WordPress übergibt jede Nachricht ab Werk an PHPs Funktion mail(), und die signiert nichts, authentifiziert nichts und meldet Erfolg, egal ob die Mail jemals zugestellt wird. Genau deshalb landen Passwort-Resets, Benachrichtigungen aus dem Kontaktformular und WooCommerce-Bestellmails im Spam oder verschwinden spurlos. Dieser Leitfaden erklärt, was wp_mail() tatsächlich tut, warum die Standard-From-Adresse wordpress@ das Alignment bricht, welcher Hoster welche SMTP-Ports sperrt und wie du einen echten Versand mit Unspam prüfst.
Der WordPress-Core konfiguriert DKIM an keiner Stelle. Die mitgelieferte Bibliothek PHPMailer könnte signieren und stellt dafür DKIM_domain, DKIM_selector und DKIM_private bereit, aber nichts im Core befüllt diese Eigenschaften jemals. Die Nachricht verlässt deinen Server also ohne jede Signatur.
Fehlt ein From-Header, baut sich wp_mail() selbst einen aus dem Host der Website: Es liest den Host aus network_home_url(), entfernt ein führendes www. und setzt wordpress@ davor. Als Anzeigename steht standardmäßig WordPress darin. Passwort-Resets, Benachrichtigungen über neue Benutzer, Post zur Kommentarmoderation und Hinweise auf Core-Updates gehen alle unter dieser Adresse raus, und auf den meisten Websites steckt kein Postfach dahinter, Antworten und Bounces laufen also ins Leere. Setz eine echte Adresse über den Filter wp_mail_from, oder in WP Mail SMTP unter WP Mail SMTP > Settings über From Email mit gesetztem Häkchen bei Force From Email.
Die Envelope-Adresse ist damit die, die das Setup deines Hosters erzeugt, üblicherweise der Benutzer des Webservers am eigenen Hostnamen des Servers. Empfänger werten SPF gegen genau diese Envelope-Domain aus. Solange dein Hoster also keine Envelope-Adresse auf deiner eigenen Domain erzwingt (über PHPs sendmail_from, über mail.force_extra_parameters oder über eine Umschreibung in seinem eigenen MTA), wird dein SPF-Eintrag gar nicht erst abgefragt, und SPF kann sich für DMARC nicht mit der From-Domain ausrichten.
Hoster sperren ausgehenden SMTP-Verkehr, um Spam einzudämmen, und die Regeln unterscheiden sich von Plattform zu Plattform. Kinsta schreibt, dass du Port 25 nicht nutzen kannst, weil die eigene Infrastruktur ausgehenden Port 25 blockiert, und nennt 587, 465 und 2525 als nutzbar. WP Engine schreibt, dass seine Infrastruktur-Anbieter keine Mail über Port 25 zulassen, erlaubt 587 und 465 und empfiehlt 2525. DigitalOcean sperrt auf Droplets standardmäßig 25, 465 und 587, auch für Verkehr über eine Reserved IP, Google Cloud blockiert Port 25 zu Zielen außerhalb deiner VPC, und AWS drosselt Port 25 von EC2 aus, solange du die Aufhebung nicht beantragst. Beachte: Die eigene Hoster-Übersicht von WP Mail SMTP führt WP Engine und Kinsta als Hoster, die SMTP nicht sperren, was dem widerspricht, was beide Hoster selbst zu Port 25 veröffentlichen. Vertrau also der Dokumentation deines Hosters mehr als jeder Liste von Dritten.
