Mails landen beim Empfänger im Spam: So finden Sie die Ursache

Landen Rechnungen, Angebote oder Newsletter beim Empfänger im Spamordner, hat dessen Filter so entschieden. Spamfilter werten dafür mehrere Signale aus. Google nennt in seinen Richtlinien für Absender unter anderem SPF, DKIM und DMARC, einen gültigen Eintrag für Reverse DNS, Sperrlisten und die Spammeldungen der Empfänger. Ob es an den technischen Punkten liegt, zeigt eine Testmail an unseren Mail-Tester. Den Posteingang kann dabei niemand zusichern: Laut Microsoft ist die Zustellung an Microsoft auch bei authentifizierten Mails nicht sicher; die Authentifizierung verhindert aber, dass Microsoft Mails allein wegen des fehlenden Nachweises in den Junk-Ordner sortiert.

Der Testlauf mit dem Mail-Tester

Der Mail-Tester prüft eine echte Mail, die Sie selbst verschicken, kostenlos und ohne Anmeldung:

1. Klicken Sie auf der Seite des Mail-Testers auf „Test-Adresse erzeugen“ und übernehmen Sie die einmalige Testadresse mit „Kopieren“.
2. Schicken Sie eine normale Mail dorthin, am besten aus dem Postfach, das Sie prüfen wollen. Betreff und Inhalt sind laut Seite egal.
3. Die Seite zeigt „Warte auf Ihre E-Mail …“. Das Ergebnis erscheint automatisch, sobald die Mail ankommt, laut Seite üblicherweise nach wenigen Sekunden.
4. Lesen Sie die Gesamtnote: A heißt sauber aufgestellt, F, dass mehrere zentrale Schutzmechanismen fehlen. Darunter steht jeder Prüfpunkt mit Ampel und kurzer Erklärung: DKIM, SPF, DMARC, Reverse DNS, Blacklists (Sperrlisten) und Zustell-Header.
5. Wiederholen Sie den Test für jeden Versandweg. Buchhaltungssoftware, Shop oder Newsletterdienst können über eigene Server senden; lassen Sie von dort eine Mail an eine neue Testadresse schicken, etwa über einen Testkunden.

Der Mail-Tester wertet nur technische Kopf- und Authentifizierungsdaten aus, keinen Inhalt. Laut Seite wird nichts gespeichert, Testadresse und Ergebnis verfallen nach 30 Minuten, und das Ergebnis ist eine erste Orientierung, keine abschließende Sicherheitsbewertung. Die Tabelle übersetzt die Befunde in Abhilfen.

Zweiter Schritt: den Header einer betroffenen Mail lesen

Was der Filter eines bestimmten Kunden gesehen hat, steht in den Kopfzeilen (dem Header) der Mail, die dort im Spam liegt. Lassen Sie sich den Header schicken und fügen Sie ihn in unsere Header-Analyse ein. Sie zeigt die vom empfangenden Server protokollierten Ergebnisse für SPF, DKIM und DMARC und den Zustellweg mit Zeitstempeln. Laut Seite läuft die Auswertung komplett im Browser; dort steht auch, wo Sie den Header finden.

Die Ursachen im Einzelnen

In unserer Messung bei 3.380 Betrieben im Raum Karlsruhe hatten 77,3 Prozent einen SPF-Eintrag und 56,3 Prozent einen DMARC-Eintrag. DKIM fanden wir unter gängigen Selektoren nur bei 24,1 Prozent, eine Untergrenze, weil Selektoren frei wählbar sind. Alle drei Verfahren nutzten 18,6 Prozent. Gemessen wurden Einträge im DNS, nicht die Zustellung. Google empfiehlt allen Absendern alle drei Verfahren.

SPF: Ein Versandweg fehlt

Der SPF-Eintrag ist ein TXT-Eintrag im DNS Ihrer Domain und listet die Server, die für sie senden dürfen. Fehlt ein Versandweg, etwa die Buchhaltungssoftware, kann SPF für dessen Mails scheitern; laut Google werden Mails von Drittanbietern, die nicht im SPF-Eintrag stehen, eher als Spam markiert. Laut Microsoft scheitert SPF auch, wenn es mehr als einen SPF-Eintrag gibt oder die Prüfung mehr als zehn DNS-Abfragen auslöst, wobei jedes include mindestens eine zählt. Für reinen Versand über Microsoft 365 nennt Microsoft diesen Eintrag, hier für die Musterdomain beispiel.de:

Name: beispiel.de   Typ: TXT
Wert: v=spf1 include:spf.protection.outlook.com -all

Weitere Dienste ergänzen Sie im selben Eintrag mit dem include-Wert aus deren Anleitung.

