gelesen wird. Der Ärger ist verständlich: Die Nachricht wurde verschickt, kein Fehler wurde gemeldet, und trotzdem kommt sie nicht dort an, wo sie hingehört.

Der Spam-Ordner ist dabei selten Zufall. Postfachanbieter wie Google, Microsoft, Yahoo, GMX oder Web.de bewerten jede eingehende Nachricht nach vielen Merkmalen und entscheiden dann, ob sie im Posteingang, im Spam-Ordner oder gar nicht ankommt. Dieser Ratgeber erklärt die häufigsten Ursachen in verständlichen Worten, zeigt, woran Sie sie erkennen, und beschreibt ein Vorgehen, mit dem Sie die Ursache eingrenzen können – auch ohne tiefes Technikwissen.

Wie Spam-Filter entscheiden: eine Gesamtbewertung

Ein Spam-Filter arbeitet nicht mit einer einzigen Regel, sondern mit einer Gesamtbewertung. Er fragt gewissermaßen: Ist der Absender der, für den er sich ausgibt? Hat die sendende IP-Adresse oder Domain eine gute Vorgeschichte? Sieht die Nachricht aus wie die Post eines seriösen Absenders? Und wie haben Empfänger bisher auf Nachrichten dieses Absenders reagiert?

Jede dieser Fragen fließt in das Ergebnis ein. Eine einzelne Schwäche führt nicht zwangsläufig in den Spam-Ordner, mehrere zusammen aber schon. Umgekehrt kann ein sehr guter Ruf kleinere Mängel ausgleichen. Deshalb gibt es auch keine allgemeingültige Liste verbotener Wörter, mit deren Vermeidung alles gut wird. Wer die Ursache finden will, sollte die Bereiche der Reihe nach prüfen – beginnend mit dem, was sich am eindeutigsten messen lässt: der technischen Authentifizierung.

• Authentifizierung: SPF, DKIM und DMARC belegen, dass der Absender echt ist.
• Ruf: die Vorgeschichte von IP-Adresse und Domain, einschließlich Einträgen auf Blocklisten.
• Technische Grundlagen: etwa eine gültige Rückwärtsauflösung (Reverse-DNS) der sendenden IP-Adresse.
• Inhalt: Aufbau, Links, Bilder und Textfassung der Nachricht.
• Versandverhalten und Empfängerreaktionen: Mengen, Listenqualität, Abmeldungen und Beschwerden.

Fehlende oder fehlerhafte Authentifizierung: SPF, DKIM und DMARC

Die häufigste technische Ursache ist eine unvollständige Authentifizierung. Drei Einträge im DNS Ihrer Domain spielen zusammen. SPF legt fest, welche Server im Namen Ihrer Domain E-Mails verschicken dürfen. DKIM versieht jede Nachricht mit einer digitalen Signatur, die der Empfänger mit einem öffentlichen Schlüssel aus Ihrem DNS prüft. DMARC verbindet beides mit der Absenderadresse, die der Empfänger im Feld „Von“ sieht, und teilt mit, wie mit Nachrichten umzugehen ist, die die Prüfung nicht bestehen.

Entscheidend ist die sogenannte Ausrichtung. Eine Nachricht kann SPF und DKIM technisch bestehen und trotzdem bei DMARC durchfallen – nämlich dann, wenn die geprüften Domains nicht zur sichtbaren Absenderdomain passen. Typisch ist das bei Newsletter-Diensten, Shopsystemen oder Buchhaltungsprogrammen, die Mails in Ihrem Namen verschicken, aber mit der eigenen Domain signieren. DMARC verlangt, dass mindestens SPF oder DKIM bestanden ist und dabei zur Domain im „Von“-Feld passt.

Viele Fehler entstehen nicht bei der Einrichtung, sondern später: Ein neuer Dienst wird eingeführt, aber niemand ergänzt den SPF-Eintrag. Oder der Anbieter wechselt, und der alte DKIM-Schlüssel bleibt stehen, während der neue nie veröffentlicht wurde. Wie die drei Verfahren im Detail zusammenspielen, erklärt unser Ratgeber zu SPF, DKIM und DMARC.

• Kein SPF-Eintrag oder mehrere SPF-Einträge für dieselbe Domain – erlaubt ist genau einer.
• SPF mit mehr als zehn DNS-Abfragen durch verschachtelte Verweise: Der Eintrag wird dann als fehlerhaft gewertet.
• Ein Versanddienst ist weder im SPF-Eintrag eingetragen noch per DKIM mit Ihrer Domain signiert.
• DKIM ist beim Dienstleister nicht aktiviert oder der Schlüssel ist nicht im DNS veröffentlicht.
• Kein DMARC-Eintrag vorhanden, obwohl große Postfachanbieter ihn von Massenversendern verlangen.

