Gmail lehnt Mails ab: SPF, DKIM und DMARC einrichten

Sie befinden sich: Home > News Archiv > Webmaster > Gmail lehnt Mails ab...

Seit Ende 2025 prallen Mails ohne saubere Authentifizierung an Gmail und Outlook ab. SPF, DKIM und DMARC entscheiden, ob Ihre Nachrichten ankommen. Dazu wurde DMARC im Mai 2026 zum offiziellen Standard. So bringen Sie Ihren Versand in Ordnung.

Ihre Rechnung, Ihre Terminbestätigung, Ihre Newsletter: Wenn diese Mails an einem Gmail- oder Outlook-Postfach abprallen, liegt das immer öfter an drei Buchstaben-Kombinationen, die viele Seitenbetreiber bis heute ignoriert haben. SPF, DKIM und DMARC einrichten galt lange als Empfehlung. Seit Ende 2025 sind sie die Eintrittskarte ins Postfach, und wer sie nicht hat, wird abgewiesen.

2026 hat das Thema gleich zwei Schübe bekommen. Die großen Provider lehnen unauthentifizierte Massenmails inzwischen endgültig ab, statt sie nur in den Spam-Ordner zu schieben. Und im Mai wurde DMARC nach über zehn Jahren zum echten Internet-Standard erhoben. Höchste Zeit, den eigenen Versand in Ordnung zu bringen.

Warum das Thema gerade jetzt brennt

Der Auslöser sitzt nicht bei Ihnen, sondern bei den Mailprovidern. Google und Yahoo haben im Februar 2024 angefangen, Absender zur Authentifizierung zu zwingen. Microsoft zog 2025 nach. Was als sanfte Verwarnung begann, ist heute eine harte Tür.

Seit November 2025 weisen sowohl Gmail als auch Outlook nicht-authentifizierte Massenmails komplett ab. Keine Zustellung, kein Spam-Ordner, nur eine Fehlermeldung an den Absender. Bei Outlook lautet sie 550 5.7.515, sinngemäß: Zugriff verweigert, die sendende Domain erfüllt die geforderte Authentifizierung nicht. Wie ernst die Lage ist, zeigt eine Zahl von Google: Gmail-Nutzer bekamen 2024 rund 265 Milliarden unauthentifizierte Nachrichten weniger als im Jahr davor, ein Rückgang um 65 Prozent.

SPF, DKIM und DMARC in einfachen Worten

Bevor es ans Einrichten geht, lohnt sich ein klarer Blick auf die drei Bausteine. Sie lösen unterschiedliche Probleme und ergeben erst zusammen ein dichtes Netz.

Baustein	Was er macht	Vergleich
SPF	Legt im DNS fest, welche Server für Ihre Domain senden dürfen	Gästeliste am Eingang
DKIM	Versieht jede Mail mit einer kryptografischen Signatur	Siegel auf dem Umschlag
DMARC	Verbindet beides, prüft die Absenderdomain und legt fest, was bei einem Fehlschlag passiert	Türsteher mit Regelbuch

Der entscheidende Punkt bei DMARC heißt Alignment. Geprüft wird, ob die im Postfach sichtbare Absenderdomain zur SPF- oder DKIM-Domain passt. DMARC besteht, wenn mindestens eine der beiden Prüfungen besteht und die Domains zusammenpassen. Die Policy sagt dem Empfänger dann, was er mit Mails tun soll, die durchfallen.

Was DMARCbis im Mai 2026 geändert hat

Über elf Jahre war DMARC technisch gesehen nur eine dokumentierte Empfehlung, festgehalten im Dokument RFC 7489 von 2015. Im Mai 2026 hat die zuständige Standardisierungsorganisation IETF die Spezifikation überarbeitet, neu aufgeteilt und zum offiziellen Standard erhoben. Diese Neufassung trägt den Namen DMARCbis.

