Klaviyo: eigene Versanddomain und DMARC-Ausrichtung

Von Thomas · virtueller CISO · 09. September 2026

Klaviyo hat sich als die Referenz-Marketing-Plattform für den Online-Handel etabliert: Kampagnen, durch Kaufverhalten ausgelöste Automatisierungen, feingliedrige Segmentierung. Auf dem Feld der Authentifizierung zeigt Klaviyo einen sehr klaren Fall, folgenschwer für jeden, der p=reject anstrebt: Standardmäßig gehen die Sendungen von einer geteilten Domain aus, die sich nicht an der Domain der Marke ausrichtet. Solange die eigene Versanddomain nicht konfiguriert ist, scheitert der Klaviyo-Verkehr an DMARC — und eine strikte Richtlinie weist ihn ab.

Es ist ein Punkt, den viele Händler zum schlechtesten Zeitpunkt entdecken: Nach dem Wechsel zu p=reject, um sich vor Spoofing zu schützen, stellen sie fest, dass ihre eigenen Klaviyo-Kampagnen nicht mehr ankommen. Die Ursache ist kein Fehler, sondern eine im Standardzustand belassene Konfiguration. Ihre Behebung erfordert einen Schritt — die eigene Versanddomain —, doch muss man wissen, dass er nötig ist, und warum.

Dieser Leitfaden behandelt die geteilte Versanddomain und warum sie sich nicht ausrichtet, die Einrichtung der eigenen Versanddomain und ihrer CNAMEs, die daraus folgende DMARC-Ausrichtung, den unmittelbaren Zusammenhang mit dem Wechsel zu p=reject, sowie die häufigen Fehler und den abschließenden Gegenbeweis über die RUA-Berichte.

Die geteilte Versanddomain als Standard

Bei der Erstellung eines Kontos versendet Klaviyo die Kampagnen von einer geteilten Versanddomain aus, auf klaviyomail.com. Die im From-Header angezeigte Adresse bleibt die der Marke — shop@beispiel.de —, doch alles Übrige gehört Klaviyo: Die DKIM-Signatur trägt d=klaviyomail.com, der Umschlag (der Return-Path) liegt ebenfalls auf klaviyomail.com.

Aus Sicht von DMARC ist das der schlimmste Fall: Beide Mechanismen bestehen (Klaviyo authentifiziert seine eigene Domain sehr wohl), aber keiner richtet sich an beispiel.de aus. DMARC verlangt jedoch, dass mindestens ein Mechanismus besteht und sich an der From-Domain ausrichtet. Die Folge: Unter p=none kommen die Nachrichten an (die Richtlinie erzwingt nichts), werden aber als nicht konform gemeldet; unter p=quarantine oder p=reject landen sie im Spam oder werden abgewiesen. Die geteilte Domain eignet sich also für einen Start in Beobachtung, niemals für eine strikte Richtlinie.

Die eigene Versanddomain: die Marken-CNAMEs

Die Antwort von Klaviyo heißt eigene Versanddomain (dedicated sending domain). Das Prinzip: Kampagnen von einer Subdomain der Marke aus versenden — etwa versand.beispiel.de — statt von der geteilten Domain. Klaviyo erzeugt dann einen Satz von CNAME-Einträgen, die in der Zone der Domain zu setzen sind:

versand.beispiel.de.           CNAME  sviluppo.klaviyomail.com.
klei1._domainkey.versand.beispiel.de.  CNAME  dkim1.klaviyomail.com.
klei2._domainkey.versand.beispiel.de.  CNAME  dkim2.klaviyomail.com.

Wie bei anderen Plattformen ist die Logik die einer CNAME-Delegation: Die DKIM-Schlüssel und die Versandautorisierung werden nicht in die Zone kopiert, sie leben bei Klaviyo, und die CNAMEs schlagen die Brücke. Der entscheidende Unterschied zur geteilten Domain besteht darin, dass die Signatur nun d=versand.beispiel.de trägt — eine Subdomain der Marke — und der Umschlag ebenfalls auf der Subdomain liegt. Die genauen CNAME-Werte liefert die Klaviyo-Konsole bei der Einrichtung; sie sind unverändert zu übernehmen und dann in der Oberfläche zu validieren, sobald die Propagierung erfolgt ist.

