E-Mail-Zustellbarkeit für KMU: SPF, DKIM, DMARC

Eine Firmenwebsite endet nicht beim Kontaktformular. Viele entscheidende Kundenerlebnisse passieren danach: Angebotsanfragen, Terminbestätigungen, Passwort-Links, Newsletter, Rechnungen oder Rückfragen landen im Postfach. Genau dort entsteht ein leises Risiko für österreichische KMU: Die Nachricht wird zwar versendet, erreicht aber nicht den Posteingang. Sie liegt im Spam, wird abgelehnt oder wirkt für Empfängerinnen und Empfänger nicht vertrauenswürdig.

Der Grund ist selten ein einzelner Fehler. Moderne Mailanbieter bewerten technische Authentifizierung, Absender-Reputation, Beschwerderaten, Inhalt, Listenqualität und Nutzerverhalten gemeinsam. Besonders wichtig sind die drei DNS-Bausteine SPF, DKIM und DMARC. Sie helfen Postfächern zu prüfen, ob eine E-Mail wirklich im Namen Ihrer Domain verschickt werden darf. Für KMU klingt das nach IT-Detail, ist aber direkt mit Umsatz, Servicequalität und Online-Sichtbarkeit verbunden.

Warum Zustellbarkeit 2026 auf die Website-Agenda gehört

Google verlangt seit Februar 2024 von Sendern an Gmail-Adressen grundlegende Authentifizierung; für größere Sender kommen unter anderem SPF, DKIM und DMARC hinzu. Microsoft hat für hochvolumige Sender an Outlook.com, Hotmail.com und Live.com ebenfalls strengere Anforderungen angekündigt und nicht konforme Nachrichten können abgelehnt werden. Viele österreichische Betriebe versenden keine 5.000 Nachrichten pro Tag, aber ihre Kundinnen und Kunden nutzen genau diese Postfächer. Was große Anbieter als Mindeststandard definieren, prägt deshalb auch kleinere Mailströme.

Für KMU ist das Thema besonders relevant, weil E-Mails oft aus mehreren Systemen kommen: Website-Formular, WordPress-Plugin, Webshop, CRM, Buchungstool, Rechnungssoftware, Newsletter-Plattform und persönliches Postfach. Jedes dieser Systeme kann eine andere technische Absenderquelle nutzen. Wenn nur ein Teil davon sauber eingerichtet ist, entstehen Lücken: Ein Newsletter funktioniert, aber Formularantworten landen im Spam. Oder die Shop-Bestätigung kommt an, aber Passwort-Reset-Mails werden blockiert.

SPF, DKIM und DMARC einfach erklärt

SPF ist eine DNS-Liste der Server und Dienste, die für Ihre Domain E-Mails versenden dürfen. Wenn zum Beispiel Ihre Website über einen externen Versanddienst verschickt, muss dieser Dienst im SPF-Eintrag berücksichtigt sein. Zu lange, alte oder widersprüchliche SPF-Einträge sind eine häufige Fehlerquelle.

DKIM signiert E-Mails kryptografisch. Der empfangende Mailserver kann über einen öffentlichen DNS-Schlüssel prüfen, ob die Nachricht unterwegs verändert wurde und ob der signierende Dienst zur Domain passt. DKIM ist besonders wichtig, wenn Mails weitergeleitet werden oder wenn mehrere Systeme mit derselben Absenderdomain arbeiten.

DMARC baut auf SPF und DKIM auf. Es legt fest, was Empfänger mit Nachrichten tun sollen, die diese Prüfungen nicht bestehen, und liefert Berichte über missbrauchte oder falsch konfigurierte Versandquellen. Für den Einstieg wird oft eine beobachtende Policy wie p=none genutzt. Danach kann man schrittweise strenger werden, sobald alle legitimen Sender erfasst sind.

Was österreichische KMU konkret prüfen sollten

Der wichtigste Schritt ist eine Sender-Inventur. Schreiben Sie nicht nur „Newsletter“ oder „Website“ auf, sondern jedes konkrete System: Domain-Postfach, Kontaktformular, Shop, Buchungstool, CRM, Bewerbungsformular, Rechnungsversand und automatisierte Service-Mails. Prüfen Sie dann pro System, welche From-Adresse sichtbar ist, über welchen Dienst tatsächlich gesendet wird und ob SPF, DKIM und DMARC für diese Kombination passen.

