Wie eine Versand-Subdomain für E-Mails Ihre Reputation schützt

Eine Versand-Subdomain für E-Mails ist ein dedizierter Hostname – etwa mail.example.com, news.example.com oder e.example.com –, den Sie zum Versand von Massen- oder Marketing-Mails anstelle Ihrer Root-Domain nutzen. Der Sinn dahinter ist Isolierung: Die Reputation, die Ihre Kampagnen aufbauen oder ruinieren, bleibt auf der Subdomain, sodass ein einzelner fehlerhafter Versand nicht die Unternehmens- und Transaktions-Mails mit hinunterzieht, die von example.com selbst ausgehen. Dieser Leitfaden behandelt, wann sich eine Versand-Subdomain lohnt, wie die Reputationstrennung tatsächlich funktioniert, wie Sie sie mit SPF, DKIM und DMARC authentifizieren und den einen Vorbehalt, der jeden erwischt: Eine frische Subdomain startet ganz ohne Reputation.

Die kurze Antwort#

Versenden Sie verschiedene Arten von Mails von verschiedenen Subdomains und halten Sie Ihre Root-Domain vollständig aus dem Massenversand heraus. Ein gängiges Schema besteht aus einer Transaktions-Subdomain, einer Marketing-Subdomain und – falls Sie das tun – einer separaten Subdomain für Kaltakquise. Jede Subdomain trägt ihre eigene Absenderreputation, sodass ein Anstieg der Spam-Beschwerden im Marketing-Strom nicht Ihre Passwort-Zurücksetzungen und Belege mit in den Spam-Ordner zieht. Die Authentifizierung erfolgt für SPF und DKIM pro Hostname, kann aber über das sp=-Tag von DMARC zentral gesteuert werden. Der Preis dafür: Jede neue Subdomain muss aufgewärmt werden, bevor sie in großem Umfang versenden kann, denn für einen Mailbox-Anbieter ist sie ein Fremder.

Warum eine dedizierte Versand-Subdomain für E-Mails nutzen#

Das Argument für eine Versand-Subdomain läuft auf den Wirkungsradius hinaus. Mailbox-Anbieter erstellen ein Reputationsprofil für die Domain in Ihrer sichtbaren „From“-Adresse, und dieses Profil ist einer der größten Faktoren dafür, ob Ihre Mail im Posteingang oder im Spam landet. Wenn alles, was Sie versenden – transaktionale Belege, Vertriebs-Ansprachen und ein Newsletter an 200.000 Empfänger –, von example.com ausgeht, teilen sich diese Ströme eine einzige Reputation. Die Beschwerderate des Newsletters, die Bounces der Kaltakquise-Kampagne und das nahezu perfekte Engagement der Belege werden alle zu einem einzigen Score verrechnet.

Diese Vermischung ist unproblematisch – bis sie es nicht mehr ist. In dem Moment, in dem sich ein Strom danebenbenimmt – eine Liste, die Sie nicht bereinigt haben, ein Reaktivierungs-Versand an inaktive Kontakte, eine kompromittierte Kampagne –, trifft der Schaden jede Nachricht von dieser Domain. Ihre Kunden erhalten keine Bestellbestätigungen mehr, weil Ihr Marketing-Team an eine veraltete Liste versendet hat. Die riskanten, hochvolumigen Mails auf einer eigenen Subdomain zu isolieren, begrenzt den Schaden: Wenn news.example.com gedrosselt wird, fließen example.com und Ihr Transaktions-Strom weiter.

Der Schutz wirkt in beide Richtungen. Unternehmens-Mails von Ihrer Root-Domain – persönliche Antworten, Rechnungen, Verträge – sind volumenarm und vertrauenswürdig, und Sie möchten nicht, dass ein Marketing-Fehltritt sie gefährdet. Ebenso möchten Sie nicht, dass Ihr Massenversand an einer Root-Domain gemessen wird, die keinerlei Erfahrung mit Massenversand vorweisen kann. Die Trennung der Ströme ermöglicht es jedem, die Reputation aufzubauen, die zu seiner tatsächlichen Nutzung passt.

Wie die Reputationstrennung tatsächlich funktioniert#

Anbieter bewerten die Reputation auf mehreren Ebenen: der versendenden IP, der signierenden/versendenden Domain und der übergeordneten Organisationsdomain. Eine Subdomain verschafft Ihnen eine eigenständige Versand-Domain-Identität, sodass news.example.com ihre eigene Historie aus Volumen, Engagement, Beschwerden und Spam-Trap-Treffern aufbaut – weitgehend getrennt von example.com.

