Absenderanforderungen von Google und Yahoo: die vollständige Checkliste

Im Februar 2024 machten Google und Yahoo aus einer langen Liste von Best Practices für E-Mails durchgesetzte Regeln. Was früher ein Ratschlag war — authentifizieren Sie Ihre Mails, machen Sie das Abmelden einfach, versenden Sie keinen Müll — wurde zu einer Reihe von Anforderungen, die darüber entscheiden, ob Ihre Nachrichten angenommen, gedrosselt oder schlicht abgewiesen werden. Wenn Sie Marketing- oder Transaktions-E-Mails in nennenswertem Umfang versenden, ist das die Checkliste, die Sie jetzt erfüllen müssen. Hier ist die vollständige, aktuelle Fassung, in klarer Sprache, mit den Maßnahmen, die jeder Punkt verlangt.

Die kurze Antwort#

Die Absenderanforderungen von Google und Yahoo fallen in drei Kategorien, die für alle gelten, und eine strengere Stufe für Massenversender — jeden, der ungefähr 5.000 oder mehr Nachrichten pro Tag an Gmail-Adressen versendet. Jeder Absender muss mit SPF oder DKIM authentifizieren, gültiges Forward- und Reverse-DNS auf seinen versendenden IPs veröffentlichen und über TLS übertragen. Massenversender müssen zusätzlich SPF, DKIM und DMARC mit Alignment verwenden, werblichen Mails eine One-Click-Abmeldung hinzufügen und ihre Spam-Beschwerdequote unter 0,3 % halten, gemessen in Google Postmaster Tools. Beide Anbieter haben übereinstimmende Regeln angekündigt und begonnen, sie gemeinsam durchzusetzen. Der sichere Schritt ist, die Stufe für Massenversender als Basis für alle zu behandeln, denn die Schwellenwerte werden mit der Zeit nur strenger, und es gibt keinen Nachteil, sie frühzeitig zu erfüllen.

Für wen das gilt#

Der Schwellenwert für Massenversender wird pro Anbieter gemessen, und zwar speziell auf Gmail-Adressen: Versenden Sie an einem einzigen Tag etwa 5.000 Nachrichten oder mehr an Gmail-Empfänger, sind Sie in den Augen von Google ein Massenversender — und zwar dauerhaft; die Einstufung wird nicht zurückgesetzt, wenn Sie am nächsten Tag unter die Linie fallen. Yahoo hat dieselbe Stufe für Yahoo, AOL und seine anderen Domains definiert. Die Zählung erfolgt über Ihre gesamte versendende Domain, sodass sich Mails von Subdomains und getrennten Streams (Marketing, Produktbenachrichtigungen, Belege) zusammenaddieren.

Die praktische Lesart ist einfacher als die Schwellenwert-Rechnerei. Wenn Sie E-Mail für ein Unternehmen, eine Agentur oder ein wachsendes Produkt betreiben, werden Sie schneller als gedacht die 5.000 pro Tag an einen einzelnen Anbieter überschreiten, und die Anforderungen sind allesamt Dinge, die ein gut geführter Absender ohnehin tun sollte. Deshalb behandelt der Rest dieses Leitfadens die vollständige Liste für Massenversender als den Standard, den es zu erreichen gilt. Unterhalb des Schwellenwerts kommen Sie technisch gesehen mit weniger durch, aber „technisch konform" ist eine schlechte Grundlage, um ein Versandprogramm aufzubauen.

Die Anforderungen auf einen Blick#

1. Mit SPF, DKIM und DMARC authentifizieren#

Authentifizierung ist die Eintrittskarte, und für Massenversender ist sie über alle drei Einträge hinweg nicht verhandelbar. SPF, DKIM und DMARC sind DNS-Einträge, die zusammen beweisen, dass eine Nachricht tatsächlich von Ihrer Domain stammt und nicht unterwegs gefälscht wurde. SPF listet die Server auf, die für Ihre Domain senden dürfen; DKIM hängt eine kryptografische Signatur an, die der Empfänger verifizieren kann; DMARC verknüpft beides mit der sichtbaren „From"-Adresse und teilt den Anbietern mit, was zu tun ist, wenn eine Nachricht durchfällt.