Im verbreitetsten Formular-Setup steht die Adresse der absendenden Person im Feld From, damit Antworten leichtfallen. Damit verschickt dein Server Post, die vorgibt, von gmail.com oder outlook.com zu kommen, also von einer Domain, die deinen Server nie autorisiert hat, und DMARC scheitert auf der Domain des Besuchers statt auf deiner. Die Doku von WPForms sagt selbst, dass die From Email gültig sein muss, zu deiner Domain passen sollte und dass du die Adresse der Person, die das Formular abgeschickt hat, besser nicht verwendest, weil das wie ein Phishing-Versuch aussehen kann; diese Adresse gehört per Smart Tag ins Reply-To. WooCommerce sagt zu Bestellmails dasselbe: Eine From-Adresse auf einer öffentlichen Domain wie @gmail.com oder @yahoo.com landet wahrscheinlich im Spam-Ordner oder wird blockiert, weil der angegebene Absender nicht zum tatsächlichen Absender passt.
Im Shared Hosting verlässt PHP mail() den Server über eine IP, die Hunderte von Nachbar-Websites mitbenutzen, und eine einzige kompromittierte WordPress-Installation auf dieser Maschine kann die ganze IP auf eine Blacklist bringen. Über die Reputation dieser IP hast du keine Kontrolle und über ihren Reverse-DNS-Eintrag in der Regel auch nicht, während Googles Richtlinien von Versand-IPs gültige Forward- und Reverse-DNS-Einträge verlangen. Der Weg über einen Anbieter setzt dich auf eine Infrastruktur, deren Reputation jemand hauptberuflich verteidigt. Bis dahin nimm die Versand-IP aus den Received-Headern einer Nachricht, die deine Website tatsächlich verschickt hat, und schick sie durch den Blacklist-Check von Unspam, der auf Abruf läuft, um zu sehen, ob die Nachbarn dich schon etwas gekostet haben.
WordPress veröffentlicht keine DNS-Einträge für dich und signiert nichts, es gibt also gar keine Versandidentität zu authentifizieren, solange du nichts daran änderst, wie die Post die Website verlässt. Bring erst den Versandweg in Ordnung, dann die Einträge, genau in dieser Reihenfolge: SPF- und DKIM-Einträge bedeuten nichts, solange die Nachricht weiter über PHP mail() mit der Envelope-Adresse deines Hosters rausgeht.
| Eintrag | Standard | das Problem | die Lösung |
|---|---|---|---|
| Sending route (SMTP plugin) | wp_mail() ruft isMail() von PHPMailer auf, jede Nachricht läuft also über PHPs mail() und den lokalen MTA deines Hosters. | Nichts signiert die Nachricht, und niemandem gehört die Envelope-Adresse, es gibt also keine Identität, an der SPF, DKIM oder DMARC ansetzen könnten. | Die kostenlose Version von WP Mail SMTP enthält SendLayer, SMTP.com, Brevo, Gmail, Elastic Email, Mailgun, Mailjet, SendGrid, Postmark, SparkPost, SMTP2GO und Other SMTP, während Microsoft, Amazon SES und Zoho als Pro markiert sind. |
| SPF | Entweder gar nicht vorhanden oder ohne Bedeutung: Mit PHP mail() wählt dein Hoster den Envelope-Absender, dein eigener SPF-Eintrag ist also nicht der, der geprüft wird. | Empfänger schlagen SPF für die Envelope-Domain nach, und das ist der Hostname deines Servers. Dein Eintrag kann also nicht bestehen und sich in DMARC nicht mit der From-Domain ausrichten. | Sobald ein Anbieter den Envelope besitzt, veröffentlichst du dessen dokumentierten Include in einem einzigen Eintrag auf der Versanddomain, für Google Workspace zum Beispiel v=spf1 include:_spf.google.com ~all. Ein SPF-Eintrag pro Domain, ohne Ausnahme. |
| DKIM | Überhaupt keine Signatur. Der Core liefert einen PHPMailer mit, der signieren könnte, aber nichts in WordPress befüllt jemals dessen DKIM-Eigenschaften. | Google verlangt von allen Absendern SPF oder DKIM und von Massenversendern (5.000 oder mehr Nachrichten pro Tag an Gmail) beides plus Alignment. Nicht authentifizierte Post kann als Spam markiert oder mit dem Fehler 5.7.26 abgewiesen werden. | Veröffentliche die CNAME- oder TXT-Selektor-Einträge, die dein gewählter Mailer ausgibt, und prüfe danach an einem echten Versand, dass die d=-Domain im DKIM deine eigene ist und nicht die geteilte Domain des Anbieters. |
| DMARC | Keiner. Nichts in WordPress veröffentlicht eine Policy oder weist dich darauf hin, dass eine fehlt. | Ohne Eintrag bekommst du keine Berichte über die nicht authentifizierte Post, die deine Domain verlässt. Veröffentlichst du p=reject, während die Website weiter PHP mail() nutzt, weist du deine eigenen Passwort-Resets ab. | Veröffentliche v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, prüfe in den Berichten, dass dein WordPress-Verkehr jetzt ausgerichtet unter dem gewählten Anbieter auftaucht, und zieh dann auf quarantine und reject an. |
Wenn du diese Einträge aktualisiert hast, prüfe mit den kostenlosen Tools von Unspam, ob alles passt: SPF-Check, DKIM-Check und DMARC-Check.
