E-Mails im Spam-Ordner? So lösen Sie SPF/DKIM-Probleme bei Strato endgültig

Kennen Sie das? Sie haben eine wichtige E-Mail verschickt, warten auf eine Antwort – doch nichts kommt. Später stellt sich heraus: Die Nachricht ist direkt im Spam-Ordner des Empfängers gelandet. Ein frustrierendes Szenario, das nicht nur die Kommunikation erschwert, sondern auch das professionelle Ansehen schädigen kann. Besonders ärgerlich wird es, wenn Sie Ihre E-Mails über einen zuverlässigen Anbieter wie Strato versenden und doch immer wieder Zustellprobleme auftreten.

Die gute Nachricht ist: In den allermeisten Fällen lassen sich diese Probleme auf fehlende oder falsch konfigurierte E-Mail-Authentifizierungsmechanismen wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting & Conformance) zurückführen. Und die noch bessere Nachricht: Wir zeigen Ihnen, wie Sie diese bei Ihrem Strato-Konto Schritt für Schritt und endgültig lösen, um die Zustellbarkeit Ihrer E-Mails massiv zu verbessern.

Dieser umfassende Leitfaden richtet sich an alle Strato-Kunden, von Privatpersonen über Kleinunternehmer bis hin zu Webmastern, die ihre E-Mail-Kommunikation optimieren möchten. Machen Sie sich bereit, die Kontrolle über Ihre E-Mail-Zustellung zurückzugewinnen!

Warum landen E-Mails überhaupt im Spam-Ordner?

Moderne E-Mail-Systeme setzen hochentwickelte Spam-Filter ein, um Benutzer vor unerwünschten Nachrichten, Phishing-Versuchen und Malware zu schützen. Diese Filter bewerten jede eingehende E-Mail anhand zahlreicher Kriterien. Dazu gehören der Inhalt der E-Mail (verdächtige Wörter, verdächtige Links), die Reputation des Absenders, aber eben auch die Authentifizierung der E-Mail-Quelle. Fehlen diese Authentifizierungen oder sind sie fehlerhaft, ist das für den Spam-Filter ein deutliches Warnsignal. Er stuft die E-Mail als potenziellen Spam ein, selbst wenn der Inhalt völlig legitim ist.

Stellen Sie sich vor, Sie erhalten einen Brief ohne Absenderangabe oder mit einem Absender, der nicht überprüft werden kann. Würden Sie dem Inhalt blind vertrauen? Wohl kaum. Ähnlich verhält es sich mit E-Mails. SPF, DKIM und DMARC sind quasi der „digitale Ausweis” Ihrer E-Mails, der dem empfangenden Server versichert, dass Ihre Nachricht tatsächlich von Ihnen stammt und nicht auf dem Weg manipuliert wurde. Ohne diese Ausweise ist Ihre E-Mail verdächtig – und landet schnell im digitalen Mülleimer.

Die drei Säulen der E-Mail-Authentifizierung: SPF, DKIM und DMARC

Bevor wir uns den Strato-spezifischen Einstellungen widmen, ist es wichtig, ein grundlegendes Verständnis für diese drei Akronyme zu entwickeln. Sie arbeiten Hand in Hand, um die Sicherheit und Vertrauenswürdigkeit Ihrer E-Mail-Kommunikation zu gewährleisten.

1. SPF (Sender Policy Framework): Wer darf in meinem Namen senden?

Das Sender Policy Framework (SPF) ist eine Methode zur E-Mail-Authentifizierung, die es dem Empfänger-Server ermöglicht, zu überprüfen, ob eine E-Mail, die angeblich von Ihrer Domain stammt, auch wirklich von einem Server gesendet wurde, der dazu berechtigt ist. Im Grunde genommen ist SPF wie eine Liste von „autorisierten Absendern” für Ihre Domain.

Wie SPF funktioniert: Sie veröffentlichen einen speziellen TXT-Eintrag in den DNS-Einstellungen Ihrer Domain. Dieser Eintrag enthält eine Liste der IP-Adressen oder Hostnamen von Mailservern, die berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden. Wenn ein E-Mail-Server eine Nachricht von Ihrer Domain empfängt, prüft er diesen SPF-Eintrag. Stimmt die Absender-IP mit einem der gelisteten Server überein, gilt die E-Mail als authentifiziert. Wenn nicht, wird sie als potenzieller Spam eingestuft.

