CAN-SPAM und Cold Email: Die 7 Regeln, die US-Versender 2026 kennen müssen

Ist Cold Email nach CAN-SPAM legal?

CAN-SPAM gilt für alle kommerziellen Nachrichten. Das Gesetz definiert diese als „jede elektronische Nachricht, deren Hauptzweck die kommerzielle Werbung oder Bewerbung eines kommerziellen Produkts oder einer Dienstleistung ist." Das schließt Cold-B2B-Outreach ein. Das Gesetz macht keine Ausnahme für Business-to-Business-E-Mails.

Was viele überrascht: CAN-SPAM ist permissiv. Sie dürfen einem Cold Prospect zuerst schreiben, solange Sie sich identifizieren, nicht in die Irre führen und eine Abmeldemöglichkeit anbieten. Es gibt keine Opt-in-Pflicht. Das Gesetz besagt lediglich, dass Sie den Empfangenden nach dem Versand eine Möglichkeit zum Austragen geben müssen.

Das ist der grundlegende Unterschied zwischen US-Recht und den Regelungen in Europa oder Kanada. Unter der DSGVO stützen Sie sich bei B2B-Kontakten in der Regel auf eine Rechtsgrundlage wie „berechtigtes Interesse". Unter CASL benötigen Sie in der Regel eine ausdrückliche oder stillschweigende Einwilligung, bevor Sie kommerzielle Nachrichten an kanadische Empfangende senden. Eine „stillschweigende Einwilligung" besteht, wenn Sie eine bestehende Geschäftsbeziehung mit dem Kontakt hatten, sie erlischt jedoch nach zwei Jahren. Cold Outreach ohne bestehende Geschäftsbeziehung erfordert eine ausdrückliche Einwilligung.

Wenn Sie also US-basierte Prospects ohne bestehende Beziehung anschreiben, erlaubt CAN-SPAM das. Allerdings ist „erlaubt" an sieben konkrete Regeln geknüpft.

Die 7 CAN-SPAM-Anforderungen, die jeder Cold-E-Mail-Versender befolgt

Jede einzelne E-Mail, die gegen den CAN-SPAM Act verstößt, kann mit Strafen von bis zu 53.088 $ belegt werden. Hier sind die Anforderungen, entnommen aus dem FTC-Compliance-Leitfaden:

1. Verwenden Sie keine falschen oder irreführenden Header-Informationen

Ihre „Von"-, „An"-, „Antwort-an"- und Routing-Informationen, einschließlich des Ursprungsdomainnamens und der E-Mail-Adresse, müssen korrekt sein und die Person oder das Unternehmen identifizieren, die bzw. das die Nachricht initiiert hat.

In der Praxis bedeutet das: Ihre Versanddomain, Ihr Anzeigename und Ihre Antwortadresse stimmen alle mit Ihrer tatsächlichen Identität überein. E-Mails von „john@bigcorp.com" zu versenden, wenn Sie bei einem anderen Unternehmen arbeiten, ist ein Verstoß.

2. Verwenden Sie keine irreführenden Betreffzeilen

Die Betreffzeile muss den Inhalt der Nachricht korrekt wiedergeben. Betreffzeilen wie „Re: unser Telefonat gestern", wenn kein Telefonat stattgefunden hat, oder „Ihre Rechnung", wenn es keine Rechnung gibt, verstoßen gegen das Gesetz.

Vielleicht fragen Sie sich: Wo liegt die Grenze zwischen „kreativ" und „irreführend"? Ein guter Test: Würde sich eine vernünftige Person nach dem Öffnen der E-Mail getäuscht fühlen? Falls ja, schreiben Sie die Betreffzeile um.

3. Kennzeichnen Sie die Nachricht als Werbung, wenn zutreffend

Das Gesetz lässt Ihnen viel Spielraum bei der Umsetzung, aber Sie müssen klar und deutlich offenlegen, dass Ihre Nachricht eine Werbung ist. Bei B2B-Cold-E-Mails ist das selten ein Problem, da die meisten Outreach-Nachrichten wie ein Geschäftsgespräch wirken und nicht wie ein Werbe-Mailing. Wenn Ihre E-Mail jedoch primär ein Produkt oder eine Dienstleistung bewirbt, muss der kommerzielle Charakter aus dem Kontext erkennbar sein.

4. Geben Sie Ihre gültige postalische Adresse an

Ihre Nachricht muss Ihre gültige postalische Adresse enthalten. Das kann Ihre aktuelle Straßenadresse sein, ein Postfach, das Sie beim U.S. Postal Service registriert haben, oder ein privates Postfach, das Sie bei einer kommerziellen Postempfangsagentur registriert haben.

Die meisten Cold-E-Mail-Versender fügen diese in ihre E-Mail-Signatur ein. Ein Postfach oder ein registriertes virtuelles Postfach ist ausreichend.

5. Informieren Sie Empfangende über die Abmeldemöglichkeit

Das Gesetz verlangt, dass jede kommerzielle E-Mail einen klaren und deutlichen Opt-out-Mechanismus enthält, schreibt aber keinen klickbaren Abmeldelink vor.

