E-Mails der Website kommen nicht an? Ursachen und Lösung

Wenn E-Mails Ihrer Website oder Domain nicht ankommen, liegt es fast immer an der Authentifizierung, nicht an der Mail selbst. Seit Februar 2024 filtern oder blockieren Gmail und Yahoo, seit Mai 2025 auch Outlook.com, Mails, die nicht nachweisen können, dass sie wirklich von Ihrer Domain stammen. Die Lösung: über einen richtigen Versanddienst senden und drei DNS-Einträge für Ihre Domain korrekt setzen, SPF, DKIM und DMARC. Bei einer sonst funktionierenden Website ist das meist ein paar Stunden Arbeit für einen Entwickler, kein Relaunch.

Das betrifft das Kontaktformular, Bestellbestätigungen Ihres Onlineshops, Passwort- und Registrierungsmails und auch Ihre eigene geschäftliche Mail, die bei Kunden im Spam landet. Die Ursachen überschneiden sich: Es ist jedes Mal Ihre Domain, die versendet.

Die ersten 15 Minuten: Was Sie selbst prüfen können

1. Finden Sie heraus, wo die Mail gelandet ist. Sehen Sie im Spam- bzw. Junk-Ordner nach und testen Sie mit einer Gmail- und einer Outlook.com-Adresse. Bei einem im Spam, beim anderen gar nicht: Das grenzt das Problem schon ein.
2. Suchen Sie eine Unzustellbarkeitsnachricht. Wenn Sie selbst gesendet haben, enthält die Antwort von "Mail Delivery Subsystem" oder "postmaster" einen Fehlercode. Kopieren Sie ihn. 550-5.7.26 ... DMARC policy von Gmail und 550 5.7.515 von Outlook bedeuten beide: Authentifizierung fehlgeschlagen.
3. Lesen Sie die Header einer Mail, die angekommen ist. In Gmail: Nachricht öffnen, drei Punkte, "Original anzeigen". Dort stehen SPF, DKIM und DMARC jeweils mit PASS oder FAIL. Machen Sie einen Screenshot.
4. Was hat sich geändert? Neues Hosting, Umzug zu Microsoft 365 oder Google Workspace, ein neues Formular-Plugin oder ein neues Newsletter-Tool sind die typischen Auslöser. Notieren Sie das Datum, ab dem es nicht mehr ging.
5. Prüfen Sie Ihre DNS-Einträge. Geben Sie Ihre Domain in den MXToolbox SuperTool ein und führen Sie den SPF-, DMARC- und Blacklist-Check aus. Zwei SPF-Einträge, kein DMARC-Eintrag oder ein Blacklist-Eintrag sind konkrete Befunde, mit denen ein Entwickler arbeiten kann.
6. Lassen Sie einen Test-Score erstellen. mail-tester.com gibt Ihnen eine Adresse; senden Sie eine Nachricht über Ihr Formular oder Ihren Shop dorthin, und Sie erhalten eine Bewertung mit allem, was fehlschlägt.

Bewahren Sie Screenshots und Fehlercodes auf: Sie sparen dem Entwickler bezahlte Zeit.

SPF, DKIM und DMARC einfach erklärt

• SPF ist eine Liste in Ihrem DNS mit den Servern, die im Namen Ihrer Domain senden dürfen. Senden Ihr Hoster, Ihr Mailanbieter und Ihr Newsletter-Tool alle als Sie, müssen alle drei darin stehen. Pro Domain ist nur ein SPF-Eintrag erlaubt, mit höchstens 10 DNS-Abfragen; sonst schlägt SPF mit einem permanenten Fehler fehl (RFC 7208).
• DKIM ist eine digitale Signatur auf jeder Nachricht. Der Versanddienst signiert, der öffentliche Schlüssel liegt in Ihrem DNS, und der Empfänger prüft, dass die Nachricht wirklich von Ihnen kommt und unterwegs nicht verändert wurde. Jeder Dienst hat einen eigenen Schlüssel und damit einen eigenen DNS-Eintrag.
• DMARC verknüpft beides mit der Adresse, die Ihr Kunde im Absenderfeld sieht. Es sagt dem Empfänger, was bei einem Fehlschlag passieren soll (nichts, Spam oder Ablehnung), und wohin tägliche Berichte gehen. In diesen Berichten sehen Sie jeden Dienst, der als Ihre Domain sendet, auch die vergessenen.

Woran die meisten Websites scheitern, ist das Alignment: SPF oder DKIM muss für dieselbe Domain bestehen, die in der Absenderadresse steht. Ein Formular, das als info@ihrshop.de von einem Server sendet, der sich nur als Domain des Hosters authentifiziert, besteht nichts, was zählt.

