E-Mail-Verifizierung in Masse: so säuberst du deine Liste

Das Wichtigste in Kürze Ein Verifier jagt jede Zeile durch eine Reihe von Prüfungen: Schreibweise, MX-Einträge, ein echtes SMTP-Gespräch, Abgleich mit Funktions- und Wegwerfadressen. Am Ende steht ein einziges Wort in der Status-Spalte. Wie unordentlich es dahinter zugeht, verschweigt dieses Wort. Ein einzelner SMTP-Durchlauf ist eine Stichprobe, kein Urteil. Beim Greylisting antwortet der Server planmäßig „komm später wieder“ (RFC 6647), Gmail antwortet bei ungewöhnlichem Volumen mit 421 4.7.28, und ein Server, der alles annimmt, sagt zu allem Ja. Enrow führt für jede Adresse mehr als 10 Prüfungen durch, mit mehreren SMTP-Durchläufen und mehreren Catch-all-Tests von Servern aus verschiedenen Regionen. Die Zeilen, die die meisten Tools still entsorgen, sind die Catch-all-Adressen. Als „risky“ markiert, gelöscht, weg. Enrow klärt sie und liefert sie als gültig. Amazon SES stellt ein Konto ab 5 % Bounce-Rate unter Beobachtung und kann den Versand ab 10 % anhalten. Eine geprüfte Liste kommt an keine der beiden Schwellen heran. Eine Prüfung kostet bei Enrow 0,25 Credit, die 50 Gratis-Credits im Monat decken also 200 Prüfungen ab.

E-Mail-Verifizierung in Masse heißt: Die ganze Datei läuft durch einen Verifier, bevor irgendeine Kampagne sie anfasst. CSV hochladen, mit einem Status für jede Zeile zurückbekommen, die schlechten Zeilen löschen. Die meisten Käufer hören hier auf zu lesen. Und genau hier geht das Geld verloren.

Auf diesem einen Statuswort lastet sehr viel. Hinter „valid“ steht ein Gespräch mit einem Mailserver, der die Wahrheit gesagt haben kann oder auch nicht. Hinter „risky“ steckt häufig eine Domain, die zu allem Ja sagt, was etwas ganz anderes ist als eine schlechte Adresse. Und hinter „unknown“ steht sehr oft ein Server, der auf die Abfrage schlicht nicht antworten wollte.

Was ein Verifier tatsächlich prüft

Die Prüfung läuft über sechs Ebenen. Die ersten beiden sind billig und schnell. Ab der dritten zeigt sich, welcher Verifier etwas taugt.

1. Syntax

Ist die Zeichenkette überhaupt eine zulässige Adresse? RFC 5321 §4.5.3.1 steckt die Grenzen ab: 64 Oktette für den lokalen Teil, 255 für die Domain, 256 für den ganzen Pfad. Hier fallen auch die banalen Fehler auf, die trotzdem alles zunichtemachen: ein Leerzeichen am Ende oder .con statt .com.

Über die Zustellung sagt das nichts. postmaster@ kommt auf jeder Domain durch jede Regex, die je geschrieben wurde, und RFC 5321 verpflichtet jede SMTP-Implementierung, dieses Postfach anzunehmen. Formal einwandfrei, für Cold Email völlig wertlos.

2. Domain und MX-Einträge

Der Verifier schlägt die MX-Einträge der Domain nach. Kein Eintrag, keine Zustellung, so weit die Faustregel. Der Standard ist differenzierter, und ein anständiger Verifier hält sich daran. RFC 5321 §5.1: „If an empty list of MXs is returned, the address is treated as if it was associated with an implicit MX RR, with a preference of 0, pointing to that host.“ Eine Domain ohne MX-Eintrag, aber mit funktionierendem A-Eintrag, ist also nicht automatisch erledigt. Moderne Versanddienste stellen an solche Domains trotzdem nicht zu. Ein fehlender MX-Eintrag ist damit ein Warnzeichen, aber kein Urteil „ungültig“.

3. Der SMTP-Handshake

Die eigentliche Prüfung. Der Verifier baut eine Verbindung zum empfangenden Server auf und spielt den Anfang einer Zustellung durch: sich vorstellen, einen Absender nennen, den Empfänger mit RCPT TO angeben. Dann liest er die Antwort und bricht ab. Zugestellt wird nichts.