Bei Kontaktformularen ist ein typischer Fehler, die E-Mail-Adresse der anfragenden Person als technischen Absender zu verwenden. Besser ist meist eine eigene Domain-Adresse wie anfrage@ihredomain.at als From-Adresse und die Kundenadresse im Reply-To-Feld. So bleibt die Zustellung technisch konsistent, während Ihr Team trotzdem direkt antworten kann.

Newsletter brauchen zusätzlich saubere Einwilligung, verständliche Abmeldung und gepflegte Listen. Das ist nicht nur eine Zustellbarkeitsfrage. In Österreich sind Direktwerbung per elektronischer Post und Newsletter auch rechtlich sensibel; das TKG 2021 und WKO-Informationen beschreiben hier klare Rahmenbedingungen. Dieser Beitrag ersetzt keine Rechtsberatung, aber technisch und organisatorisch gilt: Wer nur an passende, nachvollziehbar gewonnene Kontakte sendet, reduziert Beschwerden und stärkt die Zustellbarkeit.

Typische Fehlkonfigurationen, die schnell übersehen werden

Viele Zustellprobleme entstehen nicht, weil gar keine Authentifizierung vorhanden ist, sondern weil sie nur teilweise passt. Häufig gibt es zwei SPF-Einträge für dieselbe Domain, obwohl nur einer zulässig ist. Manchmal bleibt ein alter Newsletter-Dienst im DNS stehen, obwohl er nicht mehr genutzt wird. Oder ein neuer Versanddienst wird ergänzt, aber der SPF-Eintrag überschreitet durch zu viele Weiterverweise die technische Prüflogik. Für kleine Teams ist das schwer sichtbar, weil die Website weiter funktioniert und einzelne Testmails trotzdem ankommen.

Auch DKIM wird oft unterschätzt. Manche Systeme signieren mit einer Subdomain, während die sichtbare Absenderadresse die Hauptdomain nutzt. Das kann in Ordnung sein, muss aber zur DMARC-Ausrichtung passen. Ein weiterer Klassiker ist der Wechsel des Mail- oder Website-Providers: Die DNS-Zone wird kopiert, aber einzelne DKIM-Selectoren fehlen. Danach sehen Mails von außen fast gleich aus, bestehen aber nicht mehr dieselben Prüfungen.

Bei WordPress-, Formular- und Shop-Systemen ist außerdem die Versandmethode entscheidend. PHP-Mail direkt vom Webserver ist bequem, aber für professionelle Firmenkommunikation oft schwächer kontrollierbar als ein sauber angebundener SMTP- oder API-Versand. Wer regelmäßig Anfragen, Bestellungen oder Buchungen über die Website erhält, sollte diesen Teil nicht dem Zufall überlassen.

Welche Kennzahlen KMU beobachten sollten

Zustellbarkeit lässt sich nicht auf eine einzige Prozentzahl reduzieren. Sinnvoll sind mehrere Signale: Bounce-Rate, Spam-Beschwerden, Öffnungsentwicklung bei Newslettern, ungewöhnliche Rückgänge bei Formularantworten und DMARC-Berichte. Wenn plötzlich weniger Anfragen beantwortet werden, sollte nicht nur das Kontaktformular getestet werden. Prüfen Sie auch, ob die Bestätigung beim Kunden ankommt und ob interne Benachrichtigungen zuverlässig im Team landen.

Für größere Versandmengen können Postmaster-Tools der Mailanbieter helfen, etwa um Spamraten oder Domain-Reputation zu beobachten. Für kleinere KMU reicht oft ein monatlicher Routinecheck: DNS-Einträge dokumentieren, je Versandquelle eine Testmail an Gmail, Outlook und ein eigenes Firmenpostfach schicken, Header prüfen lassen und fehlerhafte Systeme direkt korrigieren. Wichtig ist, dass dieser Check wiederholt wird, wenn ein neues Plugin, ein neuer Newsletter-Dienst oder eine neue Domain dazukommt.

