Absenderanforderungen von Gmail, Yahoo und Outlook: Was dein DNS braucht
Seit Februar 2024 weisen Gmail und Yahoo E-Mails ab, die nicht belegen, woher sie kommen, und im Mai 2025 kam Outlook.com dazu. Die Regeln sind keine neue Technik — SPF, DKIM und DMARC gibt es seit Jahren —, aber sie sind nicht mehr freiwillig. Der Großteil der Arbeit passiert im DNS und ist an einem Nachmittag erledigt.
Wen es betrifft
Die Regeln gelten für E-Mails an private Postfächer: gmail.com-, Yahoo- und AOL-Adressen sowie outlook.com, hotmail.com und live.com. Einige gelten für jeden Absender; der Rest greift, sobald du rund 5.000 Nachrichten pro Tag oder mehr an einen dieser Anbieter schickst.
| Anforderung | Jeder Absender | Ab 5.000 pro Tag |
|---|---|---|
| Authentifizierung | SPF oder DKIM | SPF und DKIM |
| DMARC-Eintrag | Empfohlen | Pflicht, mindestens p=none |
| From-Domain passend zu SPF oder DKIM | Empfohlen | Pflicht |
| Forward- und Reverse-DNS der sendenden IP | Pflicht | Pflicht |
| TLS bei der Zustellung | Pflicht | Pflicht |
| Spam-Beschwerdequote | Unter 0,3 % | Unter 0,3 %, Ziel 0,1 % |
| Abmeldung mit einem Klick (RFC 8058) | Empfohlen | Pflicht für Werbe-E-Mails |
news.example.com und example.com addieren sich also — und wer die Schwelle einmal überschritten hat, bleibt dauerhaft als Massenversender eingestuft.Der DNS-Teil
Vier Arten von Einträgen erledigen die Arbeit. Deine Versanddienste (Google Workspace, Microsoft 365, Newsletter-Tools, der Shop) nennen dir ihr SPF-Include und ihren DKIM-Schlüssel; du veröffentlichst sie in deiner Domain:
; SPF — every service that sends as you, ending in ~all or -all
example.com. IN TXT "v=spf1 include:_spf.google.com include:_spf.esp.example ~all"
; DKIM — the public key your sending service gives you (often a CNAME)
s1._domainkey.example.com. IN CNAME s1.dkim.esp.example.
; DMARC — p=none is the minimum; rua collects the reports
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
; PTR — set by whoever owns the IP, must match an A record
80.113.0.203.in-addr.arpa. IN PTR mail.example.com.- Ausrichtung (Alignment) heißt: Die Domain in der sichtbaren From-Adresse stimmt mit der Domain überein, die SPF (Envelope-Absender) oder DKIM (das
d=der Signatur) bestanden hat. Ein Newsletter-Tool, das mit eigener Domain signiert, besteht DKIM, ist aber nicht ausgerichtet — aktiviere dort die Option für eine eigene, „authentifizierte“ Domain. - Ein SPF-Eintrag pro Domain, unter 10 DNS-Abfragen. Ein weiterer Dienst sprengt ihn oft; der SPF-Leitfaden erklärt das Limit.
- PTR setzt, wem die IP-Adresse gehört — dein VPS- oder Hosting-Anbieter, nicht deine DNS-Zone. Bei Google, Microsoft oder einem Mailing-Dienst ist das erledigt. Siehe PTR-Einträge.
- Versende nie als `@gmail.com` oder mit einer anderen Adresse, die du nicht kontrollierst: Gmails eigene DMARC-Richtlinie lehnt das ab.
Abmeldung mit einem Klick
Werbe- und Abo-E-Mails von Massenversendern müssen zwei Header tragen, mit denen das Postfach einen eigenen Abmelde-Button zeigt. Ein Klick schickt eine POST-Anfrage an deine URL — ohne Landingpage, ohne Login:
List-Unsubscribe: <https://example.com/u/8f3a2c>, <mailto:[email protected]?subject=8f3a2c>
List-Unsubscribe-Post: List-Unsubscribe=One-Click- Bearbeite die Abmeldung innerhalb von zwei Tagen.
- Signiere beide Header mit DKIM, sonst ignorieren Empfänger sie.
- Behalte zusätzlich einen sichtbaren Abmeldelink im Text.
- Transaktions-E-Mails — Belege, Passwort-Resets, Warnungen — brauchen das nicht.
Beschwerden unter 0,3 % halten
Die Beschwerdequote ist der Anteil zugestellter Nachrichten, die Empfänger als Spam markieren. Über 0,3 % landet Post im Spam oder wird abgewiesen, und die Erholung dauert Wochen sauberen Versands. Zwei Hebel zählen: nur an Leute schicken, die es wollten, und die Abmeldung leicht machen.
Checkliste
Was passiert, wenn du die Regeln nicht erfüllst
Nicht konforme E-Mails bekommen zuerst temporäre Fehler und landen im Spam, später werden sie glatt abgelehnt. Gmail antwortet mit Codes wie 5.7.26 (nicht authentifizierter Absender), Outlook.com mit 5.7.515 (die Absenderdomain erfüllt das geforderte Authentifizierungsniveau nicht). Die Rückmeldung geht an den Absender, nicht an den Empfänger — oft fällt das Problem erst auf, wenn Kunden sagen, sie hätten die Rechnung nie bekommen.
p=none hinaus verschärfst, lies einige Wochen lang die Sammelberichte: Ein vergessener Absender — das CRM, das Rechnungstool — fällt durch, sobald du durchsetzt. DMARC einrichten führt Schritt für Schritt hindurch.Häufige Fragen
Gelten die Regeln, wenn ich weniger als 5.000 E-Mails pro Tag versende?
Die grundlegenden schon: SPF oder DKIM, gültiger PTR, TLS und eine niedrige Beschwerdequote. DMARC, Ausrichtung und Ein-Klick-Abmeldung sind erst oberhalb der Schwelle Pflicht, lohnen sich aber trotzdem.
Reicht DMARC p=none?
Für die Anforderung ja. Vor Spoofing schützt es deine Domain aber nicht — dafür braucht es p=quarantine oder p=reject, sobald die Berichte zeigen, dass jeder legitime Absender besteht.
Brauchen Belege und Passwort-Resets einen Abmelde-Header?
Nein. Die Ein-Klick-Abmeldung ist für Werbe- und Abo-E-Mails Pflicht, nicht für Transaktionsnachrichten.
Gelten die Regeln auch für Empfänger bei Google Workspace oder Microsoft 365?
Die veröffentlichten Anforderungen zielen auf private Postfächer, Geschäftspostfächer filtern aber ähnlich — dieselbe Einrichtung sorgt also auch dort für Zustellung.
Sehen Sie die Theorie in der Praxis — führen Sie E-Mail-Sicherheitsprüfung für Ihre eigene Domain aus.
Aktualisiert am 13. Oktober 2026