Was Gmail, Yahoo und Outlook heute verlangen

Quellen: Richtlinien von Google, Yahoo Sender Hub und Postmaster-Richtlinien von Microsoft. Google schreibt, dass es ab November 2025 die Durchsetzung verschärft, mit vorübergehenden und dauerhaften Ablehnungen. Auch die Postmaster-Seite von t-online.de verlangt unter anderem ein bestätigtes Reverse-DNS und lehnt Verbindungen von Servern ab, die gängige Internet-Standards nicht erfüllen. Wenige KMU senden 5.000 Mails am Tag, aber die Regeln für "alle Absender" gelten auch für Sie.

Symptom, wahrscheinliche Ursache, was zu tun ist

Die Zeile zum Test-Maildienst sehen wir oft bei Apps, die schnell mit KI-Tools gebaut wurden. Supabase schreibt etwa, dass sein eingebauter Maildienst "not meant for production use" ist, nur an Ihr eigenes Team sendet und auf 2 Nachrichten pro Stunde begrenzt ist. Unsere Launch-Checkliste für Vibe-Coding-Produkte behandelt diese und ähnliche Lücken.

Warum Website-Mails scheitern und was hilft

Die meisten Websites versenden auf die billigste Art: mit der PHP-Funktion mail() oder dem geteilten Mailserver des Hosters. WPForms, Hersteller eines der meistgenutzten WordPress-Formular-Plugins, sagt es deutlich: "no authentication, no retry logic, no logging", und auf Shared Hosting kann ein einziger schlechter Nachbar die gemeinsame IP auf eine Blacklist bringen. Die Google-Hilfe zu Kontaktformularen bringt es auf den Punkt: Ein Kontaktformular, das automatisch Nachrichten sendet, ist ein E-Mail-Absender für Ihre Domain. Es braucht also SPF und DKIM wie jeder andere Absender.

Die Lösung ist ein Dienst für Transaktionsmails, dessen einzige Aufgabe es ist, Einzelmails wie Bestätigungen und Passwort-Resets zuzustellen. Sie erhalten DKIM-Schlüssel für Ihre Domain, ein Protokoll jeder Nachricht und Einblick in Bounces. Die veröffentlichten Preise (in US-Dollar) sind niedrig:

In WordPress binden Sie einen solchen Dienst über ein SMTP-Plugin an; in einer individuellen App ist es eine kleine Code-Änderung. Schwierig ist, DNS, Alignment und alle Absender richtig hinzubekommen.

DMARC einführen, ohne die eigene Mail zu blockieren

Google empfiehlt diese Reihenfolge für DMARC:

1. Richten Sie SPF und DKIM mindestens 48 Stunden vor DMARC ein.
2. Veröffentlichen Sie v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de. Nichts wird blockiert; Sie erhalten Berichte.
3. Lesen Sie die Berichte mindestens eine Woche lang. Jeder nicht ausgerichtete Dienst darin ist ein Absender, den Sie reparieren müssen: das Buchungstool, die Rechnungssoftware, das alte Formular.
4. Wechseln Sie zu p=quarantine mit einem kleinen pct=-Wert und erhöhen Sie ihn bis 100.
5. Erst dann ziehen Sie p=reject in Betracht.

Direkt auf reject zu springen ist der klassische selbst verursachte Ausfall: Ihre Rechnungen oder Bestellbestätigungen werden noch am selben Tag abgelehnt. Wenn Sie nur die Regeln von Gmail, Yahoo und Outlook erfüllen wollen, reicht p=none mit Berichten.

Wann Sie einen Entwickler rufen sollten

• Bestellbestätigungen oder Passwort-Mails kommen nicht an. Das kostet jede Stunde Umsatz und Support-Anfragen. Behandeln Sie es wie einen Ausfall.
• Sie sehen Bounces mit 5.7.26, 5.7.515 oder dem Namen einer Blacklist und wissen nicht, welcher Absender schuld ist.
• Sie wissen nicht, welche Dienste als Ihre Domain senden. Die DMARC-Berichte zeigen es, aber jemand muss sie lesen.
• Der Blacklist-Eintrag stammt von einer gehackten Website. Ein Delisting, bevor die Lücke geschlossen ist, führt zum nächsten Eintrag. Siehe unsere Checkliste für gehackte WordPress-Seiten.
• Wer Ihre Mail eingerichtet hat, ist nicht erreichbar.

