E-Mail-Zustellbarkeit verbessern: SPF, DKIM und DMARC für Shop-Mails richtig einrichten
Ob Newsletter, Warenkorb-Erinnerung oder Bestellbestätigung im Posteingang landen, entscheidet zuerst das DNS. Drei Einträge sind nötig, und sie müssen zur Absenderdomain passen. Dazu die Anforderungen der großen Postfachanbieter und die Fehler, die wir bei eigenen Einrichtungen gesehen haben.
Eine Warenkorb-Erinnerung, die im Spam landet, hat denselben Effekt wie keine. Bevor Inhalt, Betreffzeile oder Versandzeit eine Rolle spielen, entscheiden drei DNS-Einträge, ob ein Postfachanbieter einer Mail traut. Sie sind schnell eingerichtet — und werden trotzdem oft nur halb eingerichtet.
Drei Einträge, eine Bedingung
| Eintrag | was er prüft | typischer Fehler |
|---|---|---|
| SPF | Welche Server dürfen für die Domain senden? | ein Dienst fehlt, oder es gibt zwei SPF-Einträge statt einem |
| DKIM | Ist die Mail unterwegs unverändert und vom Absender signiert? | Dienst signiert mit eigener statt mit Ihrer Domain |
| DMARC | Was passiert, wenn SPF und DKIM scheitern — und passen sie zur Absenderadresse? | Eintrag fehlt ganz |
Eine Bedingung wird dabei leicht übersehen: die Ausrichtung. DMARC verlangt, dass SPF oder DKIM nicht nur bestehen, sondern zur Domain passen, die der Empfänger im Feld „Von“ sieht. Ein Newsletter-Dienst, der mit seiner eigenen Domain signiert, besteht DKIM — aber nicht für Ihre Domain.
Jeder Absender braucht seinen Eintrag
In einem Onlineshop senden oft mehrere Systeme im Namen derselben Domain:
- der Shop — Bestellbestätigungen, Passwort-Mails, Versandinfos,
- das Newsletter- oder Automatisierungswerkzeug, etwa Klaviyo,
- ein Ticketsystem oder Kundenservice-Tool,
- das Kontaktformular der Website,
- das eigene Postfach bei Microsoft 365 oder Google.
Jedes davon muss im SPF stehen oder mit Ihrer Domain per DKIM signieren. Welche Mails Shopware selbst verschickt, listet dieser Ratgeber.
Was wir bei eigenen Einrichtungen gesehen haben
Versand-Subdomain für das Kontaktformular. Unser Formular sendet über einen Versanddienst von einer eigenen Subdomain. Dort liegen ein eigener DKIM-Schlüssel und ein SPF-Eintrag für den Dienst. Die Hauptdomain mit dem Microsoft-365-Postfach bleibt davon unberührt.
Server stellt lokal zu. Auf unserem Webserver war die eigene Domain als lokale Maildomain eingerichtet. Eine Mail, die der Server per PHP an eine Adresse dieser Domain schickte, wurde deshalb auf dem Server selbst abgelegt — und erreichte das echte Postfach nie. Eine Fehlermeldung gab es nicht. Die Lösung war der Versand über die Schnittstelle eines Versanddienstes.
Ausrichtung prüfen, nicht nur PASS. Bei einer Produktdomain haben wir nach der Einrichtung eine Alarm- und eine Entwarnungsmail ausgelöst und im Zielpostfach die Header gelesen. Geprüft wurden DKIM gegen den Schlüssel im DNS, SPF gegen die Richtlinie und die Ausrichtung für DMARC. Erst diese drei zusammen sagen, ob die Einrichtung trägt.
Die Anforderungen der großen Postfachanbieter
Google und Yahoo haben 2024 Regeln für Absender eingeführt, die viele Mails an ihre Nutzer schicken. Für Shops mit Newsletter sind sie die Messlatte:
- SPF und DKIM für die Absenderdomain,
- ein DMARC-Eintrag, mindestens mit p=none, und Ausrichtung auf die Absenderdomain,
- eine Abmeldung mit einem Klick in Marketing-Mails,
- eine niedrige Beschwerderate — Google nennt als Grenze 0,3 Prozent.
Schritt für Schritt
- Inventur: Liste aller Systeme, die mit Ihrer Domain als Absender senden.
- SPF: ein Eintrag, alle Dienste per include.
- DKIM: in jedem Dienst die eigene Domain hinterlegen und die vorgegebenen Einträge anlegen.
- DMARC: mit p=none und Berichtsadresse beginnen.
- Testmail je System an ein Gmail-Postfach, „Original anzeigen“: SPF, DKIM, DMARC jeweils PASS.
- Berichte lesen: Nach zwei bis vier Wochen zeigen die DMARC-Berichte, ob noch ein unbekannter Absender sendet. Dann die Richtlinie schrittweise verschärfen.
Wie Klaviyo mit Shopware verbunden wird und welche Fragen dabei zuerst zu klären sind, steht in Klaviyo mit Shopware verbinden.
Zustellbarkeit beginnt nicht beim Betreff, sondern im DNS. Drei Einträge, ausgerichtet auf die Absenderdomain — für jedes System, das in Ihrem Namen sendet.
Häufige Fragen
- Reicht ein SPF-Eintrag?
- Nein. SPF allein übersteht Weiterleitungen nicht und prüft nicht die sichtbare Absenderadresse. Erst DKIM und DMARC zusammen schützen die Domain und verbessern die Zustellung.
- Mit welcher DMARC-Richtlinie anfangen?
- Mit p=none und einer Adresse für Berichte. So sehen Sie, wer in Ihrem Namen sendet, ohne etwas zu blockieren. Erst wenn alle Dienste sauber signieren, lohnt eine strengere Richtlinie.
- Brauche ich für Klaviyo eine eigene Domain?
- Für ernsthaften Versand ja: eine eigene Versanddomain, meist eine Subdomain, mit den DNS-Einträgen, die Klaviyo vorgibt. Ohne sie sendet der Dienst unter einer gemeinsam genutzten Domain, und die Ausrichtung auf Ihre Absenderdomain fehlt.
- Warum landen Bestellbestätigungen im Spam?
- Ein typischer Grund: Der Shop sendet über den Webserver oder ein SMTP-Konto, das weder im SPF steht noch mit DKIM signiert. Shopware lässt sich auf einen SMTP-Dienst mit eigener Signatur umstellen.
- Wie viele SPF-Einträge darf eine Domain haben?
- Genau einen. Mehrere Dienste werden darin mit include kombiniert. Zwei getrennte SPF-Einträge machen die Prüfung ungültig.