Die Anleitung richtet sich an Selbstständige, kleine Firmen und Marketer, die mit eigener Domain versenden – über einen eigenen Mailserver, das Postfach beim Webhoster oder einen Newsletter-Dienst. GMX und WEB.DE gehören zum selben Unternehmen (1&1 Mail & Media) und veröffentlichen dieselben Anforderungen auf postmaster.gmx.net und postmaster.web.de. T-Online wird von der Telekom betrieben und hat eigene Regeln auf postmaster.t-online.de.
Das Wichtigste vorab: Keiner der drei Anbieter bietet eine Whitelist an. Sie kommen nur über saubere Technik, eine gepflegte Liste und – wenn es doch klemmt – über die Kontaktwege der Postmaster wieder in die Postfächer.
Kurz erklärt: SPF, DKIM und DMARC
SPF legt im DNS fest, welche Server für Ihre Domain senden dürfen. DKIM signiert jede Mail kryptografisch, sodass der Empfänger prüfen kann, dass sie wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde. DMARC verknüpft beides mit der sichtbaren Absenderadresse und sagt dem Empfänger, was bei einem Fehlschlag passieren soll.
Für GMX und WEB.DE ist DKIM der entscheidende Baustein: Die Anbieter schreiben, dass eine gültige DKIM-Signatur verpflichtend ist und SPF allein nicht ausreicht. Wie Sie alle drei Einträge setzen, steht in unserer Anleitung SPF, DKIM und DMARC einrichten.
Schnelldiagnose: Symptom, Ursache, Lösung
| Symptom | Wahrscheinliche Ursache | Lösung |
|---|---|---|
Bounce von WEB.DE/GMX mit 554-IP address is block listed. | Sendende IP-Adresse steht auf einer Sperrliste | Link in der letzten Zeile der Fehlermeldung öffnen, Ursache beheben, ggf. dort Kontakt aufnehmen |
| GMX/WEB.DE lehnen ab oder sortieren aus, Gmail nimmt an | Keine DKIM-Signatur oder DKIM-Domain passt nicht zur Absenderdomain | DKIM mit eigener Domain einrichten, Alignment mindestens „relaxed“ |
| Ablehnung schon beim Verbindungsaufbau | Fehlender oder generischer Reverse-DNS-Eintrag, dynamische IP, ungültiges HELO | PTR auf eigenen Hostnamen setzen, statische IP oder Relay nutzen |
T-Online: 550-5.7.0 Message considered as spam or virus, rejected | Spamfilter hat die Mail nach dem Inhalt bewertet | Versand anhalten, Inhalt und Links prüfen, an den in der Meldung genannten Kontakt wenden |
T-Online: 554 IP=… - A problem occurred. | IP-Adresse ist bei der Telekom gesperrt | Ursache beheben, dann Kontakt laut Fehlermeldung oder Formular, mit IP-Adresse |
T-Online: 421 Maximum parallel connections … | Zu viele gleichzeitige Verbindungen von einer IP | Parallele Verbindungen reduzieren, Verbindungen wiederverwenden |
| Mails kommen an, aber im Spam-Ordner | Schwache Reputation, Beschwerden, alte Adressen, fehlende Abmeldung | Liste bereinigen, Double Opt-in, sichtbarer Abmeldelink, DMARC |
Die Codes in der Tabelle stammen aus den offiziellen Postmaster-Seiten. WEB.DE und GMX verwenden laut eigener Aussage keine erweiterten Statuscodes wie 5.1.1; maßgeblich ist der Text und der Link in der Meldung.
Schritt für Schritt zur Ursache
Die Fehlermeldung vollständig lesen
Suchen Sie den Bounce (die Unzustellbarkeitsnachricht) oder den Eintrag im Versand-Log Ihres Newsletter-Dienstes. Codes mit 5xx sind dauerhafte Fehler: Die Mail wird nicht zugestellt, ein erneuter Versuch hilft nicht. Codes mit 4xx sind vorübergehend; Ihr Server sollte es automatisch später erneut versuchen.
Bei GMX und WEB.DE enthält die letzte Zeile einer Ablehnung meist einen Link nach dem Muster https://postmaster.web.de/en/case?c=…. Diese Seite erklärt laut WEB.DE das konkrete Problem, mögliche Lösungen und – falls der Anbieter tätig werden muss – einen Kontaktweg. In Server-Logs finden Sie solche Meldungen über die Suche nach postmaster.gmx, postmaster.web oder postmaster.mail.
Warum: Ohne vollständige Fehlermeldung können die Postmaster nichts prüfen. Sowohl das Kontaktformular von WEB.DE als auch die Telekom verlangen sie ausdrücklich.
DKIM prüfen – Pflicht bei GMX und WEB.DE
Laut den Anforderungen von WEB.DE (identisch bei GMX) muss jede Mail eine gültige DKIM-Signatur tragen. Die DKIM-Domain muss mit der Absenderdomain im From-Header übereinstimmen, mindestens im „relaxed“-Modus. Eine Signatur mit ihre-domain.de oder news.ihre-domain.de passt also zu info@ihre-domain.de, eine Signatur nur mit der Domain Ihres Versanddienstes nicht.
