GMX / WEB.DE „554 Transaction failed / Reject due to policy restrictions“ und „invalid DNS PTR resource record“: Lösung

Was das bedeutet

GMX und WEB.DE gehören zu den beliebtesten E-Mail-Diensten in Deutschland und werden beide von United Internet betrieben (das auch mail.com und die Mail von 1&1 / IONOS betreibt). Ihre empfangenden Server sind streng. Wenn sie deinen Server ablehnen, hat der Bounce oft mehrere Zeilen, die mit 554- beginnen. Er sieht meist so aus:

554-Transaction failed
554-Reject due to policy restrictions.
554 For explanation visit https://...

554-No SMTP service
554-invalid DNS PTR resource record, IP=203.0.113.10
554 Reject due to policy restrictions.

Manche Bounces, vor allem von WEB.DE, lauten Requested action not taken: mailbox unavailable, zusammen mit einem Hinweis auf den PTR-Eintrag. Das klingt nach „diese Adresse existiert nicht“, aber wenn die IP oder der PTR-Eintrag erwähnt wird, liegt das Problem bei deinem Server, nicht beim Postfach.

Der Bounce enthält meist einen Link zu den Postmaster-Seiten von GMX oder WEB.DE. Dort wird jeder Fall auf einer eigenen Seite erklärt. Öffne den Link aus deinem eigenen Bounce.

Warum das passiert

Probleme mit dem Reverse DNS (PTR)

Das ist die häufigste Ursache. Ein PTR-Eintrag ist der Name, der zu einer IP-Adresse gehört, wie ein umgekehrtes Telefonbuch. GMX und WEB.DE erwarten:

• dass für deine sendende IP ein PTR-Eintrag existiert;
• dass dieser Name wieder auf dieselbe IP zeigt (vorwärts bestätigtes Reverse DNS);
• einen echten Servernamen wie mail.yourdomain.com, keinen generischen wie 203-0-113-10.dynamic.isp.example;
• dass der Name, mit dem sich dein Server in seiner Begrüßung meldet (HELO oder EHLO), ein echter, auflösbarer Hostname ist, idealerweise derselbe wie der PTR.

Reputation und Richtlinien

„Reject due to policy restrictions“ ohne Hinweis auf den PTR deutet meist auf die Reputation hin: Die IP steht auf einer Sperrliste, sendet von einem privaten Anschluss, ist brandneu, oder Inhalt und Beschwerden sehen nach Spam aus. Fehlendes SPF, DKIM oder DMARC spricht ebenfalls gegen dich.

So prüfst du es

1. Mach einen Delivmail-Test. Sende vom selben Server eine E-Mail an die einmalige Adresse auf der Startseite (/). Der Bericht zeigt deine sendende IP, ihren PTR-Namen, ob dieser Name wieder auf die IP zeigt, und den HELO-Namen, den dein Server verwendet hat. Er prüft außerdem Blacklists und Authentifizierung.
2. Prüfe Blacklists. Gib die IP unter /blacklists ein.
3. Prüfe deine Domain. Nutze /domain-scanner, um zu bestätigen, dass SPF und DMARC veröffentlicht und gültig sind.
4. Lies den Link aus dem Bounce zur Postmaster-Seite von GMX oder WEB.DE für den genauen Fall.

So behebst du es

1. Setze einen PTR-Eintrag. Den PTR verwaltet der Inhaber der IP, meist dein Hoster oder VPS-Anbieter, nicht das DNS deiner Domain. Such in dessen Kundenmenü nach „Reverse DNS“ oder „rDNS“ oder frag den Support. Setze ihn auf einen Namen wie mail.yourdomain.com.
2. Leg den passenden A-Eintrag an. Lass im DNS deiner Domain mail.yourdomain.com auf dieselbe IP zeigen.
3. Setze den HELO-Namen. Konfiguriere deinen Mailserver so, dass er sich mit genau diesem Namen meldet. In Postfix ist das myhostname. Viele Kundenmenüs und Apps haben eine Einstellung „Hostname“ oder „HELO“.
4. Sende nicht von einem privaten Anschluss. Nutze stattdessen den Postausgangsserver deines Anbieters oder einen Versanddienst.
5. Authentifiziere mit SPF, DKIM und DMARC.
6. Behebe jeden Eintrag auf Sperrlisten, nachdem du seine Ursache beseitigt hast.
7. Wenn alles sauber ist und die Ablehnung weitergeht, nutze das Kontaktformular auf den Postmaster-Seiten von GMX oder WEB.DE, mit dem vollständigen Bounce und deiner IP.

Prüfe, ob es behoben ist

PTR-Änderungen können einige Minuten bis einige Stunden brauchen, bis sie sichtbar sind. Mach einen neuen Delivmail-Test: Der Abschnitt zum Reverse DNS sollte einen PTR-Namen zeigen, der wieder auf deine IP zeigt, und der HELO sollte ein echter Hostname sein. Sende dann erneut an die GMX- oder WEB.DE-Adresse, die den Bounce verursacht hat. War die Reputation die Ursache, rechne mit einigen Tagen sauberen Versands, bis alles angenommen wird.