Meine Nachrichten an Kunden werden als "Phishing" markiert oder kommen gar nicht an — warum?

Sie verschicken ein Angebot, eine Rechnung oder eine Terminbestätigung — und der Kunde sagt Ihnen, dass er nichts erhalten hat. Oder schlimmer: Er sagt Ihnen, die Nachricht sei direkt im Spam gelandet, mit einer roten "Phishing"-Kennzeichnung. Das ist frustrierend, besonders wenn es um Ihren eigenen Namen und Ihr eigenes Geschäft geht.

Die gute Nachricht: Fast immer liegt es weder an Ihnen noch am Kunden. Es handelt sich um ein technisches Problem der E-Mail-Authentifizierung, und Gmail, Yahoo und Outlook sind diesbezüglich deutlich strenger geworden. Wenn ihre Server nicht überprüfen können, wer die Nachricht wirklich sendet, behandeln sie sie als verdächtig. In diesem Artikel erkläre ich Ihnen klar, ohne unnötigen Fachjargon, was dahintersteckt und wie es sich mit drei Einstellungen lösen lässt: SPF, DKIM und DMARC.

Warum legitime E-Mails im Spam landen

Wenn Sie eine E-Mail versenden, stellt der Server des Empfängers (zum Beispiel Gmail) im Hintergrund drei Fragen: "Darf dieser Server wirklich im Namen dieser Domain versenden? Wurde die Nachricht unterwegs verändert? Was möchte der Domaininhaber, dass ich tue, wenn etwas nicht stimmt?"

Wenn Ihre Domain keine konfigurierten Antworten hat, erhält der Server Schweigen. Und in der Welt der E-Mails bedeutet Schweigen Misstrauen.

Die häufigsten Gründe, warum Sie im Spam landen oder blockiert werden:

• Sie versenden von Ihrer Domain (name@firma.de), aber über einen anderen Dienst (Kontaktformular, Newsletter, CRM), der nicht autorisiert ist.
• Sie haben gar kein SPF, DKIM oder DMARC konfiguriert.
• Ihre Adresse liegt auf einem günstigen Hosting mit schlechter Reputation, das auch von Spammern genutzt wird.
• Der Text der Nachricht ähnelt Phishing-Mustern (verkürzter Link, "dringend", seltsamer Anhang).

SPF, DKIM, DMARC — allgemeinverständlich erklärt

Die drei sind wie der Ausweis Ihrer E-Mail. Sie müssen sie nicht technisch verstehen, aber es lohnt sich zu wissen, was jede davon macht:

• SPF (Sender Policy Framework) ist die Liste der Server, die berechtigt sind, im Namen Ihrer Domain zu versenden. Es ist wie eine Gästeliste an der Tür: Steht der Server nicht auf der Liste, ist er verdächtig.

• DKIM (DomainKeys Identified Mail) ist eine digitale Signatur, die jeder Nachricht angehängt wird. Sie beweist, dass die E-Mail wirklich von Ihnen stammt und unterwegs nicht verändert wurde, wie ein Siegel auf einem Umschlag.

• DMARC ist die Regel, die den Servern sagt, was zu tun ist, wenn SPF oder DKIM nicht bestätigt werden: die Nachricht zustellen, in den Spam verschieben oder ablehnen. DMARC kann Ihnen auch Berichte senden, damit Sie sehen, wer in Ihrem Namen versendet — einschließlich möglicher Betrüger.

Alle drei werden als DNS-Einträge zu Ihrer Domain hinzugefügt. Es wird nichts auf dem Computer installiert.

Wie Sie prüfen, ob ein Problem vorliegt

Bevor Sie etwas ändern, lohnt es sich, genau zu sehen, was defekt ist. Das können Sie selbst in wenigen Minuten erledigen:

• Senden Sie eine E-Mail von Ihrer Adresse an ein persönliches Gmail-Konto. Öffnen Sie die Nachricht, klicken Sie auf die drei Punkte und wählen Sie "Original anzeigen" (Show original). Dort sehen Sie schwarz auf weiß, ob SPF, DKIM und DMARC mit "PASS" oder "FAIL" erscheinen.

• Suchen Sie online nach einem kostenlosen "DMARC-Prüftool", geben Sie Ihre Domain ein und sehen Sie, welche Einträge Sie bereits haben.

Wenn Sie bei einem davon "FAIL" oder "none" sehen, liegt dort das Problem. Das häufigste Szenario bei lokalen Unternehmen: Die E-Mail aus dem eigenen Konto (zum Beispiel Google Workspace) ist in Ordnung, aber Nachrichten, die über die Website oder die Terminbuchungsplattform verschickt werden, scheitern, weil dieser Dienst nicht in SPF eingetragen ist.

Wie es Schritt für Schritt behoben wird

Die Reparatur erfolgt auf DNS-Ebene, bei der Firma, bei der Sie Ihre Domain gekauft haben (oder beim Hosting). Die richtige Reihenfolge zählt:

• Zuerst SPF: Sie fügen einen einzigen TXT-Eintrag hinzu, der alle Dienste auflistet, die in Ihrem Namen versenden dürfen (Ihr E-Mail-Postfach, die Website, der Newsletter). Achtung: Eine Domain darf nur einen SPF-Eintrag haben — kombinieren Sie alle darin.

• Dann DKIM: Sie aktivieren es über das Panel Ihres E-Mail-Anbieters (Google, Microsoft, Zoho), der Ihnen einen Schlüssel zum Eintragen ins DNS gibt.

• Zum Schluss DMARC: Beginnen Sie sanft mit der Richtlinie "none", nur um Berichte zu erhalten und zu sehen, dass alles grün ist. Sobald Sie sicher sind, wechseln Sie schrittweise zu "quarantine" und dann zu "reject".

DNS-Änderungen können sich über einige Stunden verbreiten. Überstürzen Sie den Schritt zu DMARC "reject" nicht — wenn noch ein Dienst nicht konfiguriert ist, können Sie sich selbst echte E-Mails blockieren.

Wann es sich lohnt, um Hilfe zu bitten

Wenn Sie sich die DNS-Einträge ansehen und es Ihnen wie eine Fremdsprache vorkommt, ist das völlig normal — schon ein falsches Komma in einem SPF-Eintrag kann den Versand für die gesamte Domain stören. Das ist nicht der Ort, an dem Sie blind experimentieren möchten, besonders wenn über diese E-Mail Rechnungen und Angebote verschickt werden.

Bei MPO Web Studio konfigurieren wir SPF, DKIM und DMARC als Teil der Website-Lieferung, vollständig remote — Sie müssen uns nirgends Passwörter geben, wir sagen Ihnen genau, welche Einträge hinzugefügt werden müssen, oder wir fügen sie gemeinsam in einem Anruf hinzu. Wir prüfen auch, was bereits in Ihrem Namen versendet wird, damit nichts übersehen wird.

Wenn Sie möchten, dass wir Ihnen helfen, oder einfach nur eine schnelle Diagnose wünschen, schreiben Sie uns auf WhatsApp. Wir sagen Ihnen ehrlich, ob etwas repariert werden muss oder ob bereits alles in Ordnung ist.