SPF, DKIM und DMARC für Shopify-Shops mit Klaviyo - die fünf Fallen, die in der Anleitung fehlen

Die Anleitung von Klaviyo ist gut: Sending-Domain anlegen, drei CNAME-Einträge und einen TXT-Eintrag beim DNS-Anbieter setzen, auf „Verifizieren" klicken, grüner Haken. Zehn Minuten. Und trotzdem findet unser Deliverability-Partner in fast jedem Shop-Account, den er zum ersten Mal prüft, ein Authentifizierungsproblem - nicht in diesen vier Einträgen, sondern daneben.

Denn Klaviyo ist nicht der einzige, der im Namen deiner Domain E-Mails verschickt. Shopify tut es (Bestellbestätigungen, Versandbenachrichtigungen), dein Postfach tut es (Google Workspace oder Microsoft 365), vielleicht dein Helpdesk, dein Bewertungs-Tool, dein Rechnungssystem. Authentifizierung ist keine Klaviyo-Einstellung, sondern eine Eigenschaft deiner Domain - und sie ist nur so gut wie der schwächste Absender.

Seit Gmail und Yahoo 2024 ihre Regeln für Massenversender verschärft haben, ist das keine Kür mehr: SPF, DKIM und ein DMARC-Eintrag, und die Domain, die der Kunde als Absender sieht, muss zu der passen, die DKIM signiert. Sonst landet die Mail nicht im Spam - sie wird gar nicht erst angenommen.

Was die drei Begriffe für einen Shop bedeuten

Ohne Tiefenbohrung, nur so weit, wie du es für die Entscheidungen brauchst:

• SPF sagt: Diese Server dürfen für meine Domain senden. Ein TXT-Eintrag mit einer Liste von Diensten.
• DKIM ist eine Signatur in jeder Mail. Der Empfänger prüft sie gegen einen öffentlichen Schlüssel in deinem DNS. Klaviyo signiert mit einem Schlüssel, den es dir als CNAME-Eintrag gibt - und zwar auf deine Absenderdomain, nicht auf die Subdomain aus dem Wizard.
• DMARC ist die Richtlinie darüber: Was soll ein Empfänger tun, wenn SPF oder DKIM fehlschlagen - nichts (p=none), in den Spam (p=quarantine) oder ablehnen (p=reject)? Und wohin sollen Berichte darüber gehen?

Der Punkt, den die meisten überlesen: Die Reputation deiner Mails hängt vor allem an der DKIM-Domain. Google verortet das Engagement-Signal überwiegend dort. Deshalb muss die DKIM-Signatur heute wörtlich mit der Absenderdomain übereinstimmen - für Klaviyo, für Shopify, für jeden Dienst, der in deinem Namen sendet. Und genau deshalb reicht die geteilte Klaviyo-Domain (klaviyomail.com) für ernsthaftes Volumen nicht: Der Kunde sieht hallo@deinshop.de, signiert ist etwas anderes, Gmail zeigt „via" an, und das Engagement zahlt auf eine Domain ein, die dir nicht gehört.

Falle 1: Der SPF-Eintrag der Hauptdomain - zu lang, falsch qualifiziert oder ohne Klaviyo

SPF erlaubt maximal zehn DNS-Abfragen pro Prüfung. Jedes include: zählt, und viele Dienste ziehen dahinter weitere Abfragen nach. Ein typischer Shop-Eintrag - Google Workspace, Shopify, Helpdesk, Rechnungstool, das Newsletter-Alttool von 2021, das nie gelöscht wurde - liegt schnell darüber. Das Ergebnis heißt PermError, und ein PermError bedeutet für den Empfänger: SPF ist kaputt, als wäre gar kein Eintrag da. Vorher schon gibt es zufällige Fehler, wenn die DNS-Antwort zu groß wird - das Warnsignal in den Logs lautet „Truncated UDP Reply".

Das Tückische: Nichts warnt dich. Klaviyo zeigt einen grünen Haken, weil Klaviyos eigener SPF auf der Bounce-Subdomain liegt und stimmt. Der Fehler sitzt im Eintrag deiner Hauptdomain, und den prüft niemand, bis die Öffnungsrate bei Gmail fällt.