Für allgemeine Absender verlangen Google und Yahoo mindestens SPF oder DKIM. Für Massenversender brauchen Sie alle drei. Der häufigste Fehler ist hier nicht ein fehlender Eintrag — es ist ein falsch konfigurierter: ein SPF-Eintrag, der Ihren E-Mail-Dienstleister nicht einschließt, ein DKIM-Schlüssel, der unter dem falschen Selector veröffentlicht ist, oder ein DMARC-Eintrag, der technisch existiert, aber nicht aligned ist. Richten Sie jeden Eintrag sorgfältig ein — Sie können den exakten SPF-Eintrag Ihres Anbieters generieren, um den include:-Mechanismus richtig hinzubekommen — und bestätigen Sie ihn dann anhand einer echten Nachricht, bevor Sie annehmen, dass er besteht.

2. Eine DMARC-Richtlinie veröffentlichen, aligned, beginnend bei p=none#

DMARC ist der Eintrag, der SPF und DKIM durchsetzbar macht, und er trägt zwei Teile, die Anbieter unabhängig voneinander prüfen: die Richtlinie und das Alignment. Die Richtlinie — der p=-Wert — sagt Empfängern, was mit Mail zu tun ist, die durchfällt: p=none überwacht und meldet nur, p=quarantine schickt Fehlschläge in den Spam, und p=reject weist sie ab. Die Anforderung ist, dass ein DMARC-Eintrag mit einer Richtlinie von mindestens p=none existiert. Sie müssen nicht ab Tag eins durchsetzen; aber Sie müssen veröffentlichen und überwachen.

Das Alignment ist der Teil, den man übersieht. DMARC besteht nur, wenn die Domain, die sich über SPF oder DKIM authentifiziert hat, mit der Domain im sichtbaren „From"-Header übereinstimmt. Eine Nachricht kann das rohe SPF bestehen und dennoch bei DMARC durchfallen, weil die Envelope-Domain nicht mit der From-Domain übereinstimmt. Die Schritt-für-Schritt- Anleitung zum Einrichten von DMARC führt durch die Eintragssyntax, die rua-Berichtsadresse und den Weg von p=none zur Durchsetzung. Beginnen Sie bei p=none, lesen Sie Ihre aggregierten Berichte, bis sich jeder legitime Mail-Stream authentifiziert und aligned, ziehen Sie dann auf quarantine und schließlich reject an. Der Wechsel zur Durchsetzung ist der Punkt, an dem DMARC tatsächlich beginnt, Spoofer zu blockieren, die Ihre Domain missbrauchen — lohnenswert, aber erst, nachdem die Überwachung bestätigt hat, dass Sie nicht Ihre eigene Mail blockieren.

3. Werblichen Mails eine One-Click-Abmeldung hinzufügen#

Für Massenversender müssen Marketing- und Werbenachrichten eine funktionierende One-Click-Abmeldung enthalten — und „One-Click" hat hier eine konkrete technische Bedeutung. Es ist nicht einfach nur ein Abmeldelink im Footer. Es erfordert zwei Header: List-Unsubscribe, der die Abmelde-URL trägt, und List-Unsubscribe-Post, der es dem Mailprogramm erlaubt, die Abmeldung mit einer einzigen Aktion auszulösen, ohne dass der Empfänger eine Landingpage lädt oder ein Formular ausfüllt. Wenn Gmail seinen eigenen „Abmelden"-Button neben Ihrem Absendernamen anzeigt, sind es diese Header am Werk.

Zwei Regeln bestimmen es. Die Abmeldung muss mit einem einzigen Klick abgeschlossen sein — kein Login, keine „Wählen Sie Ihre Präferenzen"-Seite, kein Bestätigungsschritt. Und Sie müssen die Anfrage innerhalb von zwei Tagen verarbeiten. Die gesamte Mechanik, einschließlich wie Sie die Header hinzufügen, falls Ihre Plattform das nicht automatisch tut, steht im Leitfaden zur One-Click-Abmeldung. Paradoxerweise ist es gut für die Zustellbarkeit, den Ausstieg aus Ihrer Liste trivial einfach zu machen: eine Abmeldung ist ein stiller Abgang, während die Alternative — ein Empfänger, der auf „Spam melden" drückt, weil er den Ausweg nicht gefunden hat — das schädlichste Einzelsignal ist, das Sie erzeugen können.

