Prallen Ihre ausgehenden E-Mails mit 550-Fehlercodes zurück? Melden Empfänger, dass Ihre Nachrichten im Junk-Ordner statt im Posteingang landen? Dafür gibt es einen klaren Grund. Im Februar 2024 haben Google und Yahoo die E-Mail-Authentifizierung nicht länger als optional behandelt – sie ist jetzt zwingende Voraussetzung. Für jedes Unternehmen, das auf E-Mail angewiesen ist, schädigt das Ignorieren dieser Änderungen die Zustellbarkeit und damit auch den Umsatz.

Kernpunkte:

• Google und Yahoo verlangen von Massenversendern, ausgehende E-Mails mit SPF und DKIM zu authentifizieren und einen DMARC-Eintrag zu veröffentlichen.
• Die Schwelle von 5.000 Nachrichten pro Tag für Massenversender umfasst den gesamten kombinierten Traffic über Ihre primäre Domain.
• Die Spam-Beschwerderate in den Google Postmaster Tools sollte unter 0,1 % bleiben; das Erreichen von 0,3 % löst automatische Zustellbarkeitsstrafen bei empfangenden Gateways aus.
• Marketing- und Abonnement-E-Mails müssen RFC-8058-One-Click-Abmelde-Header unterstützen.
• Der Einstieg mit p=none erfüllt die grundlegende Compliance, der Übergang zu p=quarantine oder p=reject ist jedoch wichtig, um Domain-Spoofing zu verhindern und langfristig Domain-Reputation aufzubauen.

Was sich geändert hat und warum: Die Gmail-/Yahoo-Versenderregeln

Warum existieren diese Regeln? Die Ursache liegt im ursprünglichen Aufbau der E-Mail. Das Simple Mail Transfer Protocol (SMTP), 1982 durch RFC 821 standardisiert, hatte keinen eingebauten Mechanismus zur Überprüfung der Absenderidentität. Jeder Mailserver konnte eine Nachricht versenden, die von einer beliebigen E-Mail-Adresse zu stammen behauptete, und empfangende Gateways akzeptierten sie – jeder konnte also mit geringem Aufwand einen Domainnamen im sichtbaren Header fälschen.

Sicherheitsingenieure haben dieses strukturelle Problem über die Jahre behoben. SPF erschien Mitte der 2000er-Jahre, um sendende IP-Adressen anhand einer öffentlichen DNS-Liste zu validieren. DKIM folgte und nutzte Public-Key-Kryptografie, damit Versender ausgehende Header signieren konnten. 2012 veröffentlichten große Branchenakteure DMARC, um SPF- und DKIM-Prüfungen zu verknüpfen und Domaininhabern die Möglichkeit zu geben, Durchsetzungsrichtlinien festzulegen.

Jahrelang behandelten Postfachanbieter diese Standards als optional. Domains mit SPF und DKIM erhielten Bonuspunkte; ohne diese landeten Nachrichten meist trotzdem im Posteingang, sofern die IP-Adresse sauber war.

Damit endete es im Februar 2024. Wie in den E-Mail-Richtlinien für Absender von Google festgelegt, wandelten die Postfachanbieter die Authentifizierung von einer Empfehlung zu einer harten Zugangsvoraussetzung.

Statt nicht authentifizierte E-Mails sofort komplett zu blockieren, führten die Anbieter die Durchsetzung stufenweise ein. Anfang 2024 begannen sie, Verbindungsgeschwindigkeiten zu drosseln und temporäre 4xx-Verzögerungscodes für nicht authentifizierte Ströme zurückzugeben. In den Folgemonaten eskalierten sie zu strikten 5xx-Ablehnungscodes und automatischer Spam-Einordnung. Microsoft richtete seine Gateway-Filter rasch an denselben Standards für volumenstarke Versender aus und hat inzwischen angekündigt, dass Outlook.com ab 2025 vergleichbare SPF-, DKIM- und DMARC-Anforderungen für Massenversender durchsetzen wird – ein Zeichen, dass diese Regeln zu einem branchenweiten Standard werden und nicht nur eine Richtlinie von Google und Yahoo bleiben.

Wer gilt unter den Gmail-Richtlinien als Massenversender

Google definiert einen Massenversender als jede Domain, die in einem 24-Stunden-Zeitraum ungefähr 5.000 oder mehr Nachrichten an persönliche Gmail-Konten sendet; Yahoo wendet einen ähnlichen Maßstab an. Sich allein auf diese Zahl zu konzentrieren, ist jedoch ein häufiger Fehler.

Erstens wird das Volumen über die gesamte Root-Domain berechnet, nicht pro IP-Adresse oder Server-Hostname. Wenn eine Marketing-Plattform 3.500 Newsletter-E-Mails versendet, während ein Anwendungsserver unter derselben Domain 2.000 Passwort-Resets oder Rechnungsbelege verschickt, ist die Schwelle überschritten.

