Was sich 2026 bei der E-Mail-Zustellbarkeit geändert hat

Bei der E-Mail-Zustellbarkeit hat sich 2026 mehr geändert als in jedem Jahr seit den Regeln für Massenversender: DMARC wurde im Mai mit RFC 9989 zu einem echten Internetstandard, Gmail und Outlook.com sind von der Filterung zur direkten SMTP-Abweisung übergegangen, Business-Postfächer haben ganz still ein eigenes Regelwerk bekommen, eine KI-Schicht liest das Postfach und bedient es inzwischen auch, und zwei europäische Aufsichtsbehörden haben den Öffnungspixel zu einer Frage der Einwilligung gemacht. Dieser Bericht sammelt, was sich bis August 2026 tatsächlich geändert hat, jede Änderung mit Datum, und schließt damit, was du mit jeder davon machst.

Ein Muster zieht sich durch alles. Authentifizierung, Absender-Reputation, Empfänger-Interaktion und rechtliche Compliance haben 2026 aufgehört, getrennte Aufgaben zu sein: jede Änderung unten zieht die Verbindung zwischen mindestens zwei von ihnen enger.

DMARC wurde zum Standard: RFC 9989 ersetzt RFC 7489

Die IETF hat DMARC im Mai 2026 als RFC 9989 veröffentlicht und damit ein Jahrzehnt beendet, in dem das Protokoll, das jeder große Mailbox-Provider verlangt, formal nur ein informatives Dokument war. Es kam als drei Dokumente, RFC 9989 für das Protokoll, RFC 9990 für aggregierte Berichte und RFC 9991 für Fehlerberichte, die gemeinsam RFC 7489 ablösen und DMARC auf den Standards Track heben.

Von allein bricht nichts: v=DMARC1 bleibt der einzige Versionsstring, und bestehende Einträge bleiben gültig. Aber drei Tags sind weg, pct, ri und rf, und das prozentweise Ausrollen, das pct geboten hat, wird durch ein Test-Flag ersetzt, t=y, das deine Policy eine Ebene tiefer anwendet.

Diese Entfernung ist die eine Änderung, die verändert, was mit deiner Mail passiert, ohne dass du das DNS anfasst. Unter RFC 7489 hat p=reject; pct=25 ein Viertel der fehlschlagenden Nachrichten abgewiesen. Ein Empfänger, der RFC 9989 folgt, ignoriert das Tag und weist alle ab. Der DMARC-Checker von Unspam markiert genau deshalb alle drei als historische Tags.

Die fehlende Hälfte ist der Rollout. Stand August 2026 hat sich weder Google noch Yahoo noch Microsoft öffentlich auf die Semantik von RFC 9989 verpflichtet, und ihre Dokumentation beschreibt DMARC weiter in den Begriffen von RFC 7489. Beide Lesarten von pct sind damit gleichzeitig aktiv. Den Baumdurchlauf, die DKIM2-Entwürfe und den Vorschlag, ARC abzuschaffen, behandelt unser Leitfaden zu DKIM2 und DMARCbis.

Ein neuer Vorschlag greift genau das an, was dieses Jahr schlimmer gemacht hat. Draft-brotman-aggregate-performance-reporting, eingereicht am 17. März 2026 von Autoren bei Comcast, Iterable und Google, würde Mailbox-Provider dazu bringen, Absendern aggregierte Platzierungsberichte zu schicken: Posteingang gegen Unerwünscht-Ordner, plus Interaktion aufgeteilt in positiv, neutral und negativ. Er stützt sich auf die DKIM-Werte d= und s= statt auf die From-Domain und wird unter <selector>._aprf._domainkey.<domain> gefunden. Lies den Status ehrlich: eine Einzeleinreichung, keine Arbeitsgruppe, Status „I-D Exists“, und ein Standardtext, der festhält, dass sie im IETF-Prozess keinen formalen Rang hat. Es ist der erste ernsthafte Versuch, das Schließen aus Seed-Listen durch vom Provider gemeldete Wahrheit zu ersetzen, und er ist weit davon entfernt, zu erscheinen.

Gmail eskalierte von der Filterung zu SMTP-Abweisungen

Gmail hat im November 2025 begonnen, nicht konforme Massenmail auf SMTP-Ebene abzuweisen, und Google beschreibt die Eskalation als allmählich und fortschreitend, nicht als Schalter. Die FAQ zu den Absenderrichtlinien warnt, dass nicht konformer Verkehr mit Störungen bis hin zur Abweisung rechnen muss, zuerst als temporäre 4.7.x-Fehler und dann als permanente 5.7.x-Fehler: 5.7.25 für einen fehlenden PTR-Eintrag, 5.7.26 und 5.7.27 für SPF, 5.7.30 für DKIM, 5.7.29 für fehlendes TLS.