Sie besteht aus drei Dokumenten, die das alte RFC 7489 ablösen:

Dokument	Inhalt
RFC 9989	Das Kernprotokoll: Policy-Prüfung, Alignment, Verarbeitung beim Empfänger
RFC 9990	Die täglichen Sammelberichte (Aggregate Reports)
RFC 9991	Die einzelnen Fehlerberichte

Für die meisten Seitenbetreiber ist die gute Nachricht: Ihr bestehender Eintrag bleibt gültig. Die Kennung lautet weiterhin v=DMARC1, ein DMARC2 gibt es nicht. Trotzdem sollten Sie beim nächsten Bearbeiten aufräumen, denn ein paar Einstellungen sind weggefallen und ein paar neu hinzugekommen.

Diese Tags sind weg, diese sind neu

Wer seinen Record modernisiert, sollte die folgenden Änderungen kennen. Vor allem das gestrichene Prozent-Tag betrifft viele bestehende Einträge.

• Gestrichen: pct. Damit ließ sich eine Policy bisher nur auf einen Teil der Mails anwenden, etwa auf 50 Prozent. Empfänger setzten das uneinheitlich um, deshalb fliegt es raus. Auch rf und ri für Reportformat und Intervall sind entfallen.
• Neu: np. Eine eigene Regel für Subdomains, die gar nicht existieren. Das stopft ein Einfallstor für Betrüger, die sich erfundene Adressen wie buchhaltung.ihre-firma.de ausdenken.
• Neu: t. Der Testmodus ersetzt das alte Prozent-Tag. Mit t=y wird eine strenge Policy eine Stufe milder angewandt, ideal für einen vorsichtigen Start.

Statt einer extern gepflegten Domainliste laufen Empfänger jetzt die DNS-Hierarchie Schritt für Schritt nach oben, um die zuständige Hauptdomain zu finden. Das ist genauer, kann aber in Einzelfällen anders ausfallen als früher. Die sichere Antwort darauf: Veröffentlichen Sie für jede sendende Domain und Subdomain einen eigenen DMARC-Eintrag.

Wer jetzt was durchsetzt

Die Anforderungen unterscheiden sich je nach Provider im Detail. Wichtig für deutsche Versender: Es sind längst nicht nur die US-Konzerne, die mitziehen.

Provider	Scharf seit	Besonderheit
Gmail	Februar 2024, Ablehnung seit November 2025	Regeln ab 5.000 Mails pro Tag, Spam-Rate dauerhaft unter 0,3 Prozent
Microsoft Outlook	Mai 2025, Ablehnung seit November 2025	Gewichtet die IP-Reputation stärker als Google
Yahoo	Februar 2024	Lehnt DKIM-Schlüssel mit nur 512 Bit ab
GMX, WEB.DE, mail.com	Rollout ab Mai 2026	Setzen p=reject durch, DKIM ist Pflicht, SPF allein reicht nicht
La Poste (Frankreich)	September 2025	Null-Toleranz für alle Absender, nicht nur für Massenversand
Apple iCloud	noch keine feste Frist	Durchsetzung wird für 2026 oder 2027 erwartet

Besonders die deutschen Postfächer von GMX, WEB.DE und mail.com wiegen schwer. Hinter ihnen steht 1&1 Mail & Media mit nach eigenen Angaben rund 42 Millionen aktiven Nutzern. Mails von Domains mit einer reject-Policy, die durchfallen, werden dort schlicht abgewiesen.

Die häufigsten Fehler, die Mails ausbremsen

Viele Versandprobleme liegen nicht an fehlender Authentifizierung, sondern an kaputter. Drei Klassiker tauchen immer wieder auf.

1. Das SPF-Limit von zehn DNS-Abfragen. Pro SPF-Prüfung sind nur zehn Nachschlagevorgänge erlaubt. Wer Google Workspace, Microsoft 365, Mailchimp und ein Ticketsystem kombiniert, sprengt das Limit schnell. Die Folge ist ein PermError, und dann scheitert SPF für sämtliche Mails, oft unbemerkt. Lösung: ungenutzte Einträge entfernen oder die enthaltenen Listen zu festen IP-Adressen zusammenfassen.
2. Drittanbieter ohne DKIM. Tools wie HubSpot oder Salesforce müssen ausdrücklich für Ihre Domain signieren. Fehlt das, bricht das Alignment, und DMARC fällt durch, obwohl alles eingerichtet scheint.
3. Weiterleitungen. Eine weitergeleitete Mail bricht oft SPF, eine Mailingliste oft DKIM. Hier hilft das Verfahren ARC, das die ursprüngliche Prüfung über die Weiterleitung hinweg erhält.

