Die Absenderanforderungen von Gmail und Yahoo, erklärt

Die Anforderungen, Punkt für Punkt

Für Massenversender lautet die gemeinsame Checkliste:

1. SPF und DKIM beide konfiguriert für die sendende Domain — nicht das eine oder das andere. DKIM insbesondere muss gültig sein und die ausgehende Post signieren.
2. Ein veröffentlichter DMARC-Eintrag, mindestens p=none. Das ist die explizite und namentlich genannte Anforderung, die viele Teams überrascht hat: kein DMARC-Eintrag = nicht konform.
3. Die Ausrichtung — die Domain des From: muss sich mit SPF oder DKIM ausrichten. Eine Konfiguration, die besteht, aber ohne Ausrichtung, erfüllt DMARC nicht und damit auch nicht die Anforderung. (Wenn „Ausrichtung" unklar ist, siehe wie SPF, DKIM und DMARC zusammenarbeiten.)
4. Ein-Klick-Abmeldung (RFC 8058) in Marketing-Post, innerhalb von zwei Tagen honoriert.
5. Eine niedrige Spam-Beschwerdequote — unter 0,3 %, idealerweise deutlich unter 0,1 %.
6. Ein bestätigtes Reverse DNS (PTR) für die sendenden IPs und TLS für den Transport.

Die Punkte 1 bis 3 sind der Kern der E-Mail-Authentifizierung, und dort nistet sich das Gros der Nichtkonformität ein. Die gute Nachricht: Das ist genau das, was ohnehin längst hätte getan werden sollen.

Es lohnt sich, kurz bei Punkt 3 zu verweilen, denn er ist derjenige, der die meisten Teams zu Fall bringt. Die Ausrichtung ist kein zusätzlicher Schalter, den man neben SPF und DKIM aktiviert — sie ist die Bedingung, unter der SPF oder DKIM überhaupt für DMARC zählen. Konkret: Eine E-Mail kann eine gültige SPF-Prüfung und eine gültige DKIM-Signatur tragen und trotzdem bei DMARC durchfallen, wenn keine dieser beiden auf dieselbe Domain zeigt wie das sichtbare From:. Das ist der Fall, wenn ein Dienstleister mit seiner eigenen Domain signiert. Genau diese Feinheit erklärt, warum so viele Absender fest davon überzeugt sind, konform zu sein, und es doch nicht sind — sie haben pass gesehen und angenommen, das reiche. Die Anbieter prüfen jedoch die Ausrichtung, nicht nur den rohen Durchlauf.

„Wir haben einen DMARC-Eintrag" ist nicht die Ziellinie

Viele Teams haben auf die Frist 2024 reagiert, indem sie ein simples p=none veröffentlicht und die Sache als erledigt betrachtet haben. Das erfüllt den Buchstaben der Anforderung — aber es lohnt sich zu verstehen, was es bringt und was nicht.

p=none bedeutet nur Überwachung. Das erfüllt das Minimum von Gmail und Yahoo und startet den unverzichtbaren Strom der Aggregatberichte. Aber es bietet keinerlei Schutz gegen Spoofing: Wer die Domain fälscht, erreicht weiterhin die Postfächer, denn die Empfänger haben die Anweisung, im Fehlerfall nichts zu tun. Die Konformität auf p=none ist der Boden, nicht das Ziel.

Das eigentliche Ziel ist p=reject, wo nicht authentifizierte Post im Namen der Domain tatsächlich abgewiesen wird. Das ist zugleich bessere Sicherheit und ein besseres Zustellbarkeitssignal — die Provider vertrauen Domains, die eine Richtlinie durchsetzen, stärker. Der Weg dorthin ist dieselbe disziplinierte Sequenz, unabhängig von der Konformitätsfrist: die eigenen Quellen inventarisieren, sie ausrichten, dann die Richtlinie anheben. Wir entrollen ihn in p=reject erreichen, ohne die eigenen E-Mails zu zerstören.

Wie man konform wird (und sich dann schützt)

Eine praktische Reihenfolge der Operationen:

1. Den Ist-Zustand feststellen. Die Domain in unseren kostenlosen Analyzer eingeben zeigt, ob SPF, DKIM und DMARC existieren und sich ausrichten — samt Bewertung. Das Ergebnis sagt in Sekunden, ob die Gmail-/Yahoo-Kontrollen bestanden würden.
2. Die Grundlagen beheben. Ein SPF veröffentlichen, das die echten Quellen auflistet; die DKIM-Signatur auf jeder Plattform aktivieren; einen DMARC-Eintrag mit einer rua=-Adresse veröffentlichen, um die Berichte zu starten.
3. Die Berichte lesen. Darin erscheint jede Quelle, die im Namen der Domain sendet — die, die vor dem Verschärfen auszurichten sind.
4. Jede legitime Quelle ausrichten, dann die Richtlinie von none auf quarantine, dann reject anheben.
5. Die Hygiene aufrechterhalten — Ein-Klick-Abmeldung, niedrige Beschwerdequoten, saubere Listen. Die Authentifizierung öffnet die Tür; das Verhalten hält sie offen. Diese Seite aus Reputation und Engagement vertieft unser Leitfaden zur Gmail-Zustellbarkeit.

Und Microsoft? (2025)

Gmail und Yahoo haben den Weg geebnet; Microsoft ist 2025 gefolgt. Der Anbieter von Outlook.com, Hotmail und Live.com hat angekündigt, dass ab Mai 2025 auch Absender mit hohem Volumen (auch hier um 5.000 Nachrichten/Tag oder mehr an seine Consumer-Postfächer) ebenfalls ausgerichtetes SPF, DKIM und DMARC veröffentlichen müssen. Anfangs wird nicht konforme Post in den Junk-Ordner geroutet statt abgewiesen — eine Toleranzphase vor einer angekündigten Verschärfung. Die Botschaft ist klar: Die drei großen Consumer-Anbieter konvergieren nun auf dasselbe Authentifizierungsfundament, und nur auf Gmail/Yahoo zu zielen wäre kurzsichtig. Den genauen Zeitplan und die Kriterien von Outlook nehmen wir in einem eigenen Artikel auseinander.