DKIM: Microsoft 365 signiert Ihre Domain nicht von selbst

Mit DKIM signiert der versendende Server jede ausgehende Mail. Der Empfänger prüft die Signatur mit einem öffentlichen Schlüssel aus Ihrem DNS und erkennt so, ob die Mail vom Inhaber der Domain stammt und unverändert ist. Für eigene Domains wie beispiel.de signiert Microsoft 365 laut Microsoft erst mit dieser Domain, wenn Sie DKIM dafür einrichten; die Schritte stehen weiter unten. Ob unter einem Selektor ein gültiger Schlüssel steht, zeigt der DKIM-Check.

DMARC: Richtlinie und passende Domain

Eine Mail besteht DMARC, wenn SPF oder DKIM bestanden ist und die geprüfte Domain zur sichtbaren Absenderadresse passt. Laut Microsoft scheitern daran etwa Mails fremder Dienste, deren Umschlagabsender die Domain des Dienstes trägt und die nicht mit Ihrer Domain signiert sind. Abhilfe ist eine DKIM-Signatur mit Ihrer Domain oder ein Umschlagabsender unter Ihrer Domain oder einer Subdomain.

Die Richtlinie sagt Empfängern, was mit Mails ohne bestandene Prüfung geschehen soll: p=none gibt keine Anweisung, p=quarantine heißt annehmen und markieren, etwa im Junk-Ordner, p=reject heißt abweisen. Für die Vorgaben an Massenversender genügt p=none. In unserer Messung standen 58 Prozent der DMARC-Einträge auf p=none. Eine strenge Richtlinie kann aber eigene Mails treffen: Ist ein Versandweg nicht sauber eingerichtet, landen dessen Mails bei p=quarantine und Empfängern mit Microsoft 365 je nach deren Einstellung im Junk-Ordner oder in Quarantäne. Stellen Sie deshalb schrittweise um. Mehr zum Schutz vor Fälschungen steht im Beitrag Spoofing stoppen.

Reverse DNS und Sperrlisten: der Ruf des Servers

Empfangende Server schlagen zur IP-Adresse des Absenders den Hostnamen nach (PTR-Eintrag). Google verlangt von allen Absendern, dass dieser Eintrag existiert und der Name wieder auf dieselbe IP zeigt. Ein Befund hier betrifft den Server, über den die Mail ging, etwa einen eigenen Mailserver oder eine Website, die Formulare selbst verschickt. Den PTR-Eintrag pflegt nicht der Domainanbieter, sondern wer den Adressbereich der IP verwaltet, beim Internetanschluss in der Regel der Internetanbieter.

Mails von IP-Adressen auf einer Sperrliste werden laut Google eher als Spam markiert. Teilen sich viele Kunden eines Anbieters eine IP, prägt das Verhalten aller ihren Ruf; dann ist der Anbieter gefragt. Steht die IP Ihres eigenen Servers auf einer Liste, beheben Sie zuerst die Ursache, etwa ein übernommenes Postfach, das Spam verschickt, und beantragen danach beim Betreiber der Liste die Entfernung.

Inhalt und Versandverhalten: was der Test nicht sieht

Sind alle Punkte grün und landen Mails trotzdem im Spam, lohnt der Blick auf Inhalt und Versandverhalten, die der Mail-Tester nicht misst. Melden Empfänger Ihre Mails regelmäßig als Spam, landen laut Google auch künftige Mails eher dort. Aus den Richtlinien von Google und Microsoft:

• Senden Sie nur an Empfänger, die zugestimmt haben, kaufen Sie keine Adressen und streichen Sie Adressen, die wiederholt unzustellbar sind.
• Keine Werbung in Rechnungsmails: Google rät, keine Verkaufsaktionen in Nachrichten mit Kaufbelegen einzufügen.
• Halten Sie das Volumen gleichmäßig. Laut Google kann schon eine sofortige Verdopplung zu einer Ratenbegrenzung oder einem schlechteren Ruf führen.
• Keine Rundmails mit langer Bcc-Liste aus Microsoft 365: Massenversand ist dort laut Microsoft keine unterstützte Nutzung.
• Microsoft empfiehlt für Newsletter eine eigene Subdomain wie news.beispiel.de mit eigenem SPF, DKIM und DMARC, damit Probleme dort nicht die übrigen Mails Ihrer Domain beeinträchtigen.
• Newsletter brauchen eine einfache Abmeldung. Massenversender müssen bei Gmail für Marketingnachrichten das Abmelden mit einem Klick bieten, Transaktionsnachrichten sind ausgenommen.

