E-Mails von deiner Website oder WordPress landen im Spam

Was das bedeutet

Standardmäßig senden WordPress und viele Websites E-Mails mit der eingebauten Mailfunktion des Webservers (PHP mail()). Die E-Mail verlässt deinen Hosting-Server meist ohne DKIM, oft mit einem SPF, das diesen Server nicht enthält, und manchmal mit einer Absenderadresse, die nicht einmal deine ist.

Empfänger sehen eine E-Mail, die angeblich von deiner Domain kommt, aber von einem unbekannten Server gesendet wurde, und schieben sie deshalb in den Spam oder lehnen sie ab.

Warum das wichtig ist

• Kunden bekommen keine Bestellbestätigungen, Rechnungen oder Passwort-Zurücksetzungen.
• Dir entgehen Nachrichten aus deinem Kontaktformular.
• Die IP eines Shared-Hosting-Servers kann wegen anderer Websites darauf auf einer Blacklist stehen.

So prüfst du es

• Sende eine Test-E-Mail von deiner Website: Kopiere auf der Startseite deine einmalige Testadresse und nutze sie dann im Kontaktformular deiner Website, bei der Passwort-Zurücksetzung oder für eine Testbestellung. Öffne den Bericht: Sieh dir SPF, DKIM, DMARC, Blacklists und den sendenden Server an.
• Wenn der Bericht den Server deines Hosters zeigt und DKIM fehlt, nutzt die Website die eingebaute Mailfunktion.

So behebst du es

1. Entscheide, wie du sendest. Zwei gute Möglichkeiten:
   • Dein vorhandenes Postfach (Google Workspace, Microsoft 365, die E-Mail deines Hosters) über authentifiziertes SMTP. Gut für kleine Mengen.
   • Ein Dienst für Transaktions-E-Mails (davon gibt es viele, auch mit kostenlosen Tarifen). Besser für Onlineshops und größere Mengen.
2. Installiere ein SMTP-Plugin in WordPress. Such im Plugin-Verzeichnis nach „SMTP“: Beliebte Plugins lassen dich SMTP-Server, Port, Benutzernamen und Passwort eintragen oder einen Transaktionsdienst direkt verbinden. Andere Website-Baukästen und Frameworks haben eine ähnliche Seite „SMTP-Einstellungen“.
3. Nutze sichere Einstellungen: Port 587 mit STARTTLS (oder 465 mit SSL) und einen echten Benutzernamen mit Passwort. Bei Google und Microsoft brauchst du eventuell ein App-Passwort.
4. Nutze eine Absenderadresse auf deiner eigenen Domain, etwa noreply@yourdomain.com oder shop@yourdomain.com. Nutze in einem Kontaktformular niemals die Adresse des Besuchers als Absender: Trag sie stattdessen in Reply-To ein.
5. Authentifiziere den Dienst. Wenn du einen Transaktionsdienst nutzt, füge sein SPF-include: zu deinem SPF-Eintrag hinzu und veröffentliche die DKIM-Einträge, die er dir gibt.
6. Schütze deine Formulare mit einem Captcha, damit Bots sie nicht nutzen können, um Spam von deiner Website zu senden.

Beispiel für einen SPF-Eintrag mit Google Workspace und einem Transaktionsdienst:

v=spf1 include:_spf.google.com include:spf.transactional-example.com ~all

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Sende einen neuen Test von deiner Website an deine Delivmail-Testadresse. Der Bericht sollte zeigen, dass SPF, DKIM und DMARC für deine Domain bestanden sind, und der sendende Server sollte jetzt dein Anbieter sein, nicht dein Webhoster.