DKIM2 ist der vorgeschlagene Nachfolger von DKIM, und er ist weit genug, um damit zu planen: Der Entwurf der IETF-Arbeitsgruppe draft-ietf-dkim-dkim2-spec erreichte im Juli 2026 seine vierte Fassung und liegt auf dem Standards Track. Die zentrale Änderung: Jeder Hop fügt seine eigene Signatur hinzu, sodass eine weitergeleitete Nachricht eine Kette von Nachweisen trägt statt einer einzigen Signatur, die bricht, sobald irgendetwas die Nachricht anfasst.
Das ist deshalb wichtig, weil die beiden schwersten Probleme der E-Mail-Authentifizierung heute, Weiterleitung und Replay, beide daher rühren, dass DKIM einmal signiert und darauf hofft, dass die Signatur überlebt. Parallel dazu durchläuft DMARCbis denselben Prozess. Dieser Artikel zeigt, wo beide stehen und was ein Absender in der Zwischenzeit tun sollte.
Er stützt sich auf The Actual State of Email Deliverability, ein Webinar von Email Industries mit Unspam, mit Matthew Vernhout, Head of Services bei Email Industries, und Lawrence Heslin, der dort Accounts und Sales Operations verantwortet.
Klicke auf Play, um dieses Video von YouTube (Google) zu laden. Siehe unsere Cookie-Richtlinie.
Was DKIM2 ändert und wo es steht
DKIM2 ersetzt eine einzelne Ende-zu-Ende-Signatur durch eine Signatur pro Hop. Jedes System, das die Nachricht anfasst, fügt seine eigene DKIM2-Signatur hinzu, und die entstehende Kette lässt einen Empfänger den tatsächlich genommenen Weg sehen. Genau das macht es zum Nachfolger von RFC 6376, der aktuellen DKIM-Spezifikation, und von RFC 8617, dem ARC-Standard, der die Weiterleitung nachträglich flicken sollte.
Der praktische Gewinn ist Replay-Resistenz. Eine Nachricht, die aus einem Postfach gezogen und woanders wieder eingespeist wird, trägt eine Kette, die nicht zu ihrer behaupteten Herkunft passt, ein Problem, das das heutige DKIM nicht einmal ausdrücken kann.
Beim Zeitplan gilt: Planungshorizont, nicht Deadline. Die Spezifikation war im August 2026 noch ein Internet-Draft, und die Arbeitsgruppe rechnet mit rund zwölf bis achtzehn Monaten bis zur Freigabe. Nichts, was du heute ausrollst, ist verloren: DKIM2 ist darauf ausgelegt, neben dem bestehenden DKIM zu laufen, nicht es abzuschalten.
DMARCbis und die Entwürfe, die mitziehen
DMARCbis ist die Überarbeitung von DMARC selbst, und sie reist mit drei verwandten Entwürfen, die zusammen festlegen, wie Reporting künftig aussieht: aggregierte Berichte, Fehlerberichte und ein Vorschlag, ARC auf den Status historisch zu setzen, sobald DKIM2 es ablöst. Zur Debatte stehen die Mechanismen, die sich im Feld als unpraktisch erwiesen haben, allen voran das forensische Reporting.
Provider testen außerdem Abo-Übersichten, in denen jemand alles einsehen und kündigen kann, ohne eine Nachricht zu öffnen. Vernhouts Einschätzung im Webinar: Eine Abmeldung ist ein deutlich besseres Ergebnis als eine Beschwerde, also lohnt sich alles, was das Gehen erleichtert.
Die Regeln, die Absender schon heute erfüllen müssen
Zustellbarkeit war lange etwas, das man sich ansah, sobald Nachrichten anfingen zu bouncen. Damit war im Februar 2024 Schluss, als Gmail und Yahoo begannen, einen gemeinsamen Satz Regeln durchzusetzen.
Alle Nachrichten müssen inzwischen sauber über SPF, DKIM und DMARC authentifiziert sein. Massenversender, grob definiert als alle, die mehr als 5.000 Nachrichten pro Tag verschicken, oft aber im Einzelfall bewertet, müssen die Abmeldung mit einem Klick unterstützen. Die Umsetzung bleibt dabei mager: In unseren Benchmark-Tests erfüllen nur 14 Prozent der Absender die Anforderung an List-Unsubscribe mit einem Klick, womit die große Mehrheit exponiert wäre, sobald die Anbieter anfangen, sie streng durchzusetzen. Google führte außerdem den Feedback-ID-Header ein, mit dem Absender Beschwerden auf einzelne Kampagnen zurückführen können, ohne die Privatsphäre der Nutzer zu verletzen. Yahoo hat sein Programm für Feedback-Loops neu aufgelegt und verlangt als Grundlage der Teilnahme die DKIM-Authentifizierung.
