E-Mail-Zustellbarkeit: Neue Google- und Yahoo-Anforderungen für den DACH-Markt

Google und Yahoo haben im Februar 2024 verbindliche Authentifizierungspflichten für E-Mail-Absender eingeführt. Seit November 2025 werden nicht konforme Mails bei großen Versandmengen pauschal abgewiesen statt in den Spam-Ordner einsortiert. Wer DKIM, SPF und DMARC noch nicht korrekt eingerichtet hat, riskiert, dass seine E-Mails den Posteingang der Empfänger dauerhaft nicht mehr erreichen.

Das Wichtigste in Kürze

• Ab 5.000 E-Mails täglich an Gmail-Adressen gelten die Regeln für Bulk Sender: SPF, DKIM und DMARC sind dann Pflicht – Yahoo schreibt Authentifizierung für alle kommerziellen Absender vor, unabhängig vom Volumen.
• DMARC kann anfangs auf p=none stehen, das genügt für die Grundkonformität. Für echten Schutz vor Missbrauch der Domain brauchst du mittelfristig p=quarantine oder p=reject.
• Die Spam-Beschwerderate muss laut Googles offizieller Richtlinie unter 0,30 % bleiben, gemessen im Google Postmaster Tools.
• Marketing-E-Mails müssen einen One-Click-Abmeldelink nach RFC 8058 enthalten, der innerhalb von zwei Tagen verarbeitet wird.
• Seit November 2025 werden nicht konforme Massen-Mails von Google mit einem permanenten 550-Fehler abgewiesen, nicht nur in den Spam-Ordner verschoben.

Was Google und Yahoo im Februar 2024 eingeführt haben

Die Anforderungen teilen sich in drei Bereiche auf: technische Authentifizierung, Reputationsschwellen und Empfängerschutz. Alle drei sind verbindlich und gelten kumulativ, nicht alternativ.

Technische Authentifizierung

Bulk Sender – laut Google jeder, der täglich 5.000 oder mehr E-Mails an Gmail-Konten schickt – müssen SPF und DKIM für ihre Versanddomain eingerichtet haben. Zusätzlich ist ein DMARC-Eintrag Pflicht, wobei die Richtlinie anfangs auf p=none stehen darf. Entscheidend ist, dass die Domain im sichtbaren „Von:“-Header mit der durch SPF oder DKIM authentifizierten Domain übereinstimmt (DMARC-Alignment). Wer nur eine der beiden Methoden korrekt ausrichtet, erfüllt die Alignment-Anforderung.

Für DKIM schreibt Google eine Schlüssellänge von mindestens 1.024 Bit vor, empfiehlt jedoch 2.048 Bit. Längere Schlüssel sind gegen bekannte Angriffsmuster widerstandsfähiger und lohnen sich überall, wo der DNS-Anbieter sie unterstützt. Zusätzlich sind gültige Forward- und Reverse-DNS-Einträge (PTR-Records) für die sendende IP-Adresse vorgeschrieben sowie eine TLS-verschlüsselte Verbindung beim Mailversand. Wer über ActiveCampaign versendet, bekommt TLS automatisch; PTR-Records hängen vom Infrastrukturanbieter ab und müssen manuell geprüft werden, wenn eigene Server im Einsatz sind.

Spam-Beschwerderate

Google misst die Spam-Beschwerderate einer Domain kontinuierlich im Postmaster Tools. Die Grenze liegt laut offizieller Richtlinie bei 0,30 % – das entspricht maximal drei Beschwerden auf 1.000 zugestellte E-Mails. Steigt die Rate über diesen Wert, sinkt die Inbox-Platzierung messbar. Wer dauerhaft darüber liegt, riskiert vollständige Abweisung. Sinnvoll ist es, die Rate dauerhaft weit unter dieser Grenze zu halten; jeder Anstieg in Richtung 0,30 % ist ein deutliches Signal, die Empfängerliste zu bereinigen und die jüngsten Kampagnen auf Relevanz zu überprüfen.

One-Click-Unsubscribe

Marketing-E-Mails und abonnierte transaktionale E-Mails müssen einen funktionierenden One-Click-Abmeldelink enthalten, der dem Standard RFC 8058 entspricht. Das bedeutet konkret: Ein Klick genügt, keine Bestätigungsseite, kein zweites Formular. Der Absender muss die Abmeldung innerhalb von zwei Werktagen verarbeiten. Googles Empfehlung lautete, bestehende Kampagnen bis zum 1. Juni 2024 auf diesen Standard umzustellen.