Die gute Nachricht ist, dass es nichts Zusätzliches zu tun gibt. Die Checkliste ist identisch: gültiges SPF + DKIM, ein DMARC-Eintrag (mindestens p=none, das Ziel bleibt p=reject) und vor allem die Ausrichtung der Domain des From:. Wer Gmail und Yahoo korrekt erfüllt, erfüllt Microsoft — vorausgesetzt, die Ausrichtung ist nicht verpfuscht. Und wie die Episode 2024 gezeigt hat, glauben viele Teams, konform zu sein, weil sie nur „einen DMARC-Eintrag" haben, ohne dass ihre Quellen sich wirklich ausrichten. Eine kostenlose Analyse beseitigt den Zweifel in Sekunden.

Ein Hinweis für regulierte Branchen

In der Finanz-, Gesundheits- oder einer anderen regulierten Branche sind die Gmail-/Yahoo-Regeln nur eine der Kräfte, die in dieselbe Richtung drücken. Rahmenwerke wie NIS2 und DORA heben die Anforderungen an operative und Anti-Phishing-Kontrollen an, und die E-Mail-Authentifizierung ist eine offensichtliche und prüfbare Kontrolle, die man vorlegen kann. Die Absenderanforderungen 2024 sind mithin die sichtbare Spitze einer breiteren Bewegung: Durchgesetztes DMARC wird zur erwarteten Basis, nicht zur Ausnahme. Wo ganze Branchen stehen, zeigt unser DMARC-Observatorium.

Häufige Fragen

Zählen transaktionale E-Mails in die Schwelle von 5.000/Tag? Ja. Google zählt alle Post an Gmail-Nutzer von derselben Domain — Marketing, Belege, Warnungen, interne Benachrichtigungen — zusammen. Keine transaktionale Ausnahme, und die meisten Domains unterschätzen ihr reales Volumen.

Wir senden weniger als 5.000/Tag. Sind wir befreit? Von den strengsten Massen-Regeln, vorerst. Aber die Grunderwartungen — sich mit SPF und DKIM authentifizieren, DMARC veröffentlichen, eine niedrige Beschwerdequote halten — gelten zunehmend für alle, und die Schwelle auch nur einmal zu überschreiten kippt eine Domain quasi endgültig in die Behandlung als „Massenversender". Der sichere Reflex: sich authentifizieren, egal welches Volumen.

Gilt das für Subdomains? Ja. Jede Subdomain, von der tatsächlich gesendet wird, ist zu authentifizieren, und das DMARC-Tag sp (Subdomain-Richtlinie) ist einzustellen, damit die Subdomains nicht offen für Spoofing bleiben, während die Root verriegelt ist.

Wir laufen über eine geteilte Plattform (Mailchimp, SendGrid…). Sind wir abgedeckt? Nur wenn dort ein DKIM ausgerichtet mit der eigenen Domain konfiguriert ist. Die Standardsignatur einer geteilten Plattform ist auf die Plattform ausgerichtet, nicht auf den Kunden — sie erfüllt DMARC nicht. Zu konfigurieren ist die markeneigene Signaturdomain, die der Dienstleister anbietet — in der Regel ein paar CNAME.

In welcher Zeit muss man konform werden? Die Anforderungen werden bereits durchgesetzt. Wird die Post bei Gmail oder Yahoo gedrosselt oder in den Junk verschoben, ist eine schwache oder nicht ausgerichtete Authentifizierung das Erste, was zu prüfen ist — der Einstieg ist eine kostenlose Analyse.

Und wenn wir diese Anforderungen ignorieren? Nichts so Spektakuläres wie eine sofortige Blockade, anfangs: Die Post wird zunächst gedrosselt (Throttling), dann zunehmend in den Junk gelenkt. Die Verschlechterung ist still und schleichend — die Öffnungsraten bröckeln ohne sichtbaren Fehler — was sie umso gefährlicher macht, weil man sie spät diagnostiziert. Bei gleichem Volumen landet ein authentifizierter Konkurrent im Posteingang, ein nicht authentifizierter Absender nicht. Und landen die Nachrichten bereits im Spam, spürt diese Schritt-für-Schritt-Fehlersuche die Ursache auf.

Gelten diese Regeln für Post an unsere eigenen Mitarbeiter? Wenn die Teams Gmail-, Yahoo- oder Outlook.com-Konten nutzen, ja — der Anbieter kümmert sich nicht um die interne/externe Unterscheidung, nur darum, wer die Nachricht empfängt. Postfächer, die auf dem eigenen Tenant gehostet werden, folgen der hauseigenen Filterung, aber alles, was ein Consumer-Postfach erreicht, wird nach diesen Regeln beurteilt.

Thomas managt den Weg

Die Anforderung zu erfüllen ist schnell; echten Schutz zu erreichen, ohne den Postfluss zu zerstören, ist die eigentliche Arbeit — und genau das automatisiert Thomas, der virtuelle CISO. Er findet jede Quelle aus den Berichten, generiert die präzisen SPF-, DKIM- und DMARC-Einträge zum Veröffentlichen und begleitet den Weg von einem simplen p=none bis zu einem sicheren p=reject.

Kostenlose DMARC-Analyse einer Domain oder ein Konto erstellen, um konform und geschützt zu werden. Der Einstieg für Neulinge: Was ist DMARC.