Ihre automatisierten Mails landen im Spam, und das Log sagt nichts davon
Automatisierter Mailversand scheitert selten laut. Warum Auftragsbestätigungen und Terminerinnerungen im Junk-Ordner landen, obwohl jede Ausführung grün ist: SPF-Limit, DKIM-Alignment, DMARC, unverarbeitete Rückläufer. Und wie wir den Versand stattdessen aufsetzen.
Ihre Bestätigungsmails kommen an, sagt das Log
Ein Großhändler für Sanitärbedarf hat im Frühjahr die Auftragsbestätigung automatisiert. Bestellung im Shop, Abgleich im ERP, Bestätigungsmail an den Kunden, verschickt über die Automatisierungsplattform mit bestellung@ und der Firmendomain im Absender. Nach vier Wochen stand im Ausführungslog: 3.100 Mails versendet, kein Fehler.
Aufgefallen ist es über das Telefon. Der Innendienst bekam mehr Anrufe als vorher, ob die Bestellung angekommen sei. Bei Kunden mit Microsoft 365 lagen die Bestätigungen im Junk-Ordner, zwei Großkunden hatten sie serverseitig abgewiesen, und die Ablehnung ging an ein Postfach, in das seit Jahren niemand schaut.
Versendet ist nicht zugestellt
Wird ein Mail-Modul in Make oder n8n grün, bedeutet das eine einzige Sache: ein Mailserver hat die Nachricht zur Weiterleitung angenommen. Alles danach steht nicht im Log. Der empfangende Server entscheidet Sekunden später, ob die Mail ins Postfach geht, in den Spam-Ordner wandert oder verworfen wird, und bei der Einordnung als Spam meldet er das niemandem zurück.
Das ist die unangenehme Sorte Fehler in Automatisierungen. Die Zahlen im Dashboard stimmen, die Fehlerquote ist null, und der Vorgang erreicht trotzdem niemanden. In der Buchhaltung sind das Rechnungen, die nie angekommen sind und deshalb nicht bezahlt werden, in einer Klinik Terminerinnerungen und Patienten, die nicht erscheinen.
Drei DNS-Einträge entscheiden darüber
Jeder empfangende Server prüft, ob der sendende Server im Namen Ihrer Domain schreiben darf. Drei Einträge im DNS steuern diese Prüfung, und bei automatisiertem Versand sind alle drei betroffen.
SPF listet die Server, die für Ihre Domain senden dürfen. Verschickt Ihre Automatisierungsplattform über eigene Infrastruktur, muss die dort eingetragen sein. Der Eintrag hat ein hartes Limit von zehn DNS-Abfragen, und jeder include: kann selbst weitere auslösen. Bei Firmen, die über die Jahre Newsletter-Tool, CRM, Ticketsystem und Buchhaltung eingebunden haben, ist das Limit ausgeschöpft. Was hinter der zehnten Abfrage steht, wird nicht mehr ausgewertet, und das ist erfahrungsgemäß der Dienst, der zuletzt dazugekommen ist.
DKIM signiert jede Mail kryptografisch, der Empfänger prüft die Signatur gegen einen öffentlichen Schlüssel in Ihrem DNS. Ohne DKIM übersteht eine Mail keine Weiterleitung, weil die SPF-Prüfung dann auf den weiterleitenden Server fällt und fehlschlägt. In Kliniken und Speditionen, wo Sammelpostfächer intern weiterverteilt werden, passiert genau das ständig.
DMARC legt fest, was der Empfänger bei einer fehlgeschlagenen Prüfung tun soll, und verlangt zusätzlich, dass die geprüfte Domain zur Adresse im Von-Feld passt. Dieser zweite Teil ist in unserer Beratungspraxis der häufigste Grund für Automatisierungen im Spam-Ordner: die Plattform signiert mit ihrer eigenen Versanddomain, im Von-Feld steht Ihre, und für DMARC ist das ein Fehlschlag, obwohl SPF und DKIM einzeln bestehen.
Seit Anfang 2024 verlangen Google und Yahoo von Absendern mit höherem Volumen ausdrücklich alle drei Einträge. Große Firmenpostfächer und die Filter davor arbeiten seit längerem nach denselben Regeln, nur ohne Ankündigung.
Was zusätzlich gegen Sie arbeitet
Die DNS-Einträge sind die Eintrittskarte. Ob die Mail dann im Postfach landet, hängt am Verhalten des Absenders.
Eine neue Subdomain hat keine Historie. Wer sie einrichtet und am ersten Tag dreitausend Bestätigungen darüber schickt, sieht für den Empfänger wie ein gekaufter Versandkanal aus. Reputation baut sich über Wochen auf. Wir starten deshalb mit ein paar hundert Mails am Tag und steigern über zwei bis drei Wochen, auch wenn das im Projektplan lästig ist.
