Double-Opt-In überwachen: Wenn die Bestätigungsmail ausbleibt

Warum die Bestätigungsstrecke ein eigener Messpunkt ist

Für den Betrieb ist eine Anmeldung ein Vorgang mit einem einzigen sichtbaren Ergebnis: Das Formular antwortet, der Besucher sieht den Hinweis auf die Bestätigungsmail, der Zähler steigt um eins. Alles danach passiert außerhalb der eigenen Seite. Die Nachricht geht in eine Warteschlange, von dort an einen Versandweg, von dort an ein Postfach, das sie annehmen, verzögern oder aussortieren kann. Bleibt sie unterwegs stehen, erzeugt das keine Fehlerseite und keinen Eintrag im Fehlerprotokoll der Website. Der Vorgang sieht auf beiden Seiten erfolgreich aus, obwohl er in der Mitte abgebrochen ist. Wie sich der sichtbare Teil einer solchen Kette prüfen lässt, beschreibt der Beitrag Zustellung von Kontaktformularen überwachen; die Bestätigungsstrecke hängt eine zweite, deutlich längere Hälfte daran.

Diese zweite Hälfte trägt die rechtliche Last des ganzen Vorgangs. Nach Artikel 4 Nummer 11 DSGVO ist eine Einwilligung eine freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung (DSGVO). Erwägungsgrund 32 der Verordnung nennt ausdrücklich, was dafür nicht genügt: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sollen keine Einwilligung darstellen (DSGVO). Artikel 7 Absatz 1 verlangt, die erteilte Einwilligung nachweisen zu können (DSGVO), und Artikel 5 Absatz 2 macht daraus eine allgemeine Rechenschaftspflicht (DSGVO). Der Klick auf den Bestätigungslink ist die bestätigende Handlung, die diese Kette verlangt, und zugleich der Punkt, an dem der Nachweis entsteht oder ausbleibt.

• Paragraf 7 Absatz 2 Nummer 2 UWG: Werbung unter Verwendung elektronischer Post ohne vorherige ausdrückliche Einwilligung des Adressaten gilt als unzumutbare Belästigung (UWG).
• Artikel 4 Nummer 11 DSGVO: Eine Einwilligung ist eine freiwillige, für den bestimmten Fall abgegebene, informierte und unmissverständliche Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung (DSGVO).
• Erwägungsgrund 32 DSGVO: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollen keine Einwilligung darstellen (DSGVO).
• Artikel 7 Absatz 1 DSGVO: Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat (DSGVO).
• Artikel 5 Absatz 2 DSGVO: Für die Einhaltung der Grundsätze ist der Verantwortliche verantwortlich und muss sie nachweisen können, die sogenannte Rechenschaftspflicht (DSGVO).
• Artikel 7 Absatz 3 DSGVO: Der Widerruf der Einwilligung muss so einfach sein wie ihre Erteilung (DSGVO).

Zwischen einer Anmeldung und einer nachweisbaren Anmeldung liegt damit genau eine zugestellte und geklickte Nachricht. Wer nur die Zahl der abgeschickten Formulare auswertet, misst die Absicht und nicht das Ergebnis. Der Abstand zwischen beiden Zahlen ist die eigentliche Kennzahl dieser Strecke, und er verhält sich anders als eine Formularabbruchquote: Ein Abbruch im Formular geschieht vor den Augen des Besuchers und lässt sich über die Feldauswertung nachvollziehen, wie im Beitrag Formularabbrüche erkennen und reduzieren beschrieben. Der Abbruch in der Bestätigungsstrecke geschieht in einem fremden Postfach und hinterlässt auf der eigenen Seite keine Spur.

Wo die Strecke typischerweise reißt

Die Strecke besteht aus fünf Stationen, und jede davon kann einzeln ausfallen, ohne die anderen zu stören. Erstens nimmt das Formular die Eingabe an und antwortet mit einem Statuscode. Zweitens legt die Anwendung einen Datensatz mit Kennung, Zeitstempel und dem Wortlaut der Einwilligung an. Drittens übergibt sie die Nachricht an den Versandweg, der sie annimmt oder ablehnt. Viertens stellt der Mailserver des Empfängers zu, verzögert oder lehnt endgültig ab. Fünftens klickt der Empfänger den Link, und der Status wechselt auf bestätigt. Ein Monitoring, das nur die erste Station prüft, meldet grün, solange das Formular antwortet, auch dann, wenn seit Tagen keine einzige Bestätigung mehr eingetroffen ist.