Die Anforderungen selbst haben sich nicht bewegt, und es sind die Regeln vom Februar 2024, die unser Leitfaden zu den Gmail- und Yahoo-Anforderungen behandelt: Spamrate unter 0,1 % und niemals 0,3 % erreichend, SPF, DKIM und DMARC, Abmeldung mit einem Klick. Für die Erholung gibt es eine veröffentlichte Zahl, die man kennen sollte, bevor man in Panik gerät: ein Massenversender wird wieder für eine Milderung berechtigt, sobald seine Spamrate sieben Tage hintereinander unter 0,3 % bleibt.

Der Geltungsbereich ist enger, als die meisten Absender annehmen, und Google sagt es unmissverständlich: die Absenderrichtlinien für E-Mails "don't apply to messages sent to Google Workspace accounts". Die Schwellenwerte, die Massen-Definition ab 5.000 am Tag und das gesamte Abweisungsregime gelten für Mail an persönliche gmail.com-Empfänger. Mail an ein Unternehmen, das auf Workspace läuft, wird von der Konfiguration dieses Tenants gefiltert. Ein B2B-Absender, der bei einer Liste voller Geschäftsdomains auf 0,1 % hin optimiert, stimmt sich auf eine Regel ab, die für diese Empfänger nicht gilt. Auch die Definition von 5.000 am Tag ist Googles eigene; Yahoo hat noch nie einen Volumen-Schwellenwert veröffentlicht.

Die Werkzeuge haben sich stärker geändert als die Regeln. Google hat die alte Oberfläche der Postmaster Tools zu einem Termin abgeschaltet, den die Branche im Herbst 2025 ansetzt, und die API v2 hat am 3. Februar 2026 die allgemeine Verfügbarkeit erreicht. Der Compliance-Status ist damit etwas, das ein Skript nach Plan liest, und nicht etwas, an das sich ein Mensch erinnern muss. Das Ersatzsignal ist gröber als die alte Reputationsskala: v2 liefert ein Urteil zur Zustellbarkeitsanalyse, dessen Begründungscodes SPAM_RATE_HIGH enthalten, dokumentiert als "The spam rate is above 0.1%", dazu USER_FEEDBACK_NEGATIVE, SMTP_ERRORS_HIGH und SENDER_NOT_COMPLIANT. Eine Domain kann jede Compliance-Zeile bestehen und trotzdem ein Urteil bekommen, das sagt, dass Nutzer ihre Mail nicht wollen. Google sagt, dass die Dashboards für Domain- und IP-Reputation abgeschaltet werden, ohne ein Datum zu nennen, und beide sind heute weiter dokumentiert. Unser Leitfaden dazu, warum DMARC fehlschlägt, behandelt den Fehler, auf den die meisten Absender zuerst stoßen.

Outlook.com begann, unauthentifizierte Massenmail abzuweisen, und war dann eine Woche kaputt

Microsoft weist unauthentifizierte Massenmail an seine Consumer-Postfächer inzwischen direkt ab. Domains, die mehr als 5.000 Nachrichten am Tag an outlook.com, hotmail.com, live.com und andere Microsoft-Consumer-Adressen schicken, müssen SPF, DKIM und DMARC bestehen, nach den Anforderungen, die Microsoft am 2. April 2025 angekündigt hat, und eine Überarbeitung vom 29. April hat die geplante Schonfrist im Spam-Ordner übersprungen: seit dem 5. Mai 2025 ist die dokumentierte Maßnahme bei einem Fehlschlag die Abweisung mit 550 5.7.515. Microsoft erwartet, dass SPF und DKIM einzeln bestehen, was strenger ist als DMARCs Logik eines einzigen ausgerichteten Treffers, und der Geltungsbereich sind ausschließlich Consumer-Postfächer.

Dann zeigte sich, dass Compliance notwendig, aber nicht ausreichend ist. Etwa eine Woche lang berichteten Ende Februar 2026 Praktiker, die die Consumer-Plattform beobachten, dass Outlook.com Mail von langjährigen authentifizierten Absendern ratenbegrenzte und abwies, mit temporären 451 4.7.650-Fehlern, die auf die IP-Reputation verwiesen, neben direkten 550-Abweisungen. Microsofts eigene Bestätigung ging nicht weiter als ein Hinweis im Support-Portal über bestimmte IP-Adressen, die zeitweise häufiger abgewiesen würden. Die gemeldete Welle erreichte ihren Höhepunkt am 24. und 25. Februar und war am 26. Februar im Wesentlichen abgeklungen. Es war der sichtbarste Zustellbarkeitsvorfall des Jahres, er traf Absender, deren Einträge in Ordnung waren, und die praktische Lehre dreht sich um Erkennungsgeschwindigkeit: die Absender, die am wenigsten verloren haben, waren die, die es innerhalb von Stunden bemerkt haben.