SPF ist dort „empfohlen“, DMARC ebenfalls. Pro Domain gibt es genau einen SPF-Eintrag mit höchstens 10 DNS-Lookups und genau einen DMARC-Eintrag unter _dmarc.ihre-domain.de.
Warum: Viele Newsletter-Dienste signieren standardmäßig mit ihrer eigenen Domain. Erst die Domain-Authentifizierung im Dienst sorgt dafür, dass mit Ihrer Domain signiert wird – wie das bei Brevo aussieht, zeigt unsere Brevo-Anleitung.
Reverse DNS, IP-Adresse und HELO kontrollieren
Betreiben Sie einen eigenen Mailserver, gelten bei GMX und WEB.DE harte Infrastrukturregeln: statische IP-Adresse, keine Dial-up- oder dynamisch vergebenen Adressen, ein gültiger Reverse-DNS-Eintrag (PTR) für die IP-Adresse und ein HELO/EHLO als vollständiger Hostname, etwa mail.ihre-domain.de. Generische PTR-Namen nach dem Muster 123-123-123-123-static.ihrprovider.tld führen laut WEB.DE „üblicherweise zur Ablehnung“. Außerdem braucht die Absenderdomain gültige MX- oder A-Einträge.
Die Telekom verlangt ein vorwärts bestätigtes Reverse DNS (FCrDNS): Der Hostname muss wieder auf dieselbe IP-Adresse zeigen. Aus dem Hostnamen soll sich zudem die Domain und damit die Website des Betreibers mit unmittelbarer Kontaktmöglichkeit einfach ermitteln lassen. Praktisch heißt das: Unter Ihrer Domain sollte eine erreichbare Website mit Impressum liegen.
Wer über einen Newsletter-Dienst sendet: PTR, HELO und IP-Reputation verantwortet der Dienst. Für Sie zählen hier vor allem Schritt 2 und 4.
Liste und Inhalt in Ordnung bringen
Beide Anbieter verlangen für Newsletter und Werbe-Mails eine ausdrückliche Einwilligung, idealerweise per Double Opt-in, einen klar erkennbaren Absender und eine einfache Abmeldung in jeder Mail. GMX und WEB.DE empfehlen dafür den Standard RFC 8058 (One-Click-Unsubscribe), sonst muss mindestens eine gültige Antwortadresse für Abmeldungen bereitstehen. Wer viele unbekannte oder deaktivierte Adressen anschreibt, riskiert laut GMX eine vorübergehende Sperre.
Die Telekom wird konkreter:
- Der Anteil an SMTP-Fehlermeldungen soll maximal 3 % in der Spitze und nicht mehr als 1,5 % im Durchschnitt betragen.
- Hard Bounces sofort entfernen; Adressen ohne Kontakt seit mehr als drei Monaten nur mit gültigem Double Opt-in weiter anschreiben.
- Gewerbliche Massenmails brauchen ein Impressum.
- Keine Kurz-URLs oder Umleitungen in Links; Links auf Domains der SURBL-Liste werden abgewiesen. Ausführbare Anhänge wie
.exesind gesperrt.
Warum: Hohe Bounce-Raten und Spamfallen sind für alle Anbieter ein Zeichen für gekaufte oder veraltete Listen. Wie Sie die Quote senken, steht in Bounce-Rate senken.
Sperrlisten prüfen
GMX und WEB.DE fordern, dass weder IP-Adresse noch Domain auf bekannten Blocklisten stehen. Die Telekom empfiehlt, die IP-Adressen aus öffentlichen DNS-Sperrlisten wie Spamhaus oder SpamCop austragen zu lassen und den Status etwa mit MXToolbox oder MultiRBL zu prüfen. Steht Ihre IP auf einer öffentlichen Liste, wenden Sie sich an deren Betreiber – die Postmaster von WEB.DE verweisen in ihrer FAQ genau dorthin.
Postmaster kontaktieren – erst nach der Korrektur
GMX und WEB.DE: Folgen Sie zuerst dem Link in der Fehlermeldung. Ist ein Kontakt nötig, nutzen Sie das Kontaktformular von WEB.DE bzw. das Kontaktformular von GMX. Angeben müssen Sie unter anderem die IP-Adressen oder IP-Bereiche Ihres Systems, die genutzten Domains und die vollständige Fehlermeldung. Ohne Fehlermeldung und IP-Adresse wird die Anfrage laut WEB.DE nicht bearbeitet. Bei falscher Spam-Einstufung können Sie über das Formular den erweiterten Header der Mail einreichen.
T-Online: Bei Sperren mit 550 oder 554 wenden Sie sich an den in der Fehlermeldung genannten Ansprechpartner. Allgemein erreichen Sie die Telekom über postmaster@t-online.de oder das Kontaktformular. Ist Ihr System für t-online.de gesperrt, nennt die Telekom als Ausweichadresse postmaster@rx.t-online.de. Legen Sie die sendende IP-Adresse, die Fehlermeldung und passende SMTP-Log-Auszüge bei. Eine Eingangsbestätigung gibt es nicht, einen Feedback-Loop bietet die Telekom aus Datenschutzgründen nicht an.