Im April 2025 ging Google noch weiter und stellte klar: Konten, die diese Standards nicht erfüllen, verlieren womöglich die Möglichkeit, ihren Markennamen im Feld „Von“ anzuzeigen. Nutzer sähen dann nur noch die nackte E-Mail-Adresse, eine Änderung, die Verbrauchern helfen soll, verdächtige oder unseriöse Absender zu erkennen. Der sichtbarste Ausdruck dieses Vertrauens, BIMI, bleibt fast vollständig ungenutzt: 8 Prozent der geprüften Domains veröffentlichen einen BIMI-Eintrag, und nur rund 1 Prozent bekommt tatsächlich ein Logo angezeigt. Ab da war Authentifizierung kein Detail im Maschinenraum mehr, sondern etwas, das der Empfänger sieht.
Die Umsetzung hinkt der Anforderung weiter hinterher. Über die Domains, die wir testen, zeigen unsere Benchmark-Daten: 93 Prozent veröffentlichen einen gültigen SPF-Eintrag und 90 Prozent signieren mit einem funktionierenden DKIM-Schlüssel, aber nur 49 Prozent veröffentlichen eine DMARC-Policy, womit 51 Prozent gar keine haben.
Alle Provider gingen denselben Weg
Der Einfluss von Gmail und Yahoo breitete sich schnell aus. Apple setzte ähnliche Erwartungen bei Authentifizierung und Beschwerdequoten. Microsoft zog die Outlook-Filter an, was während der Umstellung bei vielen Absendern zu sichtbaren Zustellproblemen führte. Orange senkte die akzeptierte Beschwerdequote von einem Prozent auf 0,3 Prozent.
AT&T, lange ein Sonderfall in Nordamerika, stellte seine Mail auf die Filterung von Yahoo um. Comcast testet einen DKIM-basierten Feedback-Loop, der strukturierte Header-Daten statt vollständiger Beschwerdekopien zurückgibt, sodass alles, was zum Auswerten der FBL-Mail gebaut wurde, neu gebaut werden muss.
Nützlich für Absender ist, dass sich die Anforderungen nicht mehr widersprechen. Eine Authentifizierungs-Konfiguration erfüllt inzwischen fast die ganze Liste.
Warum es schwierig bleibt
Eine Nachricht durchläuft Authentifizierungsprüfungen, Reputationsabfragen, Inhaltsfilter und eine Ordner-Entscheidung, und unterwegs gewichten die Provider Tausende Signale: sendende IP, Alter der Domain, die Links im Text, die Seiten dahinter. Jedes einzelne davon kann die Nachricht allein in den Spam schieben.
Deshalb kommt eine Änderung, die auf der eigenen Seite klein aussieht, dort groß an. Ein neuer ESP. Ein Volumensprung. Ein SPF-Eintrag, der unbemerkt über zehn Lookups gerutscht ist.
Sieben Dinge, die stimmen müssen
Jedes davon wird einmal eingerichtet und danach beobachtet:
- SPF: einen einzigen Eintrag pro Domain pflegen, alte Anbieter-Includes entfernen und das Limit von 10 Lookups einhalten.
- DKIM: stabile Selektoren verwenden, Schlüssel sorgfältig rotieren und das DNS auf Timeouts oder Caching-Fehler überwachen.
- DMARC: Alignment mit einer klaren Policy durchsetzen, Aggregat-Reports regelmäßig auswerten und From-Domain, DKIM-d= und SPF-Mail-From in Einklang bringen.
- TLS: prüfen, ob der ESP oder die MTA verschlüsselte Zustellung zwischen Netzen erzwingt.
- BIMI: einen Eintrag veröffentlichen, sobald die Authentifizierung steht. Mit einem kostenlosen selbst erklärten Eintrag beginnen und ein VMC- oder CMC-Zertifikat einplanen, wenn das Budget es hergibt.
- Feedback-ID: sicherstellen, dass die Header gesetzt sind, damit Postmaster-Werkzeuge Beschwerden nach Kampagne oder Liste gruppieren können.
- Postmaster-Dashboards: die Portale von Gmail, Yahoo und Microsoft einrichten und konsequent hineinschauen.
Wie Reputation bewertet wird
Provider bewerten Verhalten, nicht Absicht. Beschwerden, Abmeldungen und Spamfallen-Treffer sind die offensichtlichen Eingangsgrößen. Die leise ist das Engagement: ob dieselben Leute weiter öffnen und klicken, oder ob der größte Teil der Liste alles ignoriert. Auch Absendernamen zählen, und ein Emoji oder ein generischer Absender liest sich als Ausweichmanöver.
