Brevo-Mails zuverlässig an Microsoft/Outlook zustellen — nicht als Phishing landen

Brevo-Mails zuverlässig an Microsoft/Outlook zustellen — nicht als Phishing landen

Wenn Mails über Deinen eigenen Brevo-Versandweg bei Microsoft 365 / Outlook im Junk-Ordner landen oder als Phishing markiert werden, liegt das fast nie an Brevo selbst — sondern am Gesamtbild Deiner Absender-Domain. Microsoft stuft eine Mail als verdächtig ein, sobald Absenderdomain, SPF, DKIM, DMARC, Reply-To und die verlinkten Domains nicht sauber zusammenpassen.

Die Kurz-Lösung: Sende von Deiner eigenen Domain, authentifiziere diese Domain in Brevo (DKIM, DMARC und Brevo-Eigentümernachweis als DNS-Einträge), halte genau einen SPF-Eintrag sauber, starte DMARC defensiv mit p=none und sorge dafür, dass Absender, Reply-To und Links alle zur eigenen Domain gehören. Passt dieses Gesamtbild zusammen, gilt Brevo als berechtigter Versender in Deinem Namen — und die Mail landet im Posteingang.

Auf einen Blick — die wichtigsten Maßnahmen

Schritt für Schritt: Eigene Domain für den Brevo-Versand absichern

1. Eigene Absender-Domain verwenden. Sende immer von Deiner eigenen Domain, nicht von einer privaten Freemail-Adresse. newsletter@deinefirma.de wirkt vertrauenswürdig; @gmail.com, @outlook.com oder @gmx.de als Absender für geschäftliche Massenmails lösen bei Microsoft Misstrauen aus, weil sich für diese Domains keine Berechtigung zugunsten von Brevo nachweisen lässt.
2. Domain in Brevo authentifizieren. Richte in Brevo Deine Versanddomain ein und setze die dabei angezeigten DNS-Einträge für DKIM, DMARC und den Brevo-Eigentümernachweis bei Deinem Domain-Anbieter. In PARITY.med führt Dich die Karte „Eigener Versandweg (Brevo)" Schritt für Schritt durch genau diese Einträge.
3. SPF sauber in genau einen Eintrag integrieren. Es darf pro Domain nur einen einzigen SPF-Eintrag geben. Ist Microsoft 365 als Versender bereits eingetragen, füge Brevo nicht als zweiten SPF-Eintrag hinzu — zwei SPF-Einträge machen SPF ungültig. Nimm den Brevo-Verweis (Include) stattdessen in die vorhandene v=spf1 …-Zeile auf.
4. DMARC schrittweise scharf schalten. Starte mit p=none (Beobachtungsmodus), prüfe die DMARC-Reports und verschärfe erst dann (siehe Abschnitt „DMARC schrittweise einrichten").
5. Absender, Reply-To und Links auf die eigene Domain ausrichten. From-Adresse, Reply-To und die verlinkten Domains sollten alle zur eigenen Domain gehören (siehe Abschnitt „Warum müssen Absender, Reply-To und Links zusammenpassen?").
6. Testen und überwachen. Schicke Testmails an Microsoft-365-/Outlook-Adressen, prüfe die Mail-Header auf „pass" bei SPF/DKIM/DMARC und beobachte die DMARC-Reports.

💡 Den vollständigen Einrichtungsweg inklusive DNS-Tabelle beschreibt der Artikel Eigenen E-Mail-Versandweg über Brevo einrichten. Dieser Artikel hier ergänzt ihn um die Zustellbarkeits-Themen, die über die reine Einrichtung hinausgehen (SPF, DMARC-Stufen, Inhalte, Monitoring).

Warum stuft Microsoft Brevo-Mails manchmal als Phishing ein?

Microsoft/Outlook bewertet eine Mail als verdächtig, sobald Absenderdomain, SPF, DKIM, DMARC, Reply-To und Link-Domains nicht sauber zusammenpassen. Es geht nicht um Brevo selbst, sondern um das Gesamtbild: Die Absenderdomain muss technisch authentifiziert sein, und alle sichtbaren Bestandteile der Mail müssen zur eigenen Domain passen. Stimmt das zusammen, gilt Brevo als berechtigter Versender in Deinem Namen — und die Mail landet im Posteingang.

Warum ist DKIM so wichtig?

DKIM signiert Deine Mails kryptografisch und ist der entscheidende Nachweis dafür, dass Brevo berechtigt ist, im Namen Deiner Domain zu senden. Microsoft prüft diese Signatur besonders streng. Ohne gültiges DKIM fehlt der wichtigste Vertrauensanker — selbst inhaltlich harmlose Mails wandern dann schnell in den Junk-Ordner.

