WordPress-Mails landen im Spam: Ursachen und der saubere Weg heraus

Das Kontaktformular funktioniert, der Kunde bekommt trotzdem nie eine Antwort — weil Ihre Mail in seinem Spam-Ordner liegt. Das Tückische: Sie merken davon nichts. Die Seite läuft, WordPress meldet „Mail versendet”, und der Schaden entsteht lautlos.

Warum das passiert

WordPress verschickt Mails standardmäßig über die PHP-Funktion mail() des Hosters: ohne Authentifizierung, von einer Server-IP, die sich hunderte Kunden teilen — und auf der irgendeiner davon irgendwann Spam verschickt hat. Aus Sicht des empfangenden Mailservers kommt da eine unauthentifizierte Nachricht von einer zweifelhaften Adresse, die behauptet, in Ihrem Namen zu sprechen. Genau so sieht auch Phishing aus.

Deshalb haben die großen Anbieter die Regeln verschärft: Gmail und Yahoo verlangen seit Februar 2024 authentifizierte Absender, Microsoft zog im Mai 2025 nach. Wer die Nachweise nicht liefert, landet im Spam — oder wird gar nicht erst angenommen.

Die drei Einträge, in Alltagssprache

Die Nachweise sind drei DNS-Einträge auf Ihrer Domain:

• SPF — die Gästeliste: welche Server dürfen überhaupt in Ihrem Namen senden? Steht der sendende Server nicht darauf, ist das ein Warnsignal.
• DKIM — das Siegel: jede Mail bekommt eine kryptografische Signatur. Der Empfänger kann prüfen, dass sie wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde.
• DMARC — die Hausordnung: was soll der Empfänger tun, wenn SPF und DKIM fehlschlagen? Nur beobachten und berichten (p=none), in Quarantäne stecken (quarantine) oder ablehnen (reject)?

Selbst prüfen

Der schnellste Weg: unser kostenloser Mail-Check — Domain eingeben, und Sie sehen, welche der drei Einträge fehlen. Der zweite Blick lohnt sich auch: Schicken Sie sich über Ihr Kontaktformular selbst eine Mail an eine Gmail-Adresse und öffnen Sie dort über das Drei-Punkte-Menü „Original anzeigen”. Ganz oben steht eine Tabelle mit SPF, DKIM und DMARC — jeweils mit PASS oder FAIL. Das ist exakt das Zeugnis, das jeder Empfänger-Server über Sie ausstellt.

Die sichere Reihenfolge

Die Einträge sind schnell kopiert — und schnell falsch. Wer sie in der falschen Reihenfolge setzt, blockiert schlimmstenfalls die eigenen legitimen Mails. Der sichere Weg:

1. Erst den Versandweg umstellen: weg von PHP-mail(), hin zu echtem SMTP-Versand über Ihr Postfach oder einen Versanddienst (per SMTP-Plugin in WordPress). Erst dann gibt es einen sauberen Absender, den man autorisieren kann.
2. Dann SPF und DKIM setzen — passend zu diesem Versandweg und zu allem, was sonst noch in Ihrem Namen sendet (Newsletter-Tool, Buchhaltung, Ticketsystem).
3. Dann DMARC im Beobachtungsmodus (p=none) mit Auswertungsadresse — und die Berichte einige Zeit ansehen: Taucht dort ein legitimer Dienst auf, der noch durchfällt, wird er in SPF/DKIM nachgezogen.
4. Erst zum Schluss verschärfen auf quarantine oder reject — wenn die Auswertung zeigt, dass nichts Legitimes mehr hängen bleibt.

Typische Fehler

• DMARC sofort auf reject. Klingt konsequent, blockiert aber gern die eigene Newsletter- oder Rechnungssoftware, an die beim Setzen niemand gedacht hat. Erst beobachten, dann verschärfen.
• SPF mit zu vielen include-Verweisen. Für die Prüfung eines SPF-Eintrags gilt ein hartes Limit an Nachschlagevorgängen — wer über die Jahre jeden Dienst per include anhängt, reißt es irgendwann, und die Prüfung schlägt für alle fehl.
• Einträge setzen und nie testen. Ohne Testversand mit Header-Auswertung ist jede Einrichtung ein Blindflug.

Wenn Sie es machen lassen wollen

Unsere Mail-Zustellbarkeit für WordPress (199 € Festpreis) erledigt genau diesen Weg: Bestandsaufnahme, SMTP-Umstellung, SPF, DKIM und DMARC mit Augenmaß — belegt durch Testversand an Gmail, Outlook und GMX samt Auswertung der Authentifizierungs-Header.