Zustellbarkeits-Gespräche beginnen meist, nachdem etwas schiefgegangen ist. Öffnungsraten halbiert. Ein großer Mailbox-Provider filtert plötzlich alles in den Spam. Der Vertrieb sagt, ein Prospect habe das Follow-up nie bekommen. Und die erste Frage ist immer dieselbe: Ist unsere Authentifizierung korrekt eingerichtet?
Meistens ja — größtenteils. Authentifizierung ist die Eintrittskarte. Sie sorgt dafür, dass Sie überhaupt in Betracht gezogen werden. Ob Sie den Posteingang erreichen, entscheidet die Reputation — und Reputation entsteht daraus, an wen Sie senden und wie diese Menschen reagieren.
Key Takeaways
- SPF, DKIM und DMARC sind Pflicht, nicht Kür. Große Mailbox-Provider erzwingen sie für Bulk-Sender.
- DMARC wird in Stufen ausgerollt. Direkt auf
p=rejectzu gehen blockiert legitime Mail, die Sie vergessen haben. - Eine dedizierte Subdomain für Marketing-Mail schützt Ihre Firmen-E-Mail vor einem schlechten Monat.
- Die Beschwerderate ist die am stärksten gewichtete Metrik — und im Kern ein Listenqualitäts-Problem.
- Engagement-basiertes Versenden — an Menschen, die wirklich öffnen und klicken — ist der stärkste Hebel, den die meisten nie ziehen.
Das Authentifizierungs-Trio
SPF — welche Server als Ihre Domain senden dürfen
Ein DNS-TXT-Record, der die Systeme auflistet, die für Ihre Domain Mail versenden dürfen. Wenn Account Engagement in Ihrem Namen sendet, muss dessen Versand-Infrastruktur enthalten sein — typischerweise über einen include:-Mechanismus.
Zwei Stolperfallen: SPF hat ein hartes Limit von zehn DNS-Lookups; jedes include: verbraucht mindestens einen, und Organisationen mit vielen mailenden Diensten überschreiten es unbemerkt — dann scheitert SPF für alles. Und pro Domain ist nur ein SPF-Record erlaubt; zwei Records sind eine Fehlkonfiguration, kein Merge.
DKIM — die Signatur, die Unverändertheit beweist
Eine kryptografische Signatur an ausgehender Mail, geprüft gegen einen öffentlichen Schlüssel im DNS. In Account Engagement erzeugen Sie das Schlüsselmaterial in der Plattform und veröffentlichen die zugehörigen DNS-Records.
DKIM ist das stärkste der drei Signale, weil es Weiterleitungen überlebt — SPF nicht. Wenn Sie nur eines richtig machen: DKIM. Und wo Ihr DNS-Provider es unterstützt: mit 2048-Bit-Schlüssel.
DMARC — die Richtlinie, die alles verbindet
DMARC sagt empfangenden Servern, was bei gescheiterten SPF-/DKIM-Prüfungen passieren soll — und wohin Reports gehen. Es erzwingt außerdem Alignment: Die Domain in der sichtbaren Absenderadresse muss zu der Domain passen, die die Authentifizierung bestanden hat. Genau das entlarvt Setups, die technisch für eine fremde Domain „bestehen”.
| Policy | Wirkung | Wann |
|---|---|---|
p=none | Nur beobachten. Nichts wird blockiert; Reports kommen. | Woche 1 bis 4. Jedes System finden, das als Ihre Domain sendet. |
p=quarantine | Scheiternde Mail geht in den Spam | Sobald die Reports sauber sind — oft mit Prozent-Rollout |
p=reject | Scheiternde Mail wird abgewiesen | Das Ziel. Erst, nachdem Quarantine sauber lief. |
Niemals bei reject starten
Fast jede Organisation hat vergessene Absender: ein Rechnungssystem, ein HR-Tool, den Mailserver einer Niederlassung, eine Altanwendung ohne Besitzer. Die p=none-Beobachtungsphase existiert, um sie zu finden. Sie zu überspringen heißt, sie zu entdecken, wenn die Geschäftsführung fragt, warum der Lieferant den Vertrag nie erhalten hat.
