E-Mail-Zustellbarkeit: Warum SPF, DKIM und DMARC auch für Websites wichtig sind

Viele Website-Projekte behandeln E-Mail wie ein Randthema: Kontaktformular abschicken, Newsletter-Tool anschließen, Rechnungs-Mail versenden, fertig. Bis Kund:innen melden, dass keine Bestätigung ankommt. Oder Reports im Spam landen. Oder Gmail plötzlich bockt wie ein Drache mit DNS-Trauma.

E-Mail-Zustellbarkeit ist inzwischen kein reines Newsletter-Thema mehr. Sie betrifft Kontaktformulare, Buchungsbestätigungen, Passwort-Resets, Angebotsanfragen, technische Reports, Rechnungen und Support-Kommunikation. Wenn diese Mails nicht ankommen, wirkt die Website kaputt — selbst wenn der Code technisch sauber läuft.

Was sich bei großen Mail-Anbietern geändert hat

Google verlangt seit dem 1. Februar 2024 für alle Absender an private Gmail-Konten mindestens SPF oder DKIM. Für Absender mit mehr als 5.000 Nachrichten pro Tag an Gmail-Konten gelten zusätzliche Anforderungen: SPF und DKIM, DMARC für die Versanddomain, gültige Forward- und Reverse-DNS-Einträge, TLS, niedrige Spamraten und bei Marketing- oder Abo-Mails One-Click-Unsubscribe.

Das ist nicht nur für große Newsletter relevant. Es verschiebt die Erwartung an seriösen E-Mail-Versand insgesamt. Auch kleine Websites werden schneller auffällig, wenn sie über schlecht konfigurierte Domains, alte SMTP-Setups oder unklare Drittanbieter senden.

SPF, DKIM und DMARC kurz praktisch erklärt

SPF sagt empfangenden Servern, welche Mailserver im Namen einer Domain senden dürfen. Wenn ein Formularserver, Newsletter-Tool oder CRM nicht im SPF-Record steht, kann die Mail schlechter bewertet werden.

DKIM signiert E-Mails kryptografisch. Empfangende Server können prüfen, ob die Nachricht wirklich zur sendenden Domain passt und unterwegs nicht verändert wurde.

DMARC verbindet SPF und DKIM mit der sichtbaren From-Domain. Es sagt außerdem, was passieren soll, wenn eine Mail die Prüfungen nicht besteht: beobachten, in Quarantäne schicken oder ablehnen.

Der entscheidende Punkt: Es reicht nicht, irgendwo irgendeinen DNS-Record zu haben. Die Versandwege müssen zur sichtbaren Absenderdomain passen.

Wo Websites typischerweise kaputtgehen

In Website-Projekten entstehen Zustellprobleme oft durch kleine, unscheinbare Entscheidungen:

• Das Kontaktformular sendet direkt vom Webserver, aber die Domain nutzt eigentlich Google Workspace oder Microsoft 365.
• Ein Newsletter-Tool wurde eingerichtet, aber DKIM wurde nie aktiviert.
• Der SPF-Record enthält zu viele Includes oder alte Anbieter.
• Transaktionsmails nutzen eine no-reply-Adresse, die niemand prüft.
• Formularmails setzen die Nutzeradresse als From-Adresse und brechen damit Authentifizierung.
• Reports werden über einen Drittanbieter verschickt, aber die Domain ist nicht sauber verifiziert.
• Marketing-Mails haben keinen funktionierenden One-Click-Unsubscribe-Header.

Das Ergebnis ist selten ein harter Fehler. Schlimmer: Es ist unzuverlässig. Manchmal kommt die Mail an, manchmal nicht. Der Support sucht dann im falschen Monsterkeller.

Was ein Website-Check prüfen sollte

Ein technischer Website-Check sollte E-Mail nicht ignorieren. Mindestens diese Punkte gehören hinein:

1. Versandwege inventarisieren: Welche Systeme senden E-Mails für die Domain? Website, Shop, CRM, Newsletter, Buchungstool, Report-System?
2. SPF prüfen: Sind alle legitimen Absender enthalten? Gibt es veraltete Includes oder DNS-Limits?
3. DKIM prüfen: Sind Schlüssel für Workspace, Newsletter, Transaktionsmail und andere Anbieter aktiv?
4. DMARC prüfen: Existiert ein Record? Werden Reports genutzt? Passt die Policy zum Reifegrad?
5. From-Header prüfen: Sendet die Website mit einer eigenen Domain statt fremde Nutzeradressen zu spoofen?
6. Reply-To sauber setzen: Nutzeradressen gehören meist in Reply-To, nicht in From.
7. Unsubscribe prüfen: Newsletter und Abo-Mails brauchen sichtbare Abmeldung; bei großen Volumen zusätzlich One-Click-Unsubscribe.
8. Monitoring einplanen: Bounce-Meldungen, Spamrate und Provider-Fehler sollten nicht im Nirvana landen.

Gerade für Website-Pflichtencheck ist das relevant, weil Reports und Kontaktanfragen nur dann Wert haben, wenn sie zuverlässig zugestellt werden.

Datenschutz und Vertrauen hängen mit drin

E-Mail-Zustellbarkeit ist auch ein Vertrauensthema. Wenn Kund:innen eine Bestätigung erwarten und nichts erhalten, schicken sie dieselben Daten vielleicht mehrfach. Wenn Formulare an private Postfächer weiterleiten, entstehen schnell unklare Datenflüsse. Wenn Newsletter-Abmeldungen nicht sauber funktionieren, wird aus Marketing sehr schnell ein Reputationsproblem.

Technisch saubere E-Mail-Konfiguration hilft deshalb nicht nur gegen Spamfilter. Sie macht Kommunikation nachvollziehbarer, reduziert Support-Aufwand und verhindert unnötige Datenkopien.

Fazit

SPF, DKIM und DMARC sind keine glamourösen Features. Niemand macht dafür Konfetti. Aber sie entscheiden darüber, ob Formulare, Reports, Newsletter und Transaktionsmails zuverlässig funktionieren.

Für Website-Teams heißt das: E-Mail-Zustellbarkeit gehört in Wartung und Website-Audits. Nicht erst dann, wenn Kund:innen fragen, warum die Anfrage nie angekommen ist. DNS ist trocken, ja. Aber verlorene Leads sind trockener.

Quellen

• Google Gmail Help: Email sender guidelines
• IETF RFC 7208: Sender Policy Framework
• IETF RFC 6376: DomainKeys Identified Mail
• IETF RFC 7489: DMARC
• IETF RFC 8058: One-Click Unsubscribe

Hinweis: Dieser Beitrag ist eine technische Einordnung und keine Rechtsberatung.