Zeppol / Ratgeber

Zustellbarkeit von Rechnungs-E-Mails: SPF, DKIM und DMARC für Rechnungen, die ankommen

Zuletzt aktualisiert am 13. September 2026

Eine Rechnung im Spam-Ordner ist kein kleines Ärgernis. Sie ist eine unbezahlte Rechnung, eine Nachfass-E-Mail, und sobald die E-Rechnung Pflicht ist, ein Nachweis, dessen Zustellung du nicht belegen kannst. Das hier ist der praktische Leitfaden: warum Rechnungspost gefiltert wird, was SPF, DKIM und DMARC wirklich tun, wie du eine Absenderdomain sauber aufsetzt und wie du das in etwa zwanzig Minuten prüfst.

Warum Rechnungs-E-Mails überhaupt gefiltert werden

Sieh dir deine Rechnungs-E-Mail so an, wie ein Spamfilter sie sieht. Sie kommt von einer Maschine, trägt einen Anhang, nennt einen Geldbetrag und bittet den Empfänger, ihn auf ein Bankkonto zu zahlen. Das beschreibt eine Rechnung perfekt, und es beschreibt genauso perfekt Rechnungsbetrug, einen der häufigsten Angriffe, mit denen es Mailbox-Anbieter zu tun haben.

Weil beides identisch aussieht, stützen sich Filter fast vollständig auf eine Frage: Lässt sich beweisen, dass diese Post wirklich von der Domain kommt, die sie behauptet? Lautet die Antwort nein, ist der Rest deiner Mühe egal. Die üblichen Gründe, warum Rechnungen verschwinden:

• Nicht authentifizierter Versand. Deine App, dein ERP oder dein Plugin sendet als [email protected] von eigenen Servern, aber dein DNS sagt nirgends, dass diese Server das dürfen.
• Fehlende Übereinstimmung. SPF oder DKIM besteht für die Domain des Versanddienstes, nicht für die Domain, die der Empfänger in der From-Zeile sieht. Für DMARC ist das ein Fehlschlag.
• Eine kalte oder geteilte Absenderdomain. Brandneue Domains und geteilte Pools haben keine Reputation, oder die schlechte von jemand anderem.
• Firmen-Gateways. Geschäftliche Empfänger, und nur die bekommen B2B-Rechnungen, sitzen hinter strengerer Filterung als Privatpostfächer, oft mit stiller Quarantäne.
• Umgang mit Anhängen. Manche Gateways entpacken, schreiben um oder entfernen Anhänge. Ein hybrides ZUGFeRD-PDF kann mit zerstörtem eingebettetem XML ankommen, was als zugestellt durchgeht, als Rechnung aber durchfällt.
• Hard Bounces als Rauschen behandelt. Eine vertippte oder stillgelegte Käuferadresse prallt ab, die Bounce-Nachricht landet in einem Postfach, das niemand liest, und alle nehmen an, die Rechnung sei angekommen.

Die drei Einträge, einfach erklärt

SPF, DKIM und DMARC sind drei DNS-Einträge, die zusammen die Frage beantworten: Ist dieser Absender echt? Sie sind keine Alternativen zueinander. Du willst alle drei, und DMARC bedeutet erst etwas, wenn die ersten beiden stimmen.

Die Übereinstimmung ist der Teil, den alle übersehen

Die meisten Fälle von "aber wir haben doch SPF" scheitern an der Übereinstimmung. Ein Versanddienst nutzt oft seine eigene Bounce-Domain, also besteht SPF für mailer-example.net, während dein Empfänger [email protected] sieht. Verschiedene Domains, also behandelt DMARC das bestandene SPF als belanglos. Die Lösung: Authentifiziere deine Domain beim Dienst, trag seine DKIM-Schlüssel in dein DNS ein, damit DKIM als deinshop.de signiert, und setze, wo es angeboten wird, einen eigenen Return-Path oder eine eigene Bounce-Subdomain.