Automatisierte Mails sehen sich alle gleich. Identischer Betreff, identischer Aufbau, ein Link, wenig Text. Für sich genommen ist das kein Problem, zusammen mit einer jungen Domain und ohne jede Interaktion der Empfänger schon.
Rückläufer sind teuer, wenn niemand sie verarbeitet. Schickt eine Automatisierung monatelang an Adressen, die es nicht mehr gibt, weil der Kontakt im CRM nie als unzustellbar markiert wurde, sinkt die Reputation der Absenderdomain messbar. Bei einem Logistikkunden waren es 40 Adressen von 2.800, alle bei Ansprechpartnern, die längst gewechselt hatten.
noreply@ ohne echtes Postfach kostet mehr, als es spart. Rückläufer verschwinden, Beschwerden verschwinden, Antworten von Kunden ebenfalls, und einige Filter bewerten Absender ohne funktionierenden Rückkanal von sich aus schlechter.
Transaktionsmails und Werbung über denselben Kanal zu schicken, drückt die Zustellquote. Eine Newsletter-Kampagne, die viele Empfänger ungelesen löschen, zieht die Auftragsbestätigung mit nach unten, wenn beide über dieselbe Subdomain laufen.
Versand an die eigene Firma
Die Automatisierung verschickt die Freigabeanfrage an einkauf@ der eigenen Firma, mit der eigenen Domain im Absender, aber technisch von außen. Microsoft 365 und Google Workspace behandeln so etwas als Spoofing-Versuch, und je nach Konfiguration landet die Mail in einer Quarantäne, die ein Administrator freigeben müsste. Getestet wird dieser Weg fast nie.
Bei einer Klinikgruppe hat das eine Woche Freigaben blockiert. Getestet worden war der Versand vorher mit einer privaten Adresse, und die kam durch.
Wie wir automatisierten Versand aufsetzen
Automatisierter Versand bekommt eine eigene Subdomain, etwa mail.firma.de. Reputationsprobleme bleiben damit getrennt von der Domain, mit der die Geschäftsführung ihre Mails schreibt.
Beim SPF-Eintrag zählen wir die Lookups einmal komplett durch, statt sie zu schätzen. Dienste, die nicht mehr versenden, fliegen aus dem Eintrag. Reicht das nicht, wird der Eintrag zusammengeführt, allerdings mit dem Hinweis, dass er dann bei jeder IP-Änderung eines Anbieters von Hand nachgezogen werden muss.
DKIM richten wir mit eigener Domain ein. Jede seriöse Versandplattform bietet das an, es kostet zwei DNS-Einträge und eine halbe Stunde. Damit passt die signierende Domain zum Absender, und DMARC besteht.
DMARC beginnt mit p=none und einer Reporting-Adresse. Die Berichte, die dann täglich eintreffen, zeigen jeden Dienst, der in Ihrem Namen sendet, in der Regel zwei mehr als erwartet. Erst wenn die Berichte zwei Wochen unauffällig sind, gehen wir auf quarantine und später auf reject. Der umgekehrte Weg, gleich mit reject anzufangen, hat bei einem Kunden den Rechnungsversand für einen halben Tag stillgelegt.
Rückläufer landen in einem Postfach, das ausgelesen wird. Ein harter Rückläufer setzt im CRM ein Feld, und die Automatisierung überspringt diese Adresse künftig. Das sind zwei Module und wirkt auf die Zustellquote stärker als jede weitere DNS-Änderung.
Gemessen wird Zustellung, nicht Versand. Versandanbieter liefern Webhooks für delivered, bounced und complained. Diese Ereignisse gehören zurück in die Automatisierung, damit die Zustellquote pro Tag sichtbar wird. Fällt sie unter einen Schwellwert, geht eine Meldung raus.
Dazu je ein Postfach bei Gmail, Outlook und GMX als stiller Empfänger einer Testmail pro Tag. Liegt die Bestätigung dort im Spam, wissen Sie es am selben Tag und nicht nach vier Wochen über den Innendienst.
Zehn Minuten für den ersten Blick
Schicken Sie eine Mail aus der Automatisierung an ein Gmail-Konto und öffnen Sie dort "Original anzeigen". Sie sehen SPF, DKIM und DMARC mit PASS oder FAIL und zusätzlich, welche Domain DKIM signiert hat. Weicht sie von Ihrer Absenderadresse ab, haben Sie das Alignment-Problem, auch wenn dreimal PASS dasteht.
Prüfen Sie danach, ob unter _dmarc.ihredomain.de überhaupt ein Eintrag liegt. In etwa der Hälfte der Fälle, die wir sehen, fehlt er. Dann fehlen auch alle Berichte darüber, wer in Ihrem Namen sendet und mit welcher Erfolgsquote.
Bei dem Sanitärgroßhändler war die Ursache genau dieses Alignment. Die Einrichtung hat zwei Stunden gedauert, die Zustellquote lag danach bei 98 Prozent. Die vier Wochen davor haben den Innendienst mehr Zeit gekostet als das Formular, das die Automatisierung ersetzen sollte.