SPF-Eintrag einrichten und prüfen: Aufbau, Beispiele, typische Fehler

Was SPF prüft

Wenn ein Mailserver eine Nachricht annimmt, kennt er die IP-Adresse des Servers, der sie gerade einliefert. Mit SPF (Sender Policy Framework, RFC 7208) fragt er im DNS nach, ob diese IP für die Absenderdomain senden darf. Steht sie im Eintrag, ist das Ergebnis pass. Sonst je nach Eintrag fail, softfail oder neutral.

Ein Detail sorgt immer wieder für Verwirrung. SPF schaut auf die Adresse im Umschlag der Mail, also auf MAIL FROM bzw. den späteren Return-Path (bei Bounces ohne diese Adresse auf den HELO-Namen des Servers). Die Absenderadresse, die Dein Empfänger im Postfach sieht, prüft SPF gar nicht. Newsletter-Dienste verschicken deshalb gern mit ihrer eigenen Umschlagdomain, und SPF ist trotzdem grün. Ob die beiden Domains zusammenpassen, klärt erst DMARC.

So sieht ein SPF-Eintrag aus

Der Eintrag ist ein TXT-Record direkt auf der Domain. Für ein Unternehmen mit Microsoft 365 und einem eigenen Server für Scan-to-Mail könnte er so aussehen:

beispiel.de.  TXT  "v=spf1 ip4:203.0.113.25 include:spf.protection.outlook.com -all"

Gelesen wird von links nach rechts, der erste Treffer entscheidet:

Teil	Bedeutung
v=spf1	Kennung, muss ganz vorn stehen
ip4: / ip6:	einzelne Adressen oder Netze, z. B. ip4:203.0.113.0/24
a / mx	die IPv4- und IPv6-Adressen der Domain (A/AAAA) bzw. ihrer MX-Server
include:	übernimmt den SPF-Eintrag eines Dienstleisters
-all	alle übrigen Server: fail

Vor jedem Mechanismus kann ein Qualifier stehen. + ist der Standard und heißt erlaubt, - heißt abweisen, ~ heißt verdächtig (softfail), ? heißt neutral. Für Google Workspace lautet das Include übrigens include:_spf.google.com.

-all oder ~all?

Das Ende des Eintrags sagt dem Empfänger, wie er Mails von nicht aufgeführten Servern behandeln soll. -all ist die klare Ansage, ~all lässt Spielraum. In der Einführungsphase ist ~all vernünftig: Vielleicht verschickt irgendwo noch ein Kopierer oder eine alte Branchensoftware Mails in Deinem Namen, ohne dass Du davon weißt. Sind alle Versender erfasst und greift DMARC, gehört -all ans Ende.

Gar nicht geht +all. Damit darf jeder Server der Welt für Deine Domain senden, und Du hättest Dir den Eintrag sparen können.

Die häufigsten Fehler

Zwei SPF-Einträge. Pro Domain darf es genau einen TXT-Record mit v=spf1 geben. Legt ein Dienstleister einfach einen zweiten an, ist SPF für die ganze Domain ungültig (permerror). Die Includes gehören zusammen in einen Eintrag.

Mehr als 10 DNS-Abfragen. Jedes include, a, mx, ptr, exists und redirect kostet eine Abfrage, und die Includes der Dienstleister bringen eigene mit. Über 10 bricht die Prüfung ab, wieder mit permerror. Das passiert schleichend. Irgendwann kommt das CRM dazu, dann das Ticketsystem, und eines Tages erweitert ein Anbieter seinen eigenen Eintrag. Zusätzlich dürfen höchstens zwei Abfragen ins Leere laufen.

Vergessene Versender. Was nicht im Eintrag steht, landet beim Empfänger im Spam oder wird abgewiesen. Das betrifft den Rechnungsversand aus der Warenwirtschaft genauso wie das Kontaktformular der Website.

Veraltetes ptr. Der Mechanismus ist langsam, unzuverlässig und laut RFC 7208 nicht mehr zu verwenden. Ersetze ihn durch ip4/ip6 oder ein Include.

Subdomains vergessen. SPF wird nicht vererbt. Wer von news.beispiel.de aus verschickt, braucht dort einen eigenen Eintrag. Domains, die nie Mails senden, bekommen v=spf1 -all; das nimmt Spammern eine bequeme Absenderadresse weg.

Wo SPF an seine Grenzen kommt

Leitet ein Empfänger Deine Mail automatisch weiter, liefert ab dann sein Server ein. Dessen IP steht nicht in Deinem Eintrag, SPF schlägt fehl. Eine gültige DKIM-Signatur übersteht die Weiterleitung dagegen meist. DMARC lässt deshalb auch DKIM als Nachweis gelten. Richte beides ein.

SPF prüfen

Ein Blick in den DNS zeigt Dir den Eintrag, mehr nicht. Ob er Deine tatsächlichen Versender abdeckt, zeigt erst eine echte Mail. Schick eine Testmail an ZwoMailCheck. Das Ergebnis zeigt, von welcher IP sie kam, ob SPF für genau diesen Server pass ergibt, wie viele der 10 Abfragen verbraucht sind und ob die Umschlagdomain zu Deinem Absender passt.