Dieser Mechanismus unterscheidet sich vom sichtbaren Abmeldelink im E-Mail-Footer. Technisch läuft er über den List-Unsubscribe-Post-Header im E-Mail-Header. Moderne E-Mail-Versanddienste wie ActiveCampaign setzen diesen Header automatisch, wenn die entsprechende Einstellung aktiviert ist – du musst ihn nicht manuell schreiben.

Wie SPF, DKIM und DMARC zusammenhängen

Die drei Protokolle bauen aufeinander auf und schützen unterschiedliche Aspekte des Versandweges. Sie zu verstehen, hilft dabei, Fehler im Setup schnell zu finden, anstatt blind DNS-Einträge anzupassen.

SPF: Wer darf von dieser Domain senden?

SPF (Sender Policy Framework) definiert, welche IP-Adressen und Server E-Mails im Namen einer Domain versenden dürfen. Der SPF-Eintrag liegt als TXT-Record im DNS der Versanddomain. Ein typischer Eintrag für Unternehmen, die ActiveCampaign und Google Workspace verwenden, sieht so aus:

v=spf1 include:_spf.activecampaign.com include:_spf.google.com ~all

Das ~all am Ende bedeutet: Alles, was nicht ausdrücklich erlaubt ist, wird als SoftFail markiert, aber nicht automatisch abgewiesen. Mit -all stattdessen würde nicht autorisierter Versand sofort abgewiesen. Für produktive Umgebungen empfiehlt sich der Wechsel auf -all, sobald alle legitimen Versandquellen vollständig im Eintrag stehen.

SPF hat eine technisch bedingte Grenze von zehn DNS-Lookups. Wer viele Services mit include:-Direktiven einbindet, überschreitet diese Grenze und macht den gesamten SPF-Eintrag ungültig – unabhängig davon, ob die Einträge inhaltlich korrekt sind. In der Praxis passiert das schnell, wenn neben ActiveCampaign noch ein Versanddienst für Transaktionsmails, ein CRM und ein Ticketing-System im SPF-Record stehen. Eine SPF-Flattening-Lösung, die IP-Adressen direkt einträgt statt auf weitere Lookups zu verweisen, löst das Problem dauerhaft.

DKIM: Wurde die E-Mail unterwegs verändert?

DKIM (DomainKeys Identified Mail) signiert jede ausgehende E-Mail mit einem kryptografischen Schlüssel. Der Empfänger-Server prüft diese Signatur gegen den öffentlichen Schlüssel, der im DNS der Versanddomain hinterlegt ist. Stimmt die Signatur, ist sichergestellt: Die E-Mail stammt tatsächlich von dieser Domain und wurde unterwegs nicht verändert. Stimmt sie nicht, fehlt DKIM-Alignment – und DMARC kann nicht bestehen.

DKIM schützt die Integrität des Inhalts, während SPF die sendende Infrastruktur autorisiert. Beide Protokolle lösen unterschiedliche Probleme, weshalb beide nötig sind. DKIM-Einträge haben eine Selector-Kennung, über die mehrere Schlüssel gleichzeitig aktiv sein können. Das ist sinnvoll bei mehreren Tools: ActiveCampaign nutzt seinen eigenen DKIM-Selektor, Google Workspace einen anderen. Beide können unabhängig voneinander konfiguriert und rotiert werden.

DMARC: Was passiert mit Mails, die weder SPF noch DKIM bestehen?

DMARC (Domain-based Message Authentication, Reporting & Conformance) verbindet SPF und DKIM zu einer Richtlinie. Der DMARC-Eintrag im DNS gibt an, was mit E-Mails geschehen soll, die keines der beiden Protokolle erfolgreich durchlaufen. Drei Richtlinien stehen zur Wahl:

• p=none: Keine Aktion, nur Reporting. E-Mails werden zugestellt, auch wenn sie die Prüfung nicht bestehen. Geeignet für die erste Beobachtungsphase.
• p=quarantine: Nicht konforme Mails landen im Spam-Ordner des Empfängers. Empfehlenswert, sobald das Setup geprüft und alle legitimen Quellen eingetragen sind.
• p=reject: Nicht konforme Mails werden vollständig abgewiesen. Der stärkste Schutz, aber auch das höchste Risiko bei Fehlkonfigurationen, die dann legitime E-Mails blockieren.

