Gmail- und Yahoo-Anforderungen 2026: die vollständige Checkliste für Absender

Was verlangen Gmail und Yahoo von Absendern?

Wenn Sie täglich rund 5.000 Nachrichten oder mehr an private Gmail- oder Yahoo-Konten senden, müssen Sie mit SPF, DKIM und DMARC authentifizieren, eine Abmeldung mit einem Klick anbieten und Ihre Spam-Beschwerderate unter 0,30 % halten. Das sind keine Empfehlungen: Die Regeln gelten seit dem 1. Februar 2024 und werden seither immer strenger durchgesetzt.

Die Kurzfassung, falls Sie nur einen Absatz lesen:

• Authentifizieren Sie alles. SPF und DKIM müssen bestehen, DMARC muss vorhanden sein (mindestens p=none), und Ihre From-Domain muss mit SPF oder DKIM ausgerichtet sein.
• Abmeldung mit einem Klick. Die in RFC 8058 beschriebenen List-Unsubscribe-Header plus ein sichtbarer Abmeldelink im Text. Anfragen innerhalb von zwei Tagen bearbeiten.
• Unter 0,30 % Beschwerden bleiben. Google empfiehlt, unter 0,10 % zu bleiben.
• Die Technik muss stimmen. TLS bei der Übertragung, gültige Forward- und Reverse-DNS-Einträge für Ihre Versand-IPs.

Microsoft hat inzwischen mit eigenen Regeln für Outlook.com, Hotmail.com und Live.com nachgezogen. Wer für Gmail konform ist, erfüllt weitgehend auch die Anforderungen von Microsoft.

Wer gilt als Massenversender?

Google definiert einen Massenversender als jeden, der innerhalb von 24 Stunden annähernd 5.000 Nachrichten oder mehr an private Gmail-Konten sendet. Zwei Details werden dabei regelmäßig übersehen.

Erstens wird pro Domain gezählt, nicht pro Kampagne oder Liste. Senden mehrere Werkzeuge über dieselbe Domain, addieren sich die Mengen. Zweitens gelten Sie nach dem Überschreiten der Schwelle dauerhaft als Massenversender: Ein einziger großer Saisonversand kann also verändern, wie Ihre Post danach bewertet wird.

Die Schwelle betrifft nur private Konten. E-Mails an Google-Workspace-Adressen zählen nicht dazu, werden aber ebenfalls nach Reputation gefiltert. Die Anforderungen bleiben also in jedem Fall gute Praxis.

Unterhalb von 5.000 pro Tag werden die Regeln nicht gegen Sie durchgesetzt. Sie sind trotzdem der Maßstab, mit dem jeder Mailanbieter beurteilt, ob Sie seriös wirken. Der praktische Rat für kleinere Absender lautet deshalb genauso: Machen Sie es trotzdem.

Was hat sich seit dem Start geändert?

Die Anforderungen sind nicht neu, aber die Folgen eines Verstoßes sind deutlich härter als zu Beginn. Die Chronologie, auf die es ankommt:

Die letzte Zeile verdient die meiste Aufmerksamkeit. Eine Zeit lang landete nicht konforme Post vor allem im Spam-Ordner. Heute kann sie direkt an der Tür abgewiesen werden — dann erreicht sie überhaupt keinen Ordner mehr.

Anforderung 1: mit SPF, DKIM und DMARC authentifizieren

Alle drei sind Pflicht, und sie müssen zueinander passen.

SPF ist ein DNS-Eintrag, der festlegt, welche Server für Ihre Domain senden dürfen. Er muss bestehen und unter der Grenze von 10 DNS-Abfragen bleiben — der häufigste Grund, warum ein scheinbar korrekter SPF-Eintrag in Wahrheit scheitert.

DKIM signiert Ihre Nachrichten kryptografisch, damit der empfangende Server bestätigen kann, dass unterwegs nichts verändert wurde. Es muss bestehen. Nutzen Sie einen 2048-Bit-Schlüssel, wo Ihr Anbieter das unterstützt.

DMARC sagt den Mailanbietern, was bei fehlgeschlagener Authentifizierung zu tun ist, und liefert Ihnen Berichte. Eine Richtlinie p=none erfüllt die Anforderung — was viele überrascht, die p=reject für nötig halten. Beginnen Sie mit none, lesen Sie die Berichte und verschärfen Sie auf quarantine oder reject, sobald alle legitimen Quellen bestehen.