4. Ihre Spam-Beschwerdequote unter 0,3 % halten#

Das ist die Anforderung mit einer harten Zahl, und es ist die, über die Absender am häufigsten stolpern. Google misst Ihre Spam-Beschwerdequote in Google Postmaster Tools: den Anteil zugestellter Nachrichten, den Empfänger als Spam markieren. Die Regel ist, unter 0,3 % zu bleiben, und Google sagt ausdrücklich, dass Sie es vermeiden sollten, jemals 0,1 % zu erreichen — behandeln Sie 0,1 % als praktische Obergrenze und 0,3 % als die Linie, ab der die Durchsetzung greift. Überschreiten Sie sie, beginnt Gmail, Ihre Mail zu drosseln oder in den Spam-Ordner zu verschieben, bis sich die Quote erholt.

Die Quote ist unerbittlich wegen der Art, wie sie berechnet wird. Ein kleiner, schlecht ausgesteuerter Versand an ein nicht engagiertes Segment kann den Tageswert weit über 0,3 % treiben, selbst wenn Ihr Lebenszeitdurchschnitt in Ordnung aussieht. Der Leitfaden zur Spam-Beschwerdequote behandelt, wie die Zahl gemessen wird und welche Hebel sie bewegen, und der breiter angelegte Leitfaden dazu, warum E-Mails im Spam landen zeigt, wo diese Beschwerden zwischen den anderen Ursachen stehen. Die steuerbaren Einflussgrößen sind Einwilligung (mailen Sie nur Menschen, die darum gebeten haben), Relevanz (segmentieren statt breit streuen) und Frequenz (gleichmäßiger, erwarteter Versand statt überraschender Schübe). Sie können nicht steuern, was Sie nicht beobachten, also melden Sie sich bei Postmaster Tools an und prüfen Sie das Spam-Quoten-Diagramm nach jedem bedeutsamen Versand.

5. Gültiges Forward- und Reverse-DNS veröffentlichen (PTR-Einträge)#

Jede IP, von der Sie senden, muss einen PTR-Eintrag haben — Reverse DNS, das die IP zurück auf einen Hostnamen abbildet — und dieser Hostname muss vorwärts auf dieselbe IP auflösen. Dieser Forward-and-Reverse-Abgleich, manchmal Full-Circle-DNS genannt, ist eine grundlegende Legitimitätsprüfung: echte Mailserver haben ihn, wegwerfbare Spam-Infrastruktur oft nicht. Wenn Sie über einen etablierten E-Mail-Dienstleister versenden, hat dieser das auf seinen geteilten oder dedizierten IPs mit ziemlicher Sicherheit bereits eingerichtet. Wenn Sie Ihren eigenen Mailserver betreiben oder eine dedizierte IP nutzen, liegt es an Ihnen, das mit demjenigen zu konfigurieren, der die IP bereitstellt, und es ist ein häufiges Versäumnis beim Aufsetzen neuer Versandinfrastruktur.

Neben dem PTR-Eintrag muss die Formatierung Ihrer Nachricht sauber sein: eine gültige, auflösbare versendende Domain, eine gemäß den E-Mail-Standards korrekt formatierte Nachricht und ein „From"-Header, der zu der Domain passt, die Sie authentifizieren. Nichts davon ist exotisch — es ist der Unterschied zwischen einer Nachricht, die aussieht, als käme sie von einer echten Organisation, und einer, die aussieht, als hätte ein Skript sie zusammengebaut.

6. Die Übertragung mit TLS verschlüsseln#

Google und Yahoo verlangen, dass Mail mittels TLS — Transport Layer Security — für die Verbindung zwischen Ihrem versendenden Server und ihrem übertragen wird. Das verschlüsselt die Nachricht während der Übertragung, sodass sie unterwegs nicht gelesen oder manipuliert werden kann. In der Praxis handelt jeder seriöse E-Mail-Dienstleister TLS standardmäßig aus, sodass diese Anforderung für die meisten Absender ohne jegliches Zutun erfüllt ist. Wenn Sie Ihren eigenen ausgehenden Mailserver betreiben, bestätigen Sie, dass er STARTTLS anbietet und erfolgreich eine verschlüsselte Verbindung zu den großen Anbietern aushandelt. TLS geht es hier um den Transport-Hop, und es ist von den Authentifizierungseinträgen weiter oben zu unterscheiden — Sie brauchen beides.

