Email Verification Protocol (EVP): Was Googles neuer Weg an der Adressbestätigung für Ihr E-Mail-Marketing wirklich bedeutet

Wenn Google an einem Fundament des E-Mail-Marketings rüttelt, hören wir genau hin. Schon am 8. Juli 2026 hat das Chrome-Team einen Origin Trial für das Email Verification Protocol (EVP) gestartet: ein Verfahren, das den Besitz einer E-Mail-Adresse direkt im Browser bestätigt, ohne Bestätigungsmail, ohne Klick auf einen Link, ohne dass der Nutzer die Seite verlässt. In den Feeds klingt das nach dem Ende des Double-Opt-in. Wir ordnen ein, evidenzbasiert und ohne Getöse: Was EVP kann, was es ausdrücklich nicht kann, und warum die lauteste Schlagzeile am wichtigsten Punkt vorbeigeht.

Als bevorzugte Quelle hinzufügen

EVP in der Praxis: So bestätigt der Browser die Adresse

Bisher läuft die Adressbestätigung über einen Umweg: Der Nutzer trägt seine E-Mail ein, bekommt eine Bestätigungsmail und muss einen Link anklicken. Genau dieser Umweg ist eine bekannte Abbruchstelle. EVP verlegt den Nachweis in den Browser und spielt drei Parteien zusammen: den Verifier (Ihre Website), den E-Mail-Anbieter (etwa gmail.com) und den Issuer, der das Konto verwaltet (etwa accounts.google.com).

Der Ablauf ist schlank: Der Nutzer wählt seine Adresse aus dem Autofill des Browsers; der Browser liest den DNS-Eintrag _email-verification der E-Mail-Domain aus und prüft beim Issuer, ob eine aktive Sitzung besteht. Bestätigt der Issuer, stellt er ein Email Verification Token (EVT) aus. Der Browser bindet dieses Token an die konkrete Website-Herkunft und eine Formular-Nonce (technisch ein schlüsselgebundenes SD-JWT+KB) und übergibt es beim Absenden des Formulars an den Verifier, der es in mehreren Schritten validiert. Datenschutzseitig bemerkenswert: Der Issuer erfährt dabei nicht, auf welcher Website die Anfrage entsteht, und es werden keine zusätzlichen Nutzerdaten preisgegeben.

Wer die Sicherheit von EVP beurteilen will, schaut auf das Token-Format. Der Aussteller übergibt das Email Verification Token nicht als simple Zeichenkette, sondern als schlüsselgebundenes SD-JWT+KB (Selective Disclosure JSON Web Token with Key Binding). Das ist die Kombination aus zwei signierten Teilen, in der Übertragung durch eine Tilde (~) getrennt: dem eigentlichen EVT, das der Aussteller signiert, und einem Key-Binding-JWT, das der Browser signiert.

Das vom Aussteller signierte EVT trägt die Kernaussagen (Claims): email_verified: true, den Aussteller in iss (etwa https://accounts.google.com), die Adresse in email sowie in cnf (Confirmation) den öffentlichen Teil eines temporären Browser-Schlüssels als JWK. Das vom Browser signierte Key-Binding-JWT bindet diese Bestätigung an genau diese Transaktion: aud hält die Website-Herkunft fest (etwa https://example.com), nonce die Formular-Nonce und sd_hash den Prüfwert für die selektive Offenlegung.

Zwei Mechanismen machen den Unterschied. Erstens die selektive Offenlegung (Selective Disclosure): Der email-Claim lässt sich verbergen und stattdessen als Hash übertragen; der Verifier bildet denselben Hash für die erwartete Adresse und gleicht ab, ohne dass die Adresse zwingend im Klartext durch die Kette wandert. Zweitens die Schlüsselbindung (Key Binding): Der Browser erzeugt pro Transaktion einen kurzlebigen Schlüssel, signiert damit das Key-Binding-JWT und legt den zugehörigen öffentlichen Schlüssel in den cnf-Claim des EVT. Weil das Token so an aud (die Herkunft) und nonce (die konkrete Formularsitzung) gebunden ist, lässt es sich nicht auf einer anderen Website oder in einer anderen Sitzung wiederverwenden; genau das unterbindet Replay- und Weiterleitungsangriffe.