„Weitgehend“ ist hier das ehrliche Wort. Eine Subdomain ist keine hermetisch abgeschottete Identität. Anbieter verknüpfen eine Subdomain bis zu einem gewissen Grad weiterhin mit ihrer übergeordneten Domain – eine Domain mit einer wirklich toxischen Root-Reputation wird nicht vollständig gerettet, indem man eine frische Subdomain hochzieht, und das ist beabsichtigt, um Spammer daran zu hindern, endlos sauber aussehende Hostnamen unter einer verbrannten Domain zu erzeugen. Was eine Subdomain Ihnen zuverlässig verschafft, ist eine separate Reputationsfläche für wohlerzogene Ströme, die andernfalls von einem lauteren Strom unter demselben Dach mit hinuntergezogen würden. Betrachten Sie es als starke Isolierung, nicht als Brandmauer.

Da die Reputation an der „From“-Domain verankert ist, die Ihre Empfänger sehen, isoliert die Subdomain die Reputation nur, wenn Sie tatsächlich von ihr versenden – die sichtbare From:-Adresse muss something@news.example.com lauten, nicht something@example.com mit der Subdomain versteckt im Return-Path. Wenn die From-Domain weiterhin die Root ist, ist es weiterhin die Root-Domain, die sich die Reputation verdient.

Ein Subdomain-Schema, das skaliert#

Es gibt kein einziges korrektes Schema, aber das dauerhafte Muster besteht darin, nach Mail-Typ zu trennen, denn verschiedene Typen haben grundlegend unterschiedliche Risiko- und Engagement-Profile:

• Transaktional (t.example.com oder ähnlich) – Belege, Passwort-Zurücksetzungen, Versandbenachrichtigungen. Durch Nutzeraktionen ausgelöst, nahezu ausnahmslos geöffnet und fast nie beanstandet. Dieser Strom verdient seine eigene makellose Reputation und sollte sich niemals eine Subdomain mit dem Marketing teilen.
• Marketing (news.example.com, mail.example.com) – Newsletter, Werbeaktionen, Produktankündigungen. Höheres Volumen, geringeres und variableres Engagement, die gelegentliche Beschwerde. Dies ist der Strom, dessen Isolierung sich am meisten lohnt.
• Kaltakquise (eine separate Subdomain oder, besser, eine vollständig separate Domain) – die bei Weitem risikoreichste Kategorie. Kalt-Mails ziehen Beschwerden und Spam-Trap-Treffer an, und viele Absender halten sie bewusst von ihrer primären Marken-Domain fern, damit eine verbrannte Akquise-Reputation nicht die Mails berühren kann, von denen ihr Geschäft abhängt.

Die wichtige Regel lautet, dass sich Transaktion und Marketing niemals eine Reputation teilen. Wenn Sie sonst nichts tun, trennen Sie diese beiden. Jeden Strom auf seiner eigenen Subdomain zu halten, macht auch die Diagnose weitaus einfacher: Wenn die Platzierung sinkt, verweist Ihr Monitoring auf einen einzigen Hostnamen, statt Sie zu zwingen, zu entwirren, welcher von mehreren vermischten Strömen die Ursache war. Es ergänzt sich natürlich damit, jede Liste sauber zu halten – siehe wie man eine E-Mail-Liste bereinigt –, denn Isolierung begrenzt den Schaden, aber Hygiene ist es, die ihn verhindert.

Eine Versand-Subdomain authentifizieren#

Jede Versand-Subdomain benötigt den vollständigen Authentifizierungs-Stack – SPF, DKIM und DMARC – genau wie eine Root-Domain. Der Haken, über den Menschen stolpern, ist, dass sich diese Einträge in Bezug auf Vererbung unterschiedlich verhalten. Für die Konzepte hinter jedem Eintrag siehe die Erklärung zu SPF, DKIM und DMARC; was folgt, ist, wie sie speziell auf Subdomains angewendet werden.

