Eigene Return-Path- und Tracking-Domains sind die beiden Einstellungen zu Branding und Authentifizierung, die die meisten Versender auslassen, und sie sind aus unterschiedlichen Gründen wichtig. Ein eigener Return-Path ermöglicht das Alignment von SPF mit Ihrer From-Domain, sodass DMARC zwei Wege zum Bestehen hat. Eine eigene Tracking-Domain bringt Ihren eigenen Namen in Klick- und Öffnungslinks. Dieser Leitfaden erklärt beides, zeigt die beteiligten DNS-Einträge und beschreibt, wie Sie sie testen.
Die drei Domains in jeder E-Mail
Eine einzelne Nachricht trägt mehrere Domainnamen, die jeweils für eine andere Prüfung dienen. Wer den Unterschied versteht, versteht auch, warum es diese Einstellungen gibt.
| Name | Wo er erscheint | Verwendet für |
|---|---|---|
| From-Domain | Die sichtbare Adresse im From-Header | DMARC vergleicht die anderen Prüfungen mit dieser Domain |
| Return-Path-Domain | Der Envelope-Absender (MAIL FROM), angezeigt in einem Return-Path-Header | Hier wird SPF geprüft, und hierhin werden Bounces zugestellt |
| DKIM-Signaturdomain (d=) | Der Signatur-Header | DKIM-Prüfung und Alignment mit der From-Domain |
| Tracking-Domain | In Links und Tracking-Pixeln im Nachrichtentext | Link-Reputation, Sicherheitsscans und Markenvertrauen |
Alignment: warum die Return-Path-Domain wichtig ist
DMARC verlangt, dass mindestens eines von SPF oder DKIM besteht und dass die bestehende Domain mit der From-Domain aligned ist. Aligned bedeutet verwandt: Beim relaxed Alignment, das der Standard ist, zählt eine Subdomain derselben Organisationsdomain. Verwendet Ihre Plattform ihre eigene Domain als Return-Path, besteht SPF für diese Domain, stimmt aber nicht mit Ihrer überein, sodass SPF DMARC nicht hilft. Mit einem eigenen Return-Path auf Ihrer eigenen Subdomain besteht SPF und ist aligned.
| Einrichtung | SPF-Ergebnis | DMARC-Ergebnis |
|---|---|---|
| Return-Path auf der Plattform-Domain, aligned DKIM | Pass, nicht aligned | Besteht nur über DKIM |
| Eigener Return-Path auf Ihrer Subdomain, aligned DKIM | Pass und aligned | Besteht über beide; widerstandsfähiger |
| Eigener Return-Path, DKIM auf dem Transportweg gebrochen | Pass und aligned | Besteht weiterhin über SPF |
| Plattform-Return-Path, DKIM auf dem Transportweg gebrochen | Pass, nicht aligned | Schlägt fehl |
SPF übersteht keine Weiterleitung. Wird eine E-Mail weitergeleitet, wird SPF gegen den weiterleitenden Server geprüft und schlägt deshalb meist fehl. DKIM ist das Signal, das erhalten bleibt. Deshalb ist aligned DKIM das Hauptziel und ein eigener Return-Path eine zweite Schicht, kein Ersatz.
Einen eigenen Return-Path einrichten
- Wählen Sie eine Subdomain. Wählen Sie einen Namen wie bounce.mail.example.com, der nur für Bounces verwendet wird. Halten Sie ihn getrennt von Ihrer Tracking-Subdomain.
- Fügen Sie den von Ihrer Plattform vorgegebenen Eintrag hinzu. Das ist meist ein CNAME auf einen Plattformnamen oder ein MX-Eintrag, der Bounces an die Plattform leitet. Kopieren Sie ihn exakt.
- Prüfen Sie den SPF-Eintrag für die Subdomain. Die Plattform verwaltet die SPF-Richtlinie hinter dem CNAME normalerweise selbst. Falls nicht, veröffentlichen Sie für die Subdomain einen SPF-Eintrag, der die Plattform autorisiert.
