Auf dieser SeiteWie WordPress standardmäßig E-Mails versendet
Eine WordPress-Website versendet mehr E-Mails, als ihr Betreiber denkt. Die Benachrichtigung über das Kontaktformular. Das Zurücksetzen des Passworts. Die Willkommensnachricht für neue Benutzer, der Hinweis zur Kommentarmoderation und bei einem Shop jede Bestellbestätigung, Rechnung und Versandmitteilung von WooCommerce. Die meisten dieser E-Mails hat niemand bewusst gestaltet, und niemand prüft sie, bis ein Kunde schreibt, dass die Bestellbestätigung nie angekommen ist.
Wenn eine dieser E-Mails im Spam landet, prüfen Sie zuerst, wie die Nachricht den Server verlässt, bevor Sie den Text ändern. WordPress verwendet dafür standardmäßig die Option mit der schlechtesten Zustellbarkeit.
Wie WordPress standardmäßig E-Mails versendet
WordPress selbst und fast jedes Plugin, das E-Mails versendet, einschließlich WooCommerce und Formular-Plugins, verwenden eine einzige Funktion: wp_mail(). Sie übergibt die Nachricht an PHPMailer, das sie standardmäßig an PHPs mail() weitergibt. Diese Funktion übergibt sie wiederum an das auf dem Hosting-Server installierte E-Mail-Programm. Es gibt keine Anmeldung bei einem E-Mail-Anbieter, keine Signatur und keinen Eintrag in Ihrem DNS, der besagt, dass dieser Server für Ihre Domain senden darf.
Als Absenderadresse verwendet WordPress wordpress@, gefolgt von der Domain Ihrer Website. Ein vorangestelltes www. entfernt WordPress. Wenn Sie diese Adresse nie geändert haben, sehen Ihre Kunden sie in der From-Zeile. Auf vielen Websites wurde das entsprechende Postfach nie eingerichtet.
Bei Shared Hosting wird die Nachricht anschließend über den Server des Hosting-Anbieters und eine IP-Adresse versendet, die sich viele andere Websites teilen. Wenn eine davon E-Mails an eine gekaufte Liste sendet oder gehackt wird und massenhaft Spam verschickt, verschlechtert sich die Reputation der IP-Adresse. Ihre E-Mails zum Zurücksetzen von Passwörtern werden dann über dieselbe Adresse versendet.
Eine WordPress-Standardinstallation versendet also E-Mails, deren SPF nicht mit Ihrer Domain übereinstimmt. Die Bounce-Adresse verwendet normalerweise weiterhin den eigenen Servernamen des Hosting-Anbieters. Wenn stattdessen Ihre Adresse dort eingetragen ist, schlägt SPF vollständig fehl. Außerdem gibt es keine DKIM-Signatur für Ihre Domain, sodass DMARC fehlschlägt. Gmail und Yahoo führten ihre Absenderregeln im Februar 2024 ein. Microsoft tat im Mai 2025 dasselbe für Domains, die täglich mehr als 5.000 Nachrichten an Outlook.com senden. Seit November 2025 weist Gmail mehr E-Mails, die gegen seine Regeln verstoßen, direkt zurück, anstatt sie im Spamordner abzulegen.
Über einen echten E-Mail-Dienst senden
Die wichtigste Maßnahme besteht darin, mail() nicht mehr zu verwenden. Installieren Sie ein SMTP-Plugin (WP Mail SMTP, FluentSMTP und Post SMTP sind gängige Optionen, jeweils mit einer kostenlosen Version) und verbinden Sie es mit einem Dienst, der E-Mails ordnungsgemäß versendet: Ihrem eigenen Postfachanbieter wie Google Workspace oder Microsoft 365 oder einem Transaktionsdienst wie Amazon SES, Brevo, SendGrid oder Mailgun.
Das Plugin ersetzt den Transport unter wp_mail(). Dadurch wird jede E-Mail von jedem Plugin auf dem neuen Weg versendet, ohne dass Sie die Plugins selbst ändern müssen. Nutzen Sie die API-Option des Anbieters, sofern das Plugin eine anbietet, statt einfachem SMTP mit einem Passwort. WP Mail SMTP weist darauf hin, dass der Weg über die API auch funktioniert, wenn Ihr Hostinganbieter SMTP-Ports blockiert.
Viele überspringen den nächsten Schritt. Authentifizieren Sie die Domain bei diesem Anbieter. Jeder Anbieter stellt Ihnen dafür DNS-Einträge zur Veröffentlichung bereit, üblicherweise zwei oder drei CNAME-Einträge für DKIM sowie einen SPF-Include-Eintrag oder eine benutzerdefinierte Return-Path-Domain. Solange diese Einträge nicht in Ihrem DNS vorhanden sind, verwendet der Anbieter seinen eigenen Namen in der Signatur, und DMARC schlägt dort genauso fehl wie zuvor beim Hostinganbieter.
