Gmail-Bounce „550 5.7.26“: nicht authentifizierte E-Mail

Was das bedeutet

Du hast eine Fehlermeldung (einen „Bounce“) bekommen, die so aussieht:

550 5.7.26 This mail has been blocked because the sender is unauthenticated.
Gmail requires all senders to authenticate with either SPF or DKIM.

Andere Varianten desselben Codes lauten „Unauthenticated email from yourdomain.com is not accepted due to domain's DMARC policy“. In jedem Fall hat Gmail die E-Mail geprüft, konnte nicht nachweisen, dass sie von deiner Domain kommt, und hat sie abgelehnt.

Warum das wichtig ist

Das ist kein Spamfilter: Die E-Mail liegt nicht im Spam, sie wurde nie zugestellt. Jede E-Mail, die auf demselben Weg gesendet wird, wird genauso abgelehnt, bis die Einrichtung korrigiert ist.

Die üblichen Ursachen

• Kein SPF und kein DKIM für deine Domain.
• SPF scheitert: Der Server, der die E-Mail gesendet hat, steht nicht in deinem SPF-Eintrag.
• DMARC scheitert: SPF oder DKIM waren bestanden, aber für eine andere Domain (zum Beispiel die Domain deines Newsletter-Tools), und deine DMARC-Richtlinie ist quarantine oder reject.
• Weiterleitung: Die E-Mail lief über eine Weiterleitungsadresse oder eine Mailingliste, die SPF kaputt gemacht hat, und es gab keine DKIM-Signatur, die sie hätte retten können.
• Jemand anderes fälscht deine Domain (Spoofing), und der Bounce ist ein Backscatter, den du nicht verursacht hast. Siehe die Anleitung zu Spoofing.

So prüfst du es

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht. Nutze genau dasselbe Tool, das den Bounce bekommen hat. Die Zeilen SPF, DKIM und DMARC zeigen, welche Prüfung scheitert und für welche Domain.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine Einträge zu lesen.

So behebst du es

1. Finde den Absender. Sieh dir den Bounce an: Welches Tool oder welcher Server hat die abgelehnte E-Mail gesendet? Dein Postfach, eine Website, ein CRM, ein Rechnungstool?
2. Füge ihn zu SPF hinzu. Trage den include:- oder ip4:-Wert dieses Dienstes in deinen einzigen SPF-Eintrag ein.
3. Schalte DKIM ein in diesem Dienst mit deiner eigenen Domain und veröffentliche den Schlüssel, den er dir gibt. DKIM übersteht Weiterleitungen, SPF nicht.
4. Prüfe die Übereinstimmung (Alignment). Die Domain der Absenderadresse muss zur SPF- oder DKIM-Domain passen. Nutze in Newsletter-Tools die Option „Domain authentifizieren“.
5. Sende nicht im Namen einer Domain, die du nicht kontrollierst. Eine Website, die als @gmail.com sendet, scheitert immer.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Sende eine neue Test-E-Mail über die Startseite mit demselben Tool. SPF oder DKIM muss für deine Domain bestanden sein, und DMARC muss bestanden sein. Schick die abgelehnte E-Mail dann noch einmal an den Gmail-Empfänger.

Mehr Hilfe: Richtlinien für E-Mail-Absender von Google.