- Warten und verifizieren. Lassen Sie die TTL des Eintrags verstreichen und verifizieren Sie die Domain über Ihre Plattform, wie in unserem Leitfaden zum Verifizieren einer Absenderdomain beschrieben.
- Senden Sie einen Test und lesen Sie die Header. Bestätigen Sie, dass der Return-Path-Header Ihre Subdomain verwendet und dass die Authentifizierungsergebnisse SPF pass mit dieser Domain zeigen.
Return-Path: <bounce+abc123@bounce.mail.example.com>
Authentication-Results: mx.example.net;
spf=pass smtp.mailfrom=bounce.mail.example.com;
dkim=pass header.d=mail.example.com;
dmarc=pass header.from=mail.example.comIm Beispiel ist die Return-Path-Domain eine Subdomain der From-Domain, sodass das relaxed Alignment greift und SPF zum DMARC-Bestehen beiträgt.
Eine eigene Tracking-Domain einrichten
Das Link-Tracking schreibt jeden Link in Ihrer Nachricht so um, dass er über eine Weiterleitung läuft, damit Klicks gezählt werden können. Die Öffnungsmessung fügt ein winziges Bild hinzu, dessen Laden gezählt wird. Beide verwenden eine Domain. Standardmäßig gehört diese Domain der Plattform und wird von vielen Kunden gemeinsam genutzt. Eine eigene Tracking-Domain ersetzt sie durch eine Subdomain von Ihnen.
- Wählen Sie eine Subdomain. Zum Beispiel links.example.com. Verwenden Sie einen Namen, der für einen Empfänger natürlich wirkt.
- Veröffentlichen Sie den CNAME. Verweisen Sie die Subdomain auf den Namen, den Ihnen Ihre Plattform nennt. Ein CNAME muss der einzige Eintrag unter diesem Namen sein.
- Warten Sie auf das Zertifikat. Die Plattform fordert ein Zertifikat für die Subdomain an, sobald der CNAME aufgelöst wird. Das kann Minuten bis Stunden dauern.
- Aktivieren Sie sie für den Versand. Wählen Sie die Tracking-Domain in Ihren Versandeinstellungen oder pro Stream aus, damit neue Nachrichten sie verwenden.
- Klicken Sie auf einen Testlink. Öffnen Sie eine Nachricht, klicken Sie auf einen getrackten Link und bestätigen Sie, dass er über HTTPS ohne Browserwarnung lädt und auf der richtigen Seite landet.
Warum HTTPS nicht optional ist
Ein getrackter Link ist das Erste, was ein Empfänger, ein Browser und ein Sicherheitsscanner berühren. Ein Link, der mit http beginnt oder eine Zertifikatswarnung zeigt, weckt Misstrauen und kostet Klicks. Manche Unternehmens-Gateways schreiben solche Links um oder blockieren sie ganz. Bestätigen Sie, dass das Zertifikat gültig ist, bevor Sie das Tracking einschalten, und prüfen Sie, dass die Erneuerung automatisch erfolgt.
Vorteile und Nachteile einer eigenen Tracking-Domain
| Vorteil | Nachteil |
|---|---|
| Die Link-Reputation gehört Ihnen allein und wird nicht mit unbekannten Versendern geteilt | Auch Ihre eigenen Fehler fallen auf Ihre Domain zurück, halten Sie sie also sauber |
| Links wirken einheitlich zu Ihrer Marke | Eine weitere Subdomain und ein weiteres Zertifikat zu pflegen |
| Streams lassen sich leichter trennen, mit einer Tracking-Domain pro Stream | Mehr DNS-Einträge zu dokumentieren |
| Weniger Überraschungen, wenn ein anderer Versender auf einer gemeinsamen Domain auf eine Sperrliste gesetzt wird | Eine neue Domain hat keine Historie, führen Sie sie daher schrittweise ein |
Führen Sie eine neue Tracking-Domain schrittweise ein. Eine Domain, die noch nie in Links gesehen wurde, hat weder eine gute noch eine schlechte Reputation, und große Volumen vom ersten Tag an wirken womöglich ungewöhnlich. Folgen Sie derselben vorsichtigen Steigerung, die in unserem Warm-up-Leitfaden beschrieben ist.
