Spam-Ordner finden und Firmenmails aus dem Spam holen

Den Spam-Ordner finden Sie in Gmail am Computer unter „Mehr“ und „Spam“, in Outlook im Ordner „Junk-E-Mail“ und bei iCloud Mail auf dem iPhone im Ordner „Junk“. Eine fälschlich dort gelandete Nachricht markieren Sie als „Kein Spam“ beziehungsweise „kein Junk“, dann wandert sie zurück in den Posteingang. Landen die Mails Ihres Unternehmens beim Empfänger im Spam, prüfen Sie zuerst SPF, DKIM und DMARC: Google, Yahoo und Microsoft verlangen diese Verfahren von Absendern großer Mengen.

Spam-Ordner finden und „Kein Spam“ markieren

Programm	Spam-Ordner	Zurück in den Posteingang
>Gmail am Computer	Im linken Menü „Mehr“, dann „Spam“	Nachricht markieren, oben auf „Kein Spam“ klicken
>Outlook.com	Ordner „Junk-E-Mail“	Nachricht auswählen, auf „Es ist kein Junk-E-Mail“ klicken; Absender zur Liste sicherer Absender hinzufügen
>Outlook für Windows (klassisch)	Ordner „Junk-E-Mail“	Nachricht auswählen, im Menü „Start“ die Option „Nicht Junk“ wählen, oder die Nachricht in den Posteingang ziehen
>iPhone (iCloud Mail)	Ordner „Junk“	Nachricht öffnen, „In Ordner bewegen“ antippen, dann „Posteingang“

Gmail verschiebt laut >Google künftige Mails eines Absenders nicht mehr in den Spam, wenn Sie „Kein Spam“ gewählt haben. Alternativ lässt sich ein Filter mit „Nie als Spam einstufen“ anlegen. Apple löscht Mails im Junk-Ordner von iCloud Mail nach 30 Tagen automatisch.

Warum landen Firmenmails im Spam?

Empfangende Mailserver prüfen, ob ein Absender berechtigt ist, für eine Domain zu senden. Drei DNS-basierte Verfahren spielen dabei zusammen:

Verfahren	Was geprüft wird	DNS-Eintrag	Norm
SPF	Ist die sendende IP-Adresse für die Domain zugelassen?	TXT-Record auf `example.com`, beginnt mit `v=spf1`	>RFC 7208
DKIM	Ist die Nachricht signiert und die Signatur gültig?	TXT-Record mit öffentlichem Schlüssel auf `selector._domainkey.example.com`	>RFC 6376
DMARC	Was soll bei fehlgeschlagener Prüfung passieren, und wohin gehen Berichte?	TXT-Record auf `_dmarc.example.com`	>RFC 9989

Für DMARC wird häufig noch RFC 7489 genannt. Laut >RFC-Editor ist dieser RFC überholt; DMARC ist seit Mai 2026 in RFC 9989 (Verfahren), >RFC 9990 (Aggregate-Berichte) und >RFC 9991 (Fehlerberichte) beschrieben.

Was Google, Yahoo und Microsoft verlangen

Anbieter	Gilt für	Anforderungen
>Google (Gmail)	Alle Absender an Gmail-Konten, ab 1. Februar 2024	SPF oder DKIM, gültige Forward- und Reverse-DNS-Einträge, TLS, Spamrate in den Postmaster Tools unter 0,3 %, Format nach RFC 5322
>Google (Gmail)	Mehr als 5.000 Nachrichten pro Tag an Gmail-Konten	Zusätzlich SPF, DKIM und DMARC (Richtlinie „none“ genügt), Absenderdomain stimmt mit SPF- oder DKIM-Domain überein, One-Click-Abmeldung bei Marketing- und abonnierten Mails
>Yahoo	Massenversender, Durchsetzung ab Februar 2024	SPF und DKIM, gültiges DMARC mit mindestens p=none, Abmeldeheader mit One-Click, Abmeldungen innerhalb von 2 Tagen, Spamrate unter 0,3 %
>Microsoft (Outlook.com und Verbraucherdienste)	5.000 oder mehr Nachrichten an Microsofts Verbraucher-Maildienste, alle mit derselben Domain im 5322.From	SPF und DKIM müssen bestehen, DMARC-Record veröffentlicht (Beispiel von Microsoft: `v=DMARC1; p=none`), DMARC-Prüfung bestanden

Bei Google können nicht authentifizierte Nachrichten laut >Hilfeseite mit dem Fehler 5.7.26 abgelehnt werden. Microsoft nennt als Bounce-Text „550 5.7.515 Access denied, sending domain … does not meet the required authentication level“. Für die One-Click-Abmeldung verweist >Google auf die Header List-Unsubscribe und List-Unsubscribe-Post: List-Unsubscribe=One-Click (RFC 8058).

Prüfschritte mit DNS-Beispielen

Die Beispiele verwenden die Platzhalterdomain example.com und die Platzhalter-IP 192.0.2.25.