7. Den Gmail-From-Header nicht vortäuschen#

Gmail setzt inzwischen eine spezifische Anti-Spoofing-Regel durch: Sie dürfen keine Mail mit einer @gmail.com-Adresse im From-Header versenden, es sei denn, die Nachricht wird tatsächlich über die Systeme von Google versendet. Marketer, die früher eine private Gmail-Adresse in das „From"-Feld von Kampagnen setzten, die über eine Drittanbieter-Plattform versendet wurden, wurden davon erwischt — diese Nachrichten werden zunehmend abgewiesen. Die Lösung ist einfach und korrekt: senden Sie von Ihrer eigenen authentifizierten Domain, nicht von einer kostenlosen Gmail- (oder Yahoo-)Adresse, deren Infrastruktur Sie nicht kontrollieren. Ihre From-Adresse sollte auf einer Domain liegen, für die Sie SPF, DKIM und DMARC veröffentlicht haben — genau dort, wo Sie sie für die Authentifizierung ohnehin haben wollen.

8. Nur Mail versenden, die Menschen wirklich wollen#

Die von Google veröffentlichten Anforderungen enden mit einer Regel, die sich wie ein Prinzip liest, aber über harte Kennzahlen durchgesetzt wird: versenden Sie nur an Empfänger, die Ihre Mail wollen. Hier trifft Listenhygiene auf Compliance. Zwei Signale verwandeln „ungewollte Mail" in Zustellbarkeitsschaden — Spam-Beschwerden, die wir behandelt haben, und harte Bounces. Das Anschreiben toter, vertippter oder verlassener Adressen treibt Ihre Bounce-Quote hoch, und eine hohe Bounce-Quote sagt den Anbietern, dass Sie nicht wissen, wer auf Ihrer Liste steht. Schlimmer noch, einige dieser toten Adressen werden zu Spam-Traps recycelt — Adressen, die nur existieren, um Absender mit schlechter Hygiene zu erwischen, und ein Treffer fügt Ihrer Absenderreputation echten, bleibenden Schaden zu.

Die direkte Lösung ist Verifizierung: lassen Sie Ihre Liste durch eine Validierung laufen, um ungültige Syntax, tote Domains und unzustellbare Postfächer zu entfernen, bevor Sie senden, und verifizieren Sie neue Adressen direkt beim Anmelden, damit Müll gar nicht erst hineingerät. Jede Adresse, die Qualisend prüft, kommt mit einem Status zurück — zustellbar, riskant, unzustellbar oder unbekannt — plus einem Grundcode und einem Konfidenzwert, sodass Sie die Adressen, die bouncen oder sich beschweren würden, unterdrücken können, bevor sie jemals ein Gmail- oder Yahoo-Postfach erreichen. Das ist die Anforderung, in die die meisten Absender zu wenig investieren, und es ist diejenige, die die beiden Kennzahlen schützt — Beschwerden und Bounces —, die das gesamte Regelwerk beobachtet.

Die Checkliste in die Tat umsetzen#

Die Anforderungen sind kein einmaliges Setup, das man abhakt und vergisst. Authentifizierung und DNS sind einmal-konfigurieren, aber die Beschwerdequote, die Bounce-Quote und die Listenqualität sind fortlaufend — sie driften in dem Moment ab, in dem Sie aufhören hinzusehen. Ein sinnvoller Arbeitsrhythmus: konfigurieren Sie SPF, DKIM, DMARC, PTR und TLS einmal und verifizieren Sie sie; fügen Sie jedem Marketing-Template eine One-Click-Abmeldung hinzu; melden Sie sich bei Google Postmaster Tools und Microsoft SNDS an; und verifizieren Sie Ihre Liste vor großen Versänden erneut, während Sie neue Anmeldungen fortlaufend validieren. Wenn Sie den breiteren Kontext rund um diese Regeln wollen — Warmup, Segmentierung, Reputationsreparatur — behandelt der Leitfaden zur E-Mail-Zustellbarkeit die Hebel jenseits des Compliance-Minimums. Erfüllen Sie die Checkliste, und Sie passieren das Tor; leisten Sie die fortlaufende Arbeit, und Sie verdienen sich tatsächlich den Posteingang dahinter.