Das alles zu beobachten heißt: Feedback-Loops, Postmaster-Dashboards und die eigenen Zahlen. Nach Engagement segmentieren, grob in neu, aktiv, abkühlend und inaktiv, und die Frequenz je Segment festlegen. Wer seit Monaten nicht reagiert, wird nach einem letzten Reaktivierungsversuch stillgelegt. Mail an ein totes Segment kostet Reputation beim lebendigen.
Listenqualität und Einwilligung
Bot-Anmeldungen und Fake-Adressen bringen Spamfallen auf die Liste, und ein Fallen-Treffer ist teuer. Das Formular schützen, Adressen beim Eintreffen validieren und festhalten, welche Art von Einwilligung vorliegt und wo die Person wohnt. Kanada unterscheidet für kommerzielle Mail zwischen stillschweigender und ausdrücklicher Einwilligung, und die Regeln unterscheiden sich zwischen Ländern genug, dass „wir haben ein Opt-in“ keine vollständige Antwort ist.
Eine Abmeldequote dauerhaft über einem Prozent bedeutet meist, dass das Anmeldeformular etwas anderes versprochen hat als das, was verschickt wird, oder dass häufiger verschickt wird als erwartet.
Was die Nachricht selbst leisten muss
Mobile zuerst, eine klare Hierarchie, eine offensichtliche Handlung. Vernhouts Faustregel sind rund 70 Prozent lebender Text zu 30 Prozent Bildern, womit die Nachricht auch mit abgeschalteten Bildern lesbar bleibt und nicht wie ein reiner Bildversand aussieht.
Barrierefreiheit ist inzwischen sowohl in den USA als auch in der EU gesetzlich gefordert, Alt-Text und echter Kontrast sind also keine Extras. Die Nachricht unter 102 KB halten, sonst kappt Gmail sie.
Beim Absendernamen die Marke nehmen. Die meisten Empfänger wissen nicht, wer der CEO ist. Das Unternehmen erkennen sie.
Öffnungen sind keine Kennzahl mehr
Apples Mail Privacy Protection, das Bild-Caching bei Gmail und Yahoo und Sicherheits-Scanner, die jeden Link abrufen, haben Öffnungen und Klicks als Zählwerte unbrauchbar gemacht. Als Signal taugen sie weiter: eine stabile Öffnungsrate, die plötzlich einbricht, ist meist Filterung und nicht Desinteresse.
Messen, was ein Bot nicht kann. Käufe, Downloads, Buchungen, Registrierungen.
Warum die Filter schärfer wurden
Phishing, Kontoübernahmen und Deepfake-Betrug haben Unternehmen Milliarden gekostet, also wird jede Nachricht gescannt, bevor ein Mensch sie sieht. Manche dieser Scans imitieren einen Leser so genau, dass sie in den eigenen Engagement-Zahlen auftauchen, was mit ein Grund dafür ist, dass diese Zahlen nicht mehr bedeuten, was sie einmal bedeuteten.
Früh erkennen
Die Anzeichen, die vor dem eigentlichen Problem auftauchen:
- Steigende Bounce-Raten, besonders Soft Bounces
- Mehr Beschwerden oder Abmeldungen
- Scharfe Rückgänge bei Öffnungen gegenüber einer stabilen Basislinie
- Direkte Rückmeldungen von Kunden, dass Mails nicht ankommen
Wenn etwas kaputtgeht, schauen, was sich geändert hat. Eine neue Partner-Datenquelle. Ein neu gestaltetes Anmeldeformular ohne Bot-Schutz. Ein Umzug auf eine neue IP ohne Warm-up. Die Änderung, die zeitlich zum Beginn des Trends passt, ist fast immer die Ursache.
ESPs, IPs und Warm-up-Dienste
Der ESP zählt weniger, als die meisten annehmen. Domain-Reputation wiegt inzwischen schwerer als IP-Reputation, die Netz-Reputation zählt aber weiter mit. Eine dedizierte IP lohnt sich oberhalb von rund 20.000 Nachrichten pro Tag, weil sie isoliert; darunter ist ein seriöser Shared Pool meist besser als eine kalte dedizierte Adresse.
Zu den Warm-up-Diensten, die Interaktion simulieren, waren Vernhout und Heslin deutlich: Sie bringen wenig und verstoßen gegen die Nutzungsbedingungen der meisten ESPs. Ein echtes Warm-up heißt, das Volumen zu Leuten hochzufahren, die die Mail wirklich wollen.
Was jetzt zu tun ist
Nichts davon ist ein neuer Ratschlag. Authentifizieren, ausrichten, die Liste sauber halten und Mail schicken, um die jemand gebeten hat. Geändert hat sich, dass die Provider es jetzt durchsetzen, und zwar einheitlich genug, dass eine Konfiguration fast überall reicht.