Die häufigsten Rissstellen liegen in der Mitte. Ein Arbeitsprozess, der die Warteschlange abarbeitet und nach einer Neuveröffentlichung nicht wieder gestartet wurde, nimmt Aufträge weiter an und arbeitet keinen ab. Ein Zugangsschlüssel für den Versandweg läuft ab, und jede Übergabe quittiert einen Fehler, den niemand liest. Eine geänderte Absenderadresse fällt aus der Authentifizierung heraus und landet im Spamordner. Ein Betreff, der bei einer Migration seine Zeichenkodierung verloren hat, sieht im Postfach nach Datenmüll aus und wird ungelesen gelöscht, ein Fehlerbild, das der Beitrag Kaputte Umlaute nach einer Migration finden an anderen Stellen zeigt. Und der Bestätigungslink selbst kann verfallen sein, bevor der Empfänger sein Postfach das nächste Mal öffnet.

Die fünf Messpunkte

Fünf Stationen ergeben fünf Messpunkte, und sie liegen nicht alle im selben Zuständigkeitsbereich. Die ersten beiden gehören der eigenen Anwendung, der dritte dem Übergang zum Versandweg, der vierte einem fremden System und der fünfte wieder der eigenen Anwendung. Ein brauchbares Monitoring bildet diese Verteilung ab, statt eine einzige Prüfung über die ganze Kette zu legen. Nur wenn der Ausfall einer Station benannt werden kann, führt der Alarm zu einer Handlung statt zu einer Suche.

1. Formularantwort: Der Anmeldeweg wird in einem echten Browser durchlaufen, bis die Seite mit dem Hinweis auf die Bestätigungsmail erscheint. Gemessen werden Statuscode, Antwortzeit und das Vorhandensein des Hinweistextes. Ein Formular, das mit Statuscode 200 antwortet und dabei eine Fehlermeldung anzeigt, fällt nur bei dieser Prüfung auf.
2. Datensatz: Nach der Anmeldung existiert ein Eintrag mit Kennung, Zeitstempel, Herkunft und dem Wortlaut der Einwilligung. Geprüft wird, ob der Eintrag angelegt wurde und ob sein Status auf ausstehend steht. Fehlt er, hat die Anwendung die Eingabe angenommen und verworfen.
3. Übergabe an den Versandweg: Der Versand quittiert die Annahme mit einer Kennung. Diese Quittung ist der erste harte Beleg dafür, dass die Nachricht das eigene System verlassen hat. Ohne sie liegt der Auftrag in der Warteschlange, und dann ist die Länge dieser Warteschlange der Wert, der gemessen werden muss.
4. Zustellung: Der Mailserver des Empfängers nimmt an, verzögert oder lehnt ab. Vorübergehende Ablehnungen mit einem Statuscode aus dem Bereich 4xx sind Teil des normalen Betriebs und werden wiederholt, endgültige Ablehnungen aus dem Bereich 5xx sind es nicht. Eine steigende Zahl endgültiger Ablehnungen deutet erfahrungsgemäß auf ein Problem mit Authentifizierung oder Absenderadresse hin, seltener auf falsche Empfängeradressen.
5. Bestätigungsklick: Der Status wechselt von ausstehend auf bestätigt. Dieser Wechsel ist der einzige Messpunkt, der eine Handlung eines Menschen belegt, und der einzige, der den Nachweis nach Artikel 7 Absatz 1 DSGVO trägt (DSGVO).

Von außen prüfbar sind der erste und der fünfte Punkt: Beide sind Adressen der eigenen Website und lassen sich mit einem Browser-Check durchlaufen. Die Punkte zwei bis vier liegen innen und brauchen entweder eine Schnittstelle, die den Zustand meldet, oder ein Signal, das die Anwendung von sich aus sendet. Beides ist wenig Aufwand. Ein Endpunkt, der die Zahl der offenen Anmeldungen, das Alter der ältesten offenen Anmeldung und die Länge der Versandwarteschlange zurückgibt, deckt die Punkte zwei und drei ab. Für Punkt vier genügt in vielen Fällen die Auswertung der Rückmeldungen des Versandwegs.