SPF bei Strato einrichten: Schritt für Schritt zum Schutz

Für Strato-Kunden ist die Einrichtung des SPF-Eintrags relativ unkompliziert. Der SPF-Eintrag wird als TXT-Record in den DNS-Einstellungen Ihrer Domain hinterlegt.

1. Login ins Strato Kunden-Login: Melden Sie sich mit Ihren Zugangsdaten im Strato Kunden-Login an.
2. Domainverwaltung aufrufen: Navigieren Sie zu „Ihre Pakete” oder „Domains” und wählen Sie die Domain aus, für die Sie den SPF-Eintrag konfigurieren möchten.
3. DNS-Einstellungen finden: Innerhalb der Domainverwaltung suchen Sie nach den Einstellungen für „DNS” oder „DNS-Verwaltung”.
4. TXT-Record hinzufügen oder bearbeiten: Suchen Sie nach einem bestehenden TXT-Record. Wenn bereits einer existiert, sollten Sie ihn bearbeiten. Wenn nicht, fügen Sie einen neuen hinzu.
5. Den SPF-Eintrag eingeben: Der Standard-SPF-Eintrag für Strato-Mailserver sieht in der Regel so aus:

   v=spf1 include:_spf.strato.de ~all

   Erklärung des Eintrags:

   • v=spf1: Dies kennzeichnet den Eintrag als SPF-Record in der Version 1.
   • include:_spf.strato.de: Dieser Teil weist den empfangenden Server an, die SPF-Definitionen von Strato selbst zu inkludieren. Da Strato seine eigenen Server für den E-Mail-Versand nutzt, ist dies essenziell.
   • ~all: Dies ist die sogenannte „Softfail”-Anweisung. Sie bedeutet, dass E-Mails von nicht autorisierten Servern als verdächtig, aber nicht unbedingt als Spam eingestuft werden sollen. Empfänger-Server können diese E-Mails dann genauer prüfen, statt sie direkt abzulehnen. Eine striktere Option wäre -all (Hardfail), die besagt, dass E-Mails von nicht autorisierten Servern definitiv Spam sind und abgelehnt werden sollen. Für den Anfang ist ~all sicherer, um keine legitimen E-Mails zu blockieren.
6. Weitere Dienste berücksichtigen: Wenn Sie E-Mails auch über andere Dienste (z.B. Newsletter-Tools wie Mailchimp, CRM-Systeme, Transaktions-E-Mail-Dienste wie SendGrid, oder Microsoft 365/Google Workspace) versenden, müssen Sie deren SPF-Definitionen ebenfalls in Ihren Eintrag aufnehmen! Ein falscher SPF-Eintrag, der nur Strato umfasst, würde dazu führen, dass Mails von anderen Diensten als „nicht autorisiert” eingestuft werden. Zum Beispiel für Google Workspace:

   v=spf1 include:_spf.strato.de include:_spf.google.com ~all

   Wichtig: Es darf pro Domain nur einen SPF TXT-Eintrag geben! Wenn Sie mehrere Dienste nutzen, müssen Sie alle include-Anweisungen in einem einzigen Record zusammenfassen.

7. Speichern und Prüfen: Speichern Sie die Änderungen. Es kann einige Stunden dauern (bis zu 24-48 Stunden), bis die Änderungen global wirksam werden (DNS-Propagation).

Ein korrekter SPF-Eintrag ist der erste und oft wirksamste Schritt gegen den Spam-Ordner. Doch er ist nicht allein ausreichend.

2. DKIM (DomainKeys Identified Mail): Die digitale Signatur Ihrer E-Mails

DomainKeys Identified Mail (DKIM) bietet eine zusätzliche Sicherheitsebene, indem es eine kryptografische Signatur zu Ihren ausgehenden E-Mails hinzufügt. Diese Signatur wird mit einem privaten Schlüssel erstellt, der auf dem sendenden Mailserver liegt. Der Empfänger-Server kann diese Signatur dann mit einem öffentlichen Schlüssel, der in den DNS-Einstellungen Ihrer Domain veröffentlicht ist, überprüfen.

