CAN-SPAM Act: Anforderungen für Cold Emails

Auf dieser Seite geht es darum, was der CAN-SPAM Act von Absendern von Cold Emails verlangt. Grundlage sind der CAN-SPAM Act Compliance Guide for Business der US-amerikanischen Federal Trade Commission (FTC, Stand der Bearbeitung Januar 2024, gelesen im Oktober 2026) und der Verordnungstext 16 CFR Part 316 im eCFR. Wir erklären die Regeln, eine Rechtsberatung ist das nicht. Ob Ihre Akquise die Regeln einhält, hängt davon ab, was Sie schreiben und wie Sie Ihre Liste pflegen. Das nimmt Ihnen kein Tool ab.

Welche Anforderungen stellt der CAN-SPAM Act?

Der Compliance-Leitfaden der FTC nennt sieben zentrale Anforderungen an kommerzielle E-Mails. Sie gelten für jede einzelne Nachricht, nicht für die Kampagne als Ganzes. Fehlt also in einer E-Mail der Abmeldehinweis, ist das ein Problem, auch wenn alle anderen E-Mails der Sequenz einen haben. Die Tabelle zeigt jede Anforderung und was sie konkret für Cold Emails bedeutet.

Anforderung (CAN-SPAM-Leitfaden der FTC)	Was das für eine Cold Email bedeutet
Keine falschen oder irreführenden Header-Angaben	From, To, Reply-To und die Routing-Informationen müssen stimmen und die Person oder das Unternehmen erkennen lassen, das die Nachricht verschickt hat.
Keine täuschenden Betreffzeilen	Der Betreff muss wiedergeben, was tatsächlich in der E-Mail steht. Ein vorgetäuschtes „Re:“ beim Erstkontakt suggeriert ein Gespräch, das es nie gab.
Nachricht als Werbung kennzeichnen	Eine kommerzielle Nachricht muss als Werbung erkennbar sein. Eine feste Formulierung schreibt der Leitfaden nicht vor.
Gültige physische Postanschrift angeben	Ihre aktuelle Straßenadresse, ein Postfach oder ein nach den postalischen Vorschriften registriertes privates Postfach.
Empfängern erklären, wie sie sich abmelden	Eine klare und gut sichtbare Erklärung, wie man künftige Marketing-E-Mails von Ihnen abbestellt.
Abmeldungen innerhalb von 10 Werktagen umsetzen	Wer sich abgemeldet hat, bekommt nach Ablauf dieser Frist keine Marketing-E-Mails mehr von Ihnen.
Kontrollieren, was andere in Ihrem Auftrag tun	Wenn jemand anderes für Sie versendet, bleiben Sie rechtlich verantwortlich.

CAN-SPAM-Anforderungen an Header und Betreffzeilen

Zwei der CAN-SPAM-Anforderungen betreffen das, was der Empfänger sieht, bevor er die Nachricht öffnet: den Header und die Betreffzeile. Die Header-Regel umfasst den Absendernamen, die Absenderadresse, Reply-To und die Routing-Informationen, also die Domain und die Server, über die die Nachricht gelaufen ist. All das muss erkennen lassen, wer die E-Mail tatsächlich verschickt hat. Wer unter einer erfundenen Persona versendet oder von einer Domain, die das eigene Unternehmen verschleiert, verstößt gegen diese Regel.

SPF, DKIM oder DMARC verlangt der CAN-SPAM Act nicht. Das sind technische Standards, keine gesetzlichen Pflichten. Auf Serverebene erfüllen sie aber denselben Zweck: Ein empfangender Server kann damit prüfen, ob eine für Ihre Domain signierte Nachricht von einem Server kommt, den Sie autorisiert haben. Passen Ihre Absenderdomain, Ihre DKIM-Signatur und Ihre DMARC-Policy zusammen, stimmen die Routing-Informationen mit dem überein, was Sie über sich angeben. Welche Einträge Sie veröffentlichen müssen, zeigt unser Leitfaden zu DKIM, DMARC und SPF für Cold-Email-Absender.

Bei der Betreffzeile ist der Maßstab, ob sie über den Inhalt täuscht. „Kurze Frage zu Ihrer Personalplanung im 3. Quartal“ über einem Angebot für Recruiting-Software ist vertretbar. „Re:“ oder „Ihre Rechnung“ über einem Verkaufsangebot ist es nicht. Die Beispiele für Cold-Email-Betreffzeilen, die wir gesammelt haben, halten sich an diese Regel.

Gilt der CAN-SPAM Act auch für E-Mails an Geschäftskunden?