Prüfintervalle und die Fristen dahinter

Ein Intervall beantwortet die Frage, wie oft gemessen wird. Eine Frist beantwortet die Frage, ab wann eine Abweichung ein Vorfall ist. Bei der Bestätigungsstrecke fallen beide weit auseinander, weil ein Teil der Kette von Natur aus langsam ist. Der Formularweg lässt sich im Minutentakt prüfen; ob eine Bestätigung ausbleibt, lässt sich frühestens nach einer Frist beurteilen, die zu den Wiederholungsregeln der Mailserver passt. Wer beides gleichsetzt, bekommt entweder Fehlalarme oder eine Erkennung, die zwei Tage zu spät kommt.

Die Frist in der vorletzten Zeile ist der einzige Wert in dieser Tabelle, der sich nicht frei wählen lässt, ohne die Technik dahinter zu übergehen. Warum er in der Größenordnung von Stunden und nicht von Minuten liegt, steht weiter unten im Abschnitt über die Wiederholungsregeln. Alles andere ist eine Frage des Betriebs: Ein Verteiler, der zweimal im Monat eine Anmeldung bekommt, braucht keine stündliche Quotenauswertung, sondern eine Prüfung, die anschlägt, wenn die einzige Anmeldung der Woche unbestätigt liegen bleibt.

Womit sich die Strecke überwachen lässt

Vier Prüfarten decken zusammen die fünf Messpunkte ab. Keine davon ist für sich genommen neu, die Zusammenstellung ist es: Der Browser übernimmt die sichtbaren Enden, die Schnittstellenprüfung die Übergabe, der Herzschlag den stillen Arbeitsprozess und die Alarmierung die Frist.

Was sich damit nicht abbilden lässt, ist der Weg innerhalb des fremden Postfachs. Ob eine Nachricht im Posteingang oder im Spamordner liegt, sieht der Absender nicht. Die Näherung dafür ist der Anteil bestätigter Anmeldungen im Zeitverlauf: Fällt er, ohne dass sich am Formular und am Text der Nachricht etwas geändert hat, liegt die Ursache mit einiger Wahrscheinlichkeit in der Zustellung. Das ist keine Messung, sondern ein Indiz, aber ein Indiz, das früh genug kommt, um die Authentifizierung zu prüfen.

Die Bestätigungsquote richtig rechnen

Der Anteil bestätigter Anmeldungen sieht nach einer einfachen Division aus und ist in der laufenden Stunde trotzdem regelmäßig falsch. Wer alle Anmeldungen eines Zeitraums durch alle Bestätigungen desselben Zeitraums teilt, zählt Anmeldungen mit, deren Bestätigung noch gar nicht fällig ist. Die Quote der letzten Stunde liegt dann strukturell niedrig, die Quote des Vortags erholt sich von selbst, und ein Alarm auf diesen Wert schlägt jeden Abend an. Die Rechnung braucht deshalb eine Reifezeit: Gezählt wird nur, was älter ist als die Frist, innerhalb derer eine Bestätigung erwartet wird.

// Anteil der geklickten Anmeldungen: nur reife Fälle zählen mit.
// Reif ist eine Anmeldung, sobald ihre Bestätigungsfrist abgelaufen ist.
function anteilGeklickt(anmeldungen, fristStunden, jetzt = Date.now()) {
  const frist = fristStunden * 3600 * 1000;
  const reif = anmeldungen.filter((a) => jetzt - a.angelegt >= frist);

  if (reif.length === 0) return null;   // keine Messung, nicht 0

  const offen = reif.filter((a) => a.geklicktAm === null);
  const geklickt = reif.length - offen.length;

  return {
    grundgesamtheit: reif.length,
    geklickt,
    anteil: geklickt / reif.length,
    offenMaxTage: offen.length
      ? Math.max(...offen.map((a) => (jetzt - a.angelegt) / 86400000))
      : null
  };
}

Zwei Werte fallen dabei ab, und beide gehören auf die Übersicht. Der Anteil zeigt, ob die Strecke insgesamt trägt; das Alter der ältesten offenen Anmeldung zeigt, ob sie gerade steht. Der zweite Wert reagiert schneller: Bleibt der Versand stehen, wächst er ab der ersten offenen Anmeldung stetig weiter, während der Anteil erst kippt, wenn genug Fälle die Frist überschritten haben. Ein Alarm auf das Alter der ältesten offenen Anmeldung ist deshalb in der Regel die brauchbarere erste Stufe, und der Anteil die zweite, langsamere Bestätigung derselben Störung.