Die Absenderadresse bei Kontaktformularen
Formular-Plugins wie Contact Form 7 und WPForms lassen Sie festlegen, was in der From-Zeile der Benachrichtigung steht, die Sie erhalten. In vielen Konfigurationen wird dort die Adresse des Besuchers eingetragen, damit eine Antwort über Reply an den Besucher geht. Das wirkt clever, und genau das soll DMARC verhindern.
Angenommen, eine Besucherin namens Anna schreibt von anna@yahoo.com. Ihre Website sendet nun über einen Server, den Yahoo nie autorisiert hat, eine Nachricht, die vorgibt, von yahoo.com zu stammen. yahoo.com veröffentlicht eine DMARC-Richtlinie mit p=reject. Ein Empfänger, der diese Richtlinie befolgt, weist die Benachrichtigung deshalb als gefälscht zurück. Bei einem Besucher mit Gmail ist die Richtlinie weniger streng, und die Nachricht landet häufiger im Spamordner. WPForms warnt in seiner Dokumentation genau davor.From sind Sie, Reply-To ist der Besucher
Richten Sie es stattdessen so ein:
- From: eine Adresse unter Ihrer eigenen Domain, etwa
forms@yourdomain.com. Verwenden Sie dieselbe Domain, für die Ihr SMTP-Plugin authentifiziert ist. - Reply-To: die Adresse des Besuchers aus dem Formularfeld. Wenn Sie Reply verwenden, antworten Sie weiterhin Anna.
- To: das Postfach, das Sie tatsächlich lesen.
In Contact Form 7 finden Sie dies auf der Registerkarte Mail: Tragen Sie unter From Ihre eigene Adresse ein und fügen Sie unter Additional headers die Zeile Reply-To: [your-email] hinzu. Die anderen Formular-Plugins haben in ihren Benachrichtigungseinstellungen ein Reply-To-Feld.
WooCommerce-E-Mails
WooCommerce hat eigene Absendereinstellungen: WooCommerce, dann Settings, dann Emails, im Abschnitt Email Sender Options, mit einem „From“-Namen und einer „From“-Adresse. Standardmäßig wird als Adresse die Administrator-E-Mail-Adresse der Website verwendet. Wenn die Person, die den Shop eingerichtet hat, dafür eine Gmail-Adresse verwendet hat, wird bei jeder Bestellbestätigung behauptet, sie stamme von gmail.com. Dadurch schlägt DMARC aus demselben Grund fehl wie beim oben beschriebenen Kontaktformular. Tragen Sie dort eine Adresse Ihrer authentifizierten Domain ein. Der Name des Shops eignet sich gut als Absendername. (Bei den Bestellbenachrichtigungen, die an Sie gesendet werden, trägt WooCommerce den Kunden bereits unter Reply-To ein. Das ist die richtige Zuordnung.)
Bei Shop-E-Mails können zwei Probleme auftreten, die es bei einem Kontaktformular nicht gibt.
Das erste ist das Volumen. Wenn ein Verkaufs- oder Newsletter-Plugin E-Mails an Kunden über denselben Versandweg wie Bestellbestätigungen sendet, teilen sich Marketing- und Transaktions-E-Mails eine Reputation. Wenn der Newsletter Beschwerden verursacht, leiden auch die Belege darunter. Wenn Sie beide über unterschiedliche Dienste senden, bleiben sie getrennt. Eine eigene Subdomain für Marketing hilft ebenfalls etwas, auch wenn Empfänger die Reputation der Hauptdomain weiterhin teilweise berücksichtigen.
Das zweite ist die Frage der Abmeldung. Bestellbestätigungen und E-Mails zum Zurücksetzen von Passwörtern sind transaktional. Die Regeln von Gmail und Yahoo zur Abmeldung mit einem Klick gelten für sie nicht. Eine Bitte um Bewertung, eine Erinnerung an einen abgebrochenen Warenkorb oder eine „Das könnte Ihnen auch gefallen“-E-Mail an frühere Käufer ist Marketing. Wenn Sie solche E-Mails in großer Zahl versenden, gelten die Regeln vollständig. Das bedeutet, dass ein List-Unsubscribe-Header mit einer Option zur Abmeldung mit einem Klick erforderlich ist. Prüfen Sie, ob das Add-on, das diese E-Mails versendet, diesen Header hinzufügt. Der folgende Test zeigt es in jedem Fall.
