Warum deine Transactional Emails scheitern – ohne dass du es mitbekommst

Du hast Wochen damit verbracht, deine HubSpot-Workflows zu perfektionieren. Willkommenssequenzen, die sich über Tage erstrecken. Abbruch-Erinnerungen für Warenkörbe. Passwort-zurücksetzen-E-Mails, die tatsächlich geöffnet werden.

Aber hier ist die unbequeme Wahrheit: Wenn dein Kunde diese Passwort-zurücksetzen-E-Mail erhält, zeigt sein E-Mail-Client möglicherweise eine Warnung an, die lautet: „Gmail konnte nicht verifizieren, dass yahoo.com diese Nachricht tatsächlich gesendet hat."

Das ist kein gutes Bild für deine Marke.

Das Problem unter der Haube

HubSpots System für Transactional Emails ist solider – zumindest oberflächlich betrachtet. Schau dir allerdings die Authentication-Headers an, wird es kritisch. Standardmäßig signiert HubSpot diese E-Mails mit eigenen DKIM-Schlüsseln. Nicht mit deinen.

Wenn dann Googles Authentifizierungsprüfungen laufen, sehen sie genau das: Die From-Adresse lautet du@deinfirma.de, aber die DKIM-Signatur zeigt header.d=hubspot.com. Das ist ein DMARC Alignment Failure. Und für Transactional Emails – also die Nachrichten, die am wichtigsten sind, weil Nutzer wirklich darauf reagieren – ist das ein echtes Problem.

Warum Marketing und Transactional Emails unterschiedlich sind

Bevor wir etwas ändern, klären wir die Ausgangslage.

HubSpots Marketing-E-Mails gehen über eine eigene Sending-Infrastruktur. Dort kümmert sich ein ganzes Team um IP-Reputation, Warming und Sender Scores. Für Bulk-Kampagnen funktioniert das wunderbar.

Transactional Emails sind anders. Das sind Eins-zu-eins-Kommunikationen, die durch Nutzeraktionen ausgelöst werden: Passwort-Resets, Bestellbestätigungen, Formular-Einreichungen, Rechnungen. Nutzer erwarten, dass diese direkt von deinem Unternehmen kommen. Und E-Mail-Clients behandeln sie anders – sie führen strengere Authentifizierung durch, weil Transactional Emails hochkarätige Ziele für Phishing sind.

Wenn HubSpot diese über seine Infrastruktur mit seiner Signatur versendet, leiht du dir seine Reputation. Statt deine eigene aufzubauen.

MailKite: Die Lösung für deine Domain-Identität

MailKite ist ein SMTP Relay Service, der zwischen deiner Anwendung und den Empfänger-Mailservern sitzt. Das entscheidende Feature: Jede ausgehende E-Mail wird mit deinem DKIM-Schlüssel signiert. Nicht mit dem von HubSpot.

Das bringt dir:

• DMARC Alignment funktioniert. Deine From-Domain stimmt mit deiner DKIM-Signatur überein.
• Deine Domain-Reputation wächst. Jede versendete E-Mail über deine Domain trägt zu deiner Sending-History bei.
• Komplettes Logging und Analytics. Sieh genau, welche E-Mails wohin gegangen sind, mit Delivery-Status.
• Retries und Failovers. Wenn ein Empfänger-Server temporär nicht erreichbar ist, kümmert sich MailKite um die Wiederholungslogik.

Die Einrichtung ist erfreulich unkompliziert.

Schritt für Schritt: HubSpot über deine Domain leiten

Schritt 1: Deine Domain in MailKite einrichten

Registriere dich bei MailKite und füge deine Sending-Domain hinzu. Du brauchst Zugang zu deinen DNS-Einstellungen – falls du DNS woanders verwaltest, dauert das fünf Minuten; falls du NameOceans DNS-Management nutzt, geht es über unser Dashboard sogar noch schneller.

MailKite gibt dir drei DNS-Records zum Veröffentlichen:

• Ein MX-Record für eingehendes E-Mail-Routing
• Ein TXT-Record für SPF
• Ein DKIM-Record für E-Mail-Signatur

Nach der Propagation (meist 5-30 Minuten) ist deine Domain verifiziert.

Schritt 2: SMTP-Zugangsdaten holen

Im MailKite-Dashboard erstellst du einen SMTP-Nutzer. Kopiere Serveradresse, Port und API-Key. Die brauchst du gleich für HubSpot.

Das schaut dann so aus:

Server: smtp.mailkite.dev
Port: 587
Benutzername: Dein MailKite-Benutzername
Passwort: Dein API-Key (beginnt mit mk_live_)
Sicherheit: STARTTLS erforderlich

Schritt 3: HubSpots SMTP Relay konfigurieren

In HubSpot navigierst du zu Settings → Transactional Email. Die SMTP-Konfiguration findest du unter den Einstellungen deiner Sending-Domain.

Füge deine MailKite-Zugangsdaten ein. HubSpot versendet eine Test-E-Mail – überprüfe, ob du sie erhältst.

