Ein-Klick-Abmeldung, der Header, der wirklich zählt.

Was genau sind die zwei Header?

Ein-Klick ist ein Paar Header, die zusammenarbeiten, definiert von RFC 8058 (das Ein-Klick-Signal per POST, aufbauend auf den List-* Headern von RFC 2369). Der erste kündigt den Abmelde-Mechanismus an; der zweite signalisiert, dass er wirklich Ein-Klick ist und per HTTP-POST verarbeitet werden muss. Lassen Sie einen der beiden weg, haben Sie keinen Ein-Klick — Sie haben einen gewöhnlichen Link.

# Zwei Header in jeder Werbenachricht — beide DKIM-signiert
List-Unsubscribe: <https://example.com/u/9f2c4a8e>,
                  <mailto:unsub@example.com?subject=unsubscribe>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
# der -Post-Wert muss GENAU dieser sein; er ist das Ein-Klick-Signal

Drei Details entscheiden, ob das funktioniert. Der List-Unsubscribe-Header muss mindestens eine HTTPS-URI enthalten, in spitzen Klammern — fehlende Klammern sind der häufigste Grund, dass ein Header da ist und nichts tut. Der Wert von List-Unsubscribe-Post muss genau List-Unsubscribe=One-Click sein. Und beide Header müssen von einer gültigen, ausgerichteten DKIM-Signatur gedeckt sein, denn ein Empfänger, der sie nicht verifizieren kann, ignoriert sie womöglich ganz — so scheitern still die Header, die Middleware nach der Signierung einfügt.

Eine mailto:-URI neben der HTTPS-URI einzuschließen ist gute Praxis, aber eine mailto allein erfüllt die Anforderung nicht, weil sie die sofortige automatische Verarbeitung nicht garantieren kann. Die HTTPS-URI trägt den POST-Mechanismus; die mailto ist für Apple Mail und ältere Clients da, die sie bevorzugen.

Die HTTPS-URI selbst verdient einen Moment Nachdenken, weil sich hier Sicherheit und Verlässlichkeit treffen. RFC 8058 empfiehlt, dass die Abmelde-URL einen opaken, schwer fälschbaren Bezeichner trägt statt einer Klartext-E-Mail-Adresse in der Abfragezeichenkette. Der Grund ist zweifach: eine Klartext-Adresse ist für jeden trivial zu manipulieren, und sie verrät die Empfängeradresse an alles, was URLs unterwegs protokolliert. Ein opakes Token — eine zufällige, nicht erratbare Zeichenkette, die Ihr System auf den richtigen Empfänger und die richtige Liste zurückbildet — lässt den POST sofort abschließen und hält die Adresse zugleich privat und die Anfrage schwer missbrauchbar. Es bedeutet auch, dass die URL alles trägt, was der Endpunkt braucht, um allein zu handeln, was genau der Ein-Klick verlangt: die Abmeldung muss aus dem POST allein gelingen, ohne dass der Endpunkt auf eine Sitzung, ein Cookie oder einen angemeldeten Zustand zurückgreift, den der Server eines Mailbox-Anbieters nie haben wird.

Wie prüfe ich, dass es wirklich funktioniert?

Beurteilen Sie es nicht danach, ob die Schaltfläche im Posteingang erscheint. Die Abmelden-Schaltfläche wird bei einem Test-Versand oft nicht angezeigt, selbst wenn die Umsetzung perfekt ist, teils weil die Anbieter die Absenderreputation vor der Anzeige gewichten. Die einzige verlässliche Prüfung ist, die Roh-Header einer zugestellten Nachricht zu lesen und dann den Endpunkt direkt zu betätigen.

# Prüfen: der Endpunkt meldet allein per POST ab — kein Login, keine Weiterleitung, 200 OK
curl -i -X POST \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data "List-Unsubscribe=One-Click" \
  https://example.com/u/9f2c4a8e
# erwartet: 200 OK, und der Empfänger wirklich aus der Liste entfernt

Der Test soll zwei Dinge bestätigen: dass der Endpunkt 200 zurückgibt und dass der Empfänger tatsächlich aus der vorgesehenen Liste entfernt wird, ohne Login, Weiterleitungskette oder Bestätigungsseite im Weg. Erscheint eine davon, haben Sie einen funktionierenden Link, aber keinen Ein-Klick nach RFC 8058, und die Anbieter behandeln es als Verstoß.