Sollten Sie das Tracking für manche Nachrichten abschalten?
Öffnungs- und Klickmessung sind Annehmlichkeiten, keine Pflicht. Bei Passwort-Rücksetzungen, Login-Codes und ähnlichen Sicherheitsnachrichten schalten viele Teams das Tracking ab. Die Links sollten direkt auf Ihre Website führen, und umgeschriebene Links können eine echte Nachricht für Nutzer und Filter wie Phishing aussehen lassen. Beachten Sie auch, dass die Öffnungsmessung unzuverlässig geworden ist, seit Mail-Apps Bilder vorladen. Betrachten Sie Öffnungen als grobes Signal und Klicks sowie Conversions als die Kennzahlen, auf die es ankommt.
Ein durchgerechnetes Beispiel: zwei Streams auf einer Domain
Stellen Sie sich einen Shop vor, der Bestellbestätigungen und wöchentliche Werbung versendet. Er behält die Root-Domain example.com für die E-Mails der Mitarbeitenden und legt zwei Versand-Subdomains an, eine für jeden Stream. Jede erhält ihren eigenen Satz von Einträgen, sodass sich die beiden Reputationen nie vermischen.
| Stream | From-Domain | Return-Path | Tracking-Domain |
|---|---|---|---|
| Transaktional | orders.example.com | bounce.orders.example.com | keine, Tracking für Sicherheitsnachrichten aus |
| Werbung | news.example.com | bounce.news.example.com | links.news.example.com |
Mit dieser Aufteilung schadet ein Anstieg der Beschwerden im Werbe-Stream news.example.com und dessen Link-Domain, während die Bestellbestätigungen ihre eigene saubere Historie behalten. Jeder Return-Path ist eine Subdomain der jeweiligen From-Domain, sodass SPF beim relaxed Alignment aligned ist. Jeder Stream signiert mit seinem eigenen DKIM-Selector, was es auch leicht macht, einen Schlüssel zu rotieren, ohne den anderen anzufassen. Der Preis sind eine Handvoll zusätzlicher DNS-Einträge, ein geringer Preis für die Trennung.
Wenn Sie später einen Stream hinzufügen, kopieren Sie das Muster, statt ein neues zu erfinden. Einheitliche Benennung macht in einem Header, einem DMARC-Bericht oder einer Sperrlistenmeldung sofort erkennbar, zu welchem Stream eine Nachricht gehört, und das beschleunigt jede Untersuchung.
Fehlerbehebung
| Problem | Wahrscheinliche Ursache | Lösung |
|---|---|---|
| Return-Path zeigt weiterhin die Plattform-Domain | Eigener Return-Path für den Stream nicht aktiviert | Domain in den Versandeinstellungen auswählen und erneut senden |
| SPF besteht, aber DMARC schlägt fehl | Return-Path-Domain nicht aligned mit From | Eine Subdomain der From-Domain verwenden |
| CNAME lässt sich nicht hinzufügen | Unter diesem Namen existiert bereits ein anderer Eintrag | Eine neue Subdomain für den CNAME verwenden |
| Getrackter Link zeigt Zertifikatswarnung | Zertifikat nicht ausgestellt oder abgelaufen | CNAME und den Domainstatus der Plattform prüfen |
| Getrackte Links liefern einen Fehler | CNAME zeigt auf das falsche Ziel | Mit dem Wert in Ihrem Konto vergleichen |
| Links werden von einem Empfänger-Gateway blockiert | Neue Tracking-Domain ohne Reputation | Schrittweise hochfahren und Link-Verkürzer vermeiden |
Pflege nicht vergessen
- Dokumentieren Sie jede Subdomain und ihren Zweck an einer Stelle.
- Prüfen Sie die Einträge nach jeder DNS-Migration oder jedem Registrar-Wechsel.
- Überwachen Sie den Zertifikatsablauf für Tracking-Domains.
- Testen Sie das Alignment erneut, wenn Sie die Plattform wechseln oder einen neuen Versanddienst hinzufügen.
