Ein Anruf, der in jedem Onlinehandel irgendwann kommt: ein Kunde hat seine Rechnung nicht bekommen. Nachgesehen — versendet, angenommen, zugestellt. Beim Kunden liegt sie im Spam-Ordner. Zwei Wochen vorher war das noch nicht so, und an der Rechnung hat sich nichts geändert.
Geändert hat sich etwas anderes: die Weihnachtsaktion ging raus, 40.000 Nachrichten an eine Liste, die zuletzt vor einem Jahr angeschrieben wurde. Die Rechnung zahlt jetzt dafür.
Warum das zusammenhängt
Empfangssysteme führen Reputation nach Absenderdomain. Wenn Rechnungen, Bestätigungen und Werbung alle unter firma.de hinausgehen, dann entsteht daraus eine Bilanz. Die Beschwerden über die Werbeaussendung landen im selben Konto wie die Rechnungen.
Das Ungleichgewicht ist dabei erheblich, und es geht immer in dieselbe Richtung.
Die Aufteilung
Der Ausweg ist, die Ströme auf eigene Subdomains zu legen. Eine bewährte Aufteilung sieht so aus:
| Subdomain | Wofür | Charakter |
|---|---|---|
firma.de | Post von Menschen an Menschen | kleines Volumen, praktisch keine Beschwerden |
mail.firma.de | Bestellbestätigung, Rechnung, Passwort zurücksetzen | erwartete Post, sehr niedrige Quote |
news.firma.de | Newsletter, Aktionen, Produktankündigungen | schwankende Quote, wirbt um Aufmerksamkeit |
Die erste Zeile ist die wichtigste und wird am häufigsten vergessen. Die Hauptdomain sollte für die Korrespondenz reserviert bleiben, die einzelne Menschen tatsächlich schreiben. Sie ist die Domain, unter der man erreichbar ist — und die einzige, deren Ruf man nicht durch Versandvolumen aufs Spiel setzen sollte.
Wie weit die Trennung wirklich trägt
Hier ist Ehrlichkeit angebracht: Subdomains sind keine Brandmauer. Empfangssysteme beziehen die organisatorische Domain in ihre Bewertung ein — sonst könnte sich jeder Massenversender mit einer neuen Subdomain pro Woche aus jeder Konsequenz herausdrehen.
Was die Trennung leistet, ist trotzdem beträchtlich:
- Die Signale bleiben zuordenbar. Ein Anbieter, der die Beschwerden auf
news.sieht, kann die Zustellung dort drosseln, ohnemail.anzufassen. - Ein Eintrag auf einer Blockliste trifft nur einen Strom. Bei einer einzigen Domain steht alles gleichzeitig still.
- Die Berichte werden lesbar. DMARC-Berichte je Subdomain sagen sofort, welcher Versandweg das Problem hat.
- Eine neue Subdomain unter einer etablierten Domain startet nicht bei null. Sie erbt einen Teil des Rufs — was den Aufbau spürbar abkürzt, ohne die Regeln aus dem Warm-up außer Kraft zu setzen.
Was einzurichten ist
Jede sendende Subdomain braucht ihre eigene vollständige Ausstattung. Ein verbreiteter Irrtum ist, SPF und DKIM würden vererbt. Sie werden es nicht.
news.firma.de. TXT "v=spf1 include:versanddienst.example -all"
sel1._domainkey.news.firma.de. CNAME sel1.dkim.versanddienst.example.
_dmarc.news.firma.de. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@firma.de"Nur DMARC kennt eine Vererbung, und die wird über sp= im Eintrag der Hauptdomain gesteuert:
_dmarc.firma.de. TXT "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@firma.de"Ohne eigenen Eintrag gilt für eine Subdomain die Richtlinie aus sp=, und ohne sp= die aus p=. Das ist ein Punkt, an dem sich Fehler gut verstecken: Wer p=reject setzt und eine Subdomain vergisst, die seit Jahren Rechnungen ohne DKIM verschickt, schaltet sich diese Rechnungen ab.
Der umgekehrte Fehler ist genauso verbreitet und gefährlicher: sp=none „zur Sicherheit" setzen. Damit ist jede beliebige Subdomain — auch rechnung.firma.de, die es gar nicht gibt — für Fremde frei benutzbar, und das ist genau die Adresse, die ein Betrüger sich aussuchen würde.
Wie viele Subdomains sind zu viele
Die Versuchung, weiter aufzuteilen — eine Subdomain je Kampagne, je Land, je Marke — sollte man sich verkneifen. Reputation braucht Volumen und Regelmäßigkeit. Wer 20.000 Nachrichten im Monat auf acht Subdomains verteilt, hat achtmal zu wenig Verkehr, als dass sich irgendwo ein Ruf bilden könnte.
Als Faustregel: Trennen Sie nach Erwartungshaltung des Empfängers, nicht nach Organigramm. Post, die der Empfänger angefordert hat, und Post, die ihm angeboten wird, sind zwei Ströme. Alles darüber hinaus zerstreut mehr, als es schützt.
Der Umzug
Bestehende Ströme wechseln nicht an einem Tag die Domain. Eine neue Subdomain hat keine Vorgeschichte, auch wenn die Hauptdomain eine hat. Der übliche Weg: die Subdomain einrichten, den kleineren der beiden Ströme zuerst umziehen, dessen Volumen über zwei bis drei Wochen steigern, dann den zweiten.
Und: Der Absender in der From:-Zeile darf sich dabei ändern, sollte aber erkennbar bleiben. news@news.firma.de ist unschön, newsletter@news.firma.de weniger. Was der Empfänger liest, entscheidet mit darüber, ob er die Nachricht öffnet — und die Öffnungsrate ist eines der Signale, um die es hier die ganze Zeit geht.