Beeinflussen E-Mail-Signaturen die Zustellbarkeit? Was IT-Teams wissen müssen

E-Mail-Signaturen können die Zustellbarkeit beeinflussen, aber eine sauber gebaute Signatur schickt E-Mails nur selten im Alleingang in den Spam-Ordner. Ob Ihre Signatur Probleme verursacht, hängt davon ab, wie sie aufgebaut ist und wie sie bereitgestellt wird.

Schweres HTML, überdimensionierte Bilder, eine Reihe externer Links und Redirect-basiertes Klick-Tracking zählen alle zu den Signalen, die Spamfilter gewichten. Auch die Bereitstellung spielt eine Rolle: Ein Tool, das E-Mails über die eigene Domain versendet, bringt eine neue Sendequelle ins Spiel, die Ihr bestehendes Setup abdecken muss. Die meisten Teams prüfen das erst, wenn die Zustellrate einbricht.

Dieser Leitfaden zeigt, welche Bestandteile einer E-Mail-Signatur die Zustellbarkeit tatsächlich beeinflussen, wie sie mit Ihren SPF-, DKIM- und DMARC-Einträgen zusammenspielen, wie das Bereitstellungsmodell das Bild verändert und was Sie zuerst prüfen, wenn E-Mails nach dem Rollout eines Tools im Spam landen.

Was in einer E-Mail-Signatur die Zustellbarkeit wirklich beeinflusst

Spamfilter bewerten die gesamte Nachricht anhand mehrerer Signale: die Reputation Ihrer Absenderdomain, das Ergebnis der Authentifizierung, das Verhalten der Empfänger sowie Inhalt und Struktur der Nachricht selbst. Ihre E-Mail-Signatur fällt in die letzte Kategorie. Und weil dieselbe Vorlage in jeder Nachricht mitreist, wird aus einem kleinen Fehler schnell ein unternehmensweiter.

Vier Bestandteile einer Signatur sind dabei am wichtigsten: das HTML, die Bilder, die Links und die Art des Klick-Trackings.

HTML-Umfang und Code-Komplexität

Jede E-Mail-Signatur fügt der Nachricht HTML hinzu. Wie sauber dieses HTML ist und wie viel davon es gibt, wirkt sich beides auf die Nachricht aus.

Schlankes, sauberes Markup fällt kaum ins Gewicht. Aufgeblähter Code mit übrig gebliebenen Kommentaren, doppelten Style-Blöcken und zusammenkopierter Formatierung macht dagegen jede einzelne Nachricht unnötig schwer.

Besser dokumentiert ist das Risiko einer bildlastigen Signatur: Eine Signatur, die überwiegend aus einem einzigen großen Bild besteht und kaum echten Text enthält, entspricht einem Muster, das Spamfilter seit Langem mit Junk-Mail verbinden. Halten Sie das Markup in der Praxis aufgeräumt und sorgen Sie dafür, dass Ihre Kontaktdaten als echter Text vorliegen und nicht in einem Bild stecken.

Wie Bilder eingebunden werden

Bilder machen den größten Teil des Gewichts einer Signatur aus, und es gibt zwei Wege, sie einzubinden. Sie können das Bild direkt in die Nachricht einbetten oder es hosten und verlinken:

•      Eingebettete Bilder werden zuverlässig dargestellt und hängen von keinem externen Server ab, vergrößern aber jede Nachricht.

•      Verlinkte Bilder halten die Nachricht schlank, werden aber von manchen Clients standardmäßig blockiert, bis der Empfänger sie lädt, und jedes bringt eine weitere externe Domain in Ihre E-Mail.

Keine der beiden Varianten ist grundsätzlich besser; die richtige Wahl hängt von Ihren Empfängern ab und davon, wie Sie zuverlässige Darstellung gegen Nachrichtengröße abwägen. Gemeinsam ist beiden eine Obergrenze: Der Exclaimer-Leitfaden zu eingebetteten und gehosteten Signaturbildern empfiehlt, jedes Bild bei höchstens 50 KB zu halten, damit es schnell lädt und die Nachricht nicht in Richtung Spamfilter drückt.

Links, Banner und externe Domains

Jeder Link und jedes gehostete Element in einer Signatur verweist auf eine externe Domain: die Website hinter Ihrem Logo, das Ziel eines Kampagnenbanners, Social-Media-Icons, ein Bild-Host.