Microsoft hat das Jahr außerdem damit verbracht, die Belege zu entfernen, mit denen Absender sich selbst diagnostizieren. Seit dem 4. Dezember 2025 verlangt SNDS eine Authentifizierung, um den Netzwerkzugang zu genehmigen, und hat Downloads von Beschwerdestichproben eingestellt, und die Feeds der Spam-Meldungen wurden auf Header mit geschwärzter Absenderadresse zurückgeschnitten. Dann fiel das letzte erstklassige Signal zu Spamfallen: SNDS hat am 22. Juli 2026 aufgehört, die Trefferzahlen von Spamfallen zu melden. Die Schritte zur Erholung stehen in unserem Leitfaden zur Zustellbarkeit bei Outlook.com.

Business-Postfächer bekamen ein eigenes Regelwerk, und niemand hat es Marketern angekündigt

Microsoft hat 2026 begonnen, Geschäftsmail nach kommerzieller Absicht zu sortieren, und die Änderung kam als Tenant-Innenausbau heraus, nicht als Ankündigung an Absender. Microsoft Learn schreibt: "As of July 2026, all messages identified as bulk (regardless of BCL value) automatically receive the Promotions tag", mit einem laufenden Hinweis, dass die Funktion noch ausgerollt wird und bis Mitte September 2026 alle Organisationen erreichen soll.

Das Tag und der Ordner sind zwei verschiedene Dinge, und sie zu verwechseln ist der Weg, auf dem darüber falsch berichtet wird. Die Kennzeichnung ist standardmäßig aktiv und gilt tenantweit, und sie erscheint in Outlook im Web und in Outlook für Windows. Diese Mail tatsächlich in einen Werbung-Ordner umzuleiten, verlangt die separate Einstellung für das Verschieben von Massenmail, die in den voreingestellten Sicherheitsrichtlinien Standard und Strict sowie in der Voreinstellung ohne Richtlinie deaktiviert ausgeliefert wird. Es gibt genau drei Auswege und keine weiteren: der Empfänger hat den Absender in den sicheren Absendern, der Absender liegt in einer akzeptierten Domain des Tenants, oder der Administrator des Empfängers unterdrückt den Stempel mit einer Nachrichtenflussregel. Die Schwellenwerte des Bulk Complaint Level sind unverändert bei 7 in der Voreinstellung, 6 unter Standard und 5 unter Strict.

Tenant-Absender haben außerdem Obergrenzen bekommen, wo Consumer-Absender Filter bekommen haben. Exchange Online setzt ein Tenant External Recipient Rate Limit durch, das begrenzt, wie viele externe Empfänger ein ganzer Tenant in rollierenden 24 Stunden erreichen kann, skaliert nach der Anzahl seiner Lizenzen und für Testtenants fest auf 5.000 am Tag, wobei Mitglieder von Verteilergruppen einzeln gezählt werden, sobald die Gruppe aufgelöst wird. Microsoft hat dann die begleitende Obergrenze pro Postfach fallen gelassen: die für einzelne Postfächer angekündigte Grenze von 2.000 externen Empfängern wurde im Januar 2026 gestrichen, bevor sie überhaupt in Kraft trat, und lässt die Empfängerrate pro Postfach bei 10.000 am Tag. Mail, die von der onmicrosoft.com-Domain eines Tenants ausgeht, ist jetzt weit niedriger begrenzt, auf 100 externe Empfänger pro Organisation und 24 Stunden, abgewiesen mit 550 5.7.236.

Nichts davon ist eine Filterregel, und Microsoft sagt klar, dass Exchange Online für Massenversand nicht geeignet ist. Das ist die eigentliche Botschaft für jeden, der Kampagnen noch aus einem Tenant heraus fährt.

Die US-Consumer-Postfachlandschaft hat sich verdichtet, und Apple hat seine maskierten Adressen verlegt

Ein wachsender Anteil der US-Consumer-Mail wird von Yahoo gefiltert, auch wenn die Adresse etwas anderes sagt. Comcast migriert comcast.net-Postfächer zu unterschiedlichen Zeitpunkten in 2025 und 2026 zu Yahoo Mail, wobei die Adressen bei @comcast.net bleiben. AT&Ts dreizehn Consumer-Domains, darunter att.net, sbcglobal.net und bellsouth.net, lagen schon bei Yahoo, und Yahoo hat ihre MX-Einträge auf die eigene Infrastruktur gerichtet, ab dem 24. Juni 2025. Die verizon.net-Population wird seit 2017 von AOL betreut, auch wenn AOL nicht mehr zu Yahoo gehört: Bending Spoons hat im Oktober 2025 den Kauf vereinbart, und AOL Mail läuft weiter auf Yahoo-Infrastruktur. Eine Präzisierung für Listenanalysen: die MX-Einträge von comcast.net verweisen weiter auf von Comcast betriebene Hosts, die Migration erreicht Nutzer also, bevor Absender sie im DNS sehen können.