Für genau diesen Zweck kennt SMTP einen eigenen Befehl, VRFY, und in der Praxis ist er unbrauchbar. Nach RFC 5321 §3.5.2 darf ein Server mit 252 antworten, sinngemäß: Prüfen kann ich das nicht, ich nehme die E-Mail an und versuche die Zustellung. Bestätigt ist damit nichts. §7.3 erlaubt Betreibern obendrein, den Befehl ganz abzuschalten, und die meisten öffentlichen Server haben das vor Jahren getan. Deshalb klopfen Verifier mit RCPT TO an und lesen die Antwortcodes.

Zwei Code-Familien zählen (RFC 5321 §4.2.1). Eine 5yz-Antwort ist endgültig, ein zweiter Versuch bringt nichts. Eine 4yz-Antwort ist vorübergehend: Hier lohnt es sich, später noch einmal anzufragen. Gmails 550 5.1.1 ist die ehrliche Auskunft, dass es das Postfach nicht gibt: „The email account that you tried to reach does not exist.“ Gmails 452 4.2.2 dagegen meldet ein volles Postfach. Dahinter sitzt ein Mensch mit unaufgeräumtem Posteingang, keine ungültige Adresse.

Wer eine 4yz als ungültig verbucht, liegt falsch. Wer sie als gültig verbucht, liegt auch falsch. Was ein Tool mit dieser Unentschiedenheit anfängt, macht den größten Teil des Handwerks aus.

4. Funktionsadressen

sales@, support@, info@, abuse@, webmaster@. Echt, zustellbar und seit 1997 durch RFC 2142 standardisiert, Mailbox Names for Common Services, Roles and Functions. Dahinter liegt ein Sammelpostfach, in das mehrere Leute schauen. Oder niemand.

Verifier melden sie getrennt, weil Zustellbarkeit und Nutzen zwei verschiedene Fragen sind. Eine Funktionsadresse ist gültig, ohne Zweifel, und zugleich der schnellste Weg zu einer Spam-Beschwerde, wenn deine Sequenz für eine namentlich angesprochene Person geschrieben wurde.

5. Wegwerf-Domains

Gemeint sind Dienste für Wegwerfpostfächer, mit denen sich Leute eine Gratis-Testphase abholen. Erkannt wird hier über eine Sperrliste, nicht über ein Protokoll, und die öffentliche Referenz dafür ist das Repo disposable-email-domains. Die Betreuer sagen selbst, wo die Grenze liegt: Sie „cannot guarantee all of these can still be considered disposable.“ Für Anmeldeformulare ist diese Ebene enorm wichtig, für B2B-Outbound deutlich weniger.

6. Catch-all-Erkennung

Der Verifier bietet dem Server eine Adresse an, die es unmöglich geben kann. Schluckt er auch die, dann schluckt die Domain alles, und ihre Antwort auf deine echte Adresse war nichts wert. Diese Ebene entscheidet, wie viel von deiner Liste übrig bleibt.

Warum zwei Verifier dieselbe Adresse verschieden bewerten

Dieselbe Adresse kommt nach einem Durchlauf als „unknown“ zurück, nach mehr als 10 Prüfungen als „valid“.

Schickst du eine Adresse durch zwei Tools, bekommst du manchmal zwei Antworten. Gelogen hat dabei keiner der beiden Anbieter. Ein einzelner SMTP-Durchlauf ist eine Messung über einen verrauschten Kanal, und das Rauschen hat Namen.

Das lauteste heißt Greylisting, und RFC 6647 beschreibt es ohne Umschweife. Beim ersten Kontakt mit einem unbekannten Absender antwortet der Server mit 421, schließt die Verbindung, merkt sich das Tripel aus IP-Adresse, Absender und erstem Empfänger und nimmt die E-Mail beim nächsten Anlauf an. Den Preis dafür benennt das RFC selbst: „the most obvious detriment to implementing greylisting is the imposition of delay on legitimate mail.“ Ein Verifier, der nur einmal anklopft, sieht die Vertröstung und rät.