So prüfen Sie Ihren eigenen Status

Bevor Sie etwas ändern, sollten Sie wissen, was bereits eingerichtet ist. Drei kurze Befehle auf der Kommandozeile reichen für den ersten Überblick.

• DMARC: dig TXT _dmarc.ihre-domain.de, unter Windows nslookup -type=txt _dmarc.ihre-domain.de.
• SPF: dig ihre-domain.de TXT und nach dem Eintrag mit v=spf1 suchen.
• DKIM: dig TXT selektor._domainkey.ihre-domain.de, sofern Sie den Selektor Ihres Versanddienstes kennen.

Schneller geht es mit einem kostenlosen Web-Tool wie dem DMARC-Check von MxToolbox. Es zeigt fehlende Einträge und Fehler auf einen Blick.

DMARC einrichten: Ihr Fahrplan zum sicheren Versand

Den Sprung direkt auf die schärfste Stufe sollten Sie nicht wagen, sonst blockieren Sie womöglich Ihre eigenen legitimen Mails. Gehen Sie stattdessen in drei Schritten vor und werten Sie zwischendurch die Berichte aus.

Stufe	Eintrag	Wirkung
1. Beobachten	v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de	Nichts wird blockiert, Sie sammeln Berichte über alle Absender
2. Aussortieren	v=DMARC1; p=quarantine; rua=mailto:dmarc@ihre-domain.de; adkim=s; aspf=s	Verdächtige Mails landen im Spam
3. Abweisen	v=DMARC1; p=reject; sp=reject; np=reject; rua=mailto:dmarc@ihre-domain.de	Gefälschte Mails werden komplett abgelehnt, voller Schutz

Wichtig dabei: Richten Sie SPF und DKIM mindestens zwei Tage vor DMARC ein. Und setzen Sie unbedingt das rua-Tag, sonst bekommen Sie keine Berichte und die Beobachtungsstufe ist wertlos. Zum Testen genügt eine Mail an ein Gmail-Konto, dort über "Original anzeigen" die Zeilen spf=pass, dkim=pass und dmarc=pass kontrollieren.

Was in Deutschland zusätzlich gilt

Für deutsche Unternehmen kommt zur Provider-Pflicht noch ein behördlicher Rahmen hinzu. Das Bundesamt für Sicherheit in der Informationstechnik hat im Februar 2024 die technische Richtlinie TR-03182 zur E-Mail-Authentifizierung veröffentlicht.

Die Richtlinie ist freiwillig und zertifizierungsbasiert, setzt aber klare Maßstäbe. SPF muss mindestens auf SoftFail stehen, eine reine Beobachtungs-Policy bei DMARC genügt nicht, und ungenutzte Domains sollen aktiv auf reject gesetzt werden, damit niemand sie für Fälschungen missbraucht. Wer mit Kreditkartendaten arbeitet, ist seit dem 31. März 2025 ohnehin gebunden: Der Sicherheitsstandard PCI DSS in Version 4.0 verlangt Schutz gegen Phishing, und SPF, DKIM und DMARC sind genau dafür da. Auch die EU-Richtlinie NIS2 drängt rund 30.000 deutsche Unternehmen zu mehr Sicherheit bei der Kommunikation. Wie schnell aus einer Empfehlung eine handfeste Pflicht wird, zeigt sich gerade auch beim Cyber Resilience Act.

Bonus: das Markenlogo im Postfach

Wer den Weg bis zur reject-Stufe geht, schaltet eine Funktion frei, die sonst verschlossen bleibt. Mit BIMI lässt sich das eigene Logo direkt neben dem Absender im Postfach anzeigen.

Voraussetzung ist eine durchsetzende DMARC-Policy, eine Beobachtungs-Policy reicht nicht. Für den blauen Haken in Gmail braucht es zusätzlich ein kostenpflichtiges Markenzertifikat. Google bietet mit dem Common Mark Certificate inzwischen aber eine günstigere Variante ohne eingetragene Marke an, die für viele kleine Firmen der praktischere Einstieg ist. Das Logo erscheint meist erst rund 30 Tage nach Aktivierung der Durchsetzung.