Dazu drei Regeln, die in keiner Anleitung stehen:

• Der Klaviyo-Include gehört zusätzlich in den SPF der Hauptdomain. Microsoft und Yahoo machen einen zweiten SPF-Check auf der sichtbaren Absenderdomain und folgen Klaviyos CNAME-Konstruktion nicht. Fehlt der Eintrag dort, drohen Blocks bei Microsoft-365-Empfängern - der Bounce lautet 550 5.7.515 … Spf= Fail. Seit 2025 rollt unser Partner das bei jedem Kunden aus.
• **~all ist der Standard, ?all niemals, -all nur wo ein Provider es ausdrücklich verlangt.** Der Reflex „strenger ist besser" kostet Zustellung: Microsoft stuft bei -all und einem fehlgeschlagenen eigenen Lookup nicht auf Softfail herunter, sondern lehnt hart ab. Unser Partner hatte -all 2025 für einen polnischen Provider empfohlen und Anfang 2026 wegen genau dieser Microsoft-Bounces wieder auf ~all als Default zurückgedreht.
• Alte Includes raus. Mailchimp von damals, der falsch geschriebene Zendesk-Include, ein _spf.klaviyo.com, das zur aktuellen Infrastruktur nicht mehr passt - jeder davon frisst Lookups oder erzeugt direkt einen PermError.

Die Prüfung dauert eine Minute: einen SPF-Validator mit deiner Domain füttern und auf Lookups und Fehler schauen. Ein Eintrag kann „existieren" und trotzdem nicht „passen".

Falle 2: DMARC auf reject, bevor alle Absender sauber sind

Der teuerste Fehler: Jemand liest, dass p=reject der Goldstandard ist, setzt ihn - und ab dem Moment verwirft ein Teil der eigenen Mails. Bei einem Kunden unseres Partners hat p=reject an einem einzigen Tag 8,1 % der eigenen Mailings abgewiesen, weil ein Dienst noch nicht ausgerichtet signierte.

Bei Shopify-Shops ist dieser Dienst meistens Shopify selbst. Die Transaktionsmails laufen im Namen deiner Domain, brauchen aber ihre eigene Authentifizierung: In den Shopify-Einstellungen unter Benachrichtigungen gibt es „Absender-E-Mail authentifizieren", das eigene DNS-Einträge erzeugt. Ohne sie ist die Bestellbestätigung nicht ausgerichtet - und reject tut, was es soll.

Deshalb die Reihenfolge, die unser Partner in jedem Setup einhält:

1. Klaviyo auf eigene Sending-Domain, verifiziert.
2. Alle anderen Absender prüfen und ausrichten: Shopify, Google Workspace oder Microsoft 365, Helpdesk, Bewertungs-Tool, Rechnungssystem. Jeder muss mindestens DKIM auf deine Domain signieren - SPF-Ausrichtung ist bei Fremddiensten oft gar nicht möglich, DKIM-Ausrichtung reicht für den DMARC-Pass.
3. DMARC-Eintrag setzen - als TXT auf dem Host _dmarc.deinedomain.de, nicht als normaler TXT auf der Domain (der häufigste Anfängerfehler). Start: p=none; sp=none; adkim=r; aspf=r; pct=100 plus Report-Adresse.
4. Zwei bis vier Wochen Berichte lesen.
5. Erst dann p=reject; sp=reject. Reject schlägt quarantine: Gespoofte Mails werden abgewiesen, und Spammer geben eine Domain auf, die ihnen nichts bringt. Die relaxed-Tags bleiben auch bei reject als Sicherheitsnetz.

Zwei Details, die fast immer fehlen: Das **sp=-Tag** (Richtlinie für Subdomains) muss explizit gesetzt werden, sobald deine Bounce-Domain eine Subdomain ist - manche Provider übernehmen die Hauptdomain-Richtlinie nicht zuverlässig auf Subdomains. Und wenn der Bestand an Diensten unübersichtlich ist, geht es gestuft: Hauptdomain auf p=none lassen, die Versand-Subdomain bekommt einen eigenen Eintrag mit p=reject.