Die Ausrichtung wird am häufigsten übersehen. SPF oder DKIM zu bestehen genügt nicht: Die Domain im sichtbaren From-Header muss zu der Domain passen, die bestanden hat. Eine Nachricht kann SPF für die Domain eines Dienstleisters bestehen und trotzdem an DMARC scheitern, weil beide nicht übereinstimmen.

Anforderung 2: Abmeldung mit einem Klick

Werbliche und abonnierte Nachrichten müssen eine Abmeldung mit einem einzigen Klick erlauben — ohne Zwischenseite, ohne Login und ohne Präferenzcenter dazwischen. Technisch sind das zwei Header, List-Unsubscribe und List-Unsubscribe-Post: List-Unsubscribe=One-Click, wie in RFC 8058 beschrieben.

Drei Fehler kommen immer wieder vor. Die Header ersetzen nicht den sichtbaren Abmeldelink im Text, der weiterhin Pflicht ist. Abmeldewünsche müssen binnen zwei Tagen umgesetzt werden. Und der Header muss per DKIM signiert sein, um als vertrauenswürdig zu gelten: Eine nicht authentifizierte Nachricht mit perfektem Abmelde-Header erfüllt die Anforderung trotzdem nicht.

Über Mailpro versandte Kampagnen tragen diese Header automatisch und verbinden sie mit dem echten Abmeldeprozess. Post, die Ihre eigene Anwendung über ein SMTP-Relay verschickt, ist ein anderer Fall: Dort liegen die Header bei Ihnen. Unser Leitfaden zur Ein-Klick-Abmeldung und den List-Unsubscribe-Headern enthält die genaue Syntax und eine Testliste.

Unsicher, ob Ihre Einträge tatsächlich bestehen? Mailpro führt Sie durch die Einrichtung von SPF, DKIM und DMARC und zeigt Ihnen das Ergebnis vor dem Versand.

Anforderung 3: Spam-Beschwerden unter 0,30 % halten

Die harte Obergrenze liegt bei 0,30 % der zugestellten Nachrichten, die als Spam markiert werden, gemessen in den Google Postmaster Tools. Googles eigene Empfehlung lautet, unter 0,10 % zu bleiben, und dieser Abstand ist keine Erbsenzählerei: 0,30 % ist der Wert, ab dem gehandelt wird, keine bequeme Reiseflughöhe. Wer ihn kurz überschreitet, braucht Wochen zur Erholung.

Die Beschwerderate wird pro Domain und pro IP über ein gleitendes Zeitfenster bewertet, sodass ein einziger schlechter Versand den Durchschnitt eine Weile belastet. Die wirksamen Gegenmittel sind unspektakulär: Senden Sie nur an Menschen, die sich wirklich angemeldet haben, machen Sie das Abmelden leichter als das Beschweren, entfernen Sie Inaktive nach festem Plan, und verwenden Sie nie eine alte Liste wieder, die ein Jahr lang unangetastet blieb.

Zwei Leitfäden gehen tiefer: die Beschwerderate unter 0,3 % halten und wie Sie sie unter 0,1 % senken.

Anforderung 4: TLS, DNS und Nachrichtenhygiene

Der Rest ist Infrastruktur statt Strategie und in der Regel Aufgabe Ihrer Versandplattform:

• TLS für die Übertragung. Unverschlüsselte Verbindungen sind für Massenverkehr nicht akzeptabel.
• Gültige Forward- und Reverse-DNS-Einträge für Versand-IPs. Der PTR-Eintrag muss auf den Hostnamen zurückverweisen, der auf die IP auflöst.
• Standardkonformes Nachrichtenformat mit korrektem Absendernamen und korrekter Domain, ohne irreführende Header oder Betreffzeilen.
• Geben Sie sich nicht als Gmail oder Yahoo aus im From-Header. Der Versand als gmail.com-Adresse über eigene Infrastruktur lässt DMARC scheitern.

Was passiert bei Nichteinhaltung?

Sie sehen es in Bounce-Meldungen, nicht in einer Warn-E-Mail. Genau deshalb entdecken viele Absender das Problem spät.

Der Code, den Sie bei Gmail kennen sollten, ist 5.7.26: Die Nachricht wurde nicht angenommen, weil sie nicht korrekt authentifiziert war. Das Gegenstück von Microsoft lautet 550 5.7.515 Access denied und besagt, dass die Versanddomain die erforderliche Authentifizierungsstufe nicht erreicht.