Der eingebaute Test von WP Mail SMTP unter WP Mail SMTP > Tools > Email Test bietet dir nur eine Adresse unter Send To und einen Schalter für HTML, und seine Erfolgsmeldung sagt, dass die Test-E-Mail verschickt wurde, nicht, wo sie gelandet ist. Er beweist, dass Verbindung und Zugangsdaten funktionieren, und sein Domain Check schlägt SPF, DKIM und DMARC für die From-Domain nach, aber in welchem Ordner eine echte Benachrichtigung ankommt, kann er dir nicht sagen. Mach stattdessen einen echten Versand.
Starte in Unspam einen Spam-Test oder einen Inbox-Placement-Test und kopiere die Test-Adresse, die dabei erzeugt wird. Placement-Tests stellen an Test-Postfächer bei Gmail, Outlook, Yahoo und fünf weiteren Anbietern zu und melden, wo jede Kopie gelandet ist. Ein Inbox-Placement-Test erzeugt außerdem eine Test-ID. Du musst sie vor dem Versand in den Betreff oder in den Text einfügen, sonst erreicht die Nachricht zwar die Test-Postfächer, wird aber nie deinem Test zugeordnet.
Jeder Weg hat seinen eigenen Absender. Post aus dem WordPress-Core nutzt wordpress@yourdomain.com, solange wp_mail_from oder Force From Email das nicht überschreibt, WooCommerce nutzt die From-Adresse unter WooCommerce > Settings > Emails, und ein Formular-Plugin nutzt die From Email aus der jeweiligen Benachrichtigung. Wenn du Post aus dem Core testest, sagt das nichts über WooCommerce-Post aus, sofern die beiden unter verschiedenen Adressen rausgehen.
Beim Kontaktformular schickst du das Formular selbst ab, mit der Test-Adresse im E-Mail-Feld und der Test-ID im Nachrichtenfeld, damit die Benachrichtigung sie im Text trägt. Bei WooCommerce hat jede E-Mail-Vorlage ihr eigenes Feld Subject unter WooCommerce > Settings > Emails, häng die Test-ID also für die Dauer des Tests dort an und entferne sie danach wieder. Teste nicht mit einem Passwort-Reset aus dem Core: In diese Nachricht bekommst du die Test-ID nicht hinein.
Verschick vom Produktivsystem, nicht aus einer lokalen Installation oder einer Staging-Kopie. Versand-IP, SMTP-Weg und sogar die Verfügbarkeit der Ports unterscheiden sich zwischen den Umgebungen, und Staging-Plugins, die ausgehende Post unterdrücken, lassen die ganze Übung stumm ins Leere laufen. Wenn du eine Caching- oder Firewall-Schicht einsetzt, schick das Formular als abgemeldeter Besucher ab, damit die Anfrage denselben Code-Pfad nimmt wie die eines Kunden.