Eine Bestätigungsmail, die niemand vermisst, ist der stillste Ausfall im Bestand. Er kostet keine Fehlerseite, keinen Anruf und keine Beschwerde, sondern nur jede Einwilligung, die in dieser Zeit hätte entstehen sollen.

— XICTRAQ

Was die Postfachanbieter verlangen

Die Bestätigungsmail ist technisch eine Nachricht wie jede andere und unterliegt denselben Regeln wie der Verteiler, für den sie den Zugang öffnet. Google verlangt seit dem 1. Februar 2024 von allen Absendern, die an Gmail-Konten senden, die Einhaltung eines Anforderungskatalogs (Gmail); wer mehr als 5.000 Nachrichten pro Tag an Gmail-Konten schickt, fällt seit demselben Datum zusätzlich unter einen erweiterten Abschnitt (Gmail). Was daraus für den laufenden Versand folgt, ist im Beitrag Zustellregeln für den Massenversand ausgeführt. Für die Bestätigungsstrecke sind vor allem vier Punkte wichtig.

• Beschwerdequote unter 0,3 Prozent: Für die in Postmaster Tools gemeldete Spam-Rate nennt Google eine Obergrenze von 0,3 Prozent (Gmail). Bestätigungsmails werden seltener als unerwünscht markiert als ein Verteiler, sie zählen aber in dieselbe Quote.
• Authentifizierung der Absenderdomain: SPF, DKIM und DMARC gehören eingerichtet und überwacht, bevor der Verteiler wächst. Das Vorgehen steht im Beitrag SPF, DKIM und DMARC einrichten; überwacht wird nicht nur, ob die Einträge vorhanden sind, sondern ob sie zur tatsächlich versendenden Adresse passen.
• Abmeldung mit einem Klick: Für Marketing- und Abonnementnachrichten verlangt Google im Abschnitt für Absender ab 5.000 Nachrichten pro Tag eine Abmeldung mit einem Klick sowie einen deutlich sichtbaren Abmeldelink im Nachrichtentext (Gmail). Technisch beschreibt RFC 8058 dafür ein Kopffeld List-Unsubscribe-Post mit dem Wert List-Unsubscribe=One-Click (RFC 8058).
• Ruf der Versandadresse: Steht die IP-Adresse oder die Domain des Versandwegs auf einer Sperrliste, trifft es die Bestätigungsmail als Erstes, weil sie an ein Postfach geht, das den Absender noch nicht kennt. Wie sich das laufend prüfen lässt, steht im Beitrag Blacklist-Monitoring für die E-Mail-Zustellbarkeit.

Die Strecke von außen prüfen

Bevor eine Überwachung eingerichtet wird, lohnt sich der Blick von außen mit einfachen Mitteln. Vier Aufrufe reichen, um festzustellen, ob die Strecke überhaupt an den vorgesehenen Stellen antwortet: das Formular, der Zustandsendpunkt, die Authentifizierung der Absenderdomain und die Seite hinter dem Bestätigungslink. Die Adressen im folgenden Beispiel liegen auf einer Domain, die nachweislich niemandem gehört.

Der letzte Aufruf ist der aufschlussreichste. Eine abgelaufene oder erfundene Kennung sollte eine gestaltete Seite mit klarer Auskunft ergeben, nicht einen Serverfehler und nicht eine leere Seite mit Statuscode 200. Der zweite Aufruf zeigt außerdem, wie wenig es braucht, damit die inneren Stationen von außen messbar werden: drei Zahlen und ein Zeitstempel. Wenn dieser Endpunkt von einem fremden Versanddienst gespeist wird, gehört zusätzlich beobachtet, ob dessen Schnittstelle eine Abkündigung ankündigt; wie sich das automatisch erkennen lässt, steht im Beitrag Sunset- und Deprecation-Header überwachen.

Warum Zustellung Zeit braucht

Ein Mailserver, der eine Nachricht nicht sofort loswird, wirft sie nicht weg, sondern versucht es erneut. RFC 5321 empfiehlt für den Abstand zwischen zwei Versuchen mindestens 30 Minuten und weist zugleich darauf hin, dass eine feinere Strategie sinnvoll ist, wenn der Grund der Nichtzustellung bekannt ist (RFC 5321). Für die Überwachung heißt das: Eine Bestätigungsmail, die nach zehn Minuten noch nicht im Postfach liegt, ist kein Vorfall, sondern ein normaler Zwischenzustand. Ein Alarm auf diesen Zustand erzeugt eine Meldung, die niemand beantworten kann, und trainiert die Bereitschaft darauf, Meldungen dieser Art zu übergehen.