Die DNS-Seite, einfach erklärt
Unabhängig davon, über welchen Dienst Sie senden, benötigt Ihre Domain drei Dinge im DNS, damit die E-Mails als vertrauenswürdig gelten. Eine ausführliche Anleitung finden Sie unter SPF, DKIM und DMARC erklärt. Für eine WordPress-Website bedeutet das Folgendes:
- SPF. Ein TXT-Eintrag für Ihre Domain, der festlegt, wer in ihrem Namen senden darf. Bei vielen Versanddiensten müssen Sie hier nichts ändern, da sie die Abgleichung über ihre eigene Bounce-Domain vornehmen. Wenn Ihr Dienst ein
include:verlangt und für die Domain bereits ein Eintrag Ihres Postfachanbieters vorhanden ist, fügen Sie es diesem Eintrag hinzu. Erstellen Sie keinen zweiten Eintrag. Zwei SPF-Einträge sind ein Fehler und beide funktionieren dann nicht mehr. Prüfen Sie das Ergebnis mit dem SPF-Prüftool. - DKIM. Die Einträge, die Sie von Ihrem Versanddienst erhalten haben. Sobald sie aktiv sind, signiert der Dienst jede Nachricht mit Ihrer Domain. Nach dieser Signatur sucht DMARC.
- DMARC. Ein TXT-Eintrag unter
_dmarc.yourdomain.com. Beginnen Sie mitv=DMARC1; p=none; rua=mailto:und einer Adresse, die Sie lesen. Verschärfen Sie die Richtlinie anschließend, wenn die Berichte zeigen, dass keine Ihrer E-Mails fehlschlägt. Das DMARC-Prüftool liest Ihren vorhandenen Eintrag aus.
Beachten Sie, dass der Hostingserver möglicherweise weiterhin selbst Nachrichten versendet, etwa über einen Cronjob oder ein altes Plugin, das mail() direkt statt wp_mail() aufruft. Diese Nachrichten umgehen das SMTP-Plugin, und in den DMARC-Berichten erscheinen sie als unerwartete Quelle.
Echte E-Mails testen, keine Testnachricht
Jedes SMTP-Plugin hat eine Schaltfläche „send test email“, die lediglich bestätigt, dass die Verbindung funktioniert. Sie zeigt Ihnen weder die von WooCommerce erstellte Bestellbestätigung noch die Formularbenachrichtigung mit ihrem Reply-To oder die E-Mail zum Zurücksetzen des Passworts mit dem von WordPress eingefügten Link.
Deshalb lasse ich WordPress die echten E-Mails senden. Eine Testadresse von der Startseite kann eine Nachricht empfangen. Rufen Sie daher für jede zu prüfende E-Mail eine neue Adresse ab. Tragen Sie die Adresse für das Formular kurzzeitig als Empfänger der Benachrichtigung ein und senden Sie das Formular ab. Geben Sie für WooCommerce eine Testbestellung auf und verwenden Sie die Adresse als E-Mail-Adresse des Kunden. Weisen Sie für das Zurücksetzen des Passworts einem Testbenutzer die Adresse zu und fordern Sie eine Zurücksetzung an. Jede Nachricht erhält einen eigenen Bericht mit SPF, DKIM und DMARC einschließlich ihrer Ausrichtung, 21 Blocklisten, Inhalten und Links sowie den Regeln für Massenversender. Um den Zielordner bei Gmail, Outlook, Yahoo und anderen Anbietern zu ermitteln, muss dieselbe Nachricht mit einer Markierung im Betreff an eine Liste von Postfächern gesendet werden. Da ein Formular oder eine Shop-Bestellung das nicht kann, verwenden Sie diesen Teil nur für E-Mails, die Sie selbst senden.
Wenn Sie Testbestellungen nicht manuell aufgeben möchten, sendet das kostenlose WordPress-Plugin diese Nachrichten über das eigene wp_mail() Ihrer Website. Das ist derselbe Weg, den die E-Mails an Ihre Kunden nehmen. Das Ergebnis wird im Dashboard angezeigt. Das Plugin erkennt außerdem, wenn die Website eine Art von E-Mail sendet, die es zuvor noch nicht gesehen hat.
Wenn E-Mails weiterhin im Spam landen
Wenn die Authentifizierung erfolgreich ist, die From-Adresse zu Ihrer Domain gehört und die E-Mail trotzdem im Spam landet, prüfen Sie die Reputation des Versandwegs. Eine gemeinsam genutzte Hosting-IP auf einer Blockliste ist ein häufiger Grund, wenn Sie noch mail() verwenden. Der Blocklisten-Prüfer zeigt Ihnen, ob das der Fall ist. Der Inhalt spielt eine geringere Rolle, als viele erwarten. Eine Formularbenachrichtigung mit einem einzigen Link und drei Textzeilen löst für sich genommen selten einen Filter aus. Bei einer WooCommerce-E-Mail mit einer umfangreichen HTML-Vorlage, einem großen Bild und einem Linkverkürzer kann das dagegen passieren.
Prüfen Sie eine Nachricht, beheben Sie die im Bericht aufgeführten Probleme und senden Sie sie erneut an eine neue Adresse.