Viele B2B-Absender gehen davon aus, dass das Gesetz nur Newsletter an Verbraucher erfasst. Der Leitfaden der FTC stellt dagegen klar, dass es keine Ausnahme für Business-to-Business-E-Mails gibt. Eine Cold Email an die geschäftliche Adresse einer Einkaufsleiterin braucht dasselbe wie eine Werbeaktion im Einzelhandel: korrekte Header, einen ehrlichen Betreff, eine Kennzeichnung als Werbung, eine Postanschrift und eine Abmeldemöglichkeit.

Jede E-Mail einer Cold-Email-Sequenz wird für sich beurteilt. Daraus ergeben sich in der Praxis drei Folgen:

• Auch Follow-ups brauchen den Abmeldehinweis und die Postanschrift, nicht nur die erste E-Mail. Ein Follow-up, das per In-Reply-To-Header in den Thread eingehängt ist, bleibt eine kommerzielle Nachricht.
• Personalisierung macht eine Nachricht nicht zur nichtkommerziellen. Eine Eins-zu-eins-E-Mail an einen einzelnen Empfänger ist trotzdem kommerziell, wenn sie Ihr Produkt bewerben soll.
• Laut Leitfaden der FTC können sich auch Abonnenten und Mitglieder abmelden. Eine bestehende Beziehung zum Empfänger hebt die Pflicht zur Abmeldemöglichkeit nicht auf.

Wie schnell müssen Sie eine Abmeldung umsetzen?

Der Leitfaden der FTC gibt Ihnen ab dem Abmeldewunsch 10 Werktage Zeit. Danach darf die Person keine Marketing-E-Mails mehr von Ihnen erhalten. Außerdem muss die Erklärung zur Abmeldung klar und gut sichtbar sein, sodass der Empfänger sie ohne Suchen findet. Ein Link in grauer Schrift irgendwo unter der Signatur oder ein Hinweis, der nur in der ersten E-Mail einer Sequenz steht, macht es schwerer, das zu belegen.

In der Kaltakquise scheitern Abmeldungen meist daran, dass die Liste an mehreren Stellen liegt. Jemand antwortet auf Ihre erste E-Mail mit „Bitte austragen“, aber ein in einem anderen System eingeplantes Follow-up geht trotzdem raus. Legen Sie deshalb vor dem Start einer Sequenz eine einzige Master-Liste fest und sperren Sie die Adresse dort, damit jeder geplante Schritt sie überspringt. Abmeldungen wirken sich auch auf die Zustellbarkeit aus. Wer keinen Weg zur Abmeldung findet, klickt oft auf „Spam“, und Beschwerden gehören zu den Signalen, die empfangende Server gewichten. Mehr dazu in unserem Artikel darüber, warum E-Mails im Spam landen.

Wer haftet, wenn jemand anderes Ihre E-Mails versendet?

Laut Leitfaden der FTC können Sie Ihre rechtliche Verantwortung nicht vertraglich abgeben, wenn Sie jemanden mit Ihrem E-Mail-Marketing beauftragen. Haftbar sein können sowohl das Unternehmen, dessen Produkt beworben wird, als auch das Unternehmen, das die Nachricht tatsächlich versendet. Für ein B2B-Team heißt das: Das betrifft den Freelancer, der Ihre Sequenzen betreut, den Dienstleister, der Listen aufbaut, oder eine Plattform, die in Ihrem Auftrag von ihrer eigenen Adresse aus versendet.

Verlassen Sie sich nicht blind darauf, was unter Ihrem Namen rausgeht. Prüfen Sie die Absenderzeile, die Betreffzeilen, den Footer mit Ihrer Postanschrift und den Umgang mit Abmeldungen selbst. Sie müssen außerdem sehen können, von welcher Domain aus die Mails verschickt werden. Wenn Sie nicht erkennen, wessen Domain die Nachricht signiert, können Sie die Header-Anforderung nicht prüfen. Ihre DMARC-Aggregatberichte listen die Server auf, die unter Ihrer Domain Mails versenden. Wer einen DMARC-Report liest, erkennt einen Absender, den er nicht autorisiert hat.

Wo der CAN-SPAM Act endet: Empfänger in Deutschland und der EU

Der CAN-SPAM Act ist ein US-amerikanisches Opt-out-Gesetz. Keine der Anforderungen, wie die FTC sie auflistet, ist eine vorherige Einwilligung: Sie dürfen die erste Nachricht senden, solange Sie die Regeln einhalten und Abmeldungen umsetzen. Dieses Modell lässt sich nicht auf andere Länder übertragen. Für Empfänger in Deutschland gilt nach § 7 Abs. 2 Nr. 2 des Gesetzes gegen den unlauteren Wettbewerb (UWG) Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung des Adressaten als unzumutbare Belästigung. § 7 Abs. 3 UWG enthält eine enge Ausnahme für Bestandskunden, die den Erstkontakt mit einem Interessenten nicht abdeckt.