Beides sind dauerhafte Ablehnungen. Die Nachricht wartet nicht im Spam-Ordner, sie wurde abgewiesen. Während der Verschärfungsphasen treten auch vorübergehende Fehler auf, weshalb ein plötzlicher Anstieg von Zustellverzögerungen dieselbe Aufmerksamkeit verdient wie eine echte Blockade. Wenn es speziell Microsoft betrifft, beschreibt unser Leitfaden zum Blockiertwerden durch Microsoft und Outlook den Weg zurück.

Wie prüfen Sie, ob Sie konform sind?

Nehmen Sie nichts an. Prüfen Sie, in dieser Reihenfolge:

1. Schicken Sie sich einen Test an eine private Gmail-Adresse und öffnen Sie das Original. Die Authentifizierungsübersicht muss bei SPF, DKIM und DMARC pass anzeigen.
2. Prüfen Sie die Google Postmaster Tools. Google hat dort eigens ein Compliance-Dashboard ergänzt, damit Absender neben der Spam-Rate sehen, wo sie gegenüber den Anforderungen stehen.
3. Lesen Sie Ihre DMARC-Berichte zwei Wochen lang, bevor Sie die Richtlinie verschärfen. Sie enthüllen vergessene Quellen — Rechnungssystem, CRM, ein Buchungstool — die beim Wechsel auf reject brechen.
4. Testen Sie den Abmeldeweg von Anfang bis Ende, inklusive der Frage, ob ein Klick die Adresse binnen zwei Tagen wirklich entfernt.
5. Beobachten Sie Ihr Bounce-Protokoll auf 5.7.26 und 550 5.7.515.

Wenn Ihre Posteingangsplatzierung ohne erkennbaren Grund eingebrochen ist, arbeiten Sie die Ursachen systematisch ab, bevor Sie sonst etwas ändern.

Was Mailpro für Sie übernimmt

Das meiste auf dieser Liste ist Infrastruktur, und genau dafür gibt es eine Versandplattform. Bei Mailpro ist die Einrichtung von SPF, DKIM und DMARC geführt statt improvisiert, Kampagnen tragen die RFC-8058-Abmeldeheader automatisch, Abmeldungen werden sofort verarbeitet, TLS und Reverse DNS liegen bei uns, und Ihre Beschwerde- und Bounce-Raten sind in Echtzeit sichtbar, statt erst nach dem Schaden aufzufallen.

Ihnen bleibt der Teil, den keine Plattform übernehmen kann: erwünschte Post an Menschen zu senden, die darum gebeten haben.

Häufige Fragen

Gelten die Anforderungen von Gmail und Yahoo auch bei weniger als 5.000 E-Mails pro Tag?

Die Durchsetzung zielt auf Absender über rund 5.000 Nachrichten täglich an private Konten. Darunter werden die Anforderungen nicht gegen Sie angewandt, sie bleiben aber die Kriterien, nach denen Ihre Vertrauenswürdigkeit beurteilt wird. Sie zu erfüllen verbessert die Zustellbarkeit bei jedem Volumen.

Reicht p=none für DMARC?

Ja. Google und Microsoft akzeptieren eine Mindestrichtlinie von p=none, sofern der Eintrag existiert und Ihre From-Domain mit SPF oder DKIM ausgerichtet ist. Ein Wechsel zu quarantine oder reject schützt Ihre Marke vor Spoofing, ist aber nicht das, was die Anforderung verlangt.

Was ist eine gute Spam-Beschwerderate?

Unter 0,10 %. Die durchgesetzte Obergrenze liegt bei 0,30 %, aber das ist der Punkt, an dem Filterentscheidungen gegen Sie ausfallen, kein Zielwert zum Verweilen.

Kann ich dank Ein-Klick-Abmeldung den Abmeldelink aus meinen E-Mails entfernen?

Nein. Die List-Unsubscribe-Header kommen zum sichtbaren Abmeldelink im Nachrichtentext hinzu, sie ersetzen ihn nicht.

Gelten diese Regeln auch für Transaktions-E-Mails?

Die Authentifizierung gilt für alles, was Sie senden. Die Ein-Klick-Abmeldung betrifft werbliche und abonnierte Nachrichten, nicht echte Transaktionspost wie Passwort-Resets oder Belege. Werbeinhalte in eine Transaktionsnachricht zu packen, befreit diese nicht davon.

Meine E-Mails bouncen plötzlich mit 5.7.26. Was zuerst?

Prüfen Sie zuerst die Authentifizierung. Der Code bedeutet, dass die Nachricht als nicht authentifiziert abgelehnt wurde. Die Ursache ist fast immer ein fehlerhafter oder falsch ausgerichteter SPF-, DKIM- oder DMARC-Eintrag und nicht Inhalt oder Reputation.