Yahoos eigene Anforderungen haben sich seit Februar 2024 nicht geändert. Was Yahoo ergänzt hat, ist Sichtbarkeit: Sender Hub Insights, gestartet am 27. Oktober 2025, meldet Beschwerderaten und die Anzahl zugestellter Nachrichten für DKIM-verifizierte Domains.

Apple hat sich der Authentifizierungserwartung ohne Pressemitteilung angeschlossen. Die Postmaster-Dokumentation für iCloud Mail fordert Massenversender auf, SPF und DKIM zu bestehen und eine DMARC-Policy zu veröffentlichen, hält fest, dass Massenmail, die die Anforderungen nicht erfüllt, abgewiesen wird, und nennt weder eine Frist noch einen veröffentlichten Schwellenwert für Beschwerden. Damit ist das Bild vollständig: alle vier großen US-Consumer-Betreiber erwarten authentifizierte Massenmail und alle vier weisen nicht konforme Massenmail ab, während nur Gmail, Yahoo und Outlook.com datierte Regeln daran hängen. Sortiere Empfänger nach der Postfach-Infrastruktur und nicht nach der Domain hinter dem @, denn ein Reputationsproblem bei Yahoo erreicht heute weit mehr einer US-Consumer-Liste, als die Zahl der yahoo.com-Adressen vermuten lässt.

Apple hat Absendern außerdem eine Hausaufgabe gegeben. Am 15. Juni 2026 hat es angekündigt, dass neue Adressen von Sign in with Apple und von „E-Mail-Adresse verbergen“ in iCloud+ auf einer einzigen Domain ausgegeben werden, private.icloud.com, und E-Mail-Dienstleister gebeten, domainbasierte Filterung, Sperrlisten und Routing-Regeln zu aktualisieren, die Relay-Domains aufzählen. Apple sagte "later this summer", ohne ein Datum zu nennen, behandle es also als angekündigt und nicht als ausgeliefert. Bestehende maskierte Adressen funktionieren weiter.

Eine KI-Schicht liest das Postfach, und bedient es jetzt auch

Gmail und Apple Mail setzen beide maschinengeschriebene Zusammenfassungen und eine maschinengewählte Reihenfolge zwischen eine zugestellte E-Mail und ihren Leser, und 2026 haben dieselben Provider dieser Schicht die Fähigkeit gegeben, zu handeln. Im Lauf von 2025 hat Gmail Gemini-Zusammenfassungskarten über langen Threads ergänzt, eine Abo-Verwaltung sortiert nach häufigstem Absender, und eine Sortierung nach Relevanz, die Werbung nach der Interaktion jedes einzelnen Empfängers ordnet. Google hat das Gmail der Gemini-Ära angekündigt, am 8. Januar 2026, mit Rollout zuerst in den USA, und die KI-Posteingangsansicht, die triagiert, was Aufmerksamkeit verdient, ist weiter Abonnenten vorbehalten. Yahoo hat am 27. Januar 2026 unter seiner Scout-Plattform Zusammenfassungen in Mail angekündigt. Apple hat sich früher und stiller bewegt: die Mail-Kategorien erreichten das iPhone im Dezember 2024 und iPad und Mac 2025, die Kategorisierung läuft auf dem Gerät, und Apple dokumentiert keine Möglichkeit für Absender, sie zu beeinflussen.

Nicht bei jedem Empfänger ist die Schicht eingeschaltet. Gmails Gemini-Funktionen hängen an den Einstellungen für intelligente Funktionen, und Google dokumentiert diese als standardmäßig aus für Nutzer im Europäischen Wirtschaftsraum, in Japan, in der Schweiz und im Vereinigten Königreich, die sie bewusst aktivieren müssen. Eine europäische und eine amerikanische Liste lesen deine Mail nicht durch dieselbe Oberfläche, und der Unterschied ist eine Datenschutz-Voreinstellung und kein Rollout-Plan.