Bestätige in Unspam, dass die d=-Domain im DKIM deine ist, dass SPF gegen einen Return-Path bestanden hat, den du wiedererkennst, und nicht gegen den Hostnamen deines Webservers, und dass DMARC Alignment zeigt. Sieh dir danach die Platzierung je Anbieter an, den Spam-Score samt der ausgelösten Regeln und die Client-Vorschauen. Behebe, was der Report markiert, und wiederhole denselben Versand mit einer frischen Test-ID.
Derselbe Test rendert deine Kampagne in über 50 echten E-Mail-Clients, darunter Gmail, Outlook, Apple Mail, iPhone und Android, jeweils im hellen und im dunklen Modus, über Client-Vorschauen, damit du Platzierung und Darstellung in einem Durchgang prüfst.
Der Rückgabewert sagt dir, dass PHPMailer die Nachricht ohne Exception weitergereicht hat, was auf dem Weg über PHP mail() heißt: Der lokale MTA hat sie angenommen. Zustellung, Filterung und stilles Verwerfen passieren alle erst danach. Die Action wp_mail_failed mit einem WP_Error feuert WordPress nur, wenn PHPMailer eine Exception wirft. Eine Nachricht, die lokal in der Warteschlange landet und dann klanglos verworfen wird, sieht für deine Website deshalb genauso aus wie ein Erfolg.
Das zählt gleich doppelt, denn ein Formular-Plugin, das still die Adresse des Besuchers einsetzt, packt eine From-Adresse auf die Nachricht, die dir nicht gehört, also genau das, wovon WPForms abrät: Die Adresse der absendenden Person zu nutzen lasse es so aussehen, als würdest du von einer Adresse senden, die dir nicht gehört, und könne dazu führen, dass die Benachrichtigung als Phishing markiert wird.
wp_mail() setzt standardmäßig den Content-Type text/plain und schreibt AltBody von PHPMailer ausdrücklich auf einen leeren String. Filtert ein Plugin wp_mail_content_type auf text/html, schaltet PHPMailer auf HTML um, aber der alternative Textteil bleibt leer, die Nachricht geht also als einzelner text/html-Teil raus. Inhaltsfilter bestrafen schon diese Form für sich: Die Regel MIME_HTML_ONLY von SpamAssassin greift bei jeder Nachricht, die nur MIME-Teile vom Typ text/html hat. Nimm einen Mailer oder eine Vorlage, die eine echte Nachricht als multipart/alternative baut.
In WP Mail SMTP sind Email Log, Email Reports, Email Alerts, Backup Connection, Smart Conditional Routing und Rate Limiting allesamt Pro-Funktionen. In der kostenlosen Version hinterlässt ein Mailer, der deine Nachrichten plötzlich ablehnt, keine Spur im Backend, und das erste Anzeichen ist die Frage eines Kunden, warum er seinen Beleg nie bekommen hat. FluentSMTP bringt Protokolle und Fehlermeldungen an Slack, Telegram oder Discord kostenlos mit, und WooCommerce protokolliert unabhängig davon unter WooCommerce > Status > Logs die Versuche mit dem Status Sent, Failed, Disabled und Skipped.
Die häufigsten Probleme mit der Zustellbarkeit bei WordPress-Absendern, jeweils mit der passenden Lösung.
wp_mail() liefert true, sobald PHPMailer die Nachricht an PHP mail() übergeben hat und der lokale MTA sie annimmt. Hat dieser MTA keinen Weg nach draußen, oder verwirft die Gegenseite die Post, weil sie unsigniert ist und ihr Envelope zu einem geteilten Server gehört, protokolliert nichts in WordPress diesen Verlust. Die Action wp_mail_failed feuert nur, wenn PHPMailer eine Exception wirft.
