„Wir haben eine Bestellung kassiert, der Kunde erhält die Bestätigung nicht.“ Das ist wahrscheinlich das häufigste Support-Ticket in PrestaShop-Shops 2026 — und fast immer ein Zustellbarkeitsproblem, kein Applikationsbug. Seit Februar 2024 haben Gmail und Yahoo ihre Anforderungen an Massenversender verschärft, und das Ökosystem folgt. Hotmail/Outlook und Apple iCloud wenden inzwischen gleichwertige Kontrollen an.
Für einen E-Commerce-Shop sind die Folgen nicht marginal: eine Bestätigung im Spam bedeutet einen Kunden, der zurückruft, einen Support-Agenten, der den Fall bearbeitet, ein Streitfallrisiko und einen Reputations-Downgrade der Domain, der alle nachfolgenden E-Mails verschlechtert. Hier der vollständige Stand der Regeln 2026, der Prüfungen für den eigenen Shop und der konkreten Korrekturen.
Die geltenden Regeln 2026 — operative Übersicht
Drei Authentifizierungsmechanismen sind heute je nach Volumen erforderlich oder erwartbar:
- SPF (Sender Policy Framework): DNS-Eintrag, der die Server auflistet, die für die Domain Post senden dürfen. Soft Fail (~all) toleriert, Hard Fail (-all) empfohlen, sobald die Migration validiert ist.
- DKIM (DomainKeys Identified Mail): kryptografische Signatur jeder E-Mail mit einem privaten Schlüssel, verifizierbar über einen im DNS veröffentlichten öffentlichen Schlüssel. Unverzichtbar.
- DMARC (Domain-based Message Authentication, Reporting & Conformance): im DNS veröffentlichte Richtlinie, die empfangenden Servern sagt, was mit E-Mails geschehen soll, die SPF oder DKIM nicht bestehen. p=none = Monitoring, p=quarantine = Spam, p=reject = Direktverwerfung.
Seit Februar 2024 verlangen Gmail und Yahoo veröffentlichtes DMARC (mindestens p=none) für alle Versender über 5.000 E-Mails pro Tag. Outlook und iCloud zogen 2025 nach. Ab April 2025 begann Gmail, Versender in p=none, die nicht in absehbarer Zeit auf eine strenge Richtlinie wechseln, deutlich aggressiver zu filtern.
2026 ist die Bahn klar: DMARC p=quarantine oder p=reject wird zum De-facto-Standard, auch für Versender unter der Schwelle von 5.000 E-Mails/Tag. Shops, die bei p=none bleiben, sehen ihre Zustellbarkeit progressiv sinken.
BIMI: der visuelle Bonus, der zum Reputationssignal wird
BIMI (Brand Indicators for Message Identification) erlaubt es, das Markenlogo im Posteingang anzuzeigen (blauer Gmail-Kreis, Apple-Mail-Avatar). Voraussetzungen:
- Eine DMARC-Richtlinie in p=quarantine oder p=reject (nicht p=none).
- Ein quadratisches SVG-Logo im Format SVG Tiny Portable/Secure (.svg).
- Idealerweise ein VMC (Verified Mark Certificate) von DigiCert oder Entrust — kostenpflichtig, ca. 1.200 € bis 1.800 € netto pro Jahr — um die Anzeige in Gmail und Apple Mail zu aktivieren.
Über den kosmetischen Aspekt hinaus sendet BIMI an die Spam-Filter ein Signal für Seriosität und Identitätskontinuität. BIMI-Shops gewinnen im Schnitt 2 bis 4 Punkte Öffnungsrate bei Newslettern und marginal bei transaktionalen E-Mails (wo die Öffnungsrate bereits sehr hoch ist).
Warum Ihre PrestaShop-E-Mails im Spam landen — die sechs Hauptursachen
1. Versand über den Standard-Webserver (PHP mail)
PHP mail() von einem Shared-Hosting-Server: IP geteilt mit hunderten Domains, keine DKIM-Signatur standardmäßig, kein Feedback-Loop. Hauptursache Nummer eins für sofortige Quarantäne durch Gmail.
Die saubere Regel 2026: alle E-Mails laufen über einen authentifizierten SMTP — Brevo, Mailjet, SendGrid, Postmark, AWS SES, Mailgun, oder deutsche Anbieter wie CleverReach, rapidmail, mailingwork, oder ein sauber konfigurierter selbstgehosteter SMTP. Das verlangt von PrestaShop die Nutzung des Symfony-Mailer-Moduls im SMTP-Modus.
2. SPF nicht ausgerichtet
SPF korrekt auf der Versanddomain, aber die Return-Path-Adresse zeigt auf eine nicht abgedeckte Subdomain. Ergebnis: SPF besteht, ist aber mit dem sichtbaren From nicht aligned. DMARC fällt durch. Die Diagnose erfolgt über einen DMARC-Aggregate-Report (RUA): die Diskrepanz wird sofort sichtbar.
3. Abgelaufener oder vergessener DKIM-Rotationsschlüssel
Der im DNS veröffentlichte DKIM-Schlüssel muss periodisch rotiert werden (halbjährlich oder jährlich). Viele Shops installieren ihn beim Launch und vergessen ihn dann. Nach einigen Jahren ist der Schlüssel statistisch kompromittiert (historische 1024-Bit-Längen), und Gmail beginnt zu sanktionieren. Saubere Rotation ist nötig, meist vom SMTP-Anbieter übernommen.