Sendende Systeme erfassen. Wer verschickt Mails mit Ihrer Domain im Absender? Mailserver oder Microsoft-365-Tenant, Webserver mit Kontaktformular oder Shop, Newsletter-Tool, CRM, Buchhaltungssoftware. Jedes System muss im SPF erscheinen oder DKIM-signieren.
SPF-Record anlegen oder ergänzen. example.com. IN TXT "v=spf1 include:spf.mailanbieter.example ip4:192.0.2.25 -all" Pro Domain darf es nur einen SPF-Record geben, sonst liefert die Prüfung laut >RFC 7208 „permerror“. Zu „permerror“ führen auch mehr als 10 Begriffe, die DNS-Abfragen auslösen (include, a, mx, ptr, exists, redirect). -all markiert nicht aufgeführte Absender als unzulässig, ~all ist laut RFC nur eine schwache Aussage („softfail“).
DKIM einrichten. Den Schlüssel erzeugt der Mailserver oder Anbieter, der öffentliche Teil kommt in den DNS: selector1._domainkey.example.com. IN TXT "v=DKIM1; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQ..." >RFC 6376 verlangt für langlebige Schlüssel mindestens 1024 Bit RSA; >Google empfiehlt 2048 Bit, wo der Anbieter das unterstützt.
DMARC im Beobachtungsmodus starten. _dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-feedback@example.com" Dieses Muster stammt aus den Beispielen in >RFC 9989. Der RFC beschreibt den Start mit p=none und rua als üblichen Weg: erst Berichte sammeln und auswerten, ob SPF und DKIM überall greifen, danach die Richtlinie verschärfen (p=quarantine, p=reject).
Testmail prüfen. In Gmail zeigt der Pfeil unter dem Absendernamen laut >Google die Angaben „Mailed by“ und „Signed by“; ein Fragezeichen neben dem Absender bedeutet „nicht authentifiziert“. In anderen Programmen steht im Header Authentication-Results, ob spf=pass und dkim=pass vorliegen.
Spamrate beobachten. >Google nennt eine Spamrate unter 0,10 % als Zielwert und rät dringend davon ab, 0,30 % oder mehr zu erreichen.

Der typische Fehler: Webserver und Kontaktformular fehlen im SPF

Verschickt eine Website Formularnachrichten, Bestellbestätigungen oder Passwort-Mails direkt vom Webserver, mit einer Absenderadresse der eigenen Domain, und steht im SPF-Record nur der Mailanbieter, entsteht ein Problem. Der Empfänger ruft den SPF-Record der Absenderdomain ab, findet die IP-Adresse des Webservers dort nicht und wertet die Prüfung als nicht bestanden. Ohne gültige DKIM-Signatur mit passender Domain schlägt dann auch DMARC fehl. Google und Microsoft verlangen von großen Absendern, dass die Absenderdomain mit der SPF- oder DKIM-Domain übereinstimmt.

Zwei Wege führen aus der Falle: Die IP-Adresse oder den Hostnamen des Webservers in den SPF-Record aufnehmen, oder, unser bevorzugter Weg, die Formular-Mails über den authentifizierten SMTP-Zugang des Mailanbieters versenden, damit dessen SPF- und DKIM-Einträge gelten. Danach mit einer Testmail an ein Gmail-Konto die Header prüfen.

Wenn Sie Unterstützung möchten

Wir von der Bitblade Solutions UG (haftungsbeschränkt) in Lauchringen betreuen die IT von Unternehmen im Rahmen von Managed IT Services, deutschlandweit remote und vor Ort im Raum Lauchringen und Rafz; Anfragen erfassen wir als Ticket, den Aufwand schätzen wir vor der Beauftragung ein, abgerechnet wird nach Abnahme. Für Kundinnen und Kunden in der Schweiz ist „Bitblade Schweiz – Sobiera“ zuständig, ein eigenständiges Einzelunternehmen in Rafz (ZH), erreichbar über /ch/leistungen/. Mehr unter Managed IT Services, Kontakt unter /#kontakt.

Häufige Fragen

Wo ist der Spam-Ordner in Gmail, Outlook und auf dem iPhone?

In Gmail am Computer unter „Mehr“ und dann „Spam“, in Outlook im Ordner „Junk-E-Mail“, bei iCloud Mail auf dem iPhone im Ordner „Junk“.

Warum landen E-Mails des eigenen Unternehmens im Spam?

Häufige Ursachen sind fehlende oder fehlerhafte Authentifizierung per SPF, DKIM und DMARC, zum Beispiel weil ein sendendes System wie der Webserver nicht im SPF-Record steht. Google, Yahoo und Microsoft verlangen diese Verfahren von Absendern großer Mengen.

Was verlangen Google und Yahoo von Absendern?

>Google: ab dem 1. Februar 2024 für alle Absender SPF oder DKIM und eine Spamrate unter 0,3 %, ab mehr als 5.000 Nachrichten pro Tag zusätzlich DMARC und One-Click-Abmeldung. >Yahoo verlangt von Massenversendern SPF, DKIM, DMARC (mindestens p=none), One-Click-Abmeldung und eine Spamrate unter 0,3 %.

Reicht ein SPF-Eintrag für die Zustellung?

Für kleine Absender verlangt Google nur SPF oder DKIM. Wer mehr als 5.000 Nachrichten pro Tag an Gmail-Konten sendet, braucht SPF, DKIM und DMARC. >Microsoft verlangt ab 5.000 Nachrichten an seine Verbraucher-Maildienste, dass SPF und DKIM bestehen und DMARC veröffentlicht ist.

Welchen DMARC-Wert sollte man zum Start verwenden?

Üblich ist ein Start mit p=none und einer Berichtsadresse (rua), um Berichte auszuwerten. Google, Yahoo und Microsoft akzeptieren in ihren Anforderungen p=none; die Richtlinie lässt sich später verschärfen.

Spam-Ordner: Wo er ist und warum Firmenmails dort landen