Zweitens gilt die Regel für die gesamte ausgehende Post, nicht nur für Marketing. Systembenachrichtigungen, Kundenbelege und tägliche Geschäftsmails zählen alle zum Tageslimit. Jede Domain, die nahe an 3.000 Nachrichten pro Tag sendet, sollte die vollständige Authentifizierung einrichten, als wäre das Limit bereits überschritten.

Die zentralen Anforderungen an E-Mail-Absender

Um die Anforderungen für Massenversender von Google und Yahoo zu erfüllen, muss die E-Mail-Infrastruktur sechs technische Prüfungen bestehen:

1. Gültige SPF-Einträge und DKIM-Schlüsselpaare für alle ausgehenden Mail-Ströme einrichten.
2. Einen gültigen DMARC-TXT-Eintrag im DNS der Domain veröffentlichen.
3. Sicherstellen, dass die Domain im sichtbaren „From:"-Header mit der von SPF oder DKIM authentifizierten Domain übereinstimmt.
4. Die Spam-Beschwerderate der Nutzer in den Google Postmaster Tools unter 0,1 % halten und niemals 0,3 % erreichen lassen.
5. Native One-Click-Abmelde-Header in alle Marketing- und Newsletter-Mails einbinden.
6. Sicherstellen, dass sendende Server-IPs übereinstimmende A/AAAA-Einträge und gültige Reverse-DNS(PTR)-Einträge besitzen.

Was bei Nichteinhaltung passiert

Bestandene Authentifizierungsprüfungen sind fehlerhaft, schädigen die Domain-Reputation bei empfangenden Mailservern, typischerweise in drei Schritten:

1. Empfangende Server antworten mit 4xx-Verzögerungscodes; die Mail-Warteschlangen füllen sich und die Zustellung verzögert sich um Stunden.
2. Nachrichten passieren das Gateway, werden jedoch in die Spam-Ordner der Empfänger statt in den Hauptposteingang umgeleitet.
3. Mailserver brechen die Verbindung vollständig ab und geben 5xx-Hard-Bounce-Fehler zurück.

So erfüllen Sie jede Anforderung: Schritt für Schritt

1. SPF konfigurieren und das 10-Lookup-Limit beachten

Fügen Sie im DNS der Domain-Root einen TXT-Eintrag hinzu, der jede autorisierte IP-Adresse und jeden Drittanbieter von Mail-Diensten auflistet. Beachten Sie das 10-DNS-Lookup-Limit: Der SPF-RFC begrenzt Einträge auf maximal 10 externe DNS-Abfragen (include, a, mx, redirect). Eine Überschreitung verursacht einen SPF-PermError, den empfangende Server als Authentifizierungsfehler werten. Prüfen Sie den Eintrag regelmäßig und entfernen Sie veraltete Vendor-Includes, um unter dem Limit zu bleiben.

2. DKIM-Signierung für alle ausgehenden Kanäle einrichten

DKIM signiert ausgehende E-Mail-Header mit einer kryptografischen Signatur und muss für jede Plattform aktiviert werden, die im Namen der Domain versendet. Erzeugen Sie ein 2048-Bit-DKIM-Schlüsselpaar im Portal Ihres E-Mail-Dienstes und veröffentlichen Sie den öffentlichen Schlüssel als CNAME- oder TXT-Eintrag im DNS. Sobald das DNS propagiert ist, aktivieren Sie die Signierung in der Administrationskonsole und prüfen die Rohheader einer Test-E-Mail, um zu bestätigen, dass der DKIM-Signature-Header vorhanden ist und besteht.

3. Einen DMARC-Eintrag veröffentlichen

Um die grundlegende DMARC-Anforderung von Google und Yahoo zu erfüllen, veröffentlichen Sie einen DMARC-TXT-Eintrag unter _dmarc.ihredomain.de. Bei der Ersteinrichtung sollte mit einer Überwachungsrichtlinie (p=none) begonnen werden, um Berichtsdaten zu sammeln, ohne die Zustellung zu riskieren. Testen Sie den DNS-Eintrag vor dem Livegang mit einem öffentlichen DMARC-Eintragsprüfer, um Syntaxfehler zu finden.

4. RFC-8058-One-Click-Abmelde-Header hinzufügen

Ein einfacher HTML-Abmeldelink am Ende einer E-Mail reicht für Marketing-Mails nicht aus. Zwei rohe Mail-Header müssen in den ausgehenden Strom eingefügt werden:

List-Unsubscribe:
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Wenn Clients wie Gmail oder Yahoo diese Header parsen, zeigen sie eine auffällige „Abmelden“-Schaltfläche neben dem Absendernamen in der Posteingangs-Oberfläche an. Ein Klick darauf löst eine automatisierte POST-Anfrage an den Server aus und entfernt den Abonnenten sofort, ohne ein Browserfenster zu öffnen.

