Eine Nachricht verschwindet, ohne dass jemand etwas merkt. Der Absender sieht sie im Postausgang, der Empfänger findet sie nie, und eine Fehlermeldung kommt auch nicht. Das ist der häufigste Fall, mit dem Firmen zu uns kommen – und der unangenehmste, weil nichts darauf hinweist, dass etwas nicht stimmt.
Der Grund liegt fast nie im Text der Nachricht. Große Empfänger wie Gmail, Outlook oder GMX entscheiden zuerst über den Absender, dann über den Inhalt. Diese erste Entscheidung fällt anhand von Einträgen, die im öffentlichen Verzeichnis Ihrer Domain stehen – bevor ein Filter auch nur ein Wort gelesen hat.
Der Empfänger stellt drei Fragen
Darf dieser Server für die Domain senden? Diese Frage beantwortet SPF: eine Liste der Dienste, die in Ihrem Namen versenden dürfen. Steht Ihr Newsletter-Dienst oder Ihr Warenwirtschaftssystem nicht darin, kommt die Nachricht von einem Server, der nach dieser Liste keine sein dürfte.
Ist die Nachricht unterwegs unverändert geblieben? Das prüft DKIM anhand einer Signatur, die der versendende Server anbringt und die der Empfänger gegen einen öffentlichen Schlüssel in Ihrer Domain hält.
Was soll geschehen, wenn eine der beiden Prüfungen scheitert? Darauf antwortet DMARC. Fehlt dieser Eintrag, entscheidet jeder Empfänger nach eigenem Ermessen – und im Zweifel gegen Sie.
Warum es ohne Fehlermeldung passiert
Eine abgewiesene Nachricht erzeugt einen Unzustellbarkeitsbericht. Eine Nachricht, die im Spam-Ordner landet, erzeugt keinen. Für den Empfänger ist sie zugestellt, für den Absender ist sie unterwegs, und niemand hat einen Anlass nachzufragen. Genau deshalb fällt der Fehler oft erst auf, wenn ein Kunde anruft und nach dem Angebot fragt.
Die drei häufigsten Ursachen
Ein Dienst wurde ergänzt, die Liste nicht. Ein neuer Newsletter-Anbieter, ein Buchhaltungsprogramm, ein Ticketsystem – jedes davon versendet in Ihrem Namen und gehört in die SPF-Liste. Das vergisst man einmal und merkt es zwei Jahre lang nicht.
Die Liste ist zu lang geworden. SPF erlaubt beim Prüfen höchstens zehn weitere Abfragen (RFC 7208, Abschnitt 4.6.4). Jeder eingebundene Dienst verbraucht davon. Ist die Grenze überschritten, werten Empfänger den ganzen Eintrag als fehlerhaft – er wirkt dann, als gäbe es ihn nicht. Der Eintrag sieht dabei völlig unauffällig aus.
Die Liste endet offen. Steht am Ende eine Regel, die alle übrigen Absender durchlässt, ist die Liste wirkungslos: Sie sieht aus wie ein Schutz, ist aber keiner.
Was Sie zuerst tun können
Prüfen Sie, welche Dienste tatsächlich in Ihrem Namen versenden – auch die, die niemand mehr auf dem Schirm hat. Vergleichen Sie diese Liste mit dem, was in Ihrem SPF-Eintrag steht. Achten Sie darauf, wie viele Abfragen der Eintrag auslöst, und prüfen Sie, ob ein DKIM-Schlüssel und ein DMARC-Eintrag hinterlegt sind.
Das alles steht öffentlich in Ihrer Domain und lässt sich von außen lesen – dafür braucht niemand Zugriff auf Ihr Postfach. Unser Domain-Check liest genau diese Einträge und sagt in einem Satz je Prüfpunkt, wie es aussieht und was zu tun ist.