Falle 3: Absender, Signatur, Links und Website passen nicht zusammen

Hier sitzt das größte Missverständnis über Klaviyos „Sending Domain": Die Subdomain, die du im Wizard anlegst (etwa send.deinshop.de), ist nur die Bounce- und SPF-Domain. Sie ist kein Subdomain-Versand. Gesendet wird von deiner Absenderadresse, DKIM signiert auf deren Domain - der Wizard erklärt das irreführend, und daraus entstehen drei Fehler:

• Absender- und DKIM-Domain auf verschiedenen Ebenen. Wer von hallo@deinshop.de sendet, braucht DKIM auf deinshop.de und SPF auf send.deinshop.de. Wer bewusst von news.deinshop.de sendet, braucht DKIM auf news.deinshop.de und SPF auf send.news.deinshop.de. Alles andere ergibt, in den Worten unseres Partners, „zwei Ebenen verwirrter Reputation". Und niemals von der Bounce-Subdomain selbst senden.
• Mehrere Sending-Domains in einem Klaviyo-Account. Eine. Mehrere brechen DMARC und vermischen Reputation.
• Verschiedene Endungen. deinshop.com als Absender mit deinshop.de als Website und Link-Domain wirkt für Filter wie eine Look-alike-Domain - eine Spammer-Taktik. Ein Kunde unseres Partners wurde von Freenet genau deshalb geblockt: .com-Absender, .de-Links. E-Mail-Domain, Link-Domain und Website-Domain müssen bis zur Endung übereinstimmen, Marketing und Transaktionsmails nie über verschiedene Endungen laufen.

Dazu eine Klaviyo-Einstellung, die fast niemand kennt: Routing auf „Static", niemals „Dynamic". Dynamic Routing delegiert deine Nameserver an Klaviyo und wechselt im Hintergrund zwischen verschiedenen Infrastruktur-Pools - für Provider sieht das aus wie die Rotation, mit der Spammer Filter umgehen. Unser Partner hat es gemessen: messbar schlechtere Zustellung. Dazu verlierst du die Kontrolle über dein eigenes DNS. Erkennbar an wechselnden Einträgen im Mail-Header.

Falle 4: TTL, DNS-Anbieter und das Timing

Das ist der Punkt, den ich selbst lange falsch verstanden hatte. Die Lebensdauer (TTL) der DKIM- und SPF-Einträge ist nicht Nebensache, sondern entscheidet über die Zustellung bei Microsoft: Deren DNS-Resolver sind überlastet und schaffen bei kurzen TTL die häufigen Neuabfragen nicht. Klaviyos DKIM-über-CNAME braucht zwei Abfragen, die in Microsofts Zeitfenster von rund fünf Sekunden passen müssen. Scheitert das, steht im Header dkim=timeout - kein Krypto-Fehler, ein Zeitproblem. Und Microsoft fällt bei DNS-Problemen nicht auf SPF zurück: Ohne nahezu 100 % DKIM-Pass gilt die Domain als nicht voll authentifiziert und wird gefiltert.

Der finale Stand unseres Partners nach einem Jahr Messungen: DKIM- und SPF-Einträge auf 86.400 Sekunden. Neue Einträge zuerst mit kurzer TTL anlegen, verifizieren, dann hochstellen. Diese Umstellung hat bei vielen Kunden die Microsoft-DKIM-Pass-Rate auf nahezu 100 % gehoben.

Dazu gehört der DNS-Anbieter: Manche deutschen Hoster antworten Microsofts Servern langsam; Google DNS, Cloudflare oder AWS antworten schnell. Wer Zustellprobleme ausgerechnet bei Outlook- und Firmenadressen hat, sollte hier hinschauen, bevor er am Inhalt dreht. Und nach jeder Microsoft-relevanten Korrektur den Postmaster aktiv informieren - Microsoft speichert alte Authentifizierungsprobleme und übernimmt Verbesserungen nicht von selbst.

Und das Timing, das in der Black-Friday-Vorbereitung steht: Infrastruktur-Änderungen - DNS, Routing, DMARC-Verschärfung, Subdomain-Wechsel - nie vor großen Sales und nur an Tagen ohne große Kampagnen. Ein Wechsel der Sending-Domain braucht kein wochenlanges Aufwärmen wie eine neue IP, aber in den ersten Tagen und Wochen bekommen nur die engagiertesten Empfänger Post, damit die neue Domain schnell gute Signale sammelt. Warum das so wichtig ist, steht im Beitrag zur Zustellbarkeit.

Falle 5: p=none ohne jemanden, der die Berichte liest

p=none ist der richtige Start - aber nur, wenn die Berichte irgendwo ankommen und ausgewertet werden. DMARC-Reports sind XML-Dateien, die Gmail, Microsoft und andere täglich an die Adresse in deinem Eintrag schicken. In einem Postfach sind sie wertlos: Hunderte Anhänge, die niemand öffnet.