Sie können die Anforderung auch mit einem einfachen Texthinweis wie „Antworten Sie auf diese E-Mail, wenn Sie sich abmelden möchten" erfüllen. Solange Empfangende eine klare, funktionierende Möglichkeit haben, sich aus Ihrem Outreach zu entfernen, sind Sie konform.

Speziell bei Cold E-Mail bevorzugen viele Outbound-Teams ein antwortbasiertes Opt-out, weil die Nachricht so persönlicher wirkt statt wie ein Marketing-Mailing. Allerdings verlangen die Bulk-Sender-Regeln der Mailbox-Anbieter (Gmail und Yahoo seit 2024) ab einem gewissen Volumen One-Click-Unsubscribe-Header. Wenn Sie skaliert versenden, ist ein Abmeldelink der sicherere Ansatz.

Tipp: Tools wie lemlist ermöglichen es, automatisch einen Abmeldelink oder ein antwortbasiertes Opt-out in jede E-Mail einer Sequenz einzufügen und Sperrlisten über Ihre gesamte Versandinfrastruktur hinweg zu synchronisieren, sodass Abmeldungen überall sofort berücksichtigt werden.

6. Opt-out-Anfragen innerhalb von 10 Werktagen umsetzen

Jeder angebotene Opt-out-Mechanismus muss Abmeldeanfragen mindestens 30 Tage nach dem Versand Ihrer Nachricht verarbeiten können. Sie müssen die Abmeldeanfrage innerhalb von 10 Werktagen umsetzen.

Zehn Tage sind das gesetzliche Maximum. In der Praxis sollten Sie Abmeldungen sofort verarbeiten. Jemand, der sich abgemeldet hat und innerhalb dieses Zeitfensters eine weitere E-Mail erhält, wird eher eine Spam-Beschwerde einreichen als eine formale Klage. Spam-Beschwerden schaden direkt Ihrer Absender-Reputation.

Wenn ein Prospect „Bitte entfernen" antwortet und Ihr Team ihn zwei Wochen später erneut hinzufügt, ist das ein Verstoß. Das passiert häufig, wenn Teams Outreach über verschiedene Tools laufen lassen, ohne eine einheitliche Sperrliste zu nutzen.

7. Kontrollieren Sie, was andere in Ihrem Namen tun

Das Gesetz stellt klar: Auch wenn Sie ein anderes Unternehmen mit Ihrem E-Mail-Marketing beauftragen, können Sie Ihre gesetzliche Verantwortung nicht vertraglich abgeben. Wenn Sie eine Agentur, Freelancer oder ein Outbound-Tool für den E-Mail-Versand nutzen, haften Sie weiterhin für jede einzelne Nachricht.

CAN-SPAM-Strafen und tatsächliche Durchsetzung

Die Strafe kann für den Rest von 2026 bis zu 53.088 $ pro E-Mail betragen. Die FTC hat im Federal Register am 15. September bestätigt, dass die Bußgeldhöhen in diesem Jahr unverändert bleiben und weiterhin die Werte von 2025 gelten.

Das gilt pro einzelner E-Mail. Die Strafe wird pro einzelner E-Mail berechnet, nicht pro Kampagne. Eine Kampagne mit 1.000 E-Mails, bei der jede Nachricht nicht konform ist, hat ein theoretisches Risiko von über 53 Millionen Dollar.

Und die FTC setzt es durch. Verkada musste 2,95 Millionen Dollar Bußgeld zahlen, um Vorwürfe beizulegen, dass das Unternehmen potenzielle Kunden mit kommerziellen E-Mails unter Verstoß gegen den CAN-SPAM Act überschwemmt hatte. Es war die höchste Strafe, die die FTC je wegen eines CAN-SPAM-Verstoßes verhängt hat. Die Klage warf Verkada vor, potenzielle Kunden mit kommerziellen E-Mails überflutet zu haben und dabei weder eine Abmeldemöglichkeit noch eine physische Postadresse angegeben, Opt-out-Anfragen nicht beachtet und keine Abmeldefunktion bereitgestellt zu haben.

Über die FTC hinaus sieht der CAN-SPAM Act bei bestimmten schwerwiegenden Verstößen zusätzliche Strafen vor. Das Gesetz ermöglicht strafrechtliche Sanktionen, einschließlich Freiheitsstrafe, für den unbefugten Zugriff auf fremde Computer zum Spam-Versand, die Verwendung falscher Angaben zur Registrierung mehrerer E-Mail-Konten oder Domains und das Sammeln von E-Mail-Adressen.

CAN-SPAM vs. DSGVO vs. CASL für Cold Email

Wenn Ihre Prospects ausschließlich in den USA sind, gilt CAN-SPAM. Aber die meisten Outbound-Teams erreichen Personen über Ländergrenzen hinweg. So vergleichen sich die drei wichtigsten Regelwerke:

Unter CASL kann die Einwilligung in bestimmten Zeiträumen stillschweigend statt ausdrücklich erfolgen. Ein Kauf erzeugt eine stillschweigende Einwilligung für 2 Jahre, eine Anfrage für 6 Monate. Außerhalb dieser Zeiträume dürfen Sie kanadische Empfangende in der Regel nicht kalt anschreiben.