Die handelnde Hälfte ist neu, und die beiden Provider haben die Grenze an verschiedenen Stellen gezogen. Google hat am 22. April 2026 einen Gmail-MCP-Server in der Developer Preview ausgeliefert, beschränkt auf Lesen und Verfassen: ein Agent kann lesen, labeln und Entwürfe schreiben, und ein Mensch sendet weiterhin. Microsofts Mail-MCP-Tools stellen innerhalb eines Tenants Senden, Antworten, Allen antworten, Löschen und Aktualisieren bereit. Und ab dem 27. April 2026 aktiviert Copilot in Outlook standardmäßig einen Aktionsmodus, mit dokumentierten Aktionen, um Mail eines benannten Absenders in einen Ordner zu verschieben, zu archivieren, zur Nachverfolgung zu markieren und Regeln für künftige Nachrichten zu erstellen. Zwei Einschränkungen zählen: das ist Microsoft 365 Frontier Early Access und keine allgemeine Verfügbarkeit, und Microsoft hält fest, dass es Nutzern in der EU derzeit nicht zur Verfügung steht. Die dokumentierte Aktionsliste enthält kein Senden und kein Abmelden.

Für einen Absender ist eine von einem Agenten geschriebene Postfachregel das leiseste schlechte Ergebnis überhaupt: sie leitet deine Mail dauerhaft um, ohne Beschwerde, ohne Abmeldung und ohne ein Signal, das du jemals sehen wirst, und ein Agent, der eine Nachricht archiviert, sieht für den Filter, der Interaktion beobachtet, genau wie ein Mensch aus, der dasselbe tut. Der Funnel hat eine Stufe gewonnen, gesendet zu zugestellt zu Posteingang zu gesehen, und die Platzierung bleibt das Tor. Wie Gmails Änderungen die Absenderstrategie umformen, steht in unserem Leitfaden zur Gmail-Zustellbarkeit, und für das Schreiben für ein Lesen, das mit der Zusammenfassung beginnt, gibt es einen eigenen Leitfaden zu KI-Zusammenfassungen.

Der kaputte Transport eines anderen wurde zu deinem Zustellfehler

Microsoft hat die TLS-Konfiguration anderer Leute zu einem Grund gemacht, dass deine Mail verworfen wird. Ausgangsconnectoren in Exchange Online tragen jetzt die Einstellungen SmtpDaneMode und MtaStsMode, und die Voreinstellungen sind nicht passiv. Im voreingestellten DANE-Modus Opportunistic wird bei einem Ziel, das DANE mit DNSSEC unterstützt, aber die Validierung nicht besteht, die Nachricht 24 Stunden in die Warteschlange gestellt und erneut versucht, während Exchange einen sekundären MX probiert, und wenn nichts besteht und kein sekundärer MX existiert, wird die Nachricht verworfen. Dasselbe gilt für MTA-STS: veröffentlicht das Ziel eine Policy im Enforce-Modus und die Validierung schlägt fehl, wird die Nachricht 24 Stunden in die Warteschlange gestellt und dann verworfen. Mandatory DANE geht weiter und verlangt es von jedem Ziel, verwirft also nach 24 Stunden für jede Domain, die DANE mit DNSSEC überhaupt nicht unterstützt. Die Asymmetrie ist eine Notiz wert: der DANE-Modus akzeptiert Mandatory, der MTA-STS-Modus nicht.

Google hat SPF im Gegenzug stillschweigend billiger gemacht. Stand 20. August 2026 löst _spf.google.com zu einem einzigen Eintrag ohne include:-Terme auf, include:_spf.google.com kostet also einen deiner zehn SPF-Lookups statt vier, und _netblocks3.google.com antwortet jetzt mit einem leeren v=spf1 ~all. Google hat dazu nichts veröffentlicht, es existiert also kein Umstellungsdatum zum Zitieren; es ist ein beobachteter Zustand, den du mit einer Abfrage selbst bestätigen kannst. Die handlungsrelevante Hälfte betrifft jeden, der _netblocks, _netblocks2 und _netblocks3 vor Jahren fest in seinen Eintrag geschrieben hat, um das Lookup-Limit zu umgehen: einige dieser Terme lösen inzwischen zu nichts auf und kosten trotzdem einen Lookup. Prüfe mit dem SPF-Checker von Unspam, wozu dein Eintrag tatsächlich auswertet.

Öffnungsraten sind weiter zerbrochen, und zwei Behörden haben den Pixel zur Einwilligungsfrage gemacht

Eine Öffnungsrate ist Ende 2025 gefallen, ohne dass eine Zustellbarkeitsänderung dahinter stand. Validitys Telemetrie zeigt, dass Gmails Bildproxy das Vorabladen von Pixeln Ende November 2025 um etwa ein Drittel reduziert hat, wobei einige Validity-Kunden die Gmail-Öffnungen im Quartalsvergleich um 30 % oder mehr fallen sahen. Validity hat die Gmail-Posteingangsplatzierung in denselben Monaten um etwa 3 % niedriger gemessen, der Einbruch bei den Öffnungen ist also ein Vielfaches der Platzierungsänderung darunter. Nimm KI-Zusammenfassungen dazu, die eine Nachricht verdauen, ohne sie auf die klassische Weise zu laden, und der Schluss, den die meisten Teams schon vor Jahren gezogen haben, ist jetzt unausweichlich: Öffnungen sind höchstens eine Richtungsangabe.