Domain-Strategie
Versenden Sie Marketing-Mail von einer dedizierten Subdomain — mail.ihrefirma.de, news.ihrefirma.de — statt von der Haupt-Firmendomain.
Der Grund ist Reputations-Isolation. Mailbox-Provider bilden Reputation teilweise auf Domain-Ebene. Erzeugt eine Kampagne an eine überalterte Liste Beschwerden, landet der Schaden auf der Subdomain — nicht auf der Domain, mit der Ihr Vertrieb einzelne Mails schreibt und Ihre Buchhaltung Rechnungen verschickt. Die Trennung kostet nichts und lässt sich nach einem Vorfall kaum nachrüsten.
Die sichtbare Absenderadresse: menschlich und konstant. Ein wiedererkennbarer Absendername, der nicht jede Kampagne wechselt, ist selbst ein Zustellbarkeits-Asset — Wiedererkennung treibt genau die Engagement-Signale, die Provider messen.
Was wirklich über den Posteingang entscheidet
Bei korrekter Authentifizierung beurteilen Provider Ihr Verhalten. In grober Gewichtungsreihenfolge:
Beschwerderate
Der Anteil der Empfänger, die Sie als Spam markieren — die Metrik mit den schärfsten Konsequenzen. Große Provider haben explizite Schwellen für Bulk-Sender; Überschreiten führt schnell zu Filterung. Die praktische Verteidigung ist simpel: Abmelden leicht und offensichtlich machen, One-Click-List-Unsubscribe-Header respektieren, niemanden den Link suchen lassen. Wer den Abmeldebutton nicht findet, drückt den Spam-Button — und der kostet Sie weit mehr.
Bounce-Rate
Hard Bounces sofort und dauerhaft unterdrücken. Eine steigende Hard-Bounce-Rate signalisiert eine schlecht erworbene oder gepflegte Liste — und wiederholte Zustellversuche an ungültige Adressen werten Provider selbst als Spam-Signal.
Engagement-Signale
Öffnungen, Klicks, Antworten — und das Ausbleiben von Löschen-ohne-Lesen. Provider schließen daraus, ob Empfänger Ihre Mail wollen. Der stärkste verfügbare Hebel, und der am seltensten gezogene: Ihn zu ziehen heißt, an weniger Menschen zu senden.
Spam-Traps
Adressen, die nur existieren, um Absender mit schlechter Listenhygiene zu fangen. Pristine Traps haben nie eingewilligt — ein Treffer heißt gekaufte oder gescrapte Daten. Recycled Traps sind aufgegebene Adressen, als Fallen reaktiviert — ein Treffer heißt, Sie mailen Menschen, die vor Jahren aufgehört haben zu reagieren. Beides vermeidet dieselbe Disziplin: nie Listen kaufen, Inaktive konsequent aussteuern.
Das engagement-basierte Versandmodell
Die renditestärkste Änderung für die meisten Account-Engagement-Sender: nicht die ganze Datenbank mailen, sondern nach Engagement-Recency segmentieren und jede Stufe unterschiedlich behandeln:
| Stufe | Definition | Behandlung |
|---|---|---|
| Aktiv | Öffnung oder Klick in den letzten 90 Tagen | Volle Frequenz. Diese Menschen SIND Ihre Reputation. |
| Abkühlend | Engagement vor 90 bis 180 Tagen | Reduzierte Frequenz, nur wertvollster Content |
| Schlafend | Kein Engagement seit 180 bis 365 Tagen | Eine definierte Win-back-Strecke, dann eine Entscheidung |
| Inaktiv | Kein Engagement seit über einem Jahr | Vom Regelversand ausschließen. Record behalten, Mail stoppen. |
Der Einwand ist immer derselbe: Wir verschenken Reichweite. In der Praxis drückt Mail an Schlafende Ihre aggregierte Engagement-Rate, das senkt Ihr Standing bei den Providern, das reduziert die Posteingangs-Platzierung für die Menschen, die Ihre Mail wollen. Weniger an die Falschen zu senden ist der Weg, mehr von den Richtigen zu erreichen.