DMARC sendet automatische Berichte (RUA-Reports) an eine von dir festgelegte E-Mail-Adresse. Diese Reports zeigen, welche Server E-Mails im Namen deiner Domain versenden – einschließlich legitimer Dienste, die du möglicherweise vergessen hast, sowie Missbrauchsversuche durch Dritte. Ein minimaler, konformer DMARC-Eintrag für den Start sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de

So richtest du die Authentifizierung in ActiveCampaign ein

ActiveCampaign enthält alle nötigen Werkzeuge für DKIM direkt in den Kontoeinstellungen. Die Einrichtung dauert in der Regel unter einer Stunde, wenn du Zugang zum DNS deiner Domain hast. Am Ende dieser Schritte sind DKIM, SPF und DMARC aktiv und verifiziert.

1. Gehe in ActiveCampaign zu Einstellungen > E-Mail-Authentifizierung.
2. Klicke auf „Domain hinzufügen“ und trage die Domain ein, von der du versendest – die Domain nach dem @-Zeichen in deiner Absenderadresse.
3. ActiveCampaign zeigt dir die benötigten DNS-Einträge: einen DKIM-TXT-Record mit Selector und öffentlichem Schlüssel sowie einen CNAME für die Custom Tracking Domain.
4. Füge beide Einträge in das DNS deiner Domain ein. Abhängig von deinem Registrar – etwa IONOS, Strato, Hetzner oder Cloudflare – findest du die DNS-Einstellungen unter „Domain-Verwaltung“ oder „DNS-Einträge“.
5. Warte auf die DNS-Propagation. Bei den meisten Anbietern dauert das zwischen wenigen Minuten und 24 Stunden, in seltenen Fällen bis zu 48 Stunden.
6. Gehe zurück zu Einstellungen > E-Mail-Authentifizierung und klicke auf „Verifizieren“. ActiveCampaign zeigt einen grünen Status, sobald der Eintrag korrekt erkannt wird.
7. Richte deinen SPF-Eintrag ein: Füge include:_spf.activecampaign.com zum bestehenden SPF-TXT-Record deiner Domain hinzu. Wenn noch kein SPF-Eintrag existiert, erstelle einen neuen TXT-Record: v=spf1 include:_spf.activecampaign.com ~all.
8. Erstelle den DMARC-Eintrag als TXT-Record auf _dmarc.deinedomain.de. Starte mit p=none und einer Reporting-Adresse. Werte die RUA-Reports eine Woche aus, bevor du auf p=quarantine wechselst.

Custom Tracking Domain einrichten

Standardmäßig laufen Tracking-Links in ActiveCampaign-E-Mails über eine ActiveCampaign-eigene Domain. Eine Custom Tracking Domain ändert das: Deine Tracking-Links laufen dann über eine Subdomain wie track.deinedomain.de. E-Mail-Provider werten das als Zeichen, dass Domain und Versandinfrastruktur konsistent sind, was sich positiv auf die Inbox-Platzierung auswirken kann.

Die Einrichtung läuft über Einstellungen > Tracking > Custom Tracking Domain. ActiveCampaign gibt dir einen CNAME-Wert, den du bei deinem DNS-Anbieter einträgst. Sobald der Eintrag aktiv ist, wähle die neue Domain im Dropdown und aktiviere sie für den Account.

Typische Konfigurationsfehler und wie du sie behebst

Wer SPF, DKIM und DMARC erstmals einrichtet, macht fast immer dieselben Fehler. Hier sind die häufigsten mit dem jeweiligen Gegenmittel – sortiert nach dem Schaden, den sie in der Praxis anrichten.

Mehrere SPF-Einträge für dieselbe Domain

DNS erlaubt pro Domain nur einen einzigen SPF-TXT-Record. Wer mehrere anlegt, macht alle ungültig – SPF-Prüfungen schlagen dann systematisch fehl, obwohl die Einträge inhaltlich korrekt wären. Die Lösung ist, alle autorisierten Quellen in einem einzigen Record zu fassen. Prüftools wie MXToolbox oder der Google Admin Toolbox Messageheader zeigen, ob der SPF-Record gültig ist und wie viele Lookups er verbraucht. Liegt der Lookup-Zähler bei oder über zehn, ist SPF technisch gebrochen.

DMARC-Alignment schlägt fehl, obwohl SPF und DKIM aktiv sind

SPF und DKIM können beide aktiv sein, und DMARC scheitert trotzdem. Das passiert, wenn die Domain im „Von:“-Header nicht mit der Domain übereinstimmt, die im SPF- oder DKIM-Ergebnis steht. Ein typisches Szenario: Du versendest von marketing@unternehmen.de, aber der Versandservice authentifiziert technisch über eine Subdomain wie mail.unternehmen.de, ohne dass DMARC-Alignment konfiguriert ist. Prüfe Alignment immer mit einer Testmail an eine Adresse, bei der du den vollständigen E-Mail-Header lesen kannst – Mail-Clients zeigen ihn meist unter „Original anzeigen“ oder ähnlichem.