4. Schlecht gestalteter HTML-Inhalt
E-Mail mit zu vielen Links zu Drittdomains, umgekehrtes Text/Bild-Verhältnis (Banner-Bild deckt 80 % des Inhalts ab, wenig Text), gekürzte URLs (bit.ly und andere), fehlende Plain-Text-Version. Diese Signale sind einzeln schwach, kumuliert lösen sie Bayes-Filter aus.
5. Erratisches Volumen und schlecht gepflegte Listen
Shop, der drei Monate lang eine transaktionale E-Mail pro Tag versendet, dann auf einmal 50.000 Newsletter. Atypischer Peak → Verdacht. Und wenn die Liste inaktive Adressen oder nicht bereinigte Hard Bounces enthält, steigt die Beschwerderate. Oberhalb von 0,3 % beginnt Gmail zu filtern.
6. Vergiftete Listen
Spam-Trap-Adressen (alte Adressen, die von ISPs recycelt werden, um Spammer zu fangen). Ein einziger Spam-Trap-Treffer ruiniert die Domain-Reputation für mehrere Wochen. Prävention: verpflichtendes Double-Opt-in (in Deutschland ohnehin DSGVO-rechtlich erforderlich), regelmäßiges Bereinigen, Validierung beim Erfassen (prüfen, dass die Adresse antwortet, bevor man sie aufnimmt).
Die Bereinigungs-Checkliste 2026 — Sequenz in 6 Schritten
Schritt 1 — Audit des Bestands
DNS-Einträge mit dmarcian, MXToolbox oder Postmark DNS Checker prüfen: SPF korrekt, DKIM veröffentlicht, DMARC veröffentlicht und lesbar. Test-E-Mail an eine private Gmail-Adresse senden und die Header (Authentication-Results) inspizieren, um Pass/Fail zu überprüfen.
Schritt 2 — Einrichtung eines authentifizierten transaktionalen SMTP
Brevo, Mailjet, Postmark, CleverReach, rapidmail oder AWS SES je nach Volumen. PrestaShop über das Symfony-Mailer-Modul (PS 8.1+) oder ein Drittanbieter-SMTP-Modul konfigurieren. Test-E-Mail-Versand validieren: Bestellbestätigung, Passwort-Reset, Preisalarm.
Schritt 3 — Aktivierung von DMARC in p=none mit Reporting
DMARC-Eintrag mit p=none veröffentlichen und das rua-Attribut auf eine dedizierte Adresse ([email protected]) oder einen Monitoring-Dienst (dmarcian, Postmark DMARC, OnDMARC) zeigen lassen. 2 bis 4 Wochen laufen lassen, um Aggregate-Reports zu sammeln.
Schritt 4 — Analyse der DMARC-Reports und Beheben der Lecks
Die Reports identifizieren alle Drittdienste, die für die Domain versenden: transaktionaler SMTP, Newsletter-Plattform, Support-Tool (Zendesk, Crisp, Freshdesk), CRM, Buchhaltung. Jeder muss in SPF autorisiert sein und mit aligned DKIM signieren. Der zeitintensivste Schritt in der Praxis.
Schritt 5 — Wechsel zu p=quarantine, dann p=reject
Sobald die DMARC-Reports sauber sind (>95 % Alignment), 4 bis 8 Wochen auf p=quarantine, dann p=reject. Bei jedem Wechsel Bounces und Kundentickets überwachen.
Schritt 6 — BIMI und VMC-Zertifikat (optional aber nützlich)
Sobald p=quarantine oder p=reject stabil, einen BIMI-Eintrag mit SVG-Logo veröffentlichen. Ein VMC erwerben, wenn die Marke geschützt ist (beim DPMA registriert) und das Volumen die Investition rechtfertigt.
Eingehende Anti-Spam-Filterung — ein oft vergessenes Thema
Eingangsseitig erhält ein Shop viel Spam (Kontaktformular, falsche Anfragen, falsche Bestellungen), der Vertriebs-Postfächer verstopft und manchmal in die CRM-Basis gelangt. Eine gute Eingangsfilterung verbessert Produktivität und Sicherheit (eingehende Phishings).
Bei DataFirefly wendet das Modul dfemailfilter serverseitige Anti-Spam-Filterung auf gehosteten Domains an, mit eingehenden SPF/DKIM/DMARC-Regeln, Bayes-Scoring und dynamischer Blockliste. Nützlich für das PrestaShop-Kontaktformular und B2B-E-Mails.
Fazit: Zustellbarkeit als E-Commerce-Kennzahl ersten Ranges
Viele Händler behandeln E-Mail als „IT“-Thema zum Delegieren. Das ist 2026 ein Fehler. Zustellbarkeit bestimmt heute: Conversion (abgebrochener Warenkorb wird nicht zurückgeholt, wenn die E-Mail nicht ankommt), Support (Tickets „Ich habe meine Rechnung nicht erhalten“), Retention (Newsletter im Spam = abgebrochene Kundenbeziehung), und Compliance (DSGVO: Nachweis der Einwilligung per Double-Opt-in nur gültig, wenn die E-Mail ankommt — die Datenschutzbehörden der Länder prüfen das im Beschwerdefall).
Ein sauberes SPF/DKIM/DMARC-Upgrade braucht 4 bis 8 Wochen konzentrierte Arbeit und liefert in der Regel 5 bis 15 Punkte Öffnungsrate auf Marketing-Seite, ohne den Inhalt anzufassen. Einer der besten technischen ROIs des Jahres.