Das Win-back einmal richtig fahren
Vor dem Unterdrücken eines schlafenden Segments eine kurze, ehrliche Strecke: eine schlichte, textnahe Mail mit der Frage, ob die Person noch von Ihnen hören möchte — ein offensichtlicher Link zum Bleiben, einer zum Gehen. Die Antwortraten sind absichtlich niedrig. Die Klicker sind mehr wert als alle, die nie geöffnet haben — und die Gehenden haben Sie Reputation gekostet.
Content-Faktoren, die noch zählen
Inhalt wiegt weniger als Reputation, aber die Basics sind billig:
- Text-Bild-Balance. Eine Mail aus einem großen Bild ist ein klassisches Spam-Muster — und scheitert bei deaktivierten Bildern.
- Link-Hygiene. Links sollten auf Domains zeigen, die zu Ihrer Absenderdomain passen. Shortener und fremde Redirect-Domains sind ein Negativsignal.
- Konstante Versandmuster. Volumen-Spitzen sehen aus wie eine Kompromittierung. Beim Skalieren graduell hochfahren.
- Eine funktionierende Textversion. Für Barrierefreiheit — und weil ihr Fehlen auffällig genug ist, um aufzufallen. (Der native Konverter ist bekannt wackelig; unser kostenloser HTML-zu-Text-Konverter erhält Merge-Tags.)
- Ehrliche Betreffzeilen. Die Lücke zwischen Betreff und Inhalt erzeugt Beschwerden — und Beschwerden sind die Metrik, die am meisten zählt.
Monitoring
Vier Dinge, in festem Rhythmus:
- DMARC-Reports. Aggregate-Reports kommen als XML; nutzen Sie einen Parser oder Reporting-Dienst statt Handlektüre. Sie zeigen, wer als Sie sendet.
- Postmaster-Tools der Provider. Die großen Mailbox-Provider bieten Absender-Dashboards mit Reputation, Spam-Rate und Authentifizierungs-Ergebnissen. Kostenlos — und das Nächste daran, zu sehen, was sie sehen.
- Blocklist-Status. Sendedomain und IPs periodisch prüfen. Gelistet zu werden ist behebbar; es sechs Wochen nicht zu wissen, nicht.
- Seed-Listen-Tests vor großen Kampagnen: Posteingang, Werbung-Tab oder Spam — quer über die gängigen Provider.
Den Ist-Zustand Ihrer Records können Sie übrigens sofort prüfen: Unser kostenloser DNS-Zustellbarkeits-Check testet SPF (inklusive Lookup-Zählung), DKIM-Selektoren, DMARC-Policy und Ihre Tracker-Domain — live im Browser, mit Pardot-spezifischen Fixes.
Das 30-Minuten-Setup — und die eigentliche Arbeit
Der Authentifizierungs-Teil ist für jemanden mit DNS-Zugriff wirklich kurz: SPF-Include veröffentlichen, die in Account Engagement erzeugten DKIM-Records veröffentlichen, einen DMARC-Record auf p=none mit Reporting-Adresse setzen, alles verifizieren. Eine halbe Stunde Arbeit plus DNS-Propagation.
Der Rest — DMARC bis reject stufen, engagement-basiertes Versenden etablieren, Win-backs fahren, Beschwerderaten beobachten — ist laufende Arbeit, und dort entstehen die Ergebnisse. Teams, die Zustellbarkeit als Einrichtungsaufgabe behandeln, bekommen authentifizierte Mail im Werbung-Tab. Teams, die sie als Hygiene-Praxis behandeln, erreichen den Posteingang.
Häufige Fragen
Kennen Sie das aus Ihrer eigenen Org?
Das erste Gespräch ist kostenlos: dreißig Minuten, keine Folien, und eine ehrliche Einschätzung, was eine Lösung kosten würde. Wenn es sich nicht lohnt, hören Sie das auch.