Wie DKIM funktioniert: DKIM stellt sicher, dass die E-Mail während des Transports nicht verändert wurde und tatsächlich von der angegebenen Domain stammt. Es schützt somit vor Spoofing und Manipulation. Stellen Sie es sich wie ein fälschungssicheres Siegel vor, das nur Sie anbringen können und dessen Echtheit jeder überprüfen kann.

DKIM bei Strato nutzen: Eine Besonderheit

Im Gegensatz zu SPF, das Sie manuell als TXT-Eintrag hinzufügen, wird DKIM bei Strato für über ihre eigenen Mailserver versendete E-Mails in der Regel automatisch aktiviert und verwaltet. Das bedeutet: Wenn Sie Ihre E-Mails direkt über das Strato Webmail-Interface versenden oder Ihren E-Mail-Client (Outlook, Thunderbird etc.) mit den Strato-SMTP-Servern (z.B. smtp.strato.de) konfigurieren, sollten Ihre ausgehenden E-Mails bereits automatisch mit einer gültigen DKIM-Signatur versehen sein.

Die Herausforderung entsteht, wenn Sie:

• E-Mails über eine Drittanbieter-Anwendung (z.B. WordPress-Plugins, CRM-Systeme, Onlineshops) versenden, die ihre eigenen SMTP-Einstellungen verwendet oder direkt PHP mail() nutzt.
• E-Mails über externe E-Mail-Dienste (z.B. Google Workspace, Microsoft 365, SendGrid, Mailgun) versenden, aber Ihre Strato-Domain als Absenderadresse verwenden.

In diesen Fällen ist Strato nicht der absendende Mailserver. Die DKIM-Signatur muss dann vom Drittanbieter-Dienst vorgenommen werden. Dieser stellt Ihnen in der Regel eigene CNAME- oder TXT-Einträge zur Verfügung, die Sie in Ihren Strato-DNS-Einstellungen hinterlegen müssen. Diese Einträge weisen darauf hin, dass der externe Dienst berechtigt ist, in Ihrem Namen zu signieren.

So gehen Sie vor, wenn Sie einen externen Dienst nutzen:

1. Ermitteln Sie die DKIM-Einstellungen des Drittanbieters: Jeder Dienst (z.B. Google Workspace, Microsoft 365, SendGrid, Mailgun) hat eine eigene Anleitung zur DKIM-Einrichtung. Suchen Sie nach deren spezifischen CNAME- oder TXT-Einträgen für DKIM.
2. Fügen Sie die Einträge bei Strato hinzu: Gehen Sie erneut ins Strato Kunden-Login, navigieren Sie zu Ihrer Domain und den DNS-Einstellungen.
3. Neue CNAME/TXT-Records erstellen: Fügen Sie die vom Drittanbieter bereitgestellten Einträge hinzu. Achten Sie genau auf den Hostnamen (manchmal als „Name” oder „Alias” bezeichnet) und den Wert.
4. Speichern und Prüfen: Speichern Sie die Änderungen. Auch hier gilt die Wartezeit für die DNS-Propagation.

Wichtiger Hinweis: Wenn Sie ausschließlich Strato-Mailserver nutzen, müssen Sie sich um die manuelle DKIM-Konfiguration in den meisten Fällen keine Sorgen machen. Stellen Sie nur sicher, dass Ihre SPF- und DMARC-Einträge korrekt sind, da diese auf eine korrekte DKIM-Signatur durch Strato „vertrauen”.

3. DMARC (Domain-based Message Authentication, Reporting & Conformance): Der Dirigent

DMARC ist das Bindeglied zwischen SPF und DKIM. Es weist den empfangenden Mailserver an, wie er mit E-Mails umgehen soll, die die SPF- oder DKIM-Prüfung nicht bestehen. Gleichzeitig bietet DMARC eine Berichtsfunktion, mit der Sie detaillierte Informationen über E-Mails erhalten, die im Namen Ihrer Domain versendet werden – sowohl legitime als auch betrügerische.