Am anderen Ende steht die Aufgabefrist. Nach derselben Stelle in RFC 5321 laufen die Versuche, bis die Nachricht übertragen ist oder der Absender aufgibt, wobei die Aufgabezeit in der Regel mindestens vier bis fünf Tage betragen muss (RFC 5321). Daraus folgen zwei Festlegungen. Erstens sollte der Bestätigungslink deutlich länger gültig bleiben als diese Spanne, sonst läuft er ab, während die Nachricht noch unterwegs ist. Zweitens gehört die Alarmfrist für ausbleibende Bestätigungen in die Größenordnung von Stunden bis zu einem Tag: kurz genug, um einen stehenden Versand am selben Arbeitstag zu bemerken, lang genug, um die normale Wiederholung nicht als Störung zu melden.

Was dokumentiert bleiben muss

Ein Monitoring, das den Ausfall bemerkt, ersetzt nicht die Dokumentation dessen, was funktioniert hat. Artikel 7 Absatz 1 DSGVO verlangt den Nachweis der Einwilligung (DSGVO), Artikel 5 Absatz 2 macht daraus die Rechenschaftspflicht des Verantwortlichen (DSGVO). Praktisch heißt das: Der Datensatz muss den Vorgang so beschreiben, dass er Jahre später ohne Kenntnis des damaligen Systems nachvollziehbar ist. Was dafür gespeichert wird, gehört in das Verzeichnis der Verarbeitungstätigkeiten und in die Datenschutzerklärung; die folgende Aufstellung ist eine technische Empfehlung und ersetzt keine rechtliche Beratung.

• Zeitpunkt der Anmeldung und der Bestätigung, jeweils mit Zeitzone und in maschinenlesbarer Form.
• Der Wortlaut der Einwilligung, nicht nur ein Verweis auf die Seite. Der Text ändert sich, der Datensatz soll den Stand zum Zeitpunkt der Anmeldung festhalten.
• Die Kennung des Formulars und seiner Fassung, damit sich später zuordnen lässt, welche Fassung dem Besucher tatsächlich angezeigt wurde.
• Die Kennung der versendeten Bestätigungsmail samt Quittung des Versandwegs, damit der Weg zwischen Anmeldung und Klick belegbar ist.
• Herkunftsangaben in dem Umfang, den die eigene Datenschutzerklärung deckt, etwa eine gekürzte IP-Adresse. Was nicht angekündigt ist, wird auch nicht gespeichert.
• Widerruf und Abmeldung mit Zeitpunkt und Weg, weil der Bestand sonst nur die Erteilung kennt und nicht das Ende der Einwilligung.

Die Einführung in zwei Wochen

In der ersten Woche entsteht die Messgrundlage. Dazu gehört ein Zustandsendpunkt, der die Zahl der offenen Anmeldungen, das Alter der ältesten offenen Anmeldung und die Länge der Versandwarteschlange zurückgibt, ein Herzschlag aus dem Prozess, der die Warteschlange abarbeitet, und eine Prüfadresse in einem eigenen Postfach. Parallel wird der Anmeldeweg einmal von Hand vollständig durchlaufen und protokolliert, welcher Schritt wie lange dauert. Diese Messung liefert die Zahl, aus der später die Bestätigungsfrist abgeleitet wird, statt sie zu schätzen.

In der zweiten Woche werden die Prüfungen eingerichtet und die Fristen gesetzt: Browser-Check auf den Anmeldeweg, Schnittstellenprüfung auf Zustandsendpunkt und Bestätigungsseite, Herzschlag mit Erwartung, zwei Alarmstufen mit unterschiedlicher Frist. Zum Schluss wird die Kette einmal absichtlich unterbrochen, etwa durch einen angehaltenen Arbeitsprozess, und geprüft, ob der Alarm ankommt und wer ihn annimmt. Wer die Anmeldestrecke ohnehin anfasst, sollte im selben Zug die Einwilligungsschicht der Seite prüfen, weil sie den Anmeldeweg technisch beeinflusst; wie sie sich sauber umsetzen lässt, steht im Beitrag Cookie-Consent richtig implementieren.