DKIM-Schlüssel nach einem Provider-Wechsel nicht aktualisiert

Wer zu einem neuen E-Mail-Anbieter wechselt, muss DKIM neu konfigurieren. Der alte DNS-Eintrag passt zum neuen System nicht mehr, oder der neue Anbieter hat noch keinen Eintrag im DNS. In der Praxis läuft ein Anbieterwechsel oft reibungslos, aber DKIM-Signaturen fehlen, weil niemand die neuen DNS-Einträge gesetzt hat. Regelmäßige Prüfungen über ein Tool wie mail-tester.com decken solche Lücken auf, bevor sie die Zustellrate beeinflussen.

Absendeadresse liegt auf einer Freemail-Domain

E-Mails von @gmail.com, @web.de oder @gmx.de können nicht über DKIM authentifiziert werden, weil du diese Domains nicht kontrollierst und keine eigenen DNS-Einträge setzen kannst. Google lehnt es explizit ab, kommerzielle Massen-E-Mails von Freemail-Absenderadressen zu akzeptieren. Wer noch keine eigene Domain hat, braucht eine – und sollte dort SPF, DKIM und DMARC einrichten, bevor die ersten Kampagnen laufen.

Nicht verarbeitete Abmeldungen erhöhen die Beschwerderate

Wenn Empfänger sich abmelden, aber weiterhin E-Mails erhalten, steigt die Beschwerderate schnell. Das passiert häufig, wenn mehrere Listen oder Automatisierungen in ActiveCampaign parallel laufen und eine Abmeldung nur eine Liste trifft, nicht alle. ActiveCampaign bietet eine Account-weite Abmeldeoption (Global Unsubscribe), die sicherstellt, dass ein abgemeldeter Kontakt keine E-Mails mehr erhält, gleich auf welcher Liste er steht. Diese Option findest du unter Einstellungen > Kontakte > Abmeldungen.

Listenpflege und laufendes Monitoring

Authentifizierung ist die Grundlage, aber keine Garantie für gute Zustellbarkeit. Zustellbarkeit ist ein fortlaufender Prozess, der von der Listenqualität und dem Sendeverhalten genauso abhängt wie von der technischen Konfiguration.

Inaktive Kontakte regelmäßig bereinigen

Inaktive Kontakte senken die Engagement-Rate und damit die Reputation der Versanddomain. Kontakte, die innerhalb von sechs Monaten keine E-Mail geöffnet oder geklickt haben, gehören in ein Re-Engagement-Segment. In ActiveCampaign lässt sich das über Segmente mit der Bedingung „Letzter geöffneter Betreff“ oder „Letzte Aktion“ abbilden.

Eine Automatisierung kann diesen Prozess übernehmen: Kontakte ohne Aktivität in einem definierten Zeitraum erhalten eine kurze Re-Engagement-Sequenz aus zwei bis drei E-Mails. Wer darauf nicht reagiert, wird aus dem aktiven Versand herausgenommen und abgemeldet. Das hält die Liste sauber, schützt die Domain-Reputation und hält die Beschwerderate stabil niedrig.

Google Postmaster Tools nutzen

Google stellt das Postmaster Tools-Dashboard kostenlos zur Verfügung. Es zeigt die Domain-Reputation (von High bis Bad), die Spam-Rate, DMARC-Compliance und IP-Reputation über Zeit. Die Einrichtung erfordert einen TXT-Record im DNS der Versanddomain zur Verifikation. Diese Metriken solltest du wöchentlich prüfen:

• Domain-Reputation: Ziel ist „High“. Alles unterhalb von „Medium“ erfordert sofortige Analyse des Versandverhaltens und der Listenzusammensetzung.
• Spam-Rate: Muss unter 0,30 % bleiben. Jeder Anstieg in Richtung dieser Schwelle ist ein Signal, die Empfängerliste zu bereinigen und zu prüfen, ob Kampagnen an falsche Zielgruppen gehen.
• Delivery Errors: Zeigt, welche E-Mails abgewiesen oder verzögert wurden und mit welchem Fehlercode – wichtig für die schnelle Diagnose technischer Probleme.

DMARC-Reports auswerten

DMARC-Reports kommen täglich als XML-Dateien an die in rua= angegebene Adresse. Im Rohformat sind sie schwer lesbar. Tools wie dmarcanalyzer.com oder die kostenlose Stufe von Postmark DMARC übersetzen die Daten in lesbare Übersichten. Was du dort siehst: alle IP-Adressen, die E-Mails im Namen deiner Domain verschickt haben, ob SPF und DKIM jeweils erfolgreich waren, und ob DMARC-Alignment vorlag.

