E-Mails, die trotz SPF und DKIM im Spam landen: warum

Ursache 2: der Inhalt löst Filter aus

Spam-Filter analysieren immer den Inhalt, selbst bei authentifizierter Post. Ein paar klassische Auslöser:

• Zu viele Links, besonders zu fremden Domains oder zu URL-Kürzern.
• Ein unausgewogenes Text-Bild-Verhältnis — eine E-Mail, die nur aus einem einzigen großen Bild besteht, sieht wie eine Filterumgehungstechnik aus.
• Schlüsselwörter, die historisch mit Spam assoziiert werden („gratis", „dringend", übermäßige Großschreibung, mehrfache Ausrufezeichen).
• Fehlerhaftes HTML — von einem defekten Tool generierter Code, nicht geschlossene Tags, ungültige Struktur.
• Das Fehlen einer Nur-Text-Version neben dem HTML, obwohl viele Filter erwarten, sie zu finden.

Keines dieser Signale ist für sich genommen disqualifizierend, aber sie addieren sich. Eine authentifizierte E-Mail mit einem Inhalt voller Warnsignale kann im Junk landen, wo dieselbe E-Mail mit sauberem Inhalt durchgekommen wäre.

Ursache 3: das Engagement-Verhalten der Empfänger

Gmail, Yahoo und Outlook beobachten, wie ihre Nutzer mit der eingehenden Post interagieren — und passen die Filterung entsprechend an, unabhängig von der Authentifizierung. Ignoriert ein erheblicher Teil der Empfänger die E-Mails systematisch (nie geöffnet, nie geklickt), oder meldet sie schlimmer noch als Junk, lernt der Filter, den gesamten Verkehr dieses Absenders mit mehr Argwohn zu behandeln, sogar Nachrichten an Empfänger, die sich über den Empfang eigentlich freuen würden.

Das ist ein kollektiver Effekt: Das Verhalten der desinteressierten Minderheit verschlechtert die Zustellbarkeit für alle. Die Gegenmaßnahme ist Listenhygiene — langfristig Inaktive entfernen, statt sie endlos weiter anzuschreiben. Das Thema wird ausführlich in Gmail-Zustellbarkeit: der komplette Leitfaden behandelt.

Ursache 4: ein ungewöhnliches Sendevolumen oder -tempo

Ein plötzlicher Sende-Peak — eine außergewöhnliche Kampagne, ein Plattformwechsel mit Migration der gesamten Historie auf einmal — sieht statistisch wie missbräuchliches Verhalten aus, selbst von einem ansonsten tadellosen Absender. Die Filter reagieren auf die Tempo-Anomalie, nicht nur auf den Inhalt der Nachricht. Bei einem Wechsel der Versandplattform oder einer starken Steigerung des Volumens ist ein schrittweiser Anstieg zu planen statt eines abrupten Umschwungs.

Ursache 5: die Domain oder die IP wurde auf eine Blacklist gesetzt

Radikaler: Die Domain oder die IP steht auf einer Blacklist eines Drittanbieters (Spamhaus und Ähnliche), infolge eines vergangenen Vorfalls — manchmal eines Vorfalls, von dem der Absender gar nichts weiß, etwa eine punktuelle Kompromittierung oder die frühere Nutzung dieser IP durch einen anderen Kunden auf geteilter Infrastruktur. Blacklists lassen sich über dedizierte Online-Tools prüfen; die meisten bieten auch ein Entfernungsverfahren an, sobald die Ursache behoben ist.

Ursache 6: fehlende oder abgeschwächte Transportverschlüsselung

Ein subtileres, aber reales Signal bei bestimmten strengen Empfängern: Das Fehlen von TLS-Verschlüsselung beim SMTP-Transport kann gegen den Absender sprechen, besonders angesichts verschärfter Sicherheitsrichtlinien auf Empfängerseite. Das Einrichten von MTA-STS stellt sicher, dass der Transport verschlüsselt bleibt, und verhindert eine erzwungene Rückstufung auf Klartext — siehe Was ist MTA-STS und wozu dient es. Das ist in der Regel nicht die Hauptursache für eine E-Mail im Spam, aber ein Faktor, der sich bei den anspruchsvollsten Empfängern zu den anderen addiert — Banken, Behörden, große Konzerne, die strenge Sicherheitsrichtlinien auf eingehende Post anwenden.

Wichtig ist hier die Perspektive: Kein einzelnes dieser sechs Signale kippt eine E-Mail für sich allein in den Junk. Die Filter der großen Anbieter arbeiten mit einem Punktesystem, das Dutzende von Faktoren gewichtet und summiert. Eine tadellose Authentifizierung bringt Punkte, eine angeschlagene Reputation zieht sie wieder ab, ein Inhalt voller Warnsignale zieht weitere ab — und irgendwann kippt die Summe unter die Zustellschwelle. Genau deshalb ist die intuitive Frage „Warum wird diese E-Mail blockiert?" oft die falsche Frage. Die richtige lautet: „Welche Kombination von Faktoren hat den Gesamtscore dieses Absenders unter die Schwelle gedrückt?" Wer das versteht, hört auf, nach dem einen Schuldigen zu suchen, und beginnt, die Summe zu verbessern.