Ruf von IP-Adresse und Domain, Blocklisten und Reverse-DNS

Postfachanbieter merken sich, wie sich ein Absender in der Vergangenheit verhalten hat. Dieser Ruf hängt an der sendenden IP-Adresse und zunehmend an der Domain selbst. Eine IP-Adresse, von der früher Spam verschickt wurde, kann diese Vorgeschichte noch eine Weile mit sich tragen – auch wenn sie inzwischen jemand anderem gehört. Bei gemeinsam genutzten Servern, etwa bei manchen Hostern oder Versanddiensten, wirkt sich zudem das Verhalten anderer Kunden auf Ihre Zustellung aus.

Ein sichtbares Zeichen für schlechten Ruf ist ein Eintrag auf einer Blocklist (DNSBL). Solche Listen werden von unabhängigen Betreibern geführt, und viele Mailserver fragen sie bei jeder eingehenden Verbindung ab. Steht Ihre IP-Adresse oder Domain dort, werden Nachrichten häufig abgelehnt oder direkt aussortiert. Die meisten Betreiber bieten ein Verfahren zur Austragung an; sinnvoll ist das aber erst, wenn die Ursache behoben ist – etwa ein gehacktes Postfach, ein unsicheres Kontaktformular oder eine veraltete Empfängerliste.

Eine weitere technische Grundlage ist die Rückwärtsauflösung, auch Reverse-DNS oder PTR-Eintrag genannt. Sie ordnet der sendenden IP-Adresse einen Servernamen zu, und dieser Name sollte wiederum auf dieselbe IP-Adresse zeigen. Fehlt der Eintrag oder passt er nicht, werten viele Empfänger das als Merkmal unseriöser Absender. Den PTR-Eintrag pflegt in der Regel der Betreiber der IP-Adresse, also Ihr Hoster oder Rechenzentrum, nicht Ihr eigener DNS.

Inhalt und Aufbau der Nachricht

Der Inhalt wird oft als erste Ursache vermutet, ist aber meist nicht die einzige. Trotzdem spielt er eine Rolle, gerade wenn die technische Seite nicht ganz sauber ist. Spam-Filter achten weniger auf einzelne Wörter als auf Muster, die bei unerwünschten Nachrichten häufig vorkommen.

Ein Beispiel ist das Verhältnis von Bild zu Text. Eine Nachricht, die nur aus einer großen Grafik besteht, lässt sich schlecht bewerten und wirkt verdächtig – zumal viele Empfänger Bilder gar nicht automatisch laden. Besser ist ein ausgewogenes Verhältnis mit echtem Text und zusätzlich einer reinen Textfassung neben der HTML-Version. Auch Links verdienen Aufmerksamkeit: Linkkürzer verschleiern das Ziel und werden auch von Spammern genutzt, Links auf Domains mit schlechtem Ruf schaden der ganzen Nachricht, und ein Linktext, der eine andere Adresse anzeigt, als tatsächlich hinterlegt ist, gilt als typisches Merkmal von Phishing.

• Ausreichend echter Text statt einer einzigen großen Grafik; Bilder mit Alternativtext.
• Eine reine Textfassung zusätzlich zur HTML-Version.
• Keine Linkkürzer; Links auf die eigene Domain oder bekannte, seriöse Ziele.
• Ein sachlicher Betreff ohne Großbuchstaben-Ketten und gehäufte Ausrufezeichen.
• Sauberer HTML-Code, idealerweise aus einem Programm oder einer Vorlage, nicht aus einer Textverarbeitung kopiert.
• Vorsicht mit Anhängen, vor allem mit ausführbaren Dateien oder Archiven.

Versandverhalten: Mengen, Listen und Abmeldung

Wie Sie verschicken, ist für Postfachanbieter ebenso aufschlussreich wie das, was Sie verschicken. Plötzliche Mengen sind ein Warnsignal: Wer jahrelang einige Dutzend Nachrichten am Tag verschickt und dann an einem Vormittag mehrere tausend, wirkt wie ein übernommenes Konto. Neue Domains und IP-Adressen sollten deshalb behutsam anlaufen, mit zunächst kleineren Mengen an Empfänger, die die Nachrichten erwarten.

Ein zweiter Punkt ist die Qualität der Empfängerliste. Alte Listen enthalten Adressen, die es nicht mehr gibt, und erzeugen viele Rückläufer. Manche lange stillgelegten Adressen werden von Anbietern sogar als Spam-Fallen weiterbetrieben: Wer sie anschreibt, verrät, dass er seine Liste nicht pflegt. Gekaufte oder gesammelte Adressen sind aus demselben Grund und aus rechtlichen Gründen keine gute Idee. Eine nachweisbare Einwilligung, etwa per Double-Opt-in, und das regelmäßige Entfernen unzustellbarer Adressen schützen den Ruf.