Entsprechend prüft der Verifier in fünf Schritten: das Token am Tilde-Zeichen trennen und decodieren; die erwarteten Werte abgleichen (email_verified ist true, dazu passen email, nonce, aud und der Zeitstempel iat); die Schlüsselbindung validieren, indem er den Schlüssel aus dem cnf-Claim zieht und damit das Key-Binding-JWT sowie den sd_hash überprüft; den DNS-Eintrag _email-verification der E-Mail-Domain bestätigen (etwa _email-verification.gmail.com); und zuletzt die Aussteller-Signatur des EVT gegen die öffentlichen Schlüssel (JWKs) verifizieren, die der Aussteller über seinen Endpunkt /.well-known/email-verification bereitstellt.

Wichtig für die Einordnung: EVP ist als progressive Verbesserung angelegt. Klappt die Prüfung nicht, fällt der Prozess sauber auf die klassische Bestätigungsmail zurück. Das Verfahren steht ab Chrome 150 zur Verfügung, ist ein offener, vorgeschlagener Standard, den jeder E-Mail-Anbieter implementieren kann, und Gmail nimmt bereits als Anbieter am Origin Trial teil (jede @gmail.com-Adresse lässt sich ohne Zusatzkonfiguration testen). Teilnehmende Websites müssen sich registrieren und ein Origin-Trial-Token auf der Seite mit dem E-Mail-Formular einbinden.

Weniger Reibung im Funnel: der reale Nutzen

Der Vorteil ist konkret und leicht zu benennen: Jeder zusätzliche Schritt zwischen Eingabe und Bestätigung kostet Anmeldungen. Wer den Wechsel ins Postfach und den Klick auf den Bestätigungslink einspart, senkt die Abbruchrate an einer messbaren Stelle. Für Account-Anlagen, Konto-Logins und schlanke Anmeldeprozesse ist das ein echter Gewinn hin zur Konversion. So weit, so gut. Nur: Reibung senken und Recht wahren sind zwei verschiedene Aufgaben, und genau hier trennt sich Substanz von Schlagzeile.

Der entscheidende Unterschied: Besitz ist nicht Einwilligung

EVP bestätigt eines, und nur eines: dass die Person eine aktive Sitzung beim E-Mail-Anbieter hat, also den Besitz der Adresse. Die Chrome-Dokumentation formuliert das im Abschnitt „Überlegungen zu Anwendungsfällen“ wörtlich: „Bei der E-Mail-Bestätigung wird geprüft, ob der Nutzer eine aktive Sitzung beim Anbieter seiner E-Mail-Adresse hat.“ Ebenso klar benennt sie die Grenze: „Es wird nicht überprüft, ob Ihre E-Mail den Nutzer erreicht hat.“ Eine Einwilligung in Werbung berührt das Protokoll dagegen an keiner Stelle; das Dokument trifft zum Thema Einwilligung schlicht keine Aussage, weil Consent nicht Gegenstand von EVP ist. Für werbliche Kommunikation folgt daraus (das ist unsere rechtliche Einordnung, kein Zitat von Google): Der Einwilligungsnachweis muss unverändert und getrennt davon bestehen bleiben.

Damit zeigt sich, warum die Gleichung „EVP ersetzt das Double-Opt-in“ zu kurz greift. Im deutschen Kontext ist das Double-Opt-in nämlich kein bloßer technischer Verifikationsschritt, sondern der dokumentierte Nachweis der Einwilligung: die Rechenschaftspflicht nach Art. 5 Absatz 2 und Art. 7 DSGVO, verbunden mit den Anforderungen an die Werbeeinwilligung nach § 7 UWG. Was zählt, ist der belastbare Nachweis, wer wann welchem Einwilligungstext zugestimmt hat. Ein per EVP bestätigter Adressbesitz liefert diesen Nachweis nicht. Wer EVP als Freifahrtschein für werbliche Kommunikation ohne dokumentierte Einwilligung liest, verwechselt zwei Ebenen: die Verifikation des Adressbesitzes und die Legitimation der Kommunikation.

Unser evidenzbasiertes Fazit lautet deshalb: EVP ist ein wertvolles Werkzeug gegen Funnel-Reibung, aber kein Ersatz für den Einwilligungsnachweis im werblichen E-Mail-Marketing. Für rein transaktionale Adressbestätigung (Konto anlegen, Passwort zurücksetzen) kann es den Bestätigungsschritt vereinfachen; für den Aufbau werblicher Verteiler bleibt das protokollierte Double-Opt-in (mit Zeitstempel, Einwilligungstext und technischem Nachweis) der sichere Weg. Das ist keine Rechtsberatung im Einzelfall; die konkrete Ausgestaltung gehört mit Ihrer Rechtsabteilung oder einem Fachanwalt abgestimmt. Auch ist hier im weiteren Vorgehen bzw. Ausgestaltung sicherlich noch Bewegung zu sehen.