Die praktische Schlussfolgerung: Segmentieren Sie Ihre Listen nach Empfängerland und wenden Sie auf jedes Segment das jeweils strengste Gesetz an. Sitzt ein Kontakt in Kanada, gilt CASL. In der EU gilt die DSGVO. In den USA gilt CAN-SPAM.

CAN-SPAM-Compliance-Checkliste für Cold-E-Mail-Kampagnen

Hier eine Kurzreferenz, die Sie vor dem Start jeder Sequenz durchgehen können:

• •

  Korrekter „Von"-Name und Antwortadresse: Beides stimmt mit Ihrer tatsächlichen Identität und Ihrem Unternehmen überein

• •

  Ehrliche Betreffzeile: Gibt den tatsächlichen E-Mail-Inhalt wieder, kein gefälschtes „Re:" oder „Fwd:"

• •

  Physische Postadresse: In der E-Mail-Signatur oder im Footer (Postfach ist zulässig)

• •

  Klarer Opt-out-Mechanismus: Entweder ein antwortbasiertes Opt-out oder ein Abmeldelink

• •

  Abmeldungen sofort umsetzen: Sperrung innerhalb weniger Stunden, synchronisiert über alle Tools

• •

  Globale Sperrliste: Eine zentrale Liste, die das erneute Hinzufügen über alle Kampagnen und Tools hinweg verhindert

• •

  Kontrolle von Drittanbietern: Wenn Agenturen oder externe Dienstleister in Ihrem Namen versenden, haben Sie deren Compliance überprüft

Das größte operative Risiko auf dieser Liste ist die Synchronisierung der Sperrlisten. Wenn sich ein Prospect in einem Tool abmeldet, aber in einem anderen aktiv bleibt und zwei Monate später in eine neue Sequenz aufgenommen wird, verstößt das gegen die 10-Tage-Opt-out-Frist von CAN-SPAM.

In lemlist synchronisiert die Blacklist-Funktion die Sperrung über alle Kampagnen und Versandkonten hinweg. Ein Kontakt, der sich aus einer Sequenz abmeldet, wird automatisch für jeden zukünftigen Versand gesperrt. Das gilt unabhängig davon, ob die Abmeldung über einen Abmeldelink oder eine manuelle Antwort erfolgte.

→ lemlist testen (keine Kreditkarte erforderlich)

Compliance und Deliverability schützen sich gegenseitig

CAN-SPAM einzuhalten dient nicht nur der Vermeidung von Bußgeldern. Dieselben Verhaltensweisen, die Sie rechtskonform halten, sorgen auch dafür, dass Ihre E-Mails nicht im Spam landen.

Ehrliche Betreffzeilen und korrekte „Von"-Informationen reduzieren Spam-Beschwerden. Ein funktionierender Opt-out, den Sie zügig umsetzen, signalisiert Mailbox-Anbietern (Gmail, Outlook), dass Sie ein seriöser Absender sind. Verifizierte, zielgerichtete Listen senken die Bounce-Rate und schützen Ihre Domain-Reputation.

Umgekehrt: Der schnellste Weg, Ihre Deliverability zu ruinieren, ist auch der schnellste Weg, CAN-SPAM zu verletzen: irreführende Header, kein Opt-out und eine unsaubere Liste.

Gmails Bulk-Sender-Anforderungen verlangen SPF-, DKIM- und DMARC-Authentifizierung, One-Click-Unsubscribe-Support und niedrige Beschwerdequoten. Diese Anforderungen überschneiden sich fast vollständig mit CAN-SPAM-Compliance. Wenn Sie Ihr Outbound auf das Gesetz ausgerichtet haben, sind Sie bereits auf dem besten Weg zu gutem Inbox-Placement.

Der Deliverability Hub von lemlist überwacht die Gesundheit Ihrer Mailboxen und Domains, prüft Kampagnen vor dem Versand auf riskante Inhalte und rotiert über mehrere Postfächer, um Ihre Reputation zu schützen. Jeder Account enthält außerdem lemwarm, das die Absender-Reputation für neue Domains und Mailboxen automatisch aufbaut.

Cold E-Mails versenden, die ankommen und konform bleiben

CAN-SPAM gibt US-Versendern ein klares, praktikables Regelwerk: Seien Sie ehrlich, geben Sie Empfangenden eine Abmeldemöglichkeit und setzen Sie diese zügig um. Das Gesetz ist nicht kompliziert. Die Herausforderung liegt darin, es über jede Kampagne, jedes Tool und jedes Teammitglied hinweg konsequent umzusetzen.

Genau hier zahlt sich eine einzige Plattform aus. lemlist deckt Lead-Sourcing, E-Mail-Verifizierung, Multichannel-Sequenzen, Opt-out-Handling und Deliverability-Monitoring in einem einzigen Prozess ab, sodass Compliance nicht von manuellen Checklisten oder zusammengestückelten Tools abhängt.

→ lemlist testen (keine Kreditkarte, jederzeit kündbar)