Dann haben zwei europäische Aufsichtsbehörden den Pixel zu einem rechtlichen Gegenstand gemacht und die Grenze an verschiedenen Stellen gezogen. Frankreichs CNIL hat am 12. März 2026 die Délibération n° 2026-042 verabschiedet, veröffentlicht im Journal officiel am 14. April. Ihre FAQ erlaubt einen Zustellbarkeitspixel ohne Einwilligung nur, wenn das eine erhobene Datum das Datum der letzten Öffnung ist, und hält fest, dass das Protokollieren einer IP-Adresse oder eines User Agents die Ausnahme verwirkt, selbst wenn diese Daten danach anonymisiert oder gelöscht werden. Der Geltungsbereich ist umfassend: jeder Einsatz von Trackern in E-Mails, B2B eingeschlossen. Absender hatten drei Monate, um Empfänger zu informieren, deren Adressen älter als die Veröffentlichung sind, also bis zum 14. Juli 2026, verlängerbar mit einer dokumentierten Begründung.

Italiens Garante ist bei der Frage, welche Messung überlebt, zum umgekehrten Ergebnis gekommen. Sein provvedimento n. 284 vom 17. April 2026, veröffentlicht in der Gazzetta Ufficiale am 29. April mit sechs Monaten Umsetzungsfrist, verlangt eine vorherige Einwilligung, die freiwillig, spezifisch und informiert ist, und nimmt die anonymisierte aggregierte Messung der Öffnungsrate als notwendig für Zustellbarkeits- und Antispam-Arbeit aus. Es verlangt außerdem eine einfache Möglichkeit, die Einwilligung selektiv zu widerrufen, damit ein Empfänger das Tracking abschalten kann, ohne sich abzumelden, was heute kaum eine E-Mail-Plattform darstellt.

Lies sie zusammen, denn ein paneuropäischer Absender kann nicht eine einzige Pixel-Policy ausliefern. Frankreich nimmt die individuelle Messung aus, reduziert auf ein Datum der letzten Öffnung; Italien nimmt aggregierte Statistik aus und nicht die Messung pro Empfänger. Für italienische Kontakte hat ein auf Öffnungen gestütztes Aussortieren keine Ausnahme, in die es sich setzen könnte.

Die Lücke zwischen dem, was Provider verlangen, und dem, was Absender veröffentlichen, ist das ganze Jahr weit geblieben. Von den Absendern, die 2026 bisher mit Unspam getestet wurden, haben 52 % weiterhin kein DMARC, und zwei Jahre nach der Pflicht zur Abmeldung mit einem Klick bestehen nur 14 % die Prüfung auf List-Unsubscribe mit einem Klick. Der Zustellbarkeits-Benchmark verfolgt den vollständigen Satz, und der Statistikbericht 2026 schlüsselt ihn nach Provider auf.

Eine irreführende Betreffzeile wurde zum Prozessrisiko mit Fallnamen

Eine falsche Dringlichkeitsbehauptung in einer Betreffzeile hat inzwischen ein Preisschild. In Brown v. Old Navy, entschieden am 17. April 2025, hat der Oberste Gerichtshof von Washington mit 5 zu 4 entschieden, dass der Commercial Electronic Mail Act des Bundesstaats jede falsche oder irreführende Information in einer kommerziellen Betreffzeile verbietet und nicht nur Informationen, die darüber täuschen, dass die Nachricht Werbung ist. Subjektive Übertreibung überlebt als Puffery; eine Tatsachenbehauptung, etwa wann eine Aktion endet, nicht. Bei $500 pro E-Mail ohne Obergrenze folgten nach der Zählung von Ballard Spahr im April 2026 innerhalb eines Jahres 105 CEMA-Klagen, und Nachahmerklagen erreichten Florida, Maryland und Kalifornien.

Washington hat es dann neu ausbalanciert. ESHB 2274, in Kraft seit dem 11. Juni 2026, hat ein Wissenserfordernis ergänzt, die Haftung hängt also am tatsächlichen Wissen des Absenders oder an Wissen, das sich aus objektiven Umständen zwanglos ergibt, und hat den Schadensersatz für Empfänger auf $100 pro Nachricht gesenkt. Die operative Regel ist billiger als jede dieser Zahlen: behandle eine Betreffzeile als Tatsachenbehauptung, geprüft wie eine Aussage auf einer Landingpage, und behalte den Nachweis, dass das Angebot dazu gepasst hat. Die Gesetze und die Risiken je Bundesstaat behandelt unser Leitfaden zu Antispam-Gesetzen.

