SPF: wer darf im Namen Ihrer Domain E-Mails versenden?

Modul 4: Einträge für E-Mail · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie ein SPF-Record lesen, einen Dienst korrekt hinzufügen und die drei bekanntesten SPF-Fehler vermeiden: zwei Einträge, +all und mehr als zehn Abfragen.

Kernbegriffe: SPF, v=spf1, Mechanismus (a, mx, ip4, ip6, include), Qualifikator (+ - ~ ?), all, ein einziges SPF-Record, Limit von 10 DNS-Abfragen, Envelope-Absender (Return-Path)

Das Problem: Jeder kann Ihren Namen verwenden

E-Mail wurde in den achtziger Jahren für ein kleines, freundliches Internet erfunden. Jeder Mailserver kann eine Mail mit dem Absender info@example.com versenden, auch wenn dieser Server überhaupt nichts mit example.com zu tun hat. Betrüger nutzen das dankbar aus.

SPF (Sender Policy Framework, RFC 7208) ist ein erster Schritt, um das zu verhindern. In einem SPF-Record legen Sie fest, welche Server im Namen Ihrer Domain E-Mails versenden dürfen. Ein empfangender Mailserver prüft bei jeder eingehenden Mail: Kommt diese Mail von einem Server, der auf der Liste steht?

Stellen Sie es sich wie eine Gästeliste an einer Tür vor. Der Türsteher (der empfangende Mailserver) fragt die Liste bei Ihrer Domain ab und prüft, ob der Besucher (der versendende Server) darauf steht.

Wie sieht ein SPF-Record aus?

Ein SPF-Record ist ein TXT-Eintrag bei Ihrer Domain, der mit v=spf1 beginnt:

example.com.  3600  IN  TXT  "v=spf1 mx ip4:192.0.2.25 include:spf.mailer.example ~all"

Sie lesen ihn von links nach rechts. Der Empfänger geht die Bestandteile nacheinander durch und stoppt beim ersten, der passt.

Das Ende: ~all, -all, ?all oder +all

Vor jedem Bestandteil kann ein Zeichen stehen, das angibt, was passiert, wenn es passt. Bei all (das immer passt) macht dieses Zeichen den Unterschied:

Steht kein Zeichen davor, gilt +. mx bedeutet also +mx.

Welches wählen Sie? ~all ist ein sicherer Standard. -all ist strenger und gut geeignet, wenn Sie sicher wissen, dass alle Ihre Versender im Record stehen. Nutzen Sie DMARC (Lektion 4.5), bestimmt letztlich die DMARC-Richtlinie, was passiert; viele Administratoren wählen dann ~all.

Fehler 1: zwei SPF-Records

Pro Domain darf es nur ein SPF-Record geben. Findet der Empfänger zwei, ist das Ergebnis ein Fehler (permerror) und Ihr SPF zählt überhaupt nicht. Das ist schlimmer als gar kein SPF.

Das geht in der Praxis häufig schief. Ein Newsletter-Dienst oder Microsoft 365 sagt „fügen Sie dieses SPF-Record hinzu“, und dann steht plötzlich ein zweites v=spf1-Record neben dem alten. Die Lösung: Fügen Sie den neuen Dienst zum bestehenden Record hinzu.

Falsch:

"v=spf1 mx include:spf.oldhost.example ~all"
"v=spf1 include:spf.protection.outlook.com -all"

Richtig:

"v=spf1 mx include:spf.oldhost.example include:spf.protection.outlook.com ~all"

Achten Sie darauf, beim Zusammenführen nicht die Server zu entfernen, die Sie noch verwenden. Versendet Ihre Website Mails über den Server Ihres Hostingunternehmens, muss dieser enthalten bleiben, auch wenn Ihre normale Mail an Microsoft 365 geht. Ein Hostingpaket hat oft bereits ein Standard-SPF mit einem include des Hostingunternehmens (bei WebOké ist das zum Beispiel include:webawere.nl); lassen Sie es stehen, solange Ihre Website oder Formulare über diesen Server mailen.

Fehler 2: +all oder ein zu grosszügiges Record

+all am Ende, oder ein riesiger Bereich wie ip4:0.0.0.0/0, bedeutet, dass jeder darf. Dann schützt Ihr SPF nichts mehr, und Spamfilter sehen das als schlechtes Zeichen.

Fehler 3: mehr als zehn Abfragen

Um ein SPF-Record zu prüfen, muss der Empfänger manchmal zusätzliche DNS-Abfragen stellen. Jedes include, a, mx, exists, ptr und redirect kostet eine Abfrage, und ein include zählt auch alle Abfragen im Record mit, auf das es verweist. Laut RFC 7208 darf die Gesamtzahl nicht über zehn liegen. Wird diese Grenze überschritten, ist das Ergebnis permerror und SPF schlägt fehl.

ip4 und ip6 kosten keine Abfrage. all ebenfalls nicht.