Der praktische Nutzen geht über Compliance hinaus: DMARC-Reports zeigen oft, dass Dienste im Namen deiner Domain senden, die du nicht mehr nutzt oder die nicht korrekt konfiguriert sind. Das können alte E-Mail-Marketing-Konten, vergessene CRM-Integrationen oder tatsächliche Missbrauchsversuche durch Dritte sein. In Projekten mit einem breiteren Tool-Einsatz – CRM, ERP, Ticketing und Marketing-Plattform gleichzeitig – tauchen in DMARC-Reports regelmäßig Dienste auf, die niemand mehr aktiv betreibt, aber immer noch E-Mails verschicken.

Double Opt-in als Qualitätssignal nutzen

Double Opt-in ist in Deutschland nach UWG §7 der Standardweg für Marketing-E-Mails. Was viele nicht wissen: Er hilft auch bei der Zustellbarkeit. Wer sich bewusst einträgt und eine Bestätigungs-E-Mail öffnet, sendet ein erstes positives Engagement-Signal an den Mailbox-Provider. Das wirkt sich positiv auf die anfängliche Domain-Reputation aus. In ActiveCampaign aktivierst du Double Opt-in pro Formular unter Einstellungen und dann „Opt-in-E-Mail“ innerhalb des jeweiligen Formulars.

Häufige Fragen

Gilt die 5.000-E-Mails-Grenze pro Tag oder pro Monat?

Pro Tag – und sie gilt pro Domain, nicht pro Konto. Wer täglich über 5.000 E-Mails an Gmail-Konten schickt, wird als Bulk Sender eingestuft und muss SPF, DKIM und DMARC vollständig konfiguriert haben. Für Yahoo gilt keine offizielle Volumengrenze; Yahoo erwartet Authentifizierung grundsätzlich von allen kommerziellen Absendern, unabhängig vom Volumen.

Reicht DMARC auf p=none dauerhaft aus?

Für die Grundkonformität mit den Anforderungen von Google und Yahoo ja – p=none erfüllt die formale Pflicht. Für den tatsächlichen Schutz deiner Domain vor Missbrauch nein. Mit p=none kann jeder beliebige Absender E-Mails in deinem Namen verschicken, ohne dass Empfänger-Server eingreifen. Der empfohlene Weg: Vier bis acht Wochen in p=none beobachten, DMARC-Reports prüfen, dann auf p=quarantine wechseln.

Was passiert, wenn die Spam-Beschwerderate über 0,30 % steigt?

Google drosselt oder stoppt die Zustellung deiner E-Mails an Gmail-Konten. Die Maßnahme greift nicht sofort, aber innerhalb von Stunden bis wenigen Tagen. Eine erhöhte Beschwerderate entsteht fast immer durch veraltete oder unpassende Kontakte, selten durch den Inhalt der E-Mail allein. Der erste Schritt ist, den betroffenen Versand zu pausieren und die Empfängerliste zu bereinigen.

Muss ich DKIM für jede Subdomain separat einrichten?

Ja. Wenn du von einer Subdomain versendest – etwa von newsletter@info.unternehmen.de – muss der DKIM-Eintrag auf dieser Subdomain liegen. Ein DKIM-Eintrag auf der Hauptdomain schützt Subdomains nicht automatisch. Das gilt entsprechend für DMARC und SPF. ActiveCampaign konfiguriert DKIM für genau die Domain, die du beim Setup einträgst.

Was ändert sich in der Praxis, wenn ich von p=quarantine auf p=reject wechsle?

Mit p=reject werden alle E-Mails, die SPF und DKIM nicht bestehen, vom Empfänger-Server vollständig abgewiesen – der Absender erhält in der Regel eine Bounce-Meldung. Das betrifft auch legitime E-Mails, wenn eine Konfiguration fehlt oder fehlerhaft ist. Wechsle auf p=reject erst, wenn du sicher weißt, dass alle legitimen Versandquellen korrekt eingetragen sind und die DMARC-Reports über mehrere Wochen unauffällig waren.

Wer die Authentifizierung sauber eingerichtet hat und regelmäßig überwacht, ist für die aktuellen Anforderungen gut aufgestellt. Der nächste logische Schritt ist, DMARC schrittweise von p=none in Richtung p=reject weiterzuentwickeln – das schützt die Domain dauerhaft vor Missbrauch und verbessert die langfristige Reputation. Wer dabei Unterstützung sucht, findet in unserem ActiveCampaign-Agentur-Angebot konkrete Hilfe für Einrichtung und laufende Optimierung.