Erwähnenswert ist auch, was nicht zu tun ist: Mit der per CNAME delegierten eigenen Domain gibt es keinen include, der dem Root-SPF-Eintrag hinzuzufügen wäre. Der Umschlag liegt auf der Versand-Subdomain, deren SPF über den CNAME zu Klaviyo auflöst. Klaviyo dem Root-SPF hinzuzufügen, hülfe der Ausrichtung nicht und wäre unnötig — und es verbrauchte eine der zehn DNS-Abfragen, die SPF erlaubt, ein Budget, das besser für echte Absender auf der Root-Domain selbst aufgehoben ist.

Die DMARC-Ausrichtung: beide Mechanismen richten sich aus

Sobald die eigene Versanddomain steht, kippt die Ausrichtung vollständig. DMARC validiert eine Nachricht nur, wenn SPF oder DKIM besteht und sich an der From-Domain ausrichtet. Hier trägt die DKIM-Signatur d=versand.beispiel.de, eine Subdomain von beispiel.de: Im entspannten Modus — dem Standard von DMARC — richtet sie sich aus. Der Umschlag, ebenfalls auf der Subdomain, richtet SPF auf dieselbe Weise aus. Beide Mechanismen bestehen ausgerichtet.

Das ist das von DMARC erwartete Szenario, und es bringt Redundanz: Bricht eine Weiterleitung SPF, überlebt DKIM, und umgekehrt. Unter DMARCbis wird die Zugehörigkeit der Subdomain zu beispiel.de über den DNS Tree Walk bestimmt statt über die alte Public Suffix List, doch das Ergebnis ist identisch: versand.beispiel.de gehört zur selben Organisation. Die kommentierten Vorlagen zeigen, wo sich diese Elemente in die Richtlinie der Domain fügen.

Ein beruhigender Punkt betrifft die Breite von Klaviyo: Alle Ströme — einmalige Kampagnen, Willkommensserie, Erinnerungen an abgebrochene Warenkörbe, Nachkauf-Sequenzen — gehen über dieselbe eigene Versanddomain aus und erben dieselbe Authentifizierung. Sie einmal zu konfigurieren, deckt sie alle ab; es gibt keine je Automatisierung zu wiederholende Einstellung. Das zählt umso mehr, als Handelsdomains bevorzugte Spoofing-Ziele sind: Eine Bestellbestätigung oder ein Versandhinweis trägt genug Legitimität, damit eine gefälschte Kopie den Kunden täuscht — eben der Grund, warum das Erreichen einer durchgesetzten Richtlinie den Einrichtungsaufwand wert ist.

Der Riegel vor `p=reject`

Das ist der Punkt, den sich jeder Händler beim Aufbau seines Schutzes merken sollte. Klaviyo ist sehr oft die Quelle, die eine Handelsdomain daran hindert, p=reject ohne Bruch zu erreichen. Die Überlegung ist unmittelbar: Der Wechsel zu einer strikten Richtlinie schützt die Domain vor Spoofing, weist aber zugleich jeglichen legitimen, nicht ausgerichteten Verkehr ab — und der Klaviyo-Verkehr gehört dazu, solange er von der geteilten Domain ausgeht.

Die gesunde Abfolge ist also klar: die eigene Versanddomain vor der Verschärfung der Richtlinie konfigurieren, in den Berichten prüfen, dass sich die Klaviyo-Kampagnen ausrichten, und erst dann zu p=quarantine und danach p=reject übergehen. Der umgekehrte Weg — zuerst verschärfen, dann korrigieren — bedeutet, die eigenen Kampagnen abzuschneiden, bis es auffällt. Für einen Shop bemisst sich dieses Fenster in entgangenem Umsatz. Der Aufstieg in der Richtlinie wird vorbereitet, nicht improvisiert; der Weg zu p=reject und die für den Dossier zum Onlinehandel eigenen Einsätze schildern diese Progression.

Die Marken-Domain für die Link-Nachverfolgung

Neben der Versanddomain bietet Klaviyo an, die Domain der Link-Nachverfolgung anzupassen — jene, die die Kampagnen-URLs umschreibt, um Klicks zu messen. Standardmäßig zeigen diese Links auf eine Klaviyo-Domain; die Anpassung leitet sie über eine Subdomain der Marke (etwa links.beispiel.de), ebenfalls als CNAME gesetzt. Diese Einstellung hat keine Wirkung auf die DMARC-Ausrichtung — DMARC beurteilt nur den Absender, nicht die Links im Text —, zählt aber aus zwei benachbarten Gründen: das Vertrauen des Empfängers, der URLs im Namen der Marke sieht statt eines unbekannten Dritten, und die Zustellbarkeit, da manche Filter geteilten Weiterleitungsdomains misstrauen.