DMARC schrittweise einrichten

Starte DMARC bewusst defensiv und verschärfe erst, wenn alles stabil läuft:

1. p=none — Beobachtungsmodus. Du erhältst DMARC-Reports und siehst, ob SPF und DKIM sauber greifen, ohne dass Mails abgewiesen werden.
2. p=quarantine — sobald die Reports sauber sind: nicht-authentifizierte Mails landen beim Empfänger im Spam.
3. p=reject — die strengste Stufe: nicht-authentifizierte Mails werden vollständig abgewiesen.

⚠️ Springe nicht direkt auf reject. Wenn SPF oder DKIM noch nicht sauber ausgerichtet sind, blockierst Du damit Deine eigenen, legitimen Mails. Erst beobachten (p=none), dann verschärfen.

⚠️ Zwei getrennte v=spf1-TXT-Einträge auf derselben Domain führen zu einem SPF-Fehler („PermError") — und damit zu schlechterer Zustellbarkeit, statt zu besserer. Im Zweifel zuerst prüfen, welcher SPF-Eintrag schon existiert, und nur diesen einen erweitern.

Warum müssen Absender, Reply-To und Links zusammenpassen?

From-Adresse, Reply-To-Adresse und die in der Mail verlinkten Domains sollten alle zur eigenen Domain gehören. Verweist die Reply-To-Adresse auf eine fremde Domain oder führen Links auf kryptische Tracking-URLs, URL-Shortener oder unbekannte Domains, wertet Microsoft das als typisches Phishing-Muster.

• Reply-To auf der eigenen Domain (z. B. kontakt@deinefirma.de).
• Link-Domains der eigenen Domain — keine Shortlinks (bit.ly & Co.), keine fremden Tracking-Domains.
• Lieber sprechende, nachvollziehbare Links als kryptische Parameter-Ketten.

Welche Inhalte wirken phishing-typisch und sollte ich vermeiden?

Auch eine technisch perfekt authentifizierte Mail kann am Inhalt scheitern. Vermeide:

• Übertriebene Dringlichkeit („Handeln Sie sofort!", „Ihr Konto wird gesperrt").
• Passwort- oder Login-Aufforderungen — der klassische Phishing-Köder.
• URL-Shortener und versteckte Weiterleitungen.
• Verdächtige Anhänge (ausführbare Dateien, unerwartete Office-Makros).
• Bild-only-Mails — Mails, die fast nur aus einer einzigen Grafik bestehen, ohne echten Text, gelten als verdächtig. Sorge immer für ausgewogenen Text-Anteil.

FAQ

F: Sollte ich eine eigene Subdomain für Newsletter nutzen?

A: Ja — empfehlenswert ist eine eigene Subdomain wie newsletter.deinefirma.de. So bleibt der Ruf (die „Reputation") Deiner Marketing-Mails von der Hauptdomain getrennt. Sollte eine Newsletter-Kampagne einmal viele Spam-Beschwerden auslösen, beschädigt das nicht die Zustellbarkeit Deiner geschäftskritischen Mails (Rechnungen, Angebote, Mahnungen) über die Hauptdomain.

F: Wie teste und überwache ich die Zustellbarkeit?

A: In drei Schritten:

1. Testmails an Microsoft-365-/Outlook-Adressen schicken und prüfen, ob sie im Posteingang landen.
2. Mail-Header prüfen — dort steht, ob SPF, DKIM und DMARC mit „pass" bewertet wurden.
3. DMARC-Reports beobachten (im p=none-Modus), um Fehlausrichtungen früh zu erkennen, bevor Du verschärfst.

In PARITY.med hilft die Karte „Mail-Status" zusätzlich dabei, Bounces und den aktuell genutzten Versandweg im Blick zu behalten — siehe Mail-Provider-Status verstehen und Bounces aufheben.

F: An wen wende ich mich bei Fragen zur Einrichtung oder zu den DNS-Einträgen?

A: An support@parity-software.com (Betreff: „Brevo-Zustellbarkeit Microsoft").

Verwandte Themen

• Eigenen E-Mail-Versandweg über Brevo einrichten — der vollständige Einrichtungsweg inklusive DNS-Tabelle.
• Mail-Provider-Status verstehen und Bounces aufheben — zeigt Bounces und den aktuell genutzten Versandweg.

Letzte Aktualisierung: 2026-06-26