Am wichtigsten ist die Reputation dieser Domains, denn Filter gleichen Links mit URL-Blocklisten ab. Eine Signatur, die auf ein paar bekannte Domains verweist, ist unauffällig. Eine Signatur voller Banner, Badges und gekürzter URLs, die auf eine Ansammlung unbekannter Ziele zeigen, ähnelt dagegen Werbemail und wird genauer geprüft.

Zwei Gewohnheiten halten das im Rahmen. Verwenden Sie vollständige, gebrandete Ziel-URLs statt Link-Kürzern: Diese verbergen, wohin ein Link tatsächlich führt, und gelten als bekanntes Spam-Signal. Und halten Sie die Zahl der verschiedenen externen Domains überschaubar, besonders wenn zu Logo und Social-Media-Links noch Werbebanner dazukommen.

Klick-Tracking: UTM-Parameter oder Redirect-basiertes Tracking

Wenn Sie Klicks auf Signatur-Links oder Banner messen, beeinflusst die Tracking-Methode, wie der Link für einen Filter aussieht:

•      UTM-Parameter hängen Tracking-Tags an Ihre eigene Ziel-URL an. Der Link zeigt weiterhin auf Ihre Domain, und nichts wird umgeschrieben.

•      Redirect-basiertes Tracking ersetzt den Link stattdessen durch einen, der zunächst über eine Tracking-Domain läuft und den Empfänger dann an das eigentliche Ziel weiterleitet.

Genau diese Weiterleitung erlaubt es dem Tool, Klicks in dem Moment zu protokollieren, in dem sie passieren. UTM-Parameter zählen von sich aus nichts; sie kennzeichnen den Besuch nur, weshalb die Zielseite eine eigene Analyse braucht, um ihn zu erfassen. Die Weiterleitung ist allerdings auch der Teil, den ein Filter als Risiko lesen kann, besonders wenn die Tracking-Domain unbekannt ist oder nichts mit Ihrer Marke zu tun hat.

Wo die Zustellrate wichtiger ist als das Klick-Reporting im Tool, sind UTM-Parameter die sicherere Voreinstellung, weil der Link auf Ihre Domain zeigt. Wenn Sie auf Redirect-Tracking angewiesen sind, richten Sie die Tracking-Domain per CNAME-Eintrag auf Ihre eigene aus, damit der Link als Ihrer gelesen wird und nicht als der eines Dritten.

Wie E-Mail-Authentifizierung hineinspielt: SPF, DKIM und DMARC

Ihre E-Mail-Signatur richtet keine Authentifizierung ein, aber die Art ihrer Bereitstellung kann sie zerstören, und eine gebrochene Authentifizierung ist einer der direktesten Wege in den Spam-Ordner. Drei Standards entscheiden, ob ein empfangender Server Ihren E-Mails vertraut. Nachrichten, die deren Prüfungen nicht bestehen, werden deutlich häufiger gefiltert und können je nach Richtlinie des Empfängers auch komplett abgewiesen werden.

Diese Grundlage fehlt häufig. Exclaimers Untersuchung State of Business Email 2025 [ENG] ergab, dass nur 33 % der Unternehmen SPF, DKIM oder DMARC umgesetzt haben. Die meisten Absender starten also aus einer schwächeren Position, noch bevor die Signatur überhaupt ins Spiel kommt.

Eine Signatur kann die Authentifizierung auf zwei Wegen untergraben, und beide hängen daran, wie sie eingefügt wird:

• Die Sendequelle. Versendet Ihr Signatur-Tool E-Mails über eigene Server statt über Ihren bestehenden Mailfluss, muss diese Quelle in Ihrem SPF-Eintrag autorisiert sein, sonst scheitert die Prüfung. Mehr Sendequellen verbrauchen außerdem das SPF-Limit von zehn DNS-Lookups. Wird es überschritten, kann SPF für Ihre gesamte Mail fehlschlagen, auch für Nachrichten legitimer Absender.

• DKIM. Weil DKIM den Nachrichteninhalt signiert, macht jede Änderung nach der Signierung diese ungültig, sofern der Mailfluss nicht anschließend erneut signiert. Ein Tool, das die Signatur an der falschen Stelle im Fluss einfügt, kann DKIM unbemerkt bei jeder Nachricht brechen, die es anfasst.