Sie von der Versanddomain zu unterscheiden, vermeidet eine häufige Verwechslung: zwei Subdomains, zwei Rollen. versand.beispiel.de trägt die Authentifizierung (SPF, DKIM, Ausrichtung); links.beispiel.de kleidet die Nachverfolgungs-URLs ein. Die eine zu konfigurieren, erspart nicht die andere, und nur die erste wiegt auf DMARC.

Dedizierte IP und E-Commerce-Volumen

Der Online-Handel erzeugt Versandspitzen — Schlussverkäufe, Produkteinführungen, saisonale Anlässe —, die auf der Reputation lasten. Klaviyo bietet bei hohen Volumina dedizierte IPs, einem Konto vorbehalten. Wie überall wird eine frische dedizierte IP gewärmt: über mehrere Tage schrittweise im Volumen hochgefahren, sonst behandeln empfangende Anbieter sie als verdächtig. Diese Wahl hat keine Wirkung auf die DMARC-Ausrichtung — DKIM und SPF richten sich unabhängig von der IP gleich aus —, wiegt aber auf der Zustellbarkeit und damit auf den Zustellraten der Berichte.

Ein Reputationsproblem von einem Ausrichtungsproblem zu unterscheiden, ist genau das, was die aggregierten Berichte erlauben: Das erste liest sich in den Zustellraten und Beschwerden, das zweite in den Spalten SPF und DKIM. Für einen Shop ist diese Unterscheidung unmittelbar finanziell — ein Zustelleinbruch mitten in der Kampagne wird nicht auf dieselbe Weise behoben wie ein Authentifizierungsfehler, und beide zu verwechseln, kostet Zeit im schlechtesten Moment.

Häufige Konfigurationsfehler

Mehrere Fallen tauchen im Korpus der Berichte regelmäßig auf, die der kostenlose DMARC-Analyzer täglich verarbeitet.

Auf der geteilten Domain bleiben und dennoch verschärfen. Der teuerste: p=reject gesetzt, während Klaviyo noch von klaviyomail.com ausgeht — die Kampagnen werden abgewiesen, bis die eigene Domain steht.

Die CNAMEs veröffentlichen, ohne in Klaviyo zu validieren. Solange die Konsole die Erkennung nicht bestätigt, wird die Markensignatur nicht angebracht: Die Sendungen fallen auf die geteilte Domain zurück.

Eine bereits genutzte Subdomain wählen. Die Versand-Subdomain muss Klaviyo vorbehalten sein; eine bereits anderweitig genutzte Subdomain wiederzuverwenden, schafft CNAME-Konflikte.

Die From-Kohärenz vergessen. Die Domain der angezeigten Adresse muss die der Marke (beispiel.de) bleiben, damit die entspannte Ausrichtung der Subdomain greift; das From auf eine Adresse einer anderen Domain zu ändern, bricht die Überlegung und lässt die Kampagnen nicht ausgerichtet.

Der Gegenbeweis: die RUA-Berichte

Der einzige Beleg dafür, dass eine Konfiguration hält, ist nicht die Klaviyo-Konsole, sondern das, was die Empfänger melden. Sobald ein _dmarc-Eintrag mit einer rua=-Adresse veröffentlicht ist, treffen die aggregierten Berichte binnen weniger Tage ein und schlüsseln Quelle für Quelle auf, was sich ausrichtet und was scheitert. Das Lesen der aggregierten DMARC-Berichte zeigt den Umschwung deutlich: vor der eigenen Domain erscheint die Klaviyo-Quelle bei SPF wie DKIM nicht ausgerichtet; danach richtet sie sich bei beiden aus.

Eine einfache Kadenz genügt: eine erste Durchsicht wenige Tage nach der Konfiguration der eigenen Domain, sobald mehrere Empfänger gemeldet haben, danach ein wöchentlicher Blick, solange die Richtlinie bei p=none bleibt. Ein für den Handel eigener Kalenderpunkt: Die Ausrichtung sollte über einen echten Versandzeitraum bestätigt werden — eine Kampagne, nicht nur ein Test —, denn es ist der Kampagnenverkehr, der am Aktionstag zählt. Sobald dieser Umschwung über mehrere Tage und bei echten Sendungen beobachtet ist, erfolgt der Wechsel zu p=reject ohne Risiko für die Kampagnen. Der Online-Analyzer setzt diesen Zustand aus den veröffentlichten Einträgen und den empfangenen Berichten zusammen und verortet die Domain auf dem Weg, der zu p=reject führt.