Weiterleitungen: wenn der Empfänger Ihre Mail weiterreicht

Leitet ein Kunde Ihre Mail automatisch weiter, kommt sie beim Endempfänger von seinem Server. SPF scheitert dann laut Google häufig, weil dieser Server nicht in Ihrem Eintrag steht. Die DKIM-Signatur übersteht die Weiterleitung, solange Text und Betreff unverändert bleiben; Microsoft nennt DKIM deshalb als Lösung, wenn DMARC nach einer Weiterleitung scheitert.

Leiten Sie selbst Mails weiter, etwa alles von info@beispiel.de an ein privates Gmail-Konto, und markieren Empfänger darunter Spam, landen laut Google auch künftige Mails Ihrer Domain eher im Spam. Google empfiehlt, Spam vor dem Weiterleiten auszufiltern.

Was Google und Microsoft von Absendern verlangen

Die Anforderungen gelten für Mails an private Postfächer (Stand: Oktober 2026), bei Google etwa nicht für Konten in Google Workspace. Rechnungen an Privatkunden und Newsletter betreffen sie damit direkt.

Google verlangt seit dem 1. Februar 2024 von allen Absendern an private Gmail-Konten:

• SPF oder DKIM
• gültige Einträge für Forward DNS und Reverse DNS (PTR)
• eine TLS-Verbindung
• eine Spamrate in den Postmaster Tools unter 0,3 Prozent, als Zielwert nennt Google unter 0,1 Prozent
• ein Format nach dem Internetstandard RFC 5322

Wer etwa 5.000 Nachrichten oder mehr pro Tag an private Gmail-Konten schickt, gilt dauerhaft als Massenversender. Dann kommen SPF und DKIM gemeinsam, DMARC (p=none genügt), eine zur SPF- oder DKIM-Domain passende Absenderdomain und für Marketingnachrichten das Abmelden mit einem Klick hinzu. Seit November 2025 setzt Gmail die Regeln strenger durch, bis hin zu Ablehnungen.

Microsoft verlangt für Outlook.com, Hotmail und Live.com von Absendern mit 5.000 oder mehr Mails unter derselben Absenderdomain (laut Ankündigung pro Tag), dass SPF und DKIM bestehen, ein DMARC-Eintrag mit mindestens p=none vorhanden ist und SPF oder DKIM zur Absenderdomain passt. Sonst weist Outlook.com die Mails mit dem Fehler 550 5.7.515 ab.

Microsoft 365: DKIM und DMARC einrichten

Die Schritte folgen Microsoft Learn (Stand: Oktober 2026). Wie viel in der Region offen ist, zeigt unsere Messung: Von 556 Betrieben mit Microsoft 365 hatten 57,6 Prozent DKIM aktiv, DMARC auf reject nur 16,2 Prozent.

1. SPF prüfen: Mit dem Domain-Check kontrollieren Sie, dass es genau einen SPF-Eintrag gibt und alle Versanddienste darin stehen.
2. DKIM vorbereiten: Im Microsoft Defender-Portal unter E-Mail & Zusammenarbeit > Richtlinien & Regeln > Bedrohungsrichtlinien die Seite der Authentifizierungseinstellungen öffnen, Registerkarte DKIM, Domain wählen.
3. CNAME-Einträge anlegen: Die beiden angezeigten Einträge für selector1._domainkey und selector2._domainkey beim DNS-Anbieter anlegen. Microsoft rät, die Werte aus dem Portal zu übernehmen.
4. DKIM einschalten: Sobald Microsoft 365 die Einträge erkennt, was einige Minuten oder länger dauern kann, „Nachrichten für diese Domäne mit DKIM-Signaturen signieren“ aktivieren und mit dem Mail-Tester nachprüfen.
5. DMARC anlegen: TXT-Eintrag unter _dmarc mit p=none und einer Adresse für die Sammelberichte, die meist täglich kommen. Microsoft rät dafür zu einem eigenen Postfach oder einer Gruppe.
6. DMARC verschärfen: Bestehen laut Berichten alle legitimen Versandwege, auf p=quarantine umstellen, auf Wunsch in Stufen über pct (10, 25, 50, 75, 100), danach auf p=reject. Microsoft empfiehlt, mit einer Domain oder Subdomain mit wenig Versand zu beginnen und die Hauptdomain zuletzt umzustellen.