Welches der beiden Risiken auf Sie zutrifft, hängt davon ab, wie Ihr Signatur-Tool bereitgestellt wird.

Wie Ihr Bereitstellungsmodell das Bild verändert

Jede E-Mail-Signatur bringt dieselben Aufbau-Risiken mit: HTML-Umfang, Bildgröße, externe Links und die Tracking-Methode. Ob daraus echte Zustellprobleme werden, entscheidet sich daran, wie die Signatur an ausgehende Nachrichten angefügt wird. Dafür gibt es zwei Bereitstellungsmodelle.

• •      Clientseitige Bereitstellung, bei Exclaimer die Geräte-Bereitstellung, fügt die E-Mail-Signatur vor dem Versand im Mail-Client ein. Die Nachricht verlässt das System danach wie gewohnt über Microsoft 365, sodass nichts Neues im Sendepfad liegt: kein SPF-Include, der ergänzt werden müsste, und Microsoft signiert DKIM wie immer. Der Nachteil ist die Abdeckung. Die Signatur erscheint nur dort, wo das Tool installiert ist, sodass E-Mails von einem nicht verwalteten Gerät oder vom Smartphone ohne Signatur hinausgehen.

  Serverseitige Bereitstellung, bei Exclaimer die Cloud-Bereitstellung, fügt die E-Mail-Signatur nach dem Versand ein, entweder indem die Mail über den Cloud-Dienst des Tools geleitet wird oder über eine Transportregel innerhalb von Microsoft 365. Sie deckt jede Nachricht von jedem Gerät ab, das ist ihr Hauptvorteil. Das Einfügen mitten im Mailfluss verändert allerdings, wie sich die Nachricht authentifiziert (die folgende Tabelle zeigt, wie).

Die SPF-Zeile ist eine einmalige Konfiguration. Bei der DKIM-Zeile unterscheiden sich serverseitige Tools tatsächlich, und das lohnt sich zu verstehen, bevor Sie eines auswählen. DKIM ist reihenfolgeabhängig: Microsoft 365 signiert die Nachricht beim Versand. Fügt ein Tool die Signatur danach ein, stimmt der Nachrichtenkörper nicht mehr mit dem überein, was signiert wurde, und DKIM schlägt fehl, während die E-Mail für den Absender weiterhin korrekt aussieht. Eine selbst gebaute Transportregel macht genau das.

Die Lösung liegt in der richtigen Reihenfolge: Die Cloud-Lösung von Exclaimer etwa entfernt die vorhandene DKIM-Signatur, wenn die Nachricht eintrifft, fügt die E-Mail-Signatur ein und übergibt die Nachricht zurück an Microsoft 365, das DKIM signiert, sobald die Signatur steht. Weil zuletzt signiert wird, entspricht der geprüfte Inhalt dem zugestellten Inhalt, und DKIM validiert.

Keines der beiden Modelle ist grundsätzlich besser. Clientseitig lässt den Sendepfad unangetastet, deckt aber nur verwaltete Geräte ab. Serverseitig deckt alles ab, um den Preis einer DKIM-Reihenfolge, die beide Varianten richtig hinbekommen müssen, plus eines SPF-Includes, wenn das Tool E-Mails über den eigenen Dienst leitet.

Best Practices für zustellsichere E-Mail-Signaturen

Eine zustellsichere Signatur ist eine Frage weniger Gewohnheiten. Keine davon bedeutet, die Signatur auf reinen Text zurückzustutzen.

• Halten Sie das HTML sauber und schlank. Verwenden Sie aufgeräumtes Markup ohne übrig gebliebene Kommentare oder doppelte Styles und stellen Sie Kontaktdaten als echten Text dar statt in einem großen Bild.

• Halten Sie jedes Bild bei höchstens 50 KB. Entscheiden Sie bewusst zwischen eingebetteten und verlinkten Bildern, je nachdem, wie Ihre Empfänger E-Mails lesen und ob Sie Branding auch nach dem Versand noch aktualisieren wollen.

• Verwenden Sie vollständige, gebrandete Ziel-URLs. Verzichten Sie auf Link-Kürzer: Sie verbergen das Ziel und gelten als bekanntes Spam-Signal.