Wie DMARC funktioniert: Sie veröffentlichen einen weiteren TXT-Eintrag in Ihrem DNS. Dieser Eintrag enthält eine „Policy” (Richtlinie), die dem empfangenden Server mitteilt, was zu tun ist, wenn eine E-Mail SPF oder DKIM nicht besteht:

• p=none: Die E-Mail soll zugestellt werden, aber es sollen Berichte über Authentifizierungsfehler gesendet werden. Ideal für den Start, um die Auswirkungen zu beobachten.
• p=quarantine: E-Mails, die die Prüfung nicht bestehen, sollen in den Spam-Ordner verschoben oder isoliert werden.
• p=reject: E-Mails, die die Prüfung nicht bestehen, sollen komplett abgelehnt werden. Dies ist die strengste Stufe und sollte erst nach sorgfältiger Beobachtung der Berichte gewählt werden.

DMARC ermöglicht es Ihnen auch, E-Mail-Adressen für den Empfang von Aggregat-Berichten (rua) und forensischen Berichten (ruf) zu definieren, die Ihnen wertvolle Einblicke in Authentifizierungsfehler geben.

DMARC bei Strato einrichten: Der letzte Schritt zur Perfektion

DMARC wird ebenfalls als TXT-Record in Ihren Strato-DNS-Einstellungen hinzugefügt.

1. Login ins Strato Kunden-Login: Wie bei SPF und DKIM, melden Sie sich an.
2. Domainverwaltung & DNS-Einstellungen: Wählen Sie Ihre Domain und gehen Sie zu den DNS-Einstellungen.
3. Neuen TXT-Record hinzufügen: Fügen Sie einen neuen TXT-Record hinzu.
4. Den DMARC-Eintrag eingeben:
   • Host/Name: Geben Sie _dmarc ein. (Manchmal ist auch _dmarc.ihredomain.de nötig, aber _dmarc reicht in der Regel, da Strato dies automatisch an Ihre Domain anhängt.)
   • Wert: Ein einfacher DMARC-Eintrag zum Starten der Überwachung sieht so aus:

     v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1;

     Erklärung des Eintrags:

     • v=DMARC1: Definiert die DMARC-Version.
     • p=none: Ihre anfängliche Richtlinie. Sagt dem Empfänger-Server, er soll die E-Mails nicht blockieren, aber Berichte senden.
     • rua=mailto:[email protected]: Hier tragen Sie eine E-Mail-Adresse ein, an die aggregierte DMARC-Berichte gesendet werden sollen. Diese Berichte geben einen Überblick über die Authentifizierungsergebnisse. Ersetzen Sie „[email protected]” durch Ihre tatsächliche E-Mail-Adresse! Es ist ratsam, eine separate E-Mail-Adresse nur für DMARC-Berichte zu verwenden, da diese sehr zahlreich sein können. Es gibt auch Dienste wie DMARC Analyzer, die diese Berichte für Sie aufbereiten.
     • ruf=mailto:[email protected]: Optional für forensische Berichte (Fehlerberichte). Viele DMARC-Dienste lehnen diese aufgrund des Datenschutzes ab, daher ist rua oft wichtiger.
     • fo=1: Optional. Dieser Tag veranlasst, dass forensische Berichte generiert werden, wenn SPF oder DKIM fehlschlägt. Der Standard ist fo=0 (Bericht nur, wenn beide fehlschlagen).

     Nachdem Sie sichergestellt haben, dass alle Ihre legitimen E-Mails SPF- und DKIM-konform sind, können Sie die Policy schrittweise auf p=quarantine und später auf p=reject anpassen, um maximale Sicherheit zu gewährleisten.

   • Speichern und Prüfen: Speichern Sie die Änderungen und warten Sie die DNS-Propagation ab.