Warum wir das so für uns einordnen können

Wir begleiten E-Mail-Marketing seit einer Zeit, in der HTML-Mails als technische Innovation galten und Spam-Filter noch mit Dosenfleisch assoziiert wurden. Von der Einführung der Personalisierung über die Evolution zur Trigger-basierten Automation bis zu Zustellbarkeit, DSGVO und der Authentifizierung per SPF, DKIM und DMARC haben wir jede Phase operativ durchgearbeitet. Aus dieser Erfahrung heraus unterscheiden wir zuverlässig zwischen taktischer Anpassung und fundamentaler Verschiebung. EVP ist eine relevante Verbesserung an der Benutzerführung, kein Systemwechsel im Einwilligungsrecht. Diese Trennschärfe ist der Unterschied zwischen Signal und Rauschen.

Was Sie jetzt tun sollten

Behalten Sie Ihr Double-Opt-in mit sauberer Protokollierung als rechtlichen Nachweis; daran ändert EVP nichts. Beobachten Sie EVP als progressive Verbesserung für Konto- und Anmeldestrecken, in denen es um Adressbesitz geht, und prüfen Sie die technischen Voraussetzungen früh (DNS-Eintrag _email-verification, Registrierung für den Origin Trial und das Token im Formular). Die saubere Umsetzung auf Ihrer Plattform verantworten wir als WordPress-Agentur in München; die Verzahnung von Formular, Lead-Verarbeitung und CRM ordnen wir in die digitale Prozessoptimierung ein, damit aus einer bestätigten Adresse ein sauber weiterverarbeiteter Lead wird. Wie wir Opt-in-Strategie, Automation und Zustellbarkeit insgesamt aufsetzen, lesen Sie bei unserer E-Mail-Marketing-Agentur. Und warum wir jeden Kanal in eine Gesamtstrategie einordnen statt in Silos zu denken, zeigen wir als Onlinemarketing-Agentur in München.

Häufige Fragen zum Email Verification Protocol (EVP)

Ersetzt EVP das Double-Opt-in?

Nein. EVP bestätigt den Besitz einer E-Mail-Adresse, dokumentiert aber keine Einwilligung in Werbung. Im deutschen Recht dient das Double-Opt-in als Nachweis der Einwilligung (Art. 5 und Art. 7 DSGVO, § 7 UWG). Diesen Nachweis liefert EVP nicht, deshalb bleibt das protokollierte Double-Opt-in für werbliche Verteiler maßgeblich.

Ab wann und wo ist EVP verfügbar?

EVP steht als Origin Trial ab Chrome 150 zur Verfügung; der Test wurde am 8. Juli 2026 gestartet. Es ist ein offener, vorgeschlagener Standard, den jeder E-Mail-Anbieter implementieren kann. Gmail nimmt bereits als Anbieter am Origin Trial teil.

Wie funktioniert EVP technisch?

Der Browser liest den DNS-Eintrag _email-verification der E-Mail-Domain, prüft beim Issuer eine aktive Sitzung und erhält ein Email Verification Token. Dieses Token wird an Website-Herkunft und Formular gebunden und beim Absenden an die Website übergeben, die es gegen DNS-Eintrag und Issuer-Signatur validiert. Es wird keine Bestätigungsmail versendet.

Muss ich als Website-Betreiber jetzt handeln?

Für werbliches E-Mail-Marketing besteht kein akuter Handlungsdruck, weil Ihr Einwilligungsnachweis unverändert nötig bleibt. Sinnvoll ist, EVP für transaktionale Anmeldestrecken zu evaluieren und die technischen Voraussetzungen (DNS, Origin-Trial-Token) vorzubereiten, um die Reibung im Funnel zu senken, spätestens wenn sich der Standard verbreitet.

Ralf Zmölnig

CEO ROCKITdigital GmbH

CEO & Vollblut-Digitalmarketingstratege, strategisch und Performanceorientiert bei ROCKITdigital GmbH

Seit 11/2000 rockt das Team von ROCKITdigital und Ralf Zmölnig das (digitale) Marketing