Ihre Website sendet E-Mails – aber kommen sie auch an?

Eine Website kann technisch fehlerfrei wirken und trotzdem leise Leads, Bestellungen oder Nutzer verlieren. Der Grund liegt manchmal nicht im Formular oder Checkout, sondern im letzten Schritt: Die E-Mail wird erzeugt, erreicht den Posteingang aber nicht zuverlässig.

Das betrifft nicht nur Newsletter. Kontaktanfragen, Passwort-Resets, Rechnungen, Terminbestätigungen und Systemwarnungen hängen ebenfalls von einer funktionierenden Mail-Infrastruktur ab.

Der typische blinde Fleck

Viele Teams testen nur, ob die Anwendung eine Nachricht an den Versanddienst übergibt. Das ist nicht dasselbe wie erfolgreiche Zustellung. Dazwischen können mehrere Dinge schiefgehen:

• Die Absenderdomain ist nicht korrekt authentifiziert.
• Ein externer Dienst fehlt im SPF-Eintrag.
• DKIM ist deaktiviert, nutzt den falschen Schlüssel oder signiert mit einer unerwarteten Domain.
• Die sichtbare From-Domain passt nicht zur authentifizierten Domain.
• DMARC fehlt oder seine Berichte werden ignoriert.
• Nach einem Providerwechsel bleiben alte oder widersprüchliche DNS-Einträge bestehen.
• Bounces werden gespeichert, aber niemand überwacht sie.
• Kontaktformular und Passwort-Reset nutzen unterschiedliche Versandwege.

Das Ergebnis ist tückisch: Die Website zeigt „Nachricht erfolgreich gesendet“, während die geschäftlich wichtige E-Mail abgewiesen oder in Spam einsortiert wird.

SPF, DKIM und DMARC praktisch erklärt

SPF beschreibt, welche Server für eine Domain E-Mails versenden dürfen. Der Eintrag muss alle legitimen Versandwege enthalten, etwa Google Workspace, Microsoft 365, Resend, Mailgun, Brevo oder einen Hosting-Provider.

DKIM versieht ausgehende Nachrichten mit einer kryptografischen Signatur. Empfangende Systeme können damit prüfen, ob die Nachricht zur signierenden Domain gehört und unterwegs verändert wurde.

DMARC verbindet Authentifizierung und Domain-Ausrichtung mit einer Richtlinie für fehlgeschlagene Nachrichten. Zusätzlich können Berichte zeigen, welche Systeme im Namen der Domain senden.

Entscheidend ist nicht nur, dass DNS-Einträge vorhanden sind. Sie müssen zum tatsächlichen Versandweg passen.

Zehn Red Flags

1. Kontaktanfragen kommen angeblich nie an.
2. Passwort-Reset-Mails benötigen mehrere Versuche.
3. Website oder Mailversand wurden kürzlich umgezogen.
4. Marketing-, Formular- und Transaktionsmails nutzen verschiedene Anbieter.
5. Niemand kann alle erlaubten Absenderdienste nennen.
6. DMARC-Berichte werden nicht ausgewertet.
7. Der Versand funktioniert nur mit einer fremden Provider-Domain.
8. Bounce-Raten und SMTP-Fehler sind nicht sichtbar.
9. Gmail-Tests funktionieren, andere Empfänger melden Probleme.
10. Ein früherer Dienstleister kontrolliert noch DNS oder DKIM-Schlüssel.

So sieht ein belastbarer Check aus

1. Versandwege inventarisieren

Erfasst werden Website-Formulare, CMS-Plugins, Shops, CRM, Newsletter, Supportsysteme, Authentifizierung, Rechnungssoftware und Monitoring.

2. DNS und Domain-Ausrichtung prüfen

SPF, DKIM und DMARC müssen syntaktisch gültig sein und zu den eingesetzten Diensten passen. Wichtig ist die Ausrichtung zwischen sichtbarer From-Domain und authentifizierter SPF- oder DKIM-Domain.

3. Reale Nachrichten untersuchen

Testmails sollten an unterschiedliche Provider gehen. In den vollständigen Headern lässt sich prüfen, welche Authentifizierungsverfahren bestanden wurden und welcher Server wirklich versendet hat.

4. Fehlerpfade testen

Was passiert bei einem Hard Bounce, einer blockierten Adresse oder einem temporären Fehler? Gibt es Wiederholungen, Webhooks, Logs und eine sichtbare Warnung?

5. Kritische Journeys getrennt testen

Kontaktformular, Passwort-Reset, Registrierung, Bestellbestätigung und interne Benachrichtigungen können unterschiedliche Templates, Absender oder Provider nutzen.

Was Website-Pflichtencheck untersucht

Website-Pflichtencheck kann öffentlich sichtbare DNS- und Absenderkonfigurationen, typische Authentifizierungsfehler, Formularabläufe, technische Header und operative Lücken prüfen. Dazu gehört auch die Frage, ob Fehler nur protokolliert werden oder tatsächlich bei einer verantwortlichen Person ankommen.

Ziel ist eine konkrete Antwort: Welche geschäftskritischen Website-E-Mails sind zuverlässig, welche sind fragil und was sollte zuerst behoben werden?

Eine Website hat ihre Aufgabe nicht erfüllt, nur weil sie eine E-Mail erzeugt hat. Erst wenn wichtige Nachrichten nachvollziehbar zugestellt, abgelehnt oder eskaliert werden, ist der Prozess betriebssicher.

Hinweis: Dieser Beitrag ist eine technische Übersicht und keine Rechtsberatung.