Bei großen Mengen greift ein anderer Schutz. Die Antwort dazu veröffentlicht Google wörtlich: 421 4.7.28, „Gmail has detected an unusual rate of email. To protect our users from spam, email has been temporarily rate limited.“ Ein Tool, das Tausende Gmail-Adressen aus einem kleinen Pool von IPs abfragt, läuft gegen diese Wand, und alles dahinter bleibt ungeklärt. Auch wer fragt, spielt eine Rolle. Googles Absender-Richtlinien verlangen für die sendende IP einen gültigen Reverse-DNS-Eintrag, dessen Vorwärtsauflösung wieder passt. Eine Abfrage von einer IP ohne einen solchen Eintrag wird abgewiesen, lange bevor es überhaupt um das Postfach geht.

Die dritte Rauschquelle sind Mandanten, die alles annehmen. Microsoft 365 weist unbekannte Empfänger schon beim RCPT TO mit 550 5.4.1 ab, sofern Directory-Based Edge Blocking eingeschaltet ist. Ist es ausgeschaltet, enthält die Antwort des Mandanten sehr viel weniger Information, und der Verifier muss aus einem Schulterzucken ein Urteil machen. In der Praxis ist dieser Mechanismus die Hauptursache des Catch-all-Problems bei europäischen B2B-Domains.

Deshalb bleibt es bei Enrow nicht bei einem Durchlauf. Jede Adresse durchläuft mehr als 10 Prüfungen, darunter mehrere SMTP-Durchläufe und mehrere Catch-all-Tests von Servern aus verschiedenen Regionen. Das Urteil entsteht aus den Unterschieden zwischen diesen Antworten, auch daraus, wie die Domain eine Kontrolladresse behandelt, die sie noch nie gesehen hat.

Ein Durchlauf bekommt eine Vertröstung und ein Schulterzucken. Mehrere Durchläufe aus verschiedenen Regionen, abgeglichen mit einer Kontrolladresse, ergeben ein Urteil.

Das Catch-all-Problem und was es an echten Chancen kostet

Eine Accept-all-Domain nimmt E-Mails an jede beliebige Adresse an. jane.doe@, jne.doe@, unsinn@. Alles wird angenommen und danach intern weggeworfen oder Stunden später zurückgeschickt, wenn die Verbindung längst zu ist.

Die meisten Verifier kommen bis hierher und geben auf. Sie markieren die Zeile als „catch-all“ oder „risky“ und schieben dir die Entscheidung zu. ZeroBounce verweist bei ungeklärten Catch-all-Adressen auf ein eigenes Scoring-Produkt und räumt auf der eigenen Seite ein, „you can't confirm whether the address belongs to a real person“ (Quelle).

Danach macht der Besitzer der Liste eines von zwei schädlichen Dingen. Er löscht das Segment und wirft dabei Hunderte echte Entscheider weg. Oder er schickt seine Kampagne ungeprüft an diese Zeilen und kassiert die Bounces. In meinen eigenen Beständen ist das Risky-Segment regelmäßig das zweitgrößte nach den sauberen gültigen Adressen, bei manchen Listen war es ein Drittel aller Zeilen. Zu viel, um es auf Verdacht zu löschen.

Von außen lassen sich Catch-all-Adressen klären, nur eben nicht mit einer einzigen Abfrage. Wiederholte SMTP-Gespräche von verschiedenen Ausgangspunkten, zu verschiedenen Zeiten, gemessen an absichtlich erfundenen Kontrolladressen, ergeben ein Signal, das eine Einzelprüfung nicht hergibt. Enrow klärt sie auf diesem Weg und liefert sie als gültig statt als Warnung. Weil nur ein gültiges Ergebnis berechnet wird, kostet eine Zeile, die sich nicht klären lässt, nichts. Manche Domains geben nie nach, und die ehrliche Antwort darauf ist, diese Zeilen wegzulassen. Es bleiben deutlich weniger davon übrig als bei einem Tool mit nur einem Durchlauf. Null sind es nicht. Die Mechanik im Detail steht im Artikel „Was ist eine Catch-all-Adresse?“.