Warum E-Mail-Sicherheit Vertrauen sichtbar macht

Die WKO weist in aktuellen Sicherheitsinformationen darauf hin, dass fehlende Authentifizierungssignaturen wie DKIM oder SPF ein Merkmal verdächtiger E-Mails sein können. Das ist für Unternehmen ein guter Perspektivenwechsel: SPF, DKIM und DMARC sind nicht nur technische Filterregeln, sondern Vertrauenssignale. Wenn Betrüger Ihre Domain leichter fälschen können, leidet im Zweifel auch der Ruf Ihrer Marke.

Gerade lokale Dienstleister brauchen konsistente Signale über alle Kanäle: Firmenwebsite, Google Unternehmensprofil, Branchenverzeichnis, E-Mail-Signatur und Impressum. Wer online gefunden wird, muss danach auch zuverlässig erreichbar bleiben. Ein schönes Kontaktformular bringt wenig, wenn die automatische Bestätigung nicht ankommt oder die Antwort des Unternehmens wie Spam aussieht.

Ein pragmatischer Ablauf für die Umsetzung

Alle Versandquellen sammeln: Website, Shop, CRM, Newsletter, Buchhaltung, Terminbuchung, Support und persönliche Postfächer.
DNS-Zustand prüfen: SPF-Eintrag, DKIM-Selectoren und DMARC-Record dokumentieren. Alte Dienste entfernen, aktive Dienste sauber ergänzen.
Domain-Ausrichtung testen: Die sichtbare From-Domain sollte zu SPF oder DKIM passen. Sonst kann DMARC trotz einzelner erfolgreicher Prüfungen scheitern.
DMARC-Berichte auswerten: Starten Sie beobachtend, identifizieren Sie legitime und fremde Sender, und verschärfen Sie erst danach die Policy.
Marketing und Transaktionsmails trennen: Passwort-Reset, Bestellbestätigung und Rechnungslink sollten nicht dieselbe Reputation wie aggressive Kampagnen tragen.
Beschwerden reduzieren: Klare Absendernamen, erwartbare Inhalte, sichtbare Abmeldung und gepflegte Verteiler sind Zustellbarkeitsarbeit.

Wo Tools helfen und wo Verantwortung bleibt

Ein guter Versanddienst nimmt KMU viel operative Arbeit ab: DKIM-Schlüssel bereitstellen, Bounces erfassen, Abmeldungen verarbeiten, Templates verwalten und Transaktionsmails zuverlässig versenden. Aus dem AdSimple-Umfeld passt hier Mailaura, weil die Plattform Newsletter, transaktionale E-Mails, REST-API-Anbindung und Zustellbarkeitsfunktionen wie SPF/DKIM/DMARC in den Mittelpunkt stellt. Das ersetzt aber nicht die eigene Sender-Inventur: Der beste Dienst hilft nur für jene Mails, die tatsächlich darüber laufen.

Für Website-Projekte ist deshalb eine einfache Regel sinnvoll: Kein neues Formular, Plugin oder Automatisierungstool geht live, bevor klar ist, wie die E-Mail versendet wird. Das sollte Teil jedes Website-Relaunches sein, genauso wie klare Website-Texte, ein aktuelles Impressum und funktionierende Datenschutz- oder Cookie-Prozesse.

Fazit: Zustellbarkeit ist kein Nebenschauplatz

E-Mail-Zustellbarkeit wirkt unscheinbar, entscheidet aber über echte Geschäftsprozesse. Wenn Anfragen, Buchungsbestätigungen oder Rechnungslinks nicht ankommen, entstehen Wartezeiten, Supportaufwand und verlorenes Vertrauen. SPF, DKIM und DMARC sind die technische Basis, um die eigene Domain glaubwürdig zu machen und Missbrauch zu erschweren.

Österreichische KMU sollten das Thema nicht erst prüfen, wenn Kundinnen und Kunden fehlende Nachrichten melden. Besser ist ein kurzer, dokumentierter Check: Welche Systeme senden? Welche Domain steht im Absender? Welche DNS-Einträge sind aktiv? Wer diese Fragen beantworten kann, stärkt nicht nur die IT-Sicherheit, sondern auch die Qualität der gesamten Online-Präsenz.

E-Mail-Zustellbarkeit für KMU: SPF, DKIM und DMARC richtig nutzen