Schließlich die Abmeldung: Google und Yahoo haben 2024 verbindliche Regeln für Absender größerer Mengen eingeführt, Microsoft zog 2025 für seine Verbraucherpostfächer nach. Neben SPF, DKIM und einem DMARC-Eintrag gehören dazu eine Abmeldung mit einem Klick im Kopf der Nachricht, die zügig umgesetzt wird, eine niedrige Beschwerderate sowie Transportverschlüsselung und eine gültige Rückwärtsauflösung. Wer diese Anforderungen nicht erfüllt, muss damit rechnen, dass Nachrichten aussortiert oder abgelehnt werden. Auch wer unterhalb dieser Schwellen bleibt, ist mit denselben Regeln gut beraten.

Was Empfänger mit Ihren Nachrichten tun

Ein wichtiger und oft unterschätzter Faktor ist das Verhalten der Empfänger. Postfachanbieter beobachten, wie mit Nachrichten eines Absenders umgegangen wird: Werden sie geöffnet und beantwortet, oder ungelesen gelöscht? Klicken Empfänger auf „Spam melden“, oder holen sie Nachrichten aus dem Spam-Ordner heraus und markieren sie als erwünscht? Steht der Absender im Adressbuch?

Jede Spam-Meldung ist ein deutliches Signal gegen den Absender. Häufig entstehen solche Meldungen gar nicht aus böser Absicht, sondern weil Empfänger sich nicht mehr an die Anmeldung erinnern oder die Abmeldung nicht finden. Ein erkennbarer Absendername, ein Betreff, der zum Inhalt passt, ein verständlicher Hinweis, warum jemand die Nachricht erhält, und ein gut sichtbarer Abmeldelink senken die Zahl der Beschwerden spürbar. Wer selten schreibt, sollte sich in der ersten Nachricht nach längerer Pause kurz in Erinnerung bringen.

Systematisch prüfen: Schritt für Schritt zur Ursache

Statt mehrere Dinge gleichzeitig zu ändern und auf Besserung zu hoffen, lohnt sich ein geordnetes Vorgehen. Ändern Sie möglichst immer nur eine Sache und prüfen Sie danach erneut. So wissen Sie am Ende, was tatsächlich geholfen hat.

Für den Blick auf die Domain eignet sich der kostenlose Werkzeugkasten von Mailigator: Sie geben Ihre Domain ein und sehen Mailserver, SPF, DMARC, Verschlüsselung, Blocklisten und Rückwärtsauflösung auf einen Blick, jeweils mit Erklärung, was zu tun ist. Die Prüfung läuft live, ohne Konto, und nichts davon wird gespeichert. Den DKIM-Schlüssel prüfen Sie gezielt mit dem Selektor, den Ihr Mailserver oder Dienstleister verwendet.

Die Domain ist aber nur die halbe Wahrheit. Ob eine konkrete Nachricht die Prüfungen besteht, zeigt der Spam-Test: Sie schicken eine ganz normale Nachricht an die angezeigte Adresse und erhalten eine Bewertung auf einer Skala von 0 bis 10 mit Begründung. Geprüft werden SPF, DKIM und DMARC gegen die tatsächliche Absender-IP, die Rückwärtsauflösung, acht Blocklisten, der Aufbau der Nachricht und das Urteil des empfangenden Mailservers. Die Nachricht wird nach der Auswertung gelöscht. Wichtig ist, aus genau dem Programm zu senden, das Sie sonst auch verwenden – nur so stimmt das Ergebnis.

• 1. Fall eingrenzen: Betrifft es alle Nachrichten oder nur Newsletter, Rechnungen oder Formular-Mails? Nur einzelne Anbieter oder alle? Seit wann – und was hat sich zu diesem Zeitpunkt geändert?
• 2. Alle Absender sammeln: Mailserver, Newsletter-Dienst, Shop, Buchhaltung, Kontaktformular, Ticketsystem – jeder Dienst, der mit Ihrer Domain verschickt.
• 3. Domain prüfen: SPF, DKIM, DMARC, Blocklisten und Rückwärtsauflösung im Werkzeugkasten kontrollieren und Fehler beheben.
• 4. Echte Nachricht testen: aus jedem betroffenen System eine Nachricht an den Spam-Test schicken und die Befunde abarbeiten.
• 5. Kopfzeilen beim Empfänger lesen: In der Zeile „Authentication-Results“ steht, wie SPF, DKIM und DMARC beim Empfänger tatsächlich ausgefallen sind.
• 6. Inhalt und Liste prüfen: Textfassung, Links, Abmeldung und die Aktualität der Empfängerliste.
• 7. Beobachten: Nach jeder Änderung erneut testen und die Zustellung einige Tage verfolgen. Ein beschädigter Ruf erholt sich nicht über Nacht.