• Gehen Sie sparsam mit Bannern und Badges um. Jedes bringt eine weitere externe Domain in jede Nachricht, also behalten Sie nur, was seinen Platz verdient.

• Bevorzugen Sie UTM-Parameter fürs Klick-Tracking. Wenn Sie stattdessen auf Redirect-Tracking setzen, richten Sie die Tracking-Domain auf Ihre eigene aus, damit der Link als Ihrer gelesen wird.

• Richten Sie SPF, DKIM und DMARC ein. Nachrichten, die die Authentifizierung nicht bestehen, gehören zu den am häufigsten gefilterten.

• Stimmen Sie Bereitstellung und Authentifizierung aufeinander ab. Leitet Ihr Tool E-Mails über den eigenen Dienst, ergänzen Sie den SPF-Include und achten Sie auf das Limit von zehn Lookups. Prüfen Sie außerdem, dass DKIM nach dem Einfügen der Signatur signiert wird, nicht davor.

Was Sie prüfen, wenn die Zustellbarkeit nach dem Rollout eines Signatur-Tools sinkt

Bricht die Zustellrate direkt nach der Einführung eines Signatur-Tools ein, arbeiten Sie diese Prüfungen der Reihe nach ab. Die häufigsten Ursachen stehen oben.

1. Lesen Sie die Authentifizierungsergebnisse einer Testnachricht. Senden Sie eine Nachricht über das Live-Setup und öffnen Sie deren Authentication-Results-Header, oder prüfen Sie sie mit einem Lookup-Tool. SPF, DKIM und DMARC melden dort jeweils Pass oder Fail, und diese eine Zeile zeigt, ob das Problem bei der Authentifizierung liegt oder woanders.

2. Schlägt DKIM fehl, prüfen Sie die Signierreihenfolge. Ein DKIM-Fehler mit abweichendem Body-Hash deutet meist darauf hin, dass die Signatur eingefügt wurde, nachdem Microsoft 365 die Nachricht signiert hat. Stellen Sie sicher, dass der Mailfluss DKIM erst signiert, wenn die Signatur bereits steht.

3. Schlägt SPF fehl, prüfen Sie Include und Lookup-Anzahl. Ein Tool, das E-Mails über den eigenen Dienst leitet, muss in Ihrem SPF-Eintrag autorisiert sein. Prüfen Sie, ob der Include vorhanden ist und ob Sie das SPF-Limit von zehn Lookups überschritten haben, was SPF für alles fehlschlagen lässt.

4. Besteht die Authentifizierung, landen E-Mails aber weiter im Spam, sehen Sie sich den Inhalt an. Dann liegt es nicht an der Authentifizierung, sondern an der Signatur selbst: überdimensionierte Bilder, eine Reihe getrackter oder gekürzter Links oder zu viele unbekannte externe Domains. Vergleichen Sie eine Nachricht mit Signatur mit einer ohne.

5. Prüfen Sie, wer betroffen ist. Wenn nur ein Teil der Empfänger Ihre E-Mails in den Spam sortiert, notieren Sie welche. Ein Problem, das auf einen Anbieter beschränkt ist, etwa Gmail, aber nicht Outlook, deutet auf Reputation oder Inhalt hin, denn ein defekter SPF- oder DKIM-Eintrag wirkt sich in der Regel überall gleichzeitig aus.

Vollständige Abdeckung erreichen, ohne die Authentifizierung zu brechen

Serverseitige Bereitstellung ist der einzige Weg, um sicherzustellen, dass jedes Gerät eine konforme E-Mail-Signatur versendet, und zugleich das Modell, das DKIM am ehesten bricht, wenn die Signierreihenfolge nicht stimmt. Die Cloud-Bereitstellung signiert DKIM neu, nachdem die E-Mail-Signatur eingefügt wurde, sodass IT-Teams volle Abdeckung erhalten, ohne ein neues Zustellproblem zu schaffen. Wo Mitarbeitende ihre Signatur schon beim Schreiben sehen sollen, deckt die Geräte-Bereitstellung genau das ab. Die meisten Unternehmen nutzen beides.

Vereinbaren Sie eine Demo, um zu sehen, wie die Bereitstellung in Ihrer Microsoft-365- oder Google-Workspace-Umgebung funktioniert.