Schritt 4: Authentication-Headers testen

Diesen Schritt nicht überspringen. Sende eine Test-Transactional-Email durch deinen HubSpot-Workflow. Öffne sie dann in Gmail und schau dir die Headers an.

Achte auf folgendes:

Authentication-Results: mx.google.com;
    dkim=pass header.d=deinfirma.de;
    spf=pass;
    dmarc=pass

Alle drei sollten „pass" zeigen. Wenn dkim „header.d=hubspot.com" anzeigt, stimmt etwas in deiner Konfiguration nicht. Prüfe, ob deine Sending-Domain in HubSpot exakt mit deiner MailKite-verifizierten Domain übereinstimmt.

SMTP vs. API: Was solltest du nutzen?

HubSpot bietet zwei Wege für Transactional Emails. Hier die praktische Einordnung:

Nutze SMTP, wenn:

• Du eine unkomplizierte Konfiguration möchtest, die für alle HubSpot-E-Mails automatisch funktioniert
• Du von externen Systemen aus versendest (Laravel-App, WordPress-Plugin, eigenes CRM)
• Du MailKites Logging und Retry-Logik für jede E-Mail nutzen möchtest
• du HubSpots Open/Click-Tracking für Transactional Messages nicht brauchst

Nutze die API, wenn:

• Du HubSpots natives Open/Click-Analytics für Transactional Emails brauchst
• Jede E-Mail automatisch in HubSpots Timeline erscheinen soll
• Du eine individuelle Integration baust, bei der E-Mail-Events andere Workflows auslösen

Der ehrliche Rat? SMTP ist einfacher zu warten. Einmal eingerichtet, fließt jede Transactional Email von HubSpot automatisch durch MailKite – ohne zusätzlichen Code. Die API erfordert, dass du jeden Send-Aufruf anpasst.

Bonus: Replies auffangen und zu HubSpot leiten

Hier wird es richtig interessant. Wenn Kunden auf deine Transactional Emails antworten, müssen diese Antworten irgendwo landen. Mit MailKites Inbound-Routing kannst du eingehende Replies an einen Webhook POSTen.

Willst du diese Replies an den richtigen Kontakt in HubSpot anhängen? Hier ein Cloudflare Worker, der das erledigt:

export default {
  async fetch(request, env) {
    if (request.method !== "POST") return new Response("OK");
    
    const { from, subject, text } = await request.json();
    
    // Finde den passenden Kontakt in HubSpot
    const searchRes = await fetch(
      "https://api.hubapi.com/crm/v3/objects/contacts/search",
      {
        method: "POST",
        headers: {
          Authorization: "Bearer " + env.HUBSPOT_API_KEY,
          "Content-Type": "application/json",
        },
        body: JSON.stringify({
          filterGroups: [{
            filters: [{
              propertyName: "email",
              operator: "EQ",
              value: from,
            }]
          }],
          properties: ["email", "firstname", "lastname"],
        }),
      }
    );
    
    const { results } = await searchRes.json();
    if (!results.length) return new Response('{"ok":true}', { status: 200 });
    
    const contactId = results[0].id;
    
    // Hänge die Antwort als Notiz an
    await fetch(
      "https://api.hubapi.com/crm/v3/objects/notes",
      {
        method: "POST",
        headers: {
          Authorization: "Bearer " + env.HUBSPOT_API_KEY,
          "Content-Type": "application/json",
        },
        body: JSON.stringify({
          properties: {
            hs_note_body: `Antwort auf: ${subject}\n\n${text}`,
            hs_timestamp: Date.now(),
          },
          associations: [{
            to: { id: contactId },
            types: [{
              associationCategory: "HUBSPOT_DEFINED",
              associationTypeId: 202,
            }],
          }],
        }),
      }
    );
    
    return new Response('{"ok":true}', { status: 200 });
  },
};

Jetzt wird jede Kundenantwort zur Notiz an ihrem Kontaktdatensatz in HubSpot – inklusive des ursprünglichen Betreffs.

Das größere Bild: E-Mail gehört zu deiner Domain-Strategie

Es geht hier nicht nur um E-Mail-Deliverability. Deine Domain ist deine digitale Identität. Jede E-Mail, jeder DNS-Lookup, jede Authentifizierungsprüfung baut entweder Vertrauen in diese Identität auf – oder baut es ab.

Wenn du Transactional Emails über deine eigene DKIM-signierte Domain leitest:

• Vertrauen dir Gmail und Outlook mehr
• Wächst deine Sender Reputation unabhängig von jeder Plattform
• Sehen Kunden deine Marke, nicht die eines Anbieters
• Wird deine Domain als Asset wertvoller

Bei NameOcean sehen wir Kunden, die Domains als Wegwerf-Käufe betrachten, und solche, die sie als Infrastruktur verstehen. E-Mail-Authentifizierung – DMARC, DKIM, SPF – ist so grundlegend wie die Uptime deiner Website.

Deine Transactional Emails sind oft die wichtigsten Kommunikationen, die du versendest. Sie verdienen dieselbe Markenpflege wie deine Landing Pages und dein Produkt selbst.