Weiterleiten oder umleiten? Was mit deiner Mail wirklich passiert (für Menschen erklärt)

In einem Satz

Weiterleiten macht aus deiner Mail eine neue Mail (mit dir als Absender). Umleiten schickt die gleiche Mail einfach an eine andere Adresse durch (Original-Absender bleibt). Und genau dieser kleine Unterschied entscheidet, ob Mails ankommen oder im Nirvana verschwinden.

Eine kleine Geschichte zum Start

Bevor wir reingehen: jede Mail hat ZWEI Absender

Das verwirrt am Anfang, ist aber das wichtigste Konzept hier.

Die drei Wächter: SPF, DKIM, DMARC

Jede Mail wird beim Empfänger (Gmail, Microsoft 365, …) durch drei Sicherheits-Schleusen geschickt. Stell sie dir wie drei Türsteher vor:

Merksatz für Helpdesk: SPF schaut auf den Umschlag, DKIM schaut in den Brief, DMARC schaut auf beides zusammen.

Und jetzt mal ehrlich: wie sieht das technisch aus?

Genug Analogien — jetzt der echte Code. Aber Zeile für Zeile erklärt. Du musst nichts auswendig lernen, aber wenn du das einmal gesehen hast, fluchst du beim nächsten Helpdesk-Ticket weniger.

Der SPF-Record — eine Liste im DNS

Jede Domain hat (oder sollte haben) im DNS einen TXT-Record, der die Gästeliste ist:

firma-a.ch.    IN  TXT  "v=spf1 include:spf.protection.outlook.com ip4:185.12.7.42 -all"

Der DKIM-Header — die Signatur im Brief

Wenn Alice’s Mailserver eine Mail rausschickt, hängt er einen Header an die Mail an. Den siehst du normalerweise nicht, aber in jeder Mail steht das drin:

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
    d=firma-a.ch; s=selector1; t=1716285600;
    h=From:To:Subject:Date:Message-ID;
    bh=47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU=;
    b=K7nB9fLpQ2xZ8...vY3wT8oN==

Der Empfänger zieht den öffentlichen Schlüssel aus dem DNS (selector1._domainkey.firma-a.ch) und prüft: passt die Signatur? Wenn ja: DKIM PASS. Wenn nein: FAIL.

Der DMARC-Record — die Policy

Genau wie SPF, ein TXT-Record im DNS, aber unter einer speziellen Subdomain:

_dmarc.firma-a.ch.   IN  TXT  "v=DMARC1; p=reject; rua=mailto:reports@firma-a.ch; adkim=r; aspf=r; pct=100"

Das Wichtigste: Alignment

Das ist das Konzept, das fast niemand sauber erklärt kriegt — aber es ist der Knackpunkt. DMARC sagt: “SPF und DKIM müssen nicht nur passen, sie müssen auch zur richtigen Domain gehören.”

Warum das für Forwarding wichtig ist: Wenn Bob’s Mailserver eine Mail von Alice umleitet:

• Header-From bleibt alice@firma-a.ch (außen sichtbar)
• SPF-Domain wird bob@firma-b.ch (Bob’s Server schickt jetzt) — NICHT aligned
• DKIM-Domain bleibt d=firma-a.ch (Alice’s Siegel ist noch dran) — aligned

→ SPF fail, aber DKIM passes Alignment-Check → DMARC PASS. Genau das ist der Mechanismus, der Forwarding rettet.

Die Mail-Reise: drück auf Play und schau zu

Übersetzung in Mensch

Weiterleiten: Bob schreibt einen neuen Brief, schreibt sich selbst oben drauf, packt Alice’s Brief als Anhang rein und schickt los. Aus Sicht der Post bist du jetzt Bob — alle Sicherheits-Checks passen, aber bei Antworten antwortet Gmail an Bob, nicht an Alice.

Umleiten: Bob streicht nur die Adresse durch und schreibt eine neue drüber. Absender bleibt Alice. Aus Sicht des Empfängers ist das die Mail, die er eigentlich wollte — aber die Post wird misstrauisch: “Moment, das ist Alice’s Brief, aber er kommt aus Bob’s Briefkasten?” → SPF-Fail.

In Outlook / Exchange heisst das wörtlich: “Weiterleiten” = Forward (neue Mail), “Umleiten” = Redirect (gleiche Mail neu adressiert). In Outlook-Regeln stehen beide nebeneinander — und tun komplett verschiedene Dinge. Bei Gmail gibt es nur “Forward”, das technisch oft eher einem Redirect entspricht.

Bastelkasten: bau dein eigenes Setup zusammen

Drei Schritte: (1) Modus wählen oben, (2) anhaken was unterwegs passiert, (3) unten ablesen was die drei Türsteher dazu sagen — und warum.

Die 5 Heimtücken, an denen Helpdesks verzweifeln

Jede mit einem “in einem Satz für DAUs” Vorspann.

Mini-Quiz — bist du fit?

Klick auf die richtige Antwort. Ohne Druck, ist nur zum Spass.

TL;DR — die Punkte für deine Wissensdatenbank

1. Weiterleiten ≠ Umleiten. Forward macht eine neue Mail (du als Absender), Redirect lässt die alte Mail durch (Original-Absender bleibt).
2. SPF bricht beim Umleiten fast immer. Weil der weiterleitende Server nicht im SPF-Record des Original-Absenders steht.
3. DKIM rettet das oft — aber nur wenn unterwegs nichts am Inhalt verändert wird. Footer-Disclaimer, Subject-Präfixe, Anti-Spam-Stamps brechen DKIM.
4. DMARC fail = Mail kann verschwinden. Bei p=reject ohne Bounce-Mail an den Empfänger. Heimtückisch.
5. SRS und ARC sind die modernen Pflaster. SRS für Envelope-Sender-Umschrift, ARC für vertrauenswürdige Forwarder-Kette. Beide müssen aktiv konfiguriert sein.
6. Mailing-Listen sind seit 2014 ein DMARC-Problem. Wenn der Listen-Provider nicht From-Munging oder ARC macht, fliegen Mitglieder mit p=reject-Domains raus.
7. Bei “Mail kam nicht an”: zuerst fragen “alle Mails oder nur manche?” — “nur manche” deutet auf Forward-Probleme.

Was als nächstes?

→ Mail-Health-Check für deine Domain — siehst in 5 Sekunden, wie dein SPF, DKIM und DMARC aktuell stehen und ob du Forward-Probleme zu erwarten hast.

→ Wozu eigentlich DMARC? — der Geschäftsführer-Einstieg ohne Tech-Jargon.

→ Du betreibst einen Mailserver und brauchst SRS/ARC-Setup? Schreib uns — wir machen das als Festpreis-Audit.