Die Lösung Installiere FluentSMTP oder WP Mail SMTP, verbinde einen Anbieter und sieh im Protokoll des Plugins nach genau diesem Versand. Zeigt das Protokoll eine Zustellung und im Postfach liegt trotzdem nichts, sitzt das Problem beim Empfänger: Schick dann einen echten Versand an eine Test-Adresse von Unspam und lies die Authentifizierungsergebnisse.
Dein eigener Mailserver setzt deine Domain oder deinen Server meist auf eine Allowlist, interne Tests sagen dir also nichts. Gmail wendet seine Absenderrichtlinien an: mindestens SPF oder DKIM, gültige Forward- und Reverse-DNS-Einträge auf der Versand-IP, TLS auf dem Transportweg. PHP mail() aus dem Shared Hosting scheitert an der ersten Anforderung, oft auch an der zweiten, und lässt dich bei beiden im Dunkeln.
Die Lösung Leite WooCommerce-Post über einen Anbieter, setz die From-Adresse unter WooCommerce > Settings > Emails auf ein Postfach auf deiner eigenen Domain und prüfe an einer echten Bestellung, dass DKIM mit deiner Domain signiert. Teste die Zustellbarkeit nie, indem du an ein Postfach auf derselben Infrastruktur schickst, von der du auch versendest.
Das Werkzeug Email Test verschickt seine eigene Nachricht mit der From Email des Plugins. Dein Formular-Plugin setzt in den Einstellungen der Benachrichtigung seine eigene From-Adresse, solange also das Häkchen bei Force From Email fehlt, geht die echte Benachrichtigung unter einem anderen Absender raus, womöglich unter einem, den der Anbieter nicht verifiziert hat und den deine DNS-Einträge nicht abdecken. Dieselbe Website, zwei verschiedene Versandidentitäten.
Die Lösung Setz das Häkchen bei Force From Email unter WP Mail SMTP > Settings, oder trag in der Formular-Benachrichtigung dieselbe verifizierte Adresse als From Email ein, und verschieb die Adresse des Besuchers per Smart Tag ins Reply-To. Schick dann das Formular wirklich ab, mit einer Test-Adresse von Unspam und der Test-ID im Nachrichtenfeld.
Das Formular setzt die Adresse des Besuchers in den From-Header, dein Server verschickt also Post, die vorgibt, von gmail.com zu kommen. Googles Absenderanforderungen wurden im Februar 2024 verschärft, und nicht authentifizierte Post kann seitdem als Spam markiert oder direkt mit 5.7.26 abgewiesen werden. An deiner Website hat sich nichts geändert, die Latte liegt höher.
Die Lösung Nimm eine Adresse auf deiner eigenen Domain als From und die Adresse der absendenden Person als Reply-To, genau so dokumentieren es WPForms und WooCommerce. Authentifiziere diese Domain danach sauber über einen SMTP-Anbieter, damit das From, das du jetzt nutzt, das SPF- oder DKIM-Alignment auch wirklich besteht.
Welche ausgehenden Ports offen sind, entscheidet jede Plattform für sich, und diese Regeln ziehen mit deinen Dateien nicht um. Kinsta sperrt ausgehenden Port 25 und bietet 587, 465 und 2525. WP Engine lässt Port 25 nicht zu, erlaubt 587 und 465 und empfiehlt 2525. DigitalOcean sperrt auf Droplets standardmäßig 25, 465 und 587, auch für Verkehr über eine Reserved IP, und AWS drosselt Port 25 von EC2 aus standardmäßig. Ein gesperrter Port zeigt sich als Zeitüberschreitung der Verbindung, nicht als Problem der Zustellbarkeit.
Die Lösung Lass dir vom Hoster schriftlich geben, welche ausgehenden Ports in deinem Tarif offen sind, stell im Plugin das passende Paar aus Port und Verschlüsselung ein (TLS mit 587 oder SSL mit 465), und wenn alles gesperrt ist, wechsle auf einen Mailer, der den Anbieter über HTTPS statt über SMTP erreicht.