- Prüfen Sie DMARC-Berichte auf Quellen, die das Alignment nicht bestehen.
Möchten Sie, dass noch jemand auf Ihr DNS schaut? Senden Sie uns Ihre Absenderdomain, und wir prüfen die Return-Path- und Tracking-Einträge.
Weiterführende Literatur und Quellen
Häufig gestellte Fragen
Was ist die Return-Path-Adresse?
Das ist die Envelope-Absenderadresse, auch MAIL FROM oder Return-Path genannt, an die Bounces gesendet werden. Sie ist von der From-Adresse zu unterscheiden, die Personen sehen. SPF wird gegen die Domain in dieser Envelope-Adresse geprüft, nicht gegen die sichtbare From-Adresse.
Warum ist ein eigener Return-Path wichtig?
DMARC besteht, wenn SPF oder DKIM besteht und mit der From-Domain übereinstimmt (Alignment). Verwendet der Return-Path die Domain Ihrer Plattform, besteht SPF zwar, stimmt aber nicht mit Ihrer From-Domain überein. Ein eigener Return-Path auf Ihrer eigenen Subdomain ermöglicht das Alignment von SPF und gibt DMARC neben DKIM einen zweiten Weg zum Bestehen.
Brauche ich einen eigenen Return-Path, wenn DKIM aligned ist?
DMARC benötigt nur ein aligned bestandenes Verfahren, daher genügt aligned DKIM. Ein eigener Return-Path lohnt sich dennoch als zweite Schicht, weil DMARC weiter besteht, wenn eine DKIM-Signatur auf dem Transportweg bricht, und weil Bounces auf Ihre Domain gebrandet bleiben.
Was ist eine Tracking-Domain?
Das ist die Domain, die in umgeschriebenen Links und Tracking-Pixeln zur Öffnungsmessung verwendet wird. Mit einer eigenen Tracking-Domain zeigen Links auf Ihre eigene Subdomain, etwa links.example.com, statt auf eine gemeinsam genutzte Plattform-Domain. Das wirkt vertrauenswürdiger und hält Ihre Link-Reputation getrennt von der anderer Versender.
Warum braucht die Tracking-Domain HTTPS?
Browser und Mail-Clients warnen vor unsicheren Links oder blockieren sie. Links, die mit http beginnen, können Warnungen auslösen und die Klickrate senken, und manche Sicherheitsscanner stufen sie als verdächtig ein. Stellen Sie sicher, dass die Plattform ein Zertifikat für Ihre Tracking-Subdomain ausstellt und erneuert.
Kann ich dieselbe Subdomain für Bounces und Tracking verwenden?
Besser nicht. Die beiden Rollen nutzen unterschiedliche Eintragstypen und werden von verschiedenen Systemen verarbeitet. Getrennte Subdomains vermeiden Konflikte, etwa einen CNAME, der mit einem MX-Eintrag auf demselben Namen kollidiert.
Warum zeigt mein Tracking-Link eine Zertifikatswarnung?
Das Zertifikat für die Tracking-Subdomain wurde noch nicht ausgestellt, ist abgelaufen, oder der CNAME zeigt nicht dorthin, wo die Plattform ihn erwartet. Prüfen Sie den Eintrag, warten Sie die Ausstellung ab und vergewissern Sie sich, dass die Plattform die Domain als aktiv anzeigt.
Verbessert eine eigene Tracking-Domain die Zustellbarkeit?
Sie kann indirekt helfen. Eine gebrandete Link-Domain mit Ihrer eigenen Reputation vermeidet es, sich eine Link-Domain mit unbekannten Versendern zu teilen, und lässt die Nachricht einheitlicher wirken. Schlechte Listenqualität oder Beschwerden gleicht sie nicht aus.
Kann ich das Link-Tracking abschalten?
Ja, in den meisten Plattformen lassen sich Klick- und Öffnungsmessung abschalten, pro Nachricht oder als Standard. Bei sensiblen Nachrichten wie Passwort-Rücksetzungen ist es üblich, das Tracking auszuschalten, weil umgeschriebene Links Nutzer und Sicherheitswerkzeuge verwirren können.