SPF wird nicht vererbt. Eine Subdomain nutzt nicht den SPF-Eintrag ihrer übergeordneten Domain. Wenn example.com einen SPF-Eintrag veröffentlicht und mail.example.com keinen, hat die Subdomain keine SPF-Richtlinie – der Eintrag der übergeordneten Domain gilt nicht. Sie müssen einen separaten SPF-TXT-Eintrag auf der Subdomain veröffentlichen, der aufführt, welcher Dienst auch immer ihre Mail versendet:

mail.example.com.  TXT  "v=spf1 include:sendgrid.net ~all"

DKIM wird unter der Subdomain veröffentlicht. Ihre Versandplattform gibt Ihnen einen Selektor, und der öffentliche Schlüssel liegt bei diesem Selektor unter dem versendenden Hostnamen. Für Mail von mail.example.com sitzt der DKIM-Eintrag zum Beispiel bei:

s1._domainkey.mail.example.com.  TXT  "v=DKIM1; k=rsa; p=MIGfMA0G..."

Signieren Sie mit d=mail.example.com, damit die signierende Domain mit der From-Domain übereinstimmt und die Nachricht DKIM-ausgerichtet bleibt.

DMARC kann vererbt werden – und das ist der nützliche Teil. Wenn ein Empfänger DMARC für Mail von mail.example.com prüft, sucht er zuerst nach einem Eintrag bei _dmarc.mail.example.com. Existiert keiner, greift er auf den Eintrag der Organisationsdomain bei _dmarc.example.com zurück und wendet die Subdomain-Richtlinie aus dem sp=-Tag an, sofern vorhanden, andernfalls die Haupt-p=-Richtlinie. So kann ein einziger Eintrag auf der Organisationsdomain jede Subdomain auf einmal steuern:

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Hier deckt p=reject example.com selbst ab und sp=reject deckt jede Subdomain ab, der ein eigener Eintrag fehlt. Wenn Sie möchten, dass eine Subdomain eine andere Richtlinie ausführt – etwa eine neu gestartete Versand-Subdomain zur Überwachung bei p=none zu halten, während die Root auf reject bleibt –, veröffentlichen Sie einen dedizierten DMARC-Eintrag auf dieser Subdomain, der das vererbte sp= überschreibt:

_dmarc.mail.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Noch ein Punkt zur Ausrichtung (Alignment). Die entspannte Ausrichtung (der DMARC-Standard) behandelt eine Subdomain und ihre übergeordnete Domain als dieselbe Organisationsdomain, sodass ein mit d=mail.example.com signiertes DKIM weiterhin mit einem From: von example.com ausgerichtet ist. Da aber der ganze Grund für die Subdomain darin besteht, als die Subdomain zu versenden, halten Sie die From-Domain, das DKIM-d= und den Return-Path alle auf demselben Hostnamen – so sind Sie unter entspannten wie unter strengen Regeln ausgerichtet und die Reputation landet genau dort, wo Sie es beabsichtigen. Wenn Sie DMARC nicht bereits im Enforcement-Modus betreiben, richten Sie DMARC ein zuerst auf Ebene der Organisationsdomain und lassen Sie sp= die Richtlinie auf Ihre neuen Versand-Subdomains ausweiten.

Der Warm-up-Vorbehalt, den niemand überspringt#

Eine brandneue Versand-Subdomain hat keinerlei Versandhistorie, was bedeutet, dass sie keine Reputation hat – und keine Reputation ist aus der Perspektive eines Mailbox-Anbieters näher an schlecht als an gut. Richten Sie am ersten Tag eine große Kampagne auf eine kalte Subdomain, provozieren Sie Drosselung, Spam-Ordner-Zustellung oder direkte Sperren, gerade weil eine plötzliche Flut von einem unbekannten Hostnamen genau so aussieht wie eine Spam-Operation.

Eine neue Subdomain muss also aufgewärmt werden: Beginnen Sie mit geringem Tagesvolumen an Ihre engagiertesten, kürzlich aktiven Empfänger und steigern Sie über mehrere Wochen hinweg schrittweise, während die Subdomain sich eine positive Erfolgsbilanz erarbeitet. An Menschen zu versenden, die öffnen und klicken, lehrt die Anbieter, dass die Subdomain vertrauenswürdig ist; an eine veraltete Liste zu versenden, lehrt sie das Gegenteil, und auf einer frischen Subdomain gibt es kein angesammeltes Wohlwollen, das den Fehler abfedert. Das ist auch der Grund, warum Sie eine Subdomain-Migration bevor Sie sie brauchen planen – Ihr gesamtes Volumen über Nacht auf eine neue Subdomain umzustellen, verspielt den Aufwärm-Anlauf und kann die Platzierung wochenlang absacken lassen.