Verschicken Sie deshalb keine Cold Emails an Empfänger in Deutschland, auch wenn die Nachricht jede Anforderung des CAN-SPAM Act erfüllt. Sortieren Sie Ihre Interessentenliste nach Empfängerland, bevor Sie eine Sequenz planen, und prüfen Sie die Regeln für jedes Land, das Sie ansprechen. Wenden Sie die US-Regeln nicht einfach überall an.

Wie EmailFlow OS versendet und was Ihre Aufgabe bleibt

EmailFlow OS versendet personalisierte Video-E-Mails für B2B-Kaltakquise. Sie nehmen ein einziges Video auf, laden es in EmailFlow OS hoch, verbinden Ihr eigenes Brevo-Konto und Ihre Versanddomain und importieren Ihre Interessentenliste. EmailFlow OS erstellt dann aus dieser einen Aufnahme für jeden einzelnen Empfänger eine personalisierte Version, nicht nur pro Unternehmen, und versendet jede Version aus Ihrem eigenen Postfach, über Ihr Brevo-Konto und Ihre Versanddomain. Nichts geht über eine gemeinsam genutzte Absenderadresse der Plattform raus.

Für den CAN-SPAM Act heißt das: Die Header-Angaben verweisen auf Ihre Domain und Ihr Brevo-Konto. Beides kontrollieren Sie, und beides können Sie in Ihrem eigenen DNS und in Ihren DMARC-Berichten prüfen. Der Rest hängt davon ab, wie Sie das Produkt nutzen: ein ehrlicher Betreff, die Kennzeichnung als Werbung, Ihre Postanschrift, ein klarer Abmeldehinweis in jeder Nachricht und das Austragen aller Abgemeldeten innerhalb von 10 Werktagen, auch aus der Liste, die Sie in EmailFlow OS importiert haben. Wer EmailFlow OS nutzt, ist damit nicht automatisch konform mit dem CAN-SPAM Act oder einem anderen Gesetz. Es bedeutet, dass Sie den Versandweg selbst prüfen können.

Häufige Fragen

? Verlangt der CAN-SPAM Act eine Einwilligung vor dem Versand einer Cold Email?

Nein. Keine der Anforderungen im CAN-SPAM-Leitfaden der FTC ist eine vorherige Einwilligung. Es ist ein Opt-out-Modell: Sie dürfen eine erste kommerzielle E-Mail senden, wenn sie korrekte Header, einen ehrlichen Betreff, eine Kennzeichnung als Werbung, eine Postanschrift und einen Abmeldehinweis enthält. In Deutschland ist es umgekehrt: § 7 Abs. 2 Nr. 2 UWG verlangt eine vorherige ausdrückliche Einwilligung.

? Gilt der CAN-SPAM Act auch für B2B-E-Mails?

Ja. Laut Compliance-Leitfaden der FTC macht das Gesetz keine Ausnahme für Business-to-Business-E-Mails. Eine Cold Email an eine geschäftliche Adresse braucht dasselbe wie Werbung an Verbraucher: wahrheitsgemäße Header-Angaben, einen nicht täuschenden Betreff, die Kennzeichnung als Werbung, eine gültige physische Postanschrift und eine Abmeldemöglichkeit, die Sie innerhalb von 10 Werktagen umsetzen.

? Darf ich in einer Cold Email ein Postfach als Postanschrift angeben?

Ja, laut Leitfaden der FTC. Eine gültige physische Postanschrift kann Ihre aktuelle Straßenadresse sein, ein beim US Postal Service registriertes Postfach oder ein privates Postfach, das nach den postalischen Vorschriften bei einer gewerblichen Postannahmestelle (Commercial Mail Receiving Agency) registriert ist. Eine erfundene oder veraltete Adresse zählt nicht, denn Empfänger müssen Sie erreichen können.

? Gehören SPF, DKIM und DMARC zu den CAN-SPAM-Anforderungen?

Nein. Weder 16 CFR Part 316 noch der Leitfaden der FTC erwähnen diese DNS-Standards. Der CAN-SPAM Act verlangt Header- und Routing-Informationen, die nicht falsch oder irreführend sind. SPF, DKIM und DMARC sind eigenständige technische Standards, mit denen empfangende Server prüfen, ob Mails für Ihre Domain von autorisierten Servern stammen. Sie verfolgen also auf Serverebene dasselbe Ziel.