5. Forward- und Reverse-DNS überprüfen

Empfangende Server prüfen, ob die sendende IP-Adresse zum Domainnamen im DNS passt. Die IP muss über einen PTR-Eintrag zu einem gültigen Hostnamen auflösen, und dieser Hostname muss über einen Standard-DNS-A-Eintrag zurück zur selben IP auflösen. Betreiber dedizierter Mailserver oder Cloud-Instanzen können die Reverse-DNS-Einstellungen in der Konsole ihres Anbieters bearbeiten oder ein Support-Ticket eröffnen, um die IP auf den vollqualifizierten Domänennamen (FQDN) des Mailservers abzubilden.

6. Metriken in Postmaster Tools und DMARC-Berichten verfolgen

Richten Sie ein Google-Postmaster-Tools-Konto ein und verifizieren Sie das Domain-Eigentum über einen DNS-TXT-Eintrag. Das Dashboard bietet direkte Einblicke in Domain-Reputation, Spam-Beschwerderaten und Authentifizierungserfolgsraten. Halten Sie die Beschwerderate unter 0,1 %; das Erreichen von 0,3 % bewirkt, dass Google Ihre Mails unabhängig vom SPF- und DKIM-Status in Spam-Ordner leitet. Um Authentifizierungsfehler über alle empfangenden Anbieter hinweg zu überwachen und rogue sendende IPs zu erkennen, richten Sie automatisiertes DMARC-Reporting ein.

Über die Compliance hinaus: Die Regeln zur Verbesserung der Zustellbarkeit nutzen

Eine p=none-Richtlinie allein lässt eine Domain ungeschützt gegen Spoofing – sie weist empfangende Server an, Authentifizierungsdaten aufzuzeichnen, hindert Angreifer aber nicht daran, die Domain in Phishing-Angriffen zu imitieren.

Sobald alle legitimen Mail-Ströme die SPF- und DKIM-Ausrichtung bestehen, sollten Sie die DMARC-Richtlinie auf p=quarantine oder p=reject anheben. p=quarantine leitet nicht authentifizierte Mails direkt in den Spam, während p=reject gefälschte Nachrichten am empfangenden Gateway verwirft.

Nach Erreichen der DMARC-Durchsetzung können Versender Brand Indicators for Message Identification (BIMI) veröffentlichen, was ein verifiziertes Markenlogo neben den Nachrichten in den Posteingängen der Empfänger anzeigt und Sichtbarkeit sowie Vertrauen in die Marke erhöht.

Häufige Fragen zu den Anforderungen für Massenversender

Was ist die Schwelle für Massenversender bei Google und Yahoo?

Google und Yahoo definieren Massenversender als Domains, die etwa 5.000 oder mehr Nachrichten pro Tag an persönliche Konten senden. Das Volumen wird über die gesamte primäre Domain berechnet, alle Versendedienste zusammengezählt.

Gelten diese Regeln auch für transaktionale E-Mails?

Ja. Transaktionale E-Mails wie Passwort-Resets, Bestellaktualisierungen und Systemwarnungen müssen SPF-, DKIM-, DMARC- und DNS-Prüfungen bestehen, benötigen jedoch keine One-Click-Abmelde-Header.

Reicht eine DMARC-Richtlinie von p=none zur Compliance aus?

Ja, p=none erfüllt die Grundanforderungen von Google und Yahoo. Die Richtlinie überwacht jedoch nur den Traffic, ohne Imitation zu blockieren, daher wird der Wechsel zu p=quarantine oder p=reject empfohlen.

Was passiert mit meinen E-Mails, wenn ich die Anforderungen nicht erfülle?

Mail-Anbieter werden Ihre SMTP-Verbindungen mit 4xx-Fehlercodes drosseln, E-Mails direkt in Spam-Ordner leiten oder 5xx-Hard-Bounces ausstellen, die Mails vollständig ablehnen.

Wie lange dauert die Erholung von hohen Spam-Beschwerderaten?

Sobald die Listenhygiene behoben ist und die Beschwerderate unter 0,1 % zurückkehrt, dauert es in der Regel 7 bis 14 Tage sauberen Versands, bis die Google Postmaster Tools die Domain-Reputation wieder aufbauen.

Wie prüfe ich, ob mein SPF-Eintrag das 10-Lookup-Limit überschreitet?

Untersuchen Sie den SPF-TXT-Eintrag und zählen Sie jeden Mechanismus, der eine DNS-Abfrage auslöst. Übersteigt die Gesamtzahl der DNS-Abfragen über den Haupteintrag und verschachtelte Einträge 10, schlägt der SPF-Eintrag mit einem PermError fehl.

Quelle: FinTechZoom