Der Warm-up-Aufwand ist real, aber es ist eine einmalige Investition, und genau das ist der Grund, warum sich die Isolierung lohnt: Sobald jede Subdomain ihre eigene etablierte Reputation hat, versagen sie unabhängig voneinander. Wenn Sie einen Subdomain-Umzug als Teil einer breiteren Behebung der Posteingangs-Platzierung abwägen, behandelt der Leitfaden zur E-Mail-Zustellbarkeit, wo er unter den anderen Stellhebeln einzuordnen ist, und die Absenderanforderungen von Google und Yahoo legen die Schwellenwerte für Authentifizierung und Beschwerderate dar, die jeder versendende Hostname nun erfüllen muss.

Häufig gestellte Fragen#

Sollte ich Marketing-E-Mails von einer Subdomain oder von meiner Hauptdomain versenden?#

In fast allen Fällen von einer Subdomain. Wenn Sie Massen-Marketing von Ihrer Root-Domain aus versenden, schadet eine misslungene Kampagne – eine veraltete Liste, ein Anstieg der Beschwerden – auch der Reputation Ihrer transaktionalen und Unternehmens-Mails, da diese dieselbe „From“-Domain nutzen. Eine dedizierte Subdomain wie news.example.com isoliert dieses Risiko, sodass ein Marketing-Fehltritt Ihre Belege und Passwort-Zurücksetzungen nicht in den Spam-Ordner schicken kann. Der einzige Preis dafür ist, die Subdomain aufzuwärmen, bevor Sie in großem Umfang versenden.

Erben Subdomains SPF und DKIM von der Root-Domain?#

Nein. SPF und DKIM werden nicht vererbt – eine Subdomain ohne SPF-Eintrag hat überhaupt keine SPF-Richtlinie, unabhängig davon, was die übergeordnete Domain veröffentlicht, und DKIM-Schlüssel müssen unter dem versendenden Hostnamen veröffentlicht werden (zum Beispiel selector._domainkey.mail.example.com). DMARC ist die Ausnahme: Wenn eine Subdomain keinen eigenen _dmarc-Eintrag hat, wenden die Empfänger die Richtlinie der Organisationsdomain an und verwenden dabei das sp=-Tag (Subdomain-Richtlinie), sofern es gesetzt ist.

Was ist das DMARC-sp-Tag und wann sollte ich es verwenden?#

Das sp=-Tag im DMARC-Eintrag Ihrer Organisationsdomain legt die Richtlinie für Subdomains fest, die keinen eigenen DMARC-Eintrag veröffentlichen. Zum Beispiel erzwingt v=DMARC1; p=reject; sp=reject die reject-Richtlinie sowohl für die Root-Domain als auch für alle ihre Subdomains über einen einzigen Eintrag. Verwenden Sie es, um eine strikte Richtlinie automatisch auf jede Versand-Subdomain auszuweiten, und veröffentlichen Sie nur dann einen dedizierten _dmarc-Eintrag für eine einzelne Subdomain, wenn diese eine andere Richtlinie ausführen soll – etwa um eine frisch gestartete Subdomain während des Aufwärmens bei p=none zu halten.

Muss eine neue Versand-Subdomain aufgewärmt werden?#

Ja. Eine neue Subdomain hat keine Versandhistorie, und für einen Mailbox-Anbieter wird dieses unbeschriebene Blatt eher mit Misstrauen als mit Vertrauen behandelt. Sofort hohe Volumen von ihr zu versenden, provoziert Drosselung oder Spam-Zustellung. Wärmen Sie sie auf, indem Sie mit geringem Volumen an Ihre engagiertesten Empfänger beginnen und über mehrere Wochen hinweg schrittweise steigern, damit die Subdomain eine positive Reputation aufbauen kann, bevor sie Ihre gesamte Versandlast trägt.

Eine Versand-Subdomain begrenzt den Schaden eines fehlerhaften Versands, aber sie kann den fehlerhaften Versand selbst nicht rückgängig machen – das hängt weiterhin davon ab, wer auf Ihrer Liste steht. Lassen Sie Ihre Liste durch den kostenlosen E-Mail-Checker laufen, um tote Adressen, Tippfehler und Spam-Traps auszusortieren, bevor sie auf irgendeine Subdomain treffen, damit die Reputation, die jede aufbaut, von der ersten Kampagne an sauber ist.