Der Fall isolierter Empfänger vs. der gesamte Strom

Eine praktische Unterscheidung hilft, die Diagnose schneller zu lenken: Ist es ein bestimmter Empfänger, der die Post systematisch im Spam erhält, oder ein erheblicher Teil des Stroms? Die Ursachen sind nicht dieselben.

Ist es ein isolierter Empfänger (oder eine Handvoll), lebt die Ursache oft bei ihm: ein persönlicher Filter, den er versehentlich eingestellt hat, eine alte Spam-Meldung, die er früher gemacht hat und die an der Absenderadresse in seinem Mail-Client haftet, oder eine zu aggressive Unternehmensfilterregel auf Empfängerseite. Die Lösung besteht in der Regel darin, ihn zu bitten, seine eigenen Einstellungen zu prüfen oder die Adresse zu seinen Kontakten hinzuzufügen — das ist kein Problem, das sich einseitig lösen lässt.

Ist es ein erheblicher Teil des Stroms, ist die Ursache strukturell — Reputation, Inhalt oder Engagement-Verhalten — und verdient die vollständige oben beschriebene Untersuchung. Es wäre verlorene Zeit, für einen Einzelfall zu optimieren, in dem Glauben, ein Problem zu lösen, das in Wirklichkeit flächendeckend ist; und umgekehrt darf nicht als strukturell behandelt werden, was nur eine persönliche Einstellung bei einem einzigen Empfänger ist.

Diagnose-Methode, der Reihe nach

Ist eine legitime E-Mail im Spam gelandet, empfiehlt sich diese Prüfreihenfolge:

1. Ist die konkrete Nachricht tatsächlich bei DMARC (Ausrichtung) fehlgeschlagen, trotz insgesamt korrekter Authentifizierung? Der Aggregatbericht für dieses Datum und diese Quelle gibt Auskunft.
2. Ist die IP-/Domain-Reputation angeschlagen? Ein Blick in Postmaster Tools und die Blacklists klärt das.
3. Enthält der Inhalt dieser Nachricht Warnsignale (Links, Nur-Bild, Schlüsselwörter)?
4. Hat sich die jüngste Engagement-Quote der Liste verschlechtert?
5. Wurden kürzlich Volumen oder Plattform geändert ohne schrittweisen Anstieg?

Jede dieser Ursachen hat ein anderes Heilmittel — der Fehler wäre, immer wieder zur DMARC-Konfiguration zurückzukehren in dem Glauben, sie müsse zwangsläufig schuld sein, obwohl das Problem woanders in der Kette lebt. Diese Liste als Diagnose-Checkliste zu behandeln, die man der Reihe nach statt zufällig durchgeht, spart erheblich Zeit — die meisten Fälle lösen sich, indem man die richtige Ursache unter den sechs findet, nicht indem man eine siebte exotische Erklärung sucht.

Der Grund für die Reihenfolge ist praktisch: Die ersten Schritte sind billig und schnell zu prüfen, die späteren kostspieliger zu beheben. Ein Alignment-Problem in einem Bericht zu entdecken dauert Minuten; eine angeschlagene Reputation zu reparieren dauert Wochen. Es wäre Verschwendung, ein wochenlanges Reputations-Rehab zu starten, wenn das eigentliche Problem eine einzige nicht ausgerichtete Quelle war, die sich in fünf Minuten hätte identifizieren lassen. Also immer oben beginnen und sich nach unten durcharbeiten, statt bei der spektakulärsten Hypothese einzusteigen. Die spektakulärste Ursache — die Blacklist — ist statistisch auch die seltenste, während die langweiligste — eine einzelne fehlausgerichtete Quelle — die häufigste ist.

Was DMARC auf p=reject nicht beheben kann

Man muss über eine Grenze klar sein: Das Verschärfen der DMARC-Richtlinie schützt vor Spoofing der Domain, nicht vor Reputations- oder Inhaltsproblemen der eigenen legitimen Sendungen. p=reject garantiert, dass das, was authentifiziert im Namen der Domain ankommt, wirklich von ihr kommt — was indirekt ihrer Reputation hilft, indem es die Verunreinigung durch einen Spoofer beseitigt. Aber liegt das Problem bei der eigenen Listenhygiene oder beim eigenen Inhalt, ändert DMARC daran nichts. Die beiden Baustellen — Authentifizierung und verhaltensbasierte Zustellbarkeit — schreiten parallel voran, nicht die eine anstelle der anderen. Viele Teams hören auf, sobald DMARC verschärft ist, zufrieden damit, „die E-Mail-Sicherheit geregelt" zu haben, ohne zu erkennen, dass die verhaltensbasierte Zustellbarkeit fortlaufende Aufmerksamkeit verlangt, kein einmaliges Projekt, das man abhakt und vergisst.

Um zu prüfen, ob die Authentifizierungsschicht tadellos ist, und diese Ursache mit Sicherheit auszuschließen, genügt die Eingabe der Domain in den kostenlosen DMARC-Analyzer: Das ist der zuverlässige Ausgangspunkt, bevor man tiefer in Reputation oder Inhalt gräbt — und oft der schnellste Weg zu wissen, ob weiter auf der DMARC-Seite zu graben ist oder direkt der nächste Diagnoseschritt ansteht.