Warum erst korrigieren: Eine Entsperrung hält nicht, wenn die Ursache bleibt. Dieselbe Liste mit denselben Fehlern führt schnell zur nächsten Sperre.
Typische Fehler
- Nur SPF, kein DKIM: Bei Gmail reicht das manchmal noch, bei GMX und WEB.DE nicht.
- Zwei SPF- oder DMARC-Einträge: Beim Wechsel des Dienstes wird oft ein zweiter Eintrag angelegt. Dann sind beide ungültig.
- Versand von einer Freemail-Adresse über einen fremden Dienst: Eine Absenderadresse wie
…@gmx.delässt sich nicht mit Ihrer eigenen Domain signieren. - Eigener Server mit Provider-PTR: Der Standardname des Hosters reicht für GMX und WEB.DE meist nicht.
- Alte Listen reaktiviert: Nach langer Pause steigen Bounces und Beschwerden sprunghaft. Mehr dazu in Warum landen E-Mails im Spam?
Ein Hinweis zu T-Online: Laut Postmaster-Seite der Telekom werden SPF und DKIM dort bisher weder gesetzt noch ausgewertet (Ausnahme: das Programm „Trusted Dialog“). Richten Sie beides trotzdem ein – GMX, WEB.DE, Gmail und Microsoft setzen es voraus, und die Seite trägt kein Datum.
Testen, ob es wieder klappt
Prüfen Sie zuerst Ihre DNS-Einträge, dann den echten Versand:
- Domain prüfen: Unser kostenloser SPF-, DKIM- und DMARC-Check zeigt fehlende oder doppelte Einträge und zu viele SPF-Lookups.
- Testmail an eigene Postfächer: Legen Sie kostenlose Testkonten bei GMX, WEB.DE und T-Online an und schicken Sie eine echte Mail aus Ihrem Versandsystem.
- Header lesen: In der empfangenen Mail sollte
dkim=passmit Ihrer Domain stehen; bei DMARCdmarc=pass. - Reverse DNS kontrollieren (nur eigener Server): Die IP-Adresse muss auf Ihren Hostnamen zeigen und der Hostname zurück auf dieselbe IP.
Prüfen Sie Ihre Domain mit unserem kostenlosen SPF-, DKIM- und DMARC-Check.
Fehlende oder doppelte DNS-Einträge sind der häufigste Grund für Ablehnungen bei GMX und WEB.DE. Der Check zeigt Ihnen, was an Ihrer Domain fehlt.
Domain jetzt prüfenWeiterlesen
Die Anforderungen von GMX, WEB.DE und T-Online decken sich größtenteils mit denen von Gmail, Yahoo und Microsoft: Seit Februar 2024 verlangen Gmail und Yahoo von Massenversendern (ab ca. 5.000 Mails pro Tag) SPF, DKIM, DMARC, One-Click-Abmeldung und eine Beschwerderate unter 0,3 %; Microsoft zieht seit Mai 2025 mit ähnlichen Regeln nach.
Häufige Fragen
- Warum kommen meine Mails bei Gmail an, aber nicht bei GMX oder WEB.DE?
- Häufigster Grund ist eine fehlende oder nicht passende DKIM-Signatur. GMX und WEB.DE verlangen laut ihren Postmaster-Seiten eine gültige DKIM-Signatur, deren Domain zur Absenderdomain passt; SPF allein reicht dort nicht. Prüfen Sie außerdem den Reverse-DNS-Eintrag der sendenden IP-Adresse.
- Kann ich mich bei GMX, WEB.DE oder T-Online auf eine Whitelist setzen lassen?
- Nein. WEB.DE und GMX bieten laut FAQ kein Allowlisting an, und die Telekom schreibt ausdrücklich, dass sie kein Whitelisting anbietet. Der Weg führt über saubere Technik, eine gepflegte Liste und bei Bedarf die Kontaktformulare der Postmaster.
- Was bedeutet „554 IP address is block listed“ bei WEB.DE oder GMX?
- Die IP-Adresse des sendenden Servers steht auf einer Sperrliste, die Verbindung wird abgelehnt. Entscheidend ist die letzte Zeile der Fehlermeldung mit einem Link auf postmaster.web.de oder postmaster.gmx.net. Dort stehen Ursache, Lösung und gegebenenfalls ein Kontaktweg.
- Wie lange dauert eine Sperre bei T-Online?
- Die Telekom nennt keine Dauer. Sie verschickt auf Meldungen auch keine Eingangsbestätigung. Beheben Sie zuerst die Ursache und melden Sie sich dann mit sendender IP-Adresse und vollständiger Fehlermeldung über das Kontaktformular auf postmaster.t-online.de.
- Muss ich mich um Reverse DNS kümmern, wenn ich über einen Newsletter-Dienst versende?
- In der Regel nicht. Bei Diensten wie Brevo, GetResponse oder CleverReach versenden deren Server, und der Dienst pflegt PTR-Einträge und IP-Reputation. Ihre Aufgabe ist die Domain-Authentifizierung, damit DKIM mit Ihrer eigenen Domain signiert, sowie eine saubere Empfängerliste.