Über die Authentifizierung hinaus: Weitere Tipps für exzellente E-Mail-Zustellbarkeit

Auch wenn SPF, DKIM und DMARC die wichtigsten Pfeiler sind, gibt es weitere Faktoren, die die Zustellbarkeit Ihrer E-Mails beeinflussen können:

• Gute Absender-Reputation: Vermeiden Sie hohe Bounceraten (unzustellbare E-Mails) und Spam-Beschwerden. Senden Sie nur an Empfänger, die Ihre Nachrichten erwarten.
• Saubere E-Mail-Listen: Überprüfen Sie regelmäßig Ihre Kontaktlisten und entfernen Sie ungültige oder inaktive Adressen.
• Inhalt der E-Mail: Vermeiden Sie typische Spam-Merkmale wie übermäßigen Gebrauch von Großbuchstaben, Ausrufezeichen, unseriöse Phrasen, versteckte Links oder zu viele Bilder im Verhältnis zum Text.
• Reverse DNS (rDNS): Stellen Sie sicher, dass der Mailserver, der Ihre E-Mails versendet, einen korrekten Reverse DNS-Eintrag hat. Strato kümmert sich in der Regel darum, wenn Sie deren Server nutzen.
• Feedback Loops: Bei Massenversand sollten Sie sich für Feedback Loops der großen Provider anmelden, um Beschwerden von Empfängern zu erhalten und Ihre Listen entsprechend zu bereinigen.

Fehlerbehebung und Überprüfung Ihrer Einstellungen

Nachdem Sie die Änderungen vorgenommen haben, ist es entscheidend, deren Wirksamkeit zu überprüfen. Glücklicherweise gibt es exzellente Online-Tools:

• MXToolbox (mxtoolbox.com): Geben Sie Ihre Domain ein und überprüfen Sie die SPF-, DKIM- und DMARC-Einträge. Dieses Tool zeigt Ihnen sofort, ob Ihre Records korrekt veröffentlicht wurden und welche Werte sie haben.
• mail-tester.com: Senden Sie eine E-Mail von Ihrer konfigurierten Absenderadresse an die dort angezeigte Adresse. Das Tool analysiert Ihre E-Mail und vergibt eine Punktzahl, wobei es detailliert auf SPF, DKIM, DMARC und andere mögliche Probleme hinweist. Eine Punktzahl von 9/10 oder 10/10 ist ideal.
• E-Mail-Header analysieren: Wenn Sie eine E-Mail empfangen, können Sie oft die „Originalnachricht” oder die „Header” einsehen. Hier finden Sie Zeilen wie „Authentication-Results”, die anzeigen, ob SPF, DKIM und DMARC bestanden wurden („pass”) oder fehlgeschlagen sind („fail”).

Häufige Fehlerquellen:

• Mehrere SPF-Einträge: Es darf pro Domain nur einen SPF TXT-Record geben! Fügen Sie alle include-Anweisungen in einem einzigen Record zusammen.
• Tippfehler: Auch kleine Tippfehler in den TXT-Records können dazu führen, dass diese nicht erkannt werden. Überprüfen Sie genau.
• Falsche Hostnamen: Besonders bei DMARC (_dmarc) oder externen DKIM-Einträgen auf den korrekten Hostnamen achten.
• DNS-Propagation: Ungeduld ist der Feind. Es dauert einfach seine Zeit, bis DNS-Änderungen weltweit verbreitet sind.

Fazit: Weniger Spam, mehr Vertrauen

Die Zustellbarkeit Ihrer E-Mails ist von entscheidender Bedeutung für Ihre Kommunikation, sei es privat oder geschäftlich. Das Problem von E-Mails, die im Spam-Ordner landen, ist frustrierend, aber mit den richtigen Schritten bei Strato dauerhaft zu lösen. Durch die korrekte Implementierung von SPF, DKIM und DMARC signalisieren Sie den empfangenden Mailservern, dass Ihre E-Mails vertrauenswürdig sind und tatsächlich von Ihrer Domain stammen.

Nehmen Sie sich die Zeit, die in diesem Leitfaden beschriebenen Schritte sorgfältig durchzuführen. Die Investition in eine robuste E-Mail-Authentifizierung zahlt sich in Form einer deutlich verbesserten Zustellrate, weniger Frustration und einem professionelleren Auftreten aus. Ihre Nachrichten erreichen ihre Empfänger zuverlässig, und Sie können sich wieder auf das konzentrieren, was wirklich zählt: Ihre Kommunikation.

Verabschieden Sie sich endgültig vom Spam-Ordner-Albtraum und genießen Sie eine reibungslose E-Mail-Kommunikation mit Strato!