Filterung wird individuell, sagen die Leute, die täglich hinsehen

Dieselbe Kampagne landet jetzt bei zwei Abonnenten beim selben Provider unterschiedlich, und Praktiker nennen das die eigentliche Geschichte von 2026. Laura Atkins hat es in einem Beitrag vom Februar 2026 für die Certified Senders Alliance ausgeführt: die technische Durchsetzung zieht sich weiter zu, die Filterung wird immer stärker auf das Verhalten jedes einzelnen Empfängers zugeschnitten, und die Wirkung von KI auf das Postfach ist die offene Frage, die noch niemand quantifizieren kann. Al Iversons Ausblick auf 2026 ergänzt die Folgerungen: kein einzelnes bestehendes Protokoll deckt mehr ein fehlschlagendes ab, ein falsch konfiguriertes Reverse DNS ist zu einem routinemäßigen Abweisungsgrund geworden, und die menschlichen Eskalationswege, die Absender früher genutzt haben, verschwinden, während sich die Filterung automatisiert. Spamhaus hat im Dezember 2025 dasselbe gesagt und einen Problemlöser ergänzt, der Reverse DNS und die Gültigkeit des HELO prüft, bevor er einen Antrag auf Entfernung annimmt.

Kaltakquise hat ihre letzte Deckung verloren. M3AAWG hat im November 2025 eine formale Position zu Cold-E-Mails veröffentlicht, die maskierte Absenderdomains, das Umgehen von Volumengrenzen und künstlich simulierte Interaktion als besonders gravierend bezeichnet und festhält, dass Einwilligung nicht zwischen Kanälen übertragbar ist. Sie trägt keinen Durchsetzungsmechanismus, aber es sagt das Branchengremium und nicht ein Anbieter. Spamhaus hat im Juni 2025 gesagt, dass Cold-E-Mails per Definition Spam sind und dass massenhafte Kaltakquise, die in seine Spamfallen läuft, ein Kandidat für eine Blacklist-Aufnahme ist.

Individualisierte Filterung hat eine ehrliche Konsequenz für Tests, auch für unsere. Ein kontrollierter Test misst die binäre Schicht: ob die Authentifizierung besteht, ob eine Domain auf einer Blacklist sitzt, was das Template auslöst und wo ein kontrollierter Versand bei jedem Provider landet. Genau auf dieser Schicht weisen Provider heute ab, und sie ist voll messbar. Was kein Seed-Test messen kann, ist der persönliche Filter eines Abonnenten, denn dieses Urteil existiert nur in diesem Postfach. Die tragfähige Aufteilung: teste die Schicht, die abweist, und lies die Aufmerksamkeitsschicht aus deinen eigenen Interaktionsdaten, segmentiert nach Mailbox-Provider.

Kleinere Änderungen 2026, je eine Zeile wert

• Gmail hatte am 8. April 2026 seinen eigenen Ausfall, etwa acht Stunden Bounces wegen Ratenbegrenzung an externe Empfänger, das Jahr liest sich also nicht als reines Microsoft-Versagen.
• Microsoft hat am 27. Januar 2026 die Abschaltung der Basisauthentifizierung bei SMTP AUTH neu terminiert. Bis Dezember 2026 ändert sich nichts, danach ist Basic Auth für die Client-Einlieferung bei bestehenden Tenants standardmäßig aus und für neue nicht verfügbar, mit der endgültigen Entfernung angekündigt für die zweite Hälfte 2027. Alles, was Mail noch mit Benutzername und Passwort einliefert, hat eine Frist.
• Amazon SES hat am 1. August 2025 die Tenant-Isolierung mit automatisierten Reputations-Policies ausgeliefert, SES kann den Versand eines Tenants bei einem Reputationsbefund also selbst pausieren, bevor irgendein Mailbox-Provider die Mail sieht.
• Das Vereinigte Königreich hat am 5. Februar 2026 die Obergrenze für unrechtmäßiges E-Mail-Marketing erhöht, von einer Grenze von £500.000 auf das Standardmaximum von £8,7 Millionen oder 2 % des weltweiten Umsatzes, und die im April desselben Jahres veröffentlichte finale Leitlinie der ICO behandelt Tracking-Pixel neben Cookies.
• Die Konsolidierung ging weiter. Validity hat die Übernahme von Litmus im April 2025 abgeschlossen, ein Unternehmen besitzt damit Sender Score, Everest, BriteVerify und die Rendering-Test-Suite. Zeta Global hat im Oktober 2025 den Kauf der Enterprise-Marken von Marigold vereinbart, und Infobip hat im Juli 2026 SocketLabs übernommen.
• BIMI blieb ein Entwurf. Die Spezifikation hat im Mai 2026 Revision 14 erreicht und ist weiter kein RFC. Gmail berücksichtigt Common Mark Certificates seit September 2024, was ohne eingetragene Marke ein Logo neben deinen Namen setzt; das blaue Verifizierungshäkchen verlangt weiter ein Verified Mark Certificate.
• Spamhaus hat am 15. April 2026 begonnen, seine Fair-Use-Regeln gegen Abfragen aus dem Oracle-Netz durchzusetzen. Kostenlose Lookups über den öffentlichen Mirror aus Oracle-Netzbereichen liefern jetzt einen Fehlercode statt einer Antwort, und ein Empfänger, der damit falsch umgeht, kann jede eingehende Mail abweisen.
• Außerhalb der USA kam kein neues E-Mail-Gesetz, aber Kanada hat eine Konsultation eröffnet. Die Europäische Kommission hat im Februar 2025 angekündigt, den Vorschlag für die ePrivacy-Verordnung zurückzuziehen, hat den Rückzug im Juli beschlossen und ihn im Oktober im Amtsblatt veröffentlicht, womit die Richtlinie von 2002 in Kraft bleibt. CAN-SPAM hat sich seit der letzten Überprüfung nicht geändert. Die CRTC hat am 11. Juni 2026 die Konsultation 2026-132 eröffnet, ihre erste Neufassung der Unsolicited Telecommunications Rules seit 2014.