Was Sie bereithalten sollten

• Zugang zu Ihrem DNS (oft beim Domain-Registrar oder bei Cloudflare) oder eine Person, die heute Einträge ändern kann.
• Admin-Zugang zur Website oder App, zum Hosting und zu Ihrem Mailanbieter (Google Workspace, Microsoft 365 oder Mail des Hosters).
• Eine Liste der Tools, die als Sie senden: Formular-Plugin, Shop, Newsletter, CRM, Buchungs- und Rechnungssoftware.
• Ihre Bounces, Header-Screenshots und das Datum, ab dem es begann.
• Ein Konto bei einem Versanddienst oder die Erlaubnis, eines in Ihrem Namen anzulegen, damit es Ihnen gehört.

Was es bei We Do Dev Work kostet

Preise zzgl. MwSt., abgerechnet nach tatsächlichem Aufwand:

• Notfallhilfe: 75 € pro Stunde. Ein Senior-Entwickler beginnt am selben Tag, ohne Mindestabnahme und ohne Onboarding. Auch außerhalb der Geschäftszeiten möglich; am Wochenende kostet es 50 % mehr (112,50 € pro Stunde). Auf Wunsch unterschreiben wir eine Geheimhaltungsvereinbarung.
• Stundenkontingent: 910 € für 14 Stunden (rund 65 € pro Stunde). Start innerhalb von 24 Stunden, Abbuchung nach Aufwand, 4 Monate gültig. Gut für "Mails jetzt reparieren, danach SPF, DMARC und die anderen Absender sauber aufräumen".
• Abo: ab 480 € pro Monat für 8 Stunden, mit Updates und Monitoring. Growth kostet 1.920 € für 32 Stunden mit Reaktion am selben Tag. Mindestens 3 Monate.

Ein einzelner falscher Eintrag ist oft in den ersten Stunden gefunden und behoben. Eine Website oder App auf einen Versanddienst umzustellen, DKIM für jedes Tool einzurichten und DMARC einzuführen dauert länger; wir sagen Ihnen vorab, welchen Umfang wir erwarten. Zum Vergleich mit Notfalltarifen anderswo: was ein Notfall-Entwickler kostet.

So entscheiden Sie

• Bestell-, Buchungs- oder Passwort-Mails scheitern jetzt: Notfallhilfe, noch heute.
• Mails kommen an, aber im Spam, keine Eile: ein Stundenkontingent, damit Reparatur und DMARC-Einführung in einen vorausbezahlten Block passen.
• Sie fügen laufend Tools hinzu, die Mails senden, oder es ging schon einmal schief: ein Abo, damit jemand die DMARC-Berichte verfolgt und jeden neuen Absender prüft.
• Sie haben einen eigenen Entwickler: Geben Sie ihm diesen Artikel, die DMARC-Schritte und DNS-Zugang. Das ist gut dokumentierte Arbeit.

So beugen Sie beim nächsten Mal vor

• Senden Sie alle Mails von Website und App über einen einzigen authentifizierten Versanddienst, nie über PHP mail().
• Behalten Sie einen DMARC-Eintrag mit rua-Berichten und lassen Sie diese monatlich prüfen.
• Nehmen Sie jedes neue Tool in SPF und DKIM auf, bevor es die erste Mail sendet, und behalten Sie einen einzigen SPF-Eintrag.
• Testen Sie Ihre Mails nach jedem Wechsel von Hoster, Domain, DNS-Anbieter oder Mailanbieter erneut. Unser Ratgeber zu Kosten der Website-Wartung zeigt, was eine monatliche Prüfung kostet.
• Wenn Sie Tausende Mails am Tag senden, registrieren Sie Ihre Domain in den Google Postmaster Tools, um Ihre Spamrate bei Gmail zu verfolgen. Bei geringem Volumen zeigt das Tool keine Daten.
• Machen Sie einen kostenlosen EngineeringScore-Audit für einen schnellen Blick auf Sicherheit, Performance und Zuverlässigkeit Ihrer Website.

Ihre Kunden bekommen Ihre Mails nicht?

Senden Sie uns Ihre Domain, die Fehlermeldung oder einen Screenshot über die Seite Notfallhilfe. Sie müssen nicht wissen, welcher Eintrag falsch ist. Ein Senior-Entwickler übernimmt am selben Tag für 75 € pro Stunde, findet den fehlerhaften Absender und sagt Ihnen, was zu tun ist, bevor sich die Stunden summieren. Möchten Sie lieber, dass jemand Ihre Mails und Ihre Website jeden Monat gesund hält, sehen Sie sich unsere Preise für Stundenkontingente und Abos an.