Einen DMARC-Eintrag lesen

Ein vernünftiger Startwert, dann ein vernünftiger Endzustand:

• v=DMARC1; p=none; rua=mailto:[email protected]; erzwingt nichts, sammelt aber täglich Berichte darüber, wer in deinem Namen sendet. Bleib hier ein paar Wochen.
• v=DMARC1; p=quarantine; pct=100; rua=mailto:[email protected]; schickt nicht authentifizierte Post in den Spam. Geh hierhin, sobald die Berichte zeigen, dass jeder legitime Absender besteht.
• v=DMARC1; p=reject; rua=mailto:[email protected]; weist nicht authentifizierte Post rundheraus ab. Das ist der Schutz deiner Kunden vor gefälschten Rechnungen in deinem Namen.

Spring nicht direkt auf p=reject. Shops versenden typischerweise von mehr Stellen, als sie erinnern: die Shop-Plattform, eine Rechnungs-App, ein Helpdesk, ein Newsletter-Tool, das System der Steuerkanzlei. Durchsetzung ohne Inventar heißt, dass deine eigene Post verschwindet.

Die Absenderdomain wählen

Rechnungen sollten von einer Adresse kommen, die unverkennbar deine ist und von deinem Marketing getrennt liegt:

• Nimm deine Geschäftsdomain. Die Kreditorenbuchhaltung eines deutschen Käufers sollte den Absender ohne Nachdenken erkennen. Von einer Freemail-Adresse oder von der Domain deines App-Anbieters zu senden, kostet dich Vertrauen und die DMARC-Übereinstimmung.
• Nimm lieber eine eigene Subdomain, etwa rechnungen.deinshop.de. Reputation wird je (Sub-)Domain geführt, also kann eine raue Newsletter-Woche deine Rechnungen nicht mit herunterziehen.
• Mach den From-Namen menschlich. "Deinshop Rechnungen" schlägt "noreply". Eine No-Reply-Adresse auf einem rechtlichen Dokument ist außerdem kein gutes Bild, wenn ein Käufer nachfragen will.
• Sorg dafür, dass Antworten funktionieren. Setz Reply-To auf ein betreutes Postfach und lies das Bounce-Postfach. Ein Bounce ist das nützlichste Zustellsignal, das du bekommst.
• Wärm die Subdomain behutsam an, wenn sie brandneu ist. Echte Rechnungen in normaler Menge sind von Natur aus guter Verkehr, das Risiko ist also vor allem ein plötzlicher Massenversand am ersten Tag.

Eine Klarstellung speziell zu Shopify: Wenn du deine Domain für Shopifys Benachrichtigungsmails authentifizierst, authentifiziert das keine Rechnungs-App eines Dritten. Jedes System, das als deine Domain sendet, braucht seinen eigenen DKIM-Eintrag in deinem DNS, und jedes muss in deinen DMARC-Berichten sichtbar sein, bevor du durchsetzt.

In zwanzig Minuten geprüft

1. Sieh nach, was du heute veröffentlichst. dig +short txt deinshop.de und dig +short txt _dmarc.deinshop.de. Nur ein SPF-Eintrag, zwei sind ein dauerhafter Fehler, also führ sie zusammen, falls du zwei findest.
2. Schick eine echte Rechnung an eine Gmail-Adresse, die dir gehört, öffne dann das Nachrichtenmenü und wähl Original anzeigen. Du willst SPF: PASS, DKIM: PASS und DMARC: PASS, und die Domains neben SPF und DKIM sollten deine eigenen sein.
3. Wiederhol das mit einer Microsoft-365-Adresse, weil die meisten deutschen B2B-Käufer dort sitzen und nicht bei Gmail. Prüf den Authentication-Results-Header und ob die Mail im Junk gelandet ist.
4. Öffne den Anhang aus der empfangenen Mail, nicht aus deinem eigenen Postausgang, und validier ihn dann. Eine hybride ZUGFeRD-Datei, die unterwegs ihr eingebettetes XML verloren hat, sieht für einen Menschen immer noch gut aus.
5. Schalt DMARC-Berichte ein mit einer rua=-Adresse und lies sie zwei Wochen lang. Jeder legitime Absender sollte dort bestanden auftauchen, bevor du p= verschärfst.
6. Prüf, ob deine Bounces für einen Menschen sichtbar sind, oder besser für Software, die die Bestellung markiert, damit jemand die Käuferadresse korrigiert.