Ausserdem dürfen höchstens zwei Abfragen „leer“ zurückkommen (ein Name, der nicht existiert oder keine Antwort liefert). Ein include zu einem Dienst, den Sie längst nicht mehr nutzen und der sein Record entfernt hat, kann also ebenfalls Probleme verursachen.

Nutzen Sie viele Dienste, zählen Sie mit einem SPF-Prüftool nach (Lektion 8.3) und entfernen Sie Dienste, die Sie nicht mehr verwenden.

Was SPF nicht tut

SPF prüft den Envelope-Absender: die technische Absenderadresse (Return-Path), die Mailserver untereinander verwenden. Das ist nicht immer dieselbe Adresse wie die „Von:“-Adresse, die Sie in Ihrem Mailprogramm sehen. Ein Newsletter-Dienst versendet häufig mit einem eigenen Return-Path. SPF allein hält also nicht jeden gefälschten Absender auf. Dafür gibt es DKIM (Lektion 4.4) und DMARC (Lektion 4.5).

SPF versagt auch bei Weiterleitungen: Leiten Sie Mail automatisch an eine andere Adresse weiter, kommt die Mail beim Endempfänger von einem Server an, der nicht in Ihrem SPF steht.

Warum es wichtig ist

Grosse Mailanbieter sind strenger geworden. Seit Februar 2024 verlangen Gmail und Yahoo, dass jeder, der Mail versendet, mindestens SPF oder DKIM hat, und dass wer viel Mail versendet (mehr als etwa 5.000 pro Tag) SPF, DKIM und DMARC hat. Microsoft stellt seit Mai 2025 dieselbe Anforderung für Outlook.com, Hotmail und Live.com. Auch wenn Sie wenig Mail versenden, hilft ein gutes SPF-Record gegen den Spamordner.

In der Praxis: So sieht es in einem Panel aus

In diesem Beispiel verwenden wir DirectAdmin. In der DNS-Verwaltung klicken Sie auf den Stift hinter dem TXT-Eintrag, der mit v=spf1 beginnt. DirectAdmin öffnet eine SPF-Hilfe: bei Domain einschliessen geben Sie die Domain des Dienstes ein (ohne include:), bei Modus wählen Sie SoftFail (~all) oder Fehlgeschlagen (-all). Unten sehen Sie das vollständige Record. Mein WebOké verfügt über eine vergleichbare SPF-Hilfe im Tab DNS.

Andere Panels haben nicht immer eine solche Hilfe. Dann bearbeiten Sie den TXT-Eintrag als gewöhnlichen Text; der Inhalt ist genau derselbe.

Zusammenfassung

• SPF ist ein TXT-Eintrag mit v=spf1, der angibt, welche Server im Namen Ihrer Domain mailen dürfen.
• Genau ein SPF-Record pro Domain. Neuer Dienst? Ergänzen Sie das bestehende Record.
• Enden Sie mit ~all oder -all, niemals mit +all.
• Höchstens zehn DNS-Abfragen (include, a, mx, exists, ptr, redirect), ip4/ip6 zählen nicht mit.
• SPF betrachtet den Envelope-Absender; für echten Schutz benötigen Sie auch DKIM und DMARC.

Quiz

Aufgabe

Aufgabe Z4.3: SPF nachschlagen. Suchen Sie das SPF-Record von google.com (oder Ihrer eigenen Domain). Fügen Sie das vollständige Record ein und geben Sie an, womit es endet (~all, -all, ?all oder +all). Bei Ihrer eigenen Domain prüft die Aufgabe auch, ob Sie genau ein SPF-Record haben.

Aufgabe O4.3: Selbst einrichten in Ihrer Übungszone. In der Übungszone verwenden Sie einen fiktiven Dienst; bei Ihrer echten Domain verwenden Sie den echten include, den Ihr Mailanbieter angibt (zum Beispiel include:_spf.google.com). Erstellen Sie in Ihrer Übungszone <code>.dnspractice.eu ein SPF-Record, das Folgendes erlaubt: die MX-Server der Zone (mx), die Adresse 192.0.2.25 und den Übungsdienst _spf.mailsuite-demo.dnspractice.eu. Andere Server sind verdächtig oder nicht erlaubt, das Record endet also auf ~all oder -all.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; in anderen Panels funktioniert es ähnlich.

• DirectAdmin Anleitung 5.7: SPF einrichten und ergänzen
• Wie funktioniert der SPF-Eintrag in der DNS?
• SPF-Eintrag in DirectAdmin hinzufügen oder ändern
• WebOké Anleitung 5.5: DNS-Helfer: MX, SPF, DMARC, CAA und SRV
• RFC 7208 (SPF), insbesondere Abschnitt 4.6.4 (Limit von zehn Abfragen und zwei leeren Abfragen)