An der Menge liegt es nicht. wp_mail() reicht die Nachricht an PHP mail() weiter, und das verschickt sie unsigniert, von einer Adresse, die niemandem gehört, mit einem Envelope, der deinem Webserver gehört und nicht deiner Domain. Google verlangt von jedem Absender, bei jeder Menge, SPF oder DKIM. Ein einzelner nicht authentifizierter Passwort-Reset fällt daran genauso durch wie eine ganze Kampagne.
Ja, in fast jedem Fall. Mit PHP mail() ist dein SPF-Eintrag nicht der, den die Empfänger prüfen, weil der Envelope-Absender deinem Hoster gehört, und nichts in WordPress signiert mit deinem DKIM-Schlüssel. Die Einträge fangen erst an zu wirken, wenn etwas die Versandidentität übernimmt, und genau das liefern ein SMTP-Plugin plus ein Anbieter. DMARC zu veröffentlichen, während du weiter auf PHP mail() sitzt, nützt dir nur wegen der Berichte, die es erzeugt.
Beide ersetzen den Weg über wp_mail() durch eine authentifizierte Verbindung zu einem Anbieter, und beide sind kostenlos installierbar. FluentSMTP ist vollständig kostenlos und bringt Protokolle, Fehlermeldungen und eine Verteilung auf mehrere Verbindungen nach From-Adresse mit. WP Mail SMTP hat die längere Liste kostenloser Mailer, darunter SendLayer, Brevo, Gmail, Mailgun, SendGrid und Postmark, sperrt aber Email Log, Alerts, Backup Connection, Smart Conditional Routing sowie die Mailer Microsoft, Amazon SES und Zoho hinter Pro. Entscheide danach, welchen Mailer du brauchst und ob du Protokolle willst, ohne dafür zu zahlen.
Probier zuerst 587 mit TLS, dann 465 mit SSL, dann 2525, falls dein Anbieter ihn anbietet: Kinsta nennt 587, 465 und 2525 als nutzbar, WP Engine erlaubt 587 und 465 und empfiehlt 2525. Ist jeder SMTP-Port gesperrt, wie es auf Droplets bei DigitalOcean der Standard ist, nimm einen Mailer, der über HTTPS mit der API eines Anbieters spricht statt über SMTP. Die eigene Lösung von WP Mail SMTP für eine gescheiterte Verbindung ist, das Paar aus Port und Verschlüsselung zu korrigieren oder auf einen Mailer auf API-Basis zu wechseln.
Nein. Ersetz sie durch ein echtes, betreutes Postfach auf deiner Versanddomain, damit Antworten und Bounce-Meldungen bei einem Menschen ankommen. Setz sie über die Filter wp_mail_from und wp_mail_from_name, oder trag From Email und From Name in WP Mail SMTP ein und setz das Häkchen bei Force From Email, damit Plugins sie nicht überschreiben. Achte darauf, dass die Adresse eine ist, die dein Anbieter verifiziert hat, sonst wird der Versand abgewiesen.
Nein. Unspam verbindet sich nie mit deiner Website, deinem Hoster oder deinem Backend. Es gibt genau zwei Berührungspunkte: eine Test-Adresse, an die du sendest, und SMTP-Zugangsdaten, die du selbst hinterlegst, wenn du Tests automatisch nach Zeitplan laufen lassen willst. Alles andere im Report wird aus der Nachricht ausgelesen, die deine Website tatsächlich verschickt hat.
Die Angaben zur Plattform WordPress wurden anhand öffentlich zugänglicher Dokumentation geprüft (Stand: August 2026) und können sich seitdem geändert haben. WordPress ist eine Marke des jeweiligen Inhabers. Unspam ist weder mit WordPress verbunden noch wird Unspam von WordPress unterstützt.
