SPF-Record erstellen: Anleitung, Syntax und Beispiele

Ein SPF-Record legt fest, welche Server E-Mails im Namen Ihrer Domain versenden dürfen – und ist damit die Grundlage für E-Mail-Authentifizierung und einen funktionierenden DMARC-Schutz. Wir erklären Ihnen, wie ein SPF-Record aufgebaut wird und wie Sie ihn Schritt-für-Schritt korrekt anlegen – inklusive der häufigsten Stolperfalle, dem 10-Lookup-Limit.

Beratungstermin vereinbaren

Inhalte

Was ist ein SPF-Record?

SPF (Sender Policy Framework) ist ein Standard zur E-Mail-Authentifizierung, mit dem Sie festlegen, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. Der SPF-Record ist ein TXT-Eintrag im DNS Ihrer Domain. Empfängt ein Mailserver eine Nachricht, prüft er anhand dieses Eintrags, ob der sendende Server autorisiert ist. So wird das Fälschen des Absenders erschwert. SPF ist in RFC 7208 beschrieben.

Wichtig: SPF prüft die technische Absenderadresse des Servers (Return-Path), nicht die für den Empfänger sichtbare Absender-Domain. Erst DMARC verlangt, dass beides zusammenpasst (Ausrichtung/Alignment).

Wie ist ein SPF-Record aufgebaut?

Ein SPF-Record beginnt immer mit

v=spf1

, listet dann die erlaubten Quellen (Mechanismen) auf und endet mit einer

all

-Regel. Beispiel:

				
					ihredomain.de.  IN  TXT  "v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all"

Die wichtigsten Mechanismen:

Mechanismus

ip4:

ip6:

mx

include:

all

Bedeutung

Eine erlaubte IP-Adresse bzw. ein Adressbereich

Der A-Record der Domain darf senden

Die MX-Server der Domain dürfen senden

Die erlaubten Server eines anderen Anbieters übernehmen (z. B. für Google Workspace, Microsoft 365)

Abschluss-Regel für alle übrigen Server

Die all-Regel steht mit einem Qualifier davor und bestimmt, was mit nicht gelisteten Servern passiert:

Qualifier

-all

~all

?all

+all

Wirkung

Hard Fail – nicht gelistete Server werden abgelehnt (strengste Variante)

Soft Fail – durchlassen, aber als verdächtig markieren (üblicher Einstieg)

Neutral – keine Aussage (nicht empfohlen)

Alle erlaubt – niemals verwenden (hebt den Schutz auf)

SPF-Record erstellen – Schritt für Schritt

Sendende Dienste sammeln. Listen Sie alle Systeme, die über Ihre Domain senden (Mailserver, Microsoft 365/Google Workspace, Marketing-/CRM-Tools, ERP, Ticketing usw.). Der DMARC-Report hilft, Vergessene aufzudecken. In diesem Artikel erklären wir, wie Sie einen DMARC-Report verstehen.
Mechanismen zusammenstellen. Für jeden Dienst den vom Anbieter genannten
```
include:
```
-Wert oder Sie nehmen die IP-Adressen auf.
Einen einzigen SPF-Record bilden. Pro Domain ist nur ein SPF-Record erlaubt, alle Quellen müssen in einen Eintrag.
Mit
```
~all
```
starten, später zu
```
-all
```
umstellen. Beginnen Sie mit Soft Fail, prüfen Sie die Auswirkungen und stellen Sie dann auf Hard Fail um.
Veröffentlichen und prüfen. Als TXT-Eintrag im DNS anlegen und testen.

Wichtig: das 10-Lookup-Limit

Ein SPF-Record darf bei der Auswertung maximal 10 DNS-Abfragen auslösen (jeder

include:

mx

exists

redirect

zählt). Wird das überschritten, ist der SPF-Record ungültig (PermError) und legitime Mails können scheitern. Bei vielen Diensten hilft eine Konsolidierung („SPF-Flattening“) oder Sie fassen Anbieter zusammen.

Häufige Fehler

Mehr als ein SPF-Record je Domain führt zu Fehlern. Sie müssen alles in einen Eintrag zusammenführen.
10-Lookup-Limit überschritten bedeutet, dass zu viele
```
include:
```
verwendet wurden.
Wenn
```
+all
```
verwendet wurde, ist es jedem erlaubt über die Domain zu senden und es hebt SPF aus.
Dienste vergessen: Sie haben legitime Sender vergessen und scheitern deshalb nach der Verschärfung.
Nur auf SPF verlassen. Wenn Sie DKIM und DMARC nicht konfigurieren, haben Sie keinen vollständigen Schutz, dann brechen Weiterleitungen SPF.

SPF, DKIM und DMARC im Zusammenspiel

SPF ist einer von drei Bausteinen. DKIM signiert Ihre E-Mails, DMARC verbindet beides zu einer durchsetzbaren Richtlinie und liefert Reports. Die Unterschiede erklärt SPF vs. DKIM vs. DMARC.

Häufige Fragen (FAQ)

Was ist ein SPF-Record?

Ein TXT-Eintrag im DNS Ihrer Domain, der festlegt, welche Server E-Mails in Ihrem Namen versenden dürfen. Empfänger prüfen darüber, ob der sendende Server autorisiert ist.