Ist diese eine Adresse gültig? Die Einzelprüfung

Willst du eine einzelne Adresse prüfen, gehört sie in ein Tool, das echte SMTP-Abfragen durchführt, statt Adressformate abzugleichen. Brauchbar ist es dann, wenn es „der Server hat Nein gesagt“ von „der Server wollte nichts sagen“ unterscheidet. Kommt bei jeder Zeile nur gültig oder ungültig heraus, ohne dritte Kategorie und ohne Umgang mit Catch-all-Adressen, steckt dahinter meistens nur eine verkleidete Syntax- und MX-Abfrage. Von Hand ist es noch schlechter: Wer sich von einer Büro-IP per Telnet auf Port 25 verbindet, sitzt nach ein paar Dutzend Versuchen im Greylisting oder auf einer Sperrliste, und die GitHub-Skripte, die diesen Handshake automatisieren, haben alle oben genannten Probleme ebenfalls.

Schritt für Schritt: eine ganze Datei prüfen

Beim Säubern großer Listen entscheidet die Reihenfolge mehr als das Werkzeug.

1. Erst normalisieren und entdoppeln. Leerzeichen abschneiden, Domains kleinschreiben, Dubletten raus, dieselbe Person unter zwei Aliassen ebenfalls. Bezahlt wird jede geprüfte Adresse, dieser Schritt spart also bares Geld.
2. Funktionsadressen vor dem Hochladen in ein eigenes Tabellenblatt ziehen. Welche Adressen dazugehören, listet RFC 2142. Sie kommen als gültig durch und ruinieren jede personalisierte Sequenz.
3. Die CSV hochladen. Enrows Email Verifier nimmt eine Datei mit Tausenden Zeilen an und versieht jede Zeile mit einem Status; dieselbe Engine prüft einzelne Adressen über die API oder über den offiziellen MCP-Server (github.com/EnrowAPI/enrow-mcp), wenn der Ablauf in einem KI-Assistenten läuft.
4. Die Datei nach Status aufteilen, statt sie zu filtern. Gelöschte Zeilen holst du nicht zurück.
5. An das saubere Segment senden, danach die Bounces nach Empfängerdomain auswerten statt nach Kampagne. Fünf Bounces über einen ganzen Versand verteilt sind Rauschen; fünf bei einer einzigen Firmendomain bedeuten, dass die Zeilen dieser Firma schlecht sind.
6. Vor dem nächsten Versand neu prüfen. Eine drei Monate alte Prüfung zählt nicht.

Bei europäischen Listen stützt sich die Verarbeitung in der Regel auf Artikel 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse, und Erwägungsgrund 47 zählt Direktwerbung ausdrücklich dazu. Erwägungsgründe dienen der Auslegung, sind aber nicht bindend.

Was jeder Status bedeutet und was du mit der Zeile machst

Welche Bounce-Rate vor dem Absenden sicher ist

Die Beobachtungsschwelle von SES ist die Gefahrenzone, nicht das Ziel: Eine geprüfte Liste bleibt unter 1 %.

Eine Zahl aus erster Hand solltest du dir merken. Amazon SES: „If your bounce rate is 5% or greater, we automatically place your account under review. If your bounce rate is 10% or greater, we might pause your account's ability to send additional email.“ Gezählt werden dabei nur Hard Bounces.

Die 5 % markieren die Gefahrenzone, nicht das Ziel. Als Arbeitsobergrenze haben sich über alle Absender hinweg 2 % eingebürgert, bei Cold Email sollte der Wert unter 1 % liegen, und das schafft eine geprüfte Liste. Bei Adressen, die über Enrow gefunden und geprüft wurden, liegt die Bounce-Rate auf meinen Listen unter 1 %. Das ist ein gemessener Durchschnitt über echte Versendungen, keine Zusage und kein Geld-zurück-Versprechen.

Eine Zahl wird dabei ständig falsch zitiert. Googles 0,3 % sind eine Spam-Beschwerderate und keine Bounce-Rate: Wer als Massenversender täglich 5.000 Nachrichten oder mehr an Gmail schickt, muss die Beschwerderate in den Postmaster Tools unter 0,3 % halten, und schon oberhalb von 0,1 % leidet die Zustellung in den Posteingang. Eine Bounce-Schwelle veröffentlicht Google nicht. Mehr dazu im Artikel Bounce-Rate bei E-Mails.