Häufig gestellte Fragen#

Gelten die Anforderungen von Google und Yahoo auch für mich, wenn ich weniger als 5.000 E-Mails pro Tag versende?#

Einige davon gelten für jeden Absender unabhängig vom Volumen: Sie brauchen SPF oder DKIM, gültiges Forward- und Reverse-DNS, TLS-Übertragung und dürfen keine Gmail-From-Adresse vortäuschen. Die strengeren Regeln für Massenversender — alle drei, also SPF, DKIM und DMARC, plus One-Click-Abmeldung und die Beschwerdegrenze von 0,3 % — greifen formal ab etwa 5.000 Nachrichten pro Tag an einen einzelnen Anbieter. Doch der Schwellenwert betrifft nur die Durchsetzung; die Anbieter bewerten dieselben Signale auch bei kleinen Absendern, und deshalb ist es der sichere Ansatz, die vollständige Liste unabhängig von Ihrem aktuellen Volumen zu erfüllen.

Wie hoch ist die Grenze für die Spam-Beschwerdequote, und wie wird sie gemessen?#

Google verlangt von Massenversendern, ihre Spam-Beschwerdequote unter 0,3 % zu halten, und warnt davor, jemals 0,1 % zu erreichen. Die Quote ist der Anteil Ihrer zugestellten Nachrichten, den Empfänger als Spam markieren, gemessen in Google Postmaster Tools, wo Sie Ihre Domain anmelden müssen, um die Werte zu sehen. Sie wird fortlaufend berechnet, sodass ein einziger schlecht ausgesteuerter Versand an ein nicht engagiertes Segment den Tageswert über die Grenze treiben kann, selbst wenn Ihr Langzeitdurchschnitt gesund ist — und genau deshalb zählen Einwilligung, Segmentierung und Listenhygiene mehr als jede einzelne Kampagne.

Reicht ein Abmeldelink im Footer aus, um die One-Click-Anforderung zu erfüllen?#

Nein. Die Anforderung ist speziell eine One-Click-Abmeldung, die über die E-Mail-Header List-Unsubscribe und List-Unsubscribe-Post ausgeliefert wird und es dem Mailprogramm ermöglicht, den Empfänger mit einer einzigen Aktion abzumelden, ohne eine Landingpage zu laden. Ein Footer-Link ist weiterhin gute Praxis und sollte erhalten bleiben, erfüllt aber für sich allein nicht die Header-Anforderung für werbliche Massenmails. Die Abmeldung muss außerdem mit einem Klick abgeschlossen sein — ohne Login oder Präferenzseite — und innerhalb von zwei Tagen verarbeitet werden.

Garantiert die Erfüllung dieser Anforderungen, dass meine E-Mail den Posteingang erreicht?#

Nein — die Anforderungen sind ein Tor, keine Garantie. Sie zu erfüllen bedeutet, dass die Anbieter Ihre Nachrichten annehmen und in Betracht ziehen; über die Platzierung im Posteingang entscheiden sie damit nicht. Wo Ihre Nachricht landet, hängt weiterhin von der Absenderreputation, dem Engagement der Empfänger, den Beschwerde- und Bounce-Quoten sowie der Listenqualität ab. Ein vollständig konformer Absender mit einer schmutzigen Liste oder schlechter Reputation landet trotzdem im Spam. Betrachten Sie die Checkliste als Eintrittspreis und leisten Sie danach die Listenhygiene- und Reputationsarbeit, die die Platzierung tatsächlich verdient.

Die Anforderungen, die Google und Yahoo am aggressivsten durchsetzen — wenige Beschwerden und wenige Bounces — laufen beide darauf hinaus, wer auf Ihrer Liste steht. Der kostenlose Tarif lässt die vollständige Verifizierungs-Pipeline über 100 Adressen laufen, damit Sie die toten und riskanten erwischen, bevor sie Sie etwas kosten, und der kostenlose E-Mail-Checker erkennt Tippfehler und tote Domains direkt im Browser.