Warum das eine Compliance-Frage ist und keine Marketing-Frage

Nach den deutschen Regeln darf eine strukturierte E-Rechnung per E-Mail übermittelt werden; eine Peppol-Anbindung ist nicht erforderlich, wenn der Käufer diesem Weg zustimmt. Zwei Pflichten überleben aber den Senden-Knopf. Die Rechnung muss den Käufer erreichen, um ihre Aufgabe zu erfüllen, und beide Seiten müssen sie später vorlegen können, die strukturierte Datei selbst, unverändert, für die gesetzliche Aufbewahrungsfrist (derzeit acht Jahre für Rechnungen nach deutschem Recht; prüf deinen eigenen Fall).

"Wir haben sie gemailt" ist also keine Antwort, wenn die Mail in Quarantäne lag und es niemand bemerkt hat, und "wir haben das PDF noch" ist keine Antwort, wenn das maschinenlesbare XML das war, worauf es ankam. Zustellbarkeit und Aufbewahrung sind die unglamouröse Hälfte der E-Rechnungs-Compliance.

Wie Zeppol E-Rechnungen zuverlässig versendet

Zeppol baut die Rechnung aus deiner Shopify-Bestellung als EN 16931 Dokument, Peppol BIS Billing 3.0 UBL, validiert sie vor dem Versand und behandelt die Zustellung danach als verfolgten Schritt statt als Hoffnung:

• Authentifizierter Versand von deiner eigenen Domain, mit DKIM-Einträgen, die du einmal in dein DNS setzt, damit DMARC auf der Adresse aufgeht, die dein Käufer tatsächlich sieht.
• Prüfung vor dem Versand. Eine Rechnung, die später abgelehnt würde, geht gar nicht erst hinaus. Dazu gehören die Umsatzsteuerrechnung, die Reverse-Charge-Behandlung und die VIES-geprüfte USt-IdNr. des Käufers.
• Bounce-Behandlung, die einen Menschen erreicht. Hard Bounces erscheinen an der Bestellung, statt in einem No-Reply-Postfach zu verschwinden.
• Peppol, wenn der Käufer dort ist, mit dem signierten AS4-Übergabebeleg des empfangenden Access Points an der Bestellung: der stärkste Nachweis, den die E-Rechnung bietet, auch wenn er die Übergabe belegt und nicht die Annahme durch den Käufer.
• Genau die Datei, aufbewahrt. Was gesendet wurde, ist das, was gespeichert ist, damit die Prüfungsfrage eine langweilige Antwort hat.

Und die ehrliche Grenze: Zeppol ist keine Steuer-Suite und keine E-Mail-Marketing-Plattform. Es gibt keine Umsatzsteuervoranmeldung ab, berät nicht zu deinen Pflichten, betreibt keine Kampagnen, und es kann dein DNS nicht für dich bearbeiten. Es bringt eine korrekte E-Rechnung zu deinem Käufer und hält den Nachweis sauber.

Mehr dazu

• Die deutsche B2B-E-Rechnungspflicht ab 2027: Termine, Schwellen und XRechnung gegen ZUGFeRD.
• B2B-E-Rechnungen in der EU mit Shopify: welches Land was vorschreibt, und ab wann.
• Peppol für Shopify: das Zustellnetz, und wann E-Mail nicht reicht.
• EN 16931 erklärt: der Standard hinter XRechnung, ZUGFeRD und UBL.

Häufige Fragen

Dieser Leitfaden ist allgemeine Information für Shopify-Händler, keine Rechts- oder Steuerberatung. Pflichttermine, Aufbewahrungsfristen und nationale Regeln ändern sich, und es gibt Sonderfälle. Deine eigenen Pflichten klärst du mit einer Steuerberaterin oder einem Steuerberater.