Was die Prüfung in Masse kostet

Eine Prüfung kostet bei Enrow 0,25 Credit, abgebucht vom selben Guthaben, aus dem auch die Suche bezahlt wird:

Der Gratis-Tarif umfasst 50 Credits jeden Monat, ohne Kreditkarte, also dauerhaft 200 Prüfungen im Monat.

Verglichen wird Gleiches mit Gleichem. Hunter berechnet 0,5 Credit für eine geprüfte Adresse, Enrow 0,25. Auf der Stufe mit 10.000 Credits im Monat sind das bei Hunter 149 € für 20.000 Prüfungen, also 0,00745 € für eine Prüfung, gegenüber 75 € für 40.000 bei Enrow, also 0,0019 €. Das ist rund das Vierfache für jede geprüfte Adresse. Im Jahresvertrag, gleiches Volumen: 0,0052 € gegenüber rund 0,0017 €, gut das Dreifache. Hunter weist seine Preise selbst in Euro aus, umgerechnet wird hier nichts.

ZeroBounce schreibt jeden Monat 100 Gratis-Credits gut und berechnet einen Credit je Prüfung; das ONE-Abo für 99 $ im Monat deckt damit 10.000 Prüfungen ab, 0,0099 $ das Stück. Dieselben 10.000 Prüfungen sind bei Enrow 2.500 Credits und passen in den 42-€-Tarif, der 16.000 Prüfungen umfasst. Monatspreis gegenüber Monatspreis, gleiche Grundlage. Einen Faktor schreibe ich hier bewusst nicht hin: ZeroBounce weist Dollar aus, wir rechnen in Euro ab, und wer daraus einen errechnet, hat vorher einen Wechselkurs erfunden. Dazu bündelt das ONE-Abo Zustellungstests und Blacklist-Überwachung, die Enrow gar nicht verkauft. Der Preis bezahlt also nicht nur Prüfungen.

Der Haken auf unserer Seite, offen gesagt: Es ist ein gemeinsames Guthaben. Wer im Pro-Tarif 40.000 Adressen durch die Prüfung schickt, hat das Monatsbudget aufgebraucht, und nichts davon ist in neue Kontakte geflossen. Teile die Credits auf, bevor du hochlädst, sonst frisst das Säubern das Budget für die Suche auf.

Was eine Verifizierung nicht kann

Sie kann kein Postfach wiederbeleben, das es nicht mehr gibt.

Kein Anbieter von Verifizierung spricht diese Grenze deutlich aus. Bei einer Liste, die vor ein oder zwei Jahren entstanden ist, besteht die Aufgabe des Verifiers darin, dir zu sagen, wie viel davon nicht mehr existiert, und bei einer alten Liste ist das ein großer Teil. Leute wechseln den Arbeitgeber, Domains gehen nach Übernahmen in der des Käufers auf, Aliasse werden abgeschaltet. Diese Zeilen holt kein Anbieter zurück, und ein Tool, das bei einer alten Liste eine verdächtig hohe Quote „valid“ ausweist, beschreibt damit die eigene Großzügigkeit, nicht deine Daten.

Bewiesen ist mit einer Prüfung nur, dass ein Postfach heute E-Mails annimmt. Nicht, dass ein Mensch hineinschaut. Nicht, dass die Person die Position noch hat, die in deinem CRM steht. Das gehört zur Suche, beschrieben im Artikel „E-Mail-Adresse einer Person finden“.

Zwei Grenzen bei Enrow, beide gewollt. Es gibt keine Datenbank zum Durchsuchen; gearbeitet wird in Echtzeit, deshalb sind die Daten aktuell, und das Sourcing bleibt bei LinkedIn oder im Sales Navigator. Verschickt wird bei uns ebenfalls nichts, Sequenzen überlassen wir Emelia, La Growth Machine oder lemlist. Was dafür kein Wettbewerber so hinbekommt: Aus einem LinkedIn-Profil überträgt die Chrome-Extension mit einem Klick die komplette geprüfte Kontaktkarte nach HubSpot, Salesforce oder Pipedrive, jedes Feld und nicht bloß die Adresse.