Häufige Fragen

Zum Abschluss die Fragen, die beim Thema E-Mail-Authentifizierung immer wieder aufkommen.

Muss ich meinen DMARC-Eintrag wegen DMARCbis jetzt ändern?

Nein, nicht zwingend. Bestehende Einträge bleiben gültig. Beim nächsten Bearbeiten sollten Sie aber das veraltete pct-Tag entfernen und können die neuen Tags np und t ergänzen.

Was ist der Unterschied zwischen p=none und p=reject?

Mit p=none beobachten Sie nur, blockiert wird nichts, der Schutz ist also gleich null. Mit p=reject werden gefälschte Mails aktiv abgewiesen. Das ist das Ziel, an das Sie sich schrittweise herantasten sollten.

Warum landen meine Mails bei Gmail im Spam?

Meist fehlt eine saubere Authentifizierung, das Alignment passt nicht, oder Ihre Spam-Rate ist zu hoch. Prüfen Sie zuerst, ob SPF, DKIM und DMARC bestehen.

Gilt das auch für mich, wenn ich nur wenige Mails verschicke?

Die harte 5.000er-Grenze betrifft Massenversender. Provider wie GMX, WEB.DE oder La Poste verlangen saubere Authentifizierung aber von allen Absendern. Wer Mails verschickt, fährt mit vollständigem SPF, DKIM und DMARC immer besser.

Wie ist Ihr Versand aufgestellt?

Haben Sie für Ihre Domain schon einen DMARC-Eintrag, und steht er auf none, quarantine oder reject? Sind Ihnen schon Mails an GMX oder Outlook abgeprallt, seit die Regeln schärfer geworden sind? Schreiben Sie es in die Kommentare. Welcher Stolperstein Sie am meisten Zeit gekostet hat, hilft anderen Seitenbetreibern hier direkt weiter.

Noch einen Schritt weiter geht die passwortlose Anmeldung mit Passkeys, die auf gefälschten Seiten gar nicht erst funktioniert.

Die richtige Authentifizierung ist nur der erste Schritt. Warum Mails trotzdem im Spam landen und was Google, Yahoo und Microsoft sonst noch verlangen, lesen Sie im großen Überblick zur E-Mail-Zustellbarkeit 2026.

Klappt die DMARC Einrichtung bei Ihnen schon? Jetzt Ihre Erfahrungen teilen

dmarc dkim authentifizierung saubere offiziellen ordnung

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Strukturierte Daten 2026: mit Schema zu Rich Snippets Sterne, Preise und Bilder direkt im Google-Ergebnis bringen mehr Klick...

• Impressum und Datenschutz 2026: rechtssichere Website Ein fehlerhaftes Impressum oder eine lückenhafte Datenschutzerklärung ...

• WordPress schneller machen 2026: Caching und Tuning WordPress erzeugt jede Seite bei jedem Aufruf neu, das kostet Tempo un...

• Bilder fürs Web optimieren 2026: schneller mit AVIF Bilder sind auf den meisten Seiten der größte Bremsklotz für die Ladez...

• WordPress absichern 2026: Schutz vor Hackerangriffen WordPress ist das beliebteste Ziel automatisierter Angriffe, neue Lück...

• Website umziehen 2026: ohne Ausfall und Ranking-Verlust Ein Hosting-Wechsel kann die Seite tagelang lahmlegen oder das Google-...

• E-Mail-Zustellbarkeit 2026: Raus aus dem Spam-Ordner Bestellbestätigungen, Newsletter und Kontaktmails landen plötzlich im ...

• Website-Backups 2026: Die Strategie gegen Datenverlust Ein Hack, ein fehlgeschlagenes Update, ein Serverausfall, und die Seit...

• Cookie-Banner 2026: Was jetzt wirklich Pflicht ist Cookie-Banner verschwinden 2026 doch nicht. Welche Regeln gelten, welc...

• Core Web Vitals 2026: Was beim Ranking wirklich zählt Mehr als vier von zehn Websites fallen bei Googles Core Web Vitals dur...