DMARC 2026: Shop-Mails zuverlässig in den Posteingang

Online-Handel lebt von Vertrauen, und Vertrauen entsteht auch über die scheinbar banale Frage, ob eine E-Mail überhaupt ankommt. 96 Prozent der Internetnutzerinnen und -nutzer in Deutschland haben in den vergangenen zwölf Monaten online eingekauft (Bitkom, 2025), und bei der Auswahl eines Shops nennen 51 Prozent Sicherheit und Vertrauen als sehr wichtiges Kriterium (Bitkom, 2025). Jede Bestellbestätigung, die nicht ankommt, arbeitet direkt gegen dieses Vertrauen.

Anders als ein Newsletter ist eine Transaktionsmail nicht optional. Sie bestätigt einen Kauf, liefert eine Zahlungsaufforderung, eine Rechnung, eine Sendungsnummer oder ein Token zum Zurücksetzen des Passworts. Landet sie im Spam, entsteht sofort ein konkretes Problem: Der Kunde hält die Bestellung für gescheitert, der Zahlungslink wird nicht gesehen, die Rücksendung verzögert sich. Das Ergebnis sind Supportanfragen, Zahlungsausfälle und Stornierungen - Kosten, die weit über den technischen Aufwand einer sauberen Authentifizierung hinausgehen.

Der Hintergrund der neuen Regeln ist eine reale Bedrohungslage. 61 Prozent der Internetnutzer wurden im vergangenen Jahr Opfer von Cyberkriminalität, 36 Prozent wurden beim Online-Kauf betrogen und bei 30 Prozent haben sich Angreifer per Nachricht, Mail oder Anruf durch Phishing persönliche Daten verschafft (Bitkom, 2025); der durchschnittliche Schaden lag bei 219 Euro (Bitkom, 2025). Gefälschte Absenderadressen - also E-Mails, die scheinbar von einem seriösen Shop stammen - sind ein zentrales Werkzeug dieser Angriffe. Genau hier setzt die E-Mail-Authentifizierung an: Sie macht für empfangende Server nachvollziehbar, ob eine Nachricht wirklich von der Domain stammt, die sie behauptet.

Die drei Bausteine greifen ineinander, prüfen aber unterschiedliche Dinge. Wer sie einmal versteht, erkennt schnell, warum keiner allein ausreicht und warum erst ihr Zusammenspiel eine belastbare Absenderprüfung ergibt.

Der oft übersehene Punkt ist das Alignment. Es reicht nicht, dass SPF oder DKIM irgendwie bestehen - die dabei geprüfte Domain muss auch zur sichtbaren Absenderadresse passen (DMARC.org). Genau dieses Alignment ist der Grund, warum eine E-Mail trotz gültiger SPF- oder DKIM-Signatur an DMARC scheitern kann, etwa wenn ein Zahlungs- oder Versanddienstleister im Namen des Shops sendet, ohne korrekt eingebunden zu sein.

Für den deutschsprachigen Raum gibt es mit der Technischen Richtlinie TR-03182 des Bundesamts für Sicherheit in der Informationstechnik einen klaren Rahmen. Ihr erklärtes Ziel ist es, die Verbreitung von SPF, DKIM und DMARC zu fördern und E-Mail-Empfänger so vor Identitätsmissbrauch, Spam und Phishing zu schützen (BSI, TR-03182 E-Mail-Authentifizierung). Die Richtlinie beschreibt die drei Verfahren als zusammengehörendes Bündel und empfiehlt eine DMARC-Policy mit mindestens der Stufe quarantine (BSI, TR-03182 E-Mail-Authentifizierung).

Formell richtet sich TR-03182 zunächst an Behörden und Betreiber kritischer Infrastrukturen, doch der beschriebene Stand der Technik gilt als Orientierung für alle Organisationen, die E-Mails versenden. Für einen Online-Shop bedeutet das: Die Massenversender-Regeln der großen Anbieter und der behördliche Rahmen zeigen in dieselbe Richtung. Wer SPF, DKIM und DMARC sauber betreibt und die Policy schrittweise anhebt, erfüllt nicht nur die Anforderungen von Gmail und Outlook, sondern folgt zugleich einer anerkannten deutschen Richtlinie.

Aus diesen Eigenschaften folgt der eigentliche Kern: E-Mail-Zustellbarkeit ist keine Aufgabe, die man einmal erledigt, sondern ein laufender Prozess. In einem Wartungsvertrag lässt sie sich als fester Bestandteil der laufenden Sicherheitsupdates abbilden. Die DNS-Records werden regelmäßig gegen den tatsächlichen Versand abgeglichen, die Aggregat-Reports werden ausgewertet, und jede Änderung an Diensten oder Infrastruktur zieht eine erneute Prüfung nach sich. Diese kontinuierliche Betreuung ist Teil unserer Wartungsleistungen.

Damit reiht sich die E-Mail-Authentifizierung in dieselbe Logik ein wie das übrige laufende Monitoring eines Shops. So wie die Verfügbarkeit, die TLS-Zertifikate und die Sicherheitspatches kontinuierlich beobachtet werden, gehört auch die Zustellbarkeit in den festen Wartungsrhythmus. In einem SLA-Wartungsvertrag lässt sich verbindlich festhalten, wer die Reports auswertet, in welchem Takt geprüft wird und wie schnell auf einen erkannten Bruch reagiert wird.

Die Absicherung der Zustellung ist damit kein einmaliges Projekt, sondern ein Baustein im dauerhaften Betrieb - eng verzahnt mit der übrigen Wartung, von der Server-Härtung über die barrierefreie Gestaltung nach BFSG bis zum geordneten Umgang mit Vorfällen. Ein Shop, dessen Bestell- und Versandbestätigungen verlässlich ankommen, schützt damit nicht nur seinen Umsatz, sondern auch das Vertrauen, das für 51 Prozent der Online-Shopper zu den wichtigsten Kriterien zählt (Bitkom, 2025).