FAQ

Wie prüfe ich, ob eine E-Mail-Adresse gültig ist?

Nimm einen Verifier, der eine echte SMTP-Prüfung durchführt und nicht bloß Adressformate abgleicht: Syntax, MX-Einträge, eine Abfrage mit RCPT TO, dazu den Abgleich mit Funktions- und Wegwerfadressen. Eine endgültige 5yz-Ablehnung heißt, dass es das Postfach nicht gibt. Eine vorübergehende 4yz heißt, dass der Server dich vertröstet hat und die Prüfung über einen anderen Weg wiederholt werden muss. Nimmt die Domain alles an, kann keine einzelne Abfrage die Frage beantworten, und du brauchst ein Tool, das Catch-all-Adressen klärt.

Wie prüfe ich E-Mail-Adressen in Masse?

Datei normalisieren und entdoppeln, Funktionsadressen wie sales@ in ein eigenes Segment schieben, danach die CSV hochladen und das Ergebnis nach Status aufteilen, statt Zeilen wegzufiltern. An die sauberen gültigen Adressen senden, die Catch-all-Adressen für ein Tool aufheben, das sie klärt, die endgültig abgelehnten Adressen dauerhaft löschen und vor der nächsten Kampagne neu prüfen.

Warum geben zwei Verifier für dieselbe Adresse verschiedene Antworten?

Weil ein SMTP-Durchlauf eine Stichprobe ist. Beim Greylisting (RFC 6647) antwortet der Server beim ersten Kontakt mit einem unbekannten Absender mit 421, Gmail drosselt hohe Abfragemengen mit 421 4.7.28, der Ruf der abfragenden IP verändert die Antwort, und Server, die alles annehmen, sagen ohnehin Ja. Dazu ziehen die Anbieter die Grenze zwischen gültig und riskant an verschiedenen Stellen. Die Abhilfe ist Wiederholung: Enrow führt für jede Adresse mehr als 10 Prüfungen durch, mit mehreren SMTP-Durchläufen und mehreren Catch-all-Tests von Servern aus verschiedenen Regionen.

Was heißt „catch-all“ in meinen Ergebnissen, und soll ich diese Zeilen löschen?

Die Domain nimmt E-Mails an jede Adresse an, die man ihr anbietet, auch an eine vom Verifier erfundene. Ihre Antwort auf deine Adresse sagt damit nichts aus. Das Segment zu löschen ist der teure Fehler: In meinen Listen ist es regelmäßig das zweitgrößte Segment und machte auch schon ein Drittel aller Zeilen aus. Prüfe es mit wiederholten Abfragen aus mehreren Regionen. Die klärbaren Zeilen kommen zurück in die Liste, der Rest bleibt draußen.

Welche Bounce-Rate ist vor dem Absenden sicher?

Amazon SES stellt ein Konto ab 5 % unter Beobachtung und kann den Versand ab 10 % anhalten, gezählt werden nur Hard Bounces. Halte dich an eine Obergrenze von 2 % und ziele bei Cold Email auf unter 1 %, was mit einer geprüften Liste machbar ist. Verwechsle das nicht mit Googles 0,3 %: Das ist eine Spam-Beschwerderate, eine völlig andere Kennzahl.

Was ist der beste kostenlose E-Mail-Verifier?

Achte auf einen Gratis-Tarif, der sich jeden Monat erneuert, statt nur eine einmalige Kostprobe zu bieten, und auf echte SMTP-Prüfungen statt einer reinen Syntaxkontrolle. Enrow gibt dir jeden Monat 50 Credits, ohne Kreditkarte, das sind 200 Prüfungen im Monat zu je 0,25 Credit, mit derselben Engine, die zahlende Kunden nutzen, Catch-all-Adressen inklusive.

Das Statuswort ist nicht die Antwort. Die Methode dahinter ist es. Säubere deine nächste Liste mit Enrow: mehr als 10 Prüfungen für jede Adresse, Catch-all-Adressen geklärt statt achselzuckend weitergereicht, 50 Gratis-Credits jeden Monat.