Wie der Ein-Klick mit Ihrer Beschwerderate und dem Recht zusammenhängt

Der Ein-Klick ist kein eigenständiges Häkchen; er sitzt direkt auf der Beschwerderaten-Schwelle, die Ihre Zustellbarkeit steuert. Gmail und Yahoo wollen Massenversender unter einer Spam-Beschwerderate von 0,1% und behandeln alles über 0,3% als Filter-Auslöser. Im Maßstab ist das eine hauchdünne Spanne, und eine reibungslose Abmeldung ist einer der wenigen Hebel, die sie zu Ihren Gunsten bewegen: jeder Empfänger, der sauber über den Header geht, ist ein Empfänger, der keine Beschwerde eingereicht hat. Eine korrekte Ein-Klick-Umsetzung ist in diesem Sinn Beschwerderaten-Management unter anderem Namen.

Er lebt auch in einem rechtlichen Rahmen, der Respekt aus eigenem Recht verdient. Ein sichtbarer Abmelde-Link im Text ist nach Anti-Spam-Recht unabhängig davon vorgeschrieben, was Gmail und Yahoo verlangen, und die Strafen für eine falsche Abmeldung sind nicht trivial — unter CAN-SPAM in den Vereinigten Staaten werden Verstöße je einzelner E-Mail bemessen, nicht je Kampagne, was einen schludrigen Abmelde-Ablauf im Volumen zu einer echten Haftung macht. Der header-basierte Ein-Klick und der gesetzlich verlangte Fußzeilen-Link sind zwei eigene Pflichten, die zufällig in dieselbe Richtung weisen.

Im DACH-Raum kommt eine dritte Schicht hinzu, die über CAN-SPAM hinausgeht. Das deutsche Gesetz gegen den unlauteren Wettbewerb behandelt Werbe-Mail ohne wirksame Einwilligung und ohne eine jederzeit nutzbare, einfache Abmeldemöglichkeit als unzumutbare Belästigung, die abgemahnt werden kann — und die DSGVO verlangt, dass der Widerruf einer Einwilligung so leicht sein muss wie ihre Erteilung. Ein reibungsloser Ein-Klick-Ausstieg erfüllt beide Vorgaben in derselben Handlung: er ist die zustellbarkeitsoptimale Wahl und zugleich die rechtssicherste, weil er den Widerruf genauso einfach macht wie die ursprüngliche Anmeldung. Wer in Deutschland, Österreich oder der Schweiz versendet, sollte die Abmeldung daher nicht als reine Gmail-Anforderung lesen, sondern als Schnittpunkt von Zustellbarkeit, DSGVO und Wettbewerbsrecht, an dem ein einziger sauberer Mechanismus alle drei zugleich bedient. In der Praxis heißt das auch, dass eine korrekt umgesetzte Ein-Klick-Abmeldung im DACH-Raum das Abmahnrisiko spürbar senkt, weil sie genau den Punkt entschärft, an dem Werbe-Mail rechtlich am häufigsten angreifbar wird: die fehlende oder umständliche Widerrufsmöglichkeit. Wer den Mechanismus sauber baut, erfüllt damit eine technische Anbieter-Vorgabe und eine rechtliche Pflicht in einem Zug.

Erfreulich ist, dass hier Konformität und gute Praxis vollständig zusammenfallen. Es gibt keine Version davon, in der die zustellbarkeitsoptimale Wahl und die empfängerfreundliche Wahl auseinandergehen: derselbe reibungslose Ausstieg, der Sie unter der Beschwerdeschwelle hält, ist auch der, der die Person achtet, die Ihre Mail nicht mehr will. Diese Übereinstimmung ist in der Zustellbarkeit selten genug, um sie zu benennen — die meisten Hebel bringen einen Zielkonflikt mit sich, und dieser nicht.