Ein Auswertungsdienst macht daraus eine Tabelle: Welche Dienste senden in deinem Namen, welche bestehen die Ausrichtung, welche nicht. Genau dort tauchen die Absender auf, von denen du nichts wusstest - das alte Newsletter-Tool mit der vergessenen Automation, der Rechnungsdienst, der nie authentifiziert wurde, ein Spoofing-Versuch. Ohne Auswertung ist p=none eine Richtlinie, die nichts tut, und jeder Schritt Richtung reject ein Blindflug. Mit Auswertung ist es das einzige Werkzeug, das dir sagt, wann reject gefahrlos geht.

Woran du in fünf Minuten erkennst, wo du stehst

Drei Prüfungen, ohne Zugang zu irgendetwas außer einem Browser und einer Gmail-Adresse:

• DMARC-Eintrag deiner Hauptdomain abfragen (_dmarc.deinshop.de, jeder DNS-Lookup-Dienst kann das). Kein Eintrag: Du erfüllst die Gmail-Anforderungen nicht. Eintrag ohne rua=: Niemand bekommt Berichte. Ohne sp=: Falle 2. p=reject, ohne dass alle Absender geprüft sind: ebenfalls Falle 2.
• SPF-Eintrag deiner Hauptdomain durch einen Validator laufen lassen. Über zehn Lookups, PermError, kein Klaviyo-Include, -all oder ?all: Falle 1.
• Eine Bestellbestätigung und eine Klaviyo-Mail an eine Gmail-Adresse schicken und dort „Original anzeigen" öffnen. Drei Zeilen SPF, DKIM, DMARC, alle drei PASS, und bei DKIM deine Domain - nicht klaviyomail.com, nicht eine Shopify-Hilfsdomain. Das ist auch die Methode unseres Partners: vor und nach jeder Änderung Testmails aller sendenden Systeme sammeln und die Header lesen. Die häufigste Ursache, die dabei auftaucht: Die Klaviyo-CNAMEs wurden nie ins DNS eingetragen - oder der DNS-Anbieter hat die Domain automatisch an den Hostnamen angehängt und der Eintrag zeigt ins Leere.

Was du damit nicht siehst: die Reputation, die Gmail und Microsoft deiner Domain zuschreiben, und wie sich die Beschwerderate je Provider entwickelt. Das gehört in ein laufendes Monitoring - unser Deliverability-Partner prüft es für unsere Kunden fortlaufend, und in fast keinem Account, den ich übernehme, hat vorher jemand hingeschaut.

Häufige Fragen dazu

Hauptdomain oder Subdomain als Absender?

Beides ist richtig, je nach Situation. Junge Marken mit wenigen Diensten senden von der Hauptdomain - Marketing und Transaktionsmails bauen dann gemeinsam Reputation auf. Eine eigene Subdomain (news., info. - nicht marketing., das ist bei Filtern eine schlechte Wahl) lohnt sich, wenn das Marketing-Volumen dominiert und die Bestellbestätigungen geschützt werden sollen, wenn Streams aus Zustellgründen getrennt werden müssen oder wenn das DNS der Hauptdomain voll ist. Der Standard unseres Partners ist das Subdomain-Setup; die Klaviyo-Subdomain bleibt dann exklusiv für Klaviyo.

Wie lange dauert es von p=none bis p=reject?

Bei einem sauberen Bestand an Diensten vier bis acht Wochen: zwei bis vier Wochen Berichte unter none, dann reject mit relaxed-Tags und enger Beobachtung der Zustellung. Wer es in einer Woche macht, hat entweder sehr wenige Absender - oder lernt seine Absender durch verworfene Mails kennen.

Warum zeigt Gmail bei meinen Mails „via klaviyomail.com" an?

Weil du auf der geteilten Klaviyo-Domain sendest und die Signatur nicht zu deiner Absenderadresse passt. Der Hinweis verschwindet mit einer eigenen Sending-Domain - und mit ihm das Problem, dass dein Engagement auf eine Domain einzahlt, die dir nicht gehört.

Was ist mit dem Logo in der Inbox (BIMI)?

Setzt p=reject oder quarantine mit pct=100 voraus und ein Zertifikat, das Geld kostet. Es bringt keine bessere Zustellung, sondern Wiedererkennung - und ein einziges versehentliches Zurückstellen auf p=none durch eine fremde DNS-Änderung lässt das Logo sofort verschwinden. Erst die fünf Fallen, dann das Logo.