Neue E-Mail-Regeln für SaaS: Leitfaden zur Einhaltung von SPF, DKIM und DMARC

Große E-Mail-Anbieter sind von einer weichen Filterung auf eine harte Ablehnung nicht konformer Absender umgestiegen. Seit Anfang 2024 setzen Gmail und Yahoo Anforderungen an Massenversender durch, denen sich Microsoft im Mai 2025 angeschlossen hat. Diese Änderungen betreffen jedes Software-Team, das automatisierte Nachrichten an die Postfächer der Nutzer sendet, und erfordern eine präzise DNS-Konfiguration sowie die Trennung der E-Mail-Ströme, um die Zustellbarkeit aufrechtzuerhalten.

Was ist passiert

Die Landschaft der E-Mail-Zustellung hat sich in den letzten zwei Jahren erheblich verändert, da große Anbieter ihre Sicherheitsmaßnahmen gegen Spoofing und Spam verschärft haben. Im Februar 2024 führten Google und Yahoo neue Anforderungen für Massenversender ein, die über die einfache Verschiebung in den Spam-Ordner hinausgingen und zur vollständigen Ablehnung unauthentifizierter Mails führten. Microsoft zog im Mai 2025 für Outlook.com-Nutzer nach und implementierte ähnliche strenge Prüfungen. Das Ziel besteht darin, sicherzustellen, dass jede E-Mail, die ein Verbraucherpostfach erreicht, kryptografisch als vom angegebenen Domain stammend verifiziert werden kann.

Diese Regeln gelten am strengsten für Absender, die mehr als 5.000 Nachrichten pro Tag an die Consumer-Konten eines einzelnen Anbieters senden. Die technischen Anforderungen für die Authentifizierung gelten jedoch für alle Absender, unabhängig vom Volumen. Anbieter nutzen diese Signale zur Bestimmung des Rufs, was bedeutet, dass selbst kleine Startups mit Zustellungsproblemen konfrontiert sein können, wenn sie die grundlegende Einrichtung vernachlässigen. Ein plötzlicher Produktlaunch oder eine Marketingkampagne kann einen Low-Volume-Absender sofort über die Schwelle treiben und eine strengere Durchsetzung ohne Vorwarnung auslösen.

Der Kern dieser Aktualisierungen dreht sich um drei DNS-basierte Authentifizierungsprotokolle: SPF, DKIM und DMARC. Anbieter verlangen nun eine Übereinstimmung (Alignment) zwischen diesen Einträgen und der sichtbaren „From“-Adresse. Wenn der technische Umschlag-Absender (Envelope Sender) nicht mit der von den Nutzern gesehenen Domain übereinstimmt, schlägt die Authentifizierung fehl. Microsoft ist besonders streng geworden und gibt spezifische Fehlercodes wie 550 5.7.515 zurück, wenn die Authentifizierungsstufen unzureichend sind, was Entwickler zwingt, DNS-Einträge zu korrigieren, anstatt den E-Mail-Inhalt anzupassen.

Wichtige Details

• Schwellenwert für Massenversender: Etwa 5.000 Nachrichten pro Tag an die Consumer-Postfächer eines Anbieters lösen die Einstufung als strenger Massenversender aus.
• SPF-Limits: SPF-Einträge dürfen nicht mehr als 10 DNS-Lookups enthalten; Überschreitungen führen zu einem permanenten Fehler, der dem Fehlen eines SPF-Eintrags gleichkommt.
• DKIM-Schlüsselgröße: Verwenden Sie, wo unterstützt, 2048-Bit-Schlüssel und stellen Sie sicher, dass jedes Tool, das in Ihrem Namen sendet, mit Ihrer spezifischen Domain signiert.
• DMARC-Richtlinie: Beginnen Sie mit p=none zur Überwachung und wechseln Sie zu p=quarantine oder p=reject, sobald die Übereinstimmung bestätigt ist.
• Abmeldestandard: Marketing-E-Mails müssen RFC 8058 One-Click-Unsubscribe-Header enthalten, wobei Abmeldungen innerhalb von zwei Tagen bearbeitet werden müssen.
• Trennung der Ströme: Transaktionale und Marketing-E-Mails sollten unterschiedliche Subdomains verwenden, um Reputation-Risiken zu isolieren.

Hintergrund

Um diese Anforderungen zu verstehen, hilft es zu wissen, wie die E-Mail-Authentifizierung funktioniert. SPF (Sender Policy Framework) ist ein DNS-Texteintrag, der IP-Adressen auflistet, die autorisiert sind, Mail für Ihre Domain zu senden. DKIM (DomainKeys Identified Mail) fügt jeder Nachricht eine digitale Signatur hinzu, die Empfänger anhand eines öffentlichen Schlüssels überprüfen, der in Ihrem DNS veröffentlicht ist. DMARC (Domain-based Message Authentication, Reporting, and Conformance) verbindet diese Elemente, indem es prüft, ob die Domain im „From“-Header mit den Domains übereinstimmt, die die SPF- oder DKIM-Prüfungen bestanden haben.

