One-Click-Abmeldung: Header, Regeln und ein Generator
One-Click-Abmeldung
One-Click-Abmeldung: RFC-8058-Header und Gmail-Regeln | We.Inc
Füge Werbemails eine One-Click-Abmeldung hinzu: die zwei Header aus RFC 8058, was Gmail und Yahoo von Massenversendern verlangen, CAN-SPAM-Grundlagen und ein Header-Generator.
Mit der One-Click-Abmeldung kann jemand deine Liste über den Abmelden-Button des Posteingangs verlassen, ohne Login oder Formular. Du fügst zwei Header aus RFC 8058 hinzu: List-Unsubscribe mit einem HTTPS-Link und List-Unsubscribe-Post mit dem Wert List-Unsubscribe=One-Click. Gmail und Yahoo verlangen das bei Werbemails von Massenversendern.
Wer was verlangt (offizielle Seiten, Stand Oktober 2026)
Quelle
Abmelderegel
Gmail
One-Click-Abmeldung bei Werbemails für Absender mit 5,000+ Mails pro Tag; sichtbarer Link im Text; Anfragen innerhalb von 48 Stunden bearbeiten (empfohlen)
Yahoo
Funktionierender List-Unsubscribe-Header mit One-Click (RFC 8058); Abmeldungen innerhalb von 2 Tagen umsetzen
CAN-SPAM (USA)
Klare Abmeldemöglichkeit; innerhalb von 10 Werktagen umsetzen; der Mechanismus funktioniert mindestens 30 Tage nach dem Versand
Transaktionsmails
Gmail: One-Click für Transaktionsnachrichten nicht erforderlich
Die meisten E-Mail-Dienste fügen diese Header automatisch hinzu, sobald du die Listenverwaltung aktivierst, also schau zuerst dort nach. Versendest du aus deiner eigenen App oder von deinem eigenen Server, schreibt der Generator unten die zwei Header-Zeilen, und die Beispiele zeigen den kleinen Endpunkt, der auf die Anfrage des Posteingangs antworten muss.
Erstelle pro Empfänger eine eindeutige HTTPS-Abmeldeadresse mit einem schwer zu erratenden Token darin.
Setze diese Adresse in spitzen Klammern in List-Unsubscribe, optional gefolgt von einer mailto-Adresse.
Signiere die Nachricht mit DKIM und nimm beide Header in die Signatur auf, wie RFC 8058 es verlangt.
Wenn der Posteingang ein POST an deine Adresse sendet, entferne den Abonnenten und antworte mit einem Erfolgsstatus, nicht mit einem Redirect.
Behalte auch den sichtbaren Abmeldelink im E-Mail-Text. Gmail verlangt beides.
Verlange auf der One-Click-Adresse nie ein Login oder Passwort. Das POST des Posteingangs enthält keine Cookies.
Beantworte das POST nicht mit einem Redirect; laut RFC 8058 sind weitergeleitete POSTs in der Vergangenheit gescheitert.
Ein GET an dieselbe Adresse kann von einem Link-Scanner stammen, zeig bei GET also eine Bestätigungsseite und melde nur bei POST ab.
Diese Seite erklärt veröffentlichte Regeln; sie ist keine Rechtsberatung. Prüfe die Gesetze dort, wo deine Abonnenten leben.
Häufige Fragen
Brauche ich die One-Click-Abmeldung, wenn ich nur wenige E-Mails versende?
Die Anforderung von Gmail gilt für Absender von etwa 5,000 oder mehr Nachrichten pro Tag an Gmail-Konten. Kleinere Absender brauchen nach Gesetzen wie CAN-SPAM trotzdem eine funktionierende Abmeldung, und die Header hinzuzufügen ist ohnehin gute Praxis.
Brauchen Bestellbestätigungen einen Abmelde-Header?
Laut Gmail ist die One-Click-Abmeldung nur für Werbe- und Marketingnachrichten erforderlich, Transaktionsnachrichten sind ausgenommen. Auch der Leitfaden der FTC behandelt reine Transaktionsmails als weitgehend von CAN-SPAM ausgenommen.
Kann List-Unsubscribe nur eine mailto-Adresse verwenden?
Nicht für One-Click. RFC 8058 verlangt mindestens eine HTTPS-Adresse im Header. Eine mailto-Adresse kann als Fallback für ältere Mail-Apps danebenstehen.
Wie schnell muss ich eine Abmeldung bearbeiten?
Stand Oktober 2026 empfiehlt Gmail innerhalb von 48 Stunden, und Yahoo verlangt innerhalb von 2 Tagen. Der US-amerikanische CAN-SPAM Act setzt ein gesetzliches Maximum von 10 Werktagen.
Verlangt CAN-SPAM, dass Leute vorher einwilligen?
Nein. Laut Leitfaden der FTC verlangt das Gesetz keine vorherige Einwilligung, aber ehrliche Header und Betreffzeilen, die Kennzeichnung der Nachricht als Werbung, deine physische Postanschrift und eine Abmeldung, die du umsetzt.
Was passiert, wenn jemand klickt
Die Mail-App liest deinen List-Unsubscribe-Header und sendet ein HTTPS-POST an diese Adresse. Der Request-Body ist der Wert von List-Unsubscribe-Post, als Formular kodiert, sodass dein Endpunkt List-Unsubscribe=One-Click erhält.
Dein Server findet den Abonnenten anhand des Tokens in der Adresse und entfernt ihn. Sonst wird nichts gesendet: keine Cookies, kein Login, keine zusätzliche Seite.
CAN-SPAM in fünf Zeilen
Der Compliance-Leitfaden der FTC listet die Kernpflichten für kommerzielle E-Mails auf: wahrheitsgemäße Angaben zu From, To und Routing, eine Betreffzeile, die zum Inhalt passt, ein klarer Hinweis, dass die Nachricht Werbung ist, eine gültige physische Postanschrift und eine einfache Abmeldung.
Jede E-Mail, die gegen die Regeln verstößt, kann laut FTC-Leitfaden, Stand Oktober 2026, bis zu $53,088 kosten, also ist eine funktionierende Abmeldung eine günstige Versicherung.
Der Endpunkt, der auf den Klick antwortet
Ein minimaler Handler in Standard-JavaScript (die Request- und Response-Objekte, die die meisten modernen Hoster verwenden). Er meldet bei POST ab und fragt bei GET nach einer Bestätigung.
Abmelde-Handler
Ersetze removeSubscriber durch deinen eigenen Datenbankaufruf. Das Token ist der schwer zu erratende Teil der Adresse.
Header-Generator
HTTPS-Abmeldeadresse (mit dem Token des Abonnenten)
Optionale mailto-Adresse
Hinzuzufügende Header
Die erste Adresse muss mit https:// beginnen, damit One-Click funktioniert.
Fertig zum Einfügen. Denk daran, beide Header in deine DKIM-Signatur aufzunehmen.