Was du bis 2027 tun solltest

1. Durchsuche deinen DMARC-Eintrag nach pct, ri und rf. Ein Empfänger auf RFC 9989 wendet deine vollständige Policy unabhängig vom Prozentsatz an. Nutze t=y, wo du früher mit pct gestaffelt hast.
2. Trenne dein Reporting nach Consumer- und Business-Empfängern. Googles Schwellenwerte regeln keine Workspace-Mail und Microsofts Consumer-Regeln keine Tenants, eine gemischte Zahl mittelt also zwei Regelwerke.
3. Prüfe, dass SPF und DKIM einzeln bestehen. Outlook.com bounct, wenn eins von beiden fehlschlägt, und die Ausrichtung allein rettet dich nicht.
4. Setze Compliance auf einen Plan statt auf dein Gedächtnis. Die Postmaster-Tools-API und Yahoos Sender Hub liefern die Urteile, die ein Mensch von Hand nachsieht, und geplante Tests der Posteingangsplatzierung machen aus einem Vorfall wie dem im Februar eine Warnung am selben Tag.
5. Ordne das Provider-Reporting nach Infrastruktur neu zu. Zähle Empfänger bei att.net, sbcglobal.net und bereits migrierte comcast.net-Adressen zu Yahoo, denn hinter deren Filtern sitzen sie.
6. Entscheide deine Pixel-Policy vor Oktober pro Land. Italiens Frist fällt in den späten Oktober 2026 und nimmt nur aggregierte Statistik aus, eine auf Öffnungen gestützte Automatisierung für italienische Empfänger braucht also eine Einwilligungsgrundlage oder muss abgeschaltet werden.
7. Prüfe Betreffzeilen wie Landingpages. Eine Ablaufbehauptung braucht einen Verantwortlichen, und das Archiv sollte belegen, dass das Angebot zur Betreffzeile passte.
8. Verabschiede Öffnungen als KPI. Berichte Beschwerden, Klicks, Bounces und Platzierung, die alle 2026 ihre Bedeutung behalten haben.

Die Negativbefunde in diesem Bericht sind so informativ wie die Ereignisse. Kein E-Mail-Dienstleister hat seinen eigenen Kunden als Reaktion auf die Durchsetzungswelle neue datierte Anforderungen auferlegt, kein Mailbox-Provider hat MTA-STS oder TLS-RPT verpflichtend gemacht, und kein Provider hat eine Regel gegen Kaltakquise veröffentlicht, was das M3AAWG und Spamhaus überlässt. Google Workspace hat 2026 überhaupt keine neuen absenderseitigen Regeln produziert und Microsoft vier, und genau deshalb ist die Business-Postfach-Hälfte dieses Berichts fast vollständig eine Microsoft-Geschichte.

Teste danach die Nachricht und nicht die Theorie. Schick deine nächste Kampagne durch den kostenlosen Spam-Test von Unspam und lies das Authentifizierungs-Panel gegen das Jahr, das oben beschrieben ist: wenn SPF, DKIM und DMARC jeweils einzeln bestehen, der Eintrag keine historischen Tags trägt und das Platzierungsraster über alle Provider grün ist, ist jede Änderung in diesem Bericht eine, bei der du schon vorne liegst.