Die Übereinstimmung (Alignment) ist der häufigste Punkt des Scheiterns. Wenn Ihr E-Mail-Anbieter Nachrichten mit seiner eigenen Domain statt mit Ihrer signiert, schlägt DMARC fehl, auch wenn SPF und DKIM technisch bestehen. Aus diesem Grund ist die Verwendung einer dedizierten Subdomain zum Senden, wie z. B. mail.example.com, entscheidend. Dies ermöglicht Ihnen die Kontrolle über die DNS-Einträge und stellt sicher, dass die Authentifizierungsergebnisse mit der sichtbaren Absenderadresse übereinstimmen. Ohne diese Übereinstimmung lehnen Anbieter wie Outlook die Nachricht vollständig ab.

Warum es wichtig ist

Für Teams, die Self-Hosted-Software oder SaaS-Produkte betreiben, ist die E-Mail-Zustellbarkeit direkt mit dem Vertrauen und der Bindung der Nutzer verknüpft. Wenn Passwörter-zurücksetzen-E-Mails im Spam landen oder abgelehnt werden, können Nutzer nicht auf ihre Konten zugreifen, was zu Support-Tickets und Churn führt. Der Wechsel von weicher Filterung zu harter Ablehnung bedeutet, dass es keine zweite Chance für falsch konfigurierte Nachrichten gibt. Sobald eine Domain wegen schlechter Authentifizierung oder hoher Beschwerdequoten markiert wurde, ist die Wiederherstellung des Rufs schwierig und zeitaufwendig.

Die operative Stabilität hängt auch von der Trennung der E-Mail-Ströme ab. Marketing-Kampagnen erzeugen oft höhere Spam-Beschwerderaten als transaktionale Nachrichten. Wenn beide Arten von E-Mails von derselben Domain oder demselben IP-Pool stammen, kann ein schlecht empfangener Newsletter den Ruf kritischer Systembenachrichtigungen beschädigen. Durch die Isolierung dieser Ströme stellen Sie sicher, dass Marketing-Experimente die Zustellung von Sicherheitswarnungen und Rechnungsbelegen nicht gefährden. Diese Trennung ist nun eine Best Practice, die von den Algorithmen der Anbieter durchgesetzt wird.

Darüber hinaus bieten die Überwachung dieser Metriken frühzeitige Warnsignale für Infrastrukturprobleme. Tools wie Google Postmaster Tools und DMARC-Aggregatberichte zeigen auf, ob unbefugte Dienste Mail als Ihre Domain senden oder ob legitime Tools falsch konfiguriert sind. Das Ignorieren dieser Signale kann zu plötzlichen Blacklistings führen. Proaktives Management von DNS-Einträgen und Absender-Reputation ist für kein Team, das E-Mail für die Nutzerkommunikation nutzt, mehr optional.

Was Sie tun können

• DNS-Einträge prüfen: Stellen Sie sicher, dass Sie nur einen SPF-Eintrag pro Domain haben und dass dieser alle aktuellen Versanddienste einschließt, ohne 10 Lookups zu überschreiten.
• DMARC-Überwachung implementieren: Publizieren Sie einen DMARC-Eintrag mit p=none und einer Berichts-E-Mail-Adresse, um tägliche XML-Aggregate von den Anbietern zu erhalten.
• Absendedomains trennen: Konfigurieren Sie unterschiedliche Subdomains für transaktionale und Marketing-E-Mails, um die Reputation zu isolieren und Kreuzkontaminationen zu verhindern.
• One-Click-Unsubscribe aktivieren: Fügen Sie allen Marketing-E-Mails RFC 8058-Header hinzu und stellen Sie sicher, dass der Abmeldelink Anfragen sofort ohne Login verarbeitet.
• Reverse DNS prüfen: Wenn Sie Ihren Mailserver selbst hosten, stellen Sie sicher, dass jede sendende IP einen PTR-Eintrag hat, der auf den richtigen Hostnamen zurücklöst.
• Beschwerderaten überwachen: Nutzen Sie Google Postmaster Tools und Microsoft SNDS, um Spam-Beschwerden zu verfolgen und unter 0,1 % zu halten, um Drosselungen zu vermeiden.

Halten Sie den Status Ihrer Domain und Zertifikate sichtbar, um zu verhindern, dass unbezogene Ausfälle E-Mail-Probleme verstärken.