Ein Starteintrag für die Musterdomain beispiel.de:

Name: _dmarc.beispiel.de   Typ: TXT
Wert: v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

Häufige Fragen

Müssen auch kleine Betriebe die Regeln von Google und Microsoft erfüllen?

Ja, die Grundanforderungen von Google gelten für alle Absender an private Gmail-Konten: SPF oder DKIM, gültige PTR-Einträge, TLS und eine niedrige Spamrate. Die strengeren Regeln mit DMARC greifen bei Gmail und bei Outlook.com erst ab etwa 5.000 Mails pro Tag. Laut Microsofts Ankündigung profitieren aber alle Absender von sauberer Authentifizierung.

Hilft es, wenn Kunden uns als sicheren Absender eintragen?

Im Einzelfall ja: Laut Google werden Mails von Absendern aus den Kontakten des Empfängers seltener als Spam eingestuft. Fehlende Authentifizierung gleicht das aber nicht aus. Bei den Regeln von Outlook.com für Massenversender berücksichtigt Microsoft laut Ankündigung die Liste sicherer Absender nicht.

Warum landet nur ein Teil unserer Mails im Spam?

Mails aus Outlook, Buchhaltungssoftware und Newsletterdienst können über verschiedene Server laufen und unterschiedlich authentifiziert sein. Zudem filtert jeder Empfänger anders, und eine Weiterleitung beim Empfänger kann SPF scheitern lassen. Testen Sie deshalb jeden Versandweg einzeln und lassen Sie sich von betroffenen Empfängern den Header schicken.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH geht mit Ihnen das Ergebnis des Mail-Testers und alle Versandwege Ihres Betriebs durch, von Microsoft 365 bis zum Newsletterdienst. Wir richten SPF, DKIM und DMARC ein, stellen DMARC anhand der Berichte schrittweise auf eine wirksame Richtlinie um und prüfen danach mit demselben Test, ob alle Punkte stimmen. Mehr dazu lesen Sie unter E-Mail-Sicherheit. Im kostenlosen Erstgespräch sehen wir uns Ihr Ergebnis gemeinsam an.

Quellen

• Google, Richtlinien für Absender von E-Mails, abgerufen am 22.10.2026, https://support.google.com/a/answer/81126?hl=de
• Google, Häufig gestellte Fragen zu den Richtlinien für Absender von E-Mails, abgerufen am 22.10.2026, https://support.google.com/a/answer/14229414?hl=de
• Google, Best Practices für die Weiterleitung von E-Mails an Gmail, abgerufen am 22.10.2026, https://support.google.com/mail/answer/175365?hl=de
• Microsoft Support, Fix NDR error „550 5.7.515“ in Outlook.com, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/outlook/fix-ndr-error-550-5-7-515-in-outlook-com
• Microsoft Tech Community, Strengthening Email Ecosystem: Outlook’s New Requirements for High-Volume Senders, Stand 30.04.2025, abgerufen am 22.10.2026, https://techcommunity.microsoft.com/blog/microsoftdefenderforoffice365blog/strengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders/4399730
• Microsoft Learn, Set up SPF to identify valid email sources for your custom cloud domains, Stand 03.07.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/defender-office-365/email-authentication-spf-configure
• Microsoft Learn, Einrichten von DKIM zum Signieren von E-Mails aus Ihrer Clouddomäne, Stand 03.07.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/de-de/defender-office-365/email-authentication-dkim-configure
• Microsoft Learn, Set up DMARC to validate the From address domain for cloud senders, Stand 03.07.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/defender-office-365/email-authentication-dmarc-configure
• Microsoft Learn, Email authentication in cloud organizations, Stand 03.07.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/defender-office-365/email-authentication-about
• Microsoft Learn, Outbound spam protection for cloud mailboxes, Stand 03.09.2025, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-protection-about
• Microsoft Learn, Overview of reverse DNS and support in Azure, Stand 21.04.2025, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/azure/dns/dns-reverse-dns-overview
• High5Manufaktur GmbH, Mail-Sicherheit im Raum Karlsruhe 2026, Erhebung vom 24.09.2026, abgerufen am 22.10.2026, https://h5m.de/mail-sicherheit-studie