SPF-Eintrag für sichere E-Mails

Manche E-Mails landen zielsicher im Spam, obwohl Inhalt und Absender seriös sind. Die Ursache liegt häufig nicht im Text, sondern im DNS: Fehlt der SPF-Eintrag oder ist er fehlerhaft, stufen empfangende Mailserver die Nachricht als nicht vertrauenswürdig ein. Dieser Fachartikel erklärt, wie das Sender Policy Framework funktioniert, wie Sie den Eintrag korrekt aufbauen, welche Stolperfallen laut RFC 7208 drohen und mit welchen kostenlosen Tools Sie Ihre Konfiguration prüfen.

Was ist ein SPF-Eintrag?

Das Sender Policy Framework (SPF) ist ein Verfahren zur E-Mail-Authentifizierung, standardisiert in RFC 7208. Der SPF-Eintrag ist ein TXT-Eintrag im DNS Ihrer Domain, der festlegt, welche Mailserver E-Mails im Namen dieser Domain versenden dürfen. Empfangende Server fragen den Eintrag bei jeder eingehenden E-Mail ab und gleichen die IP-Adresse des einliefernden Servers mit der Liste ab. Stimmt sie überein, gilt der Absender als autorisiert. Stimmt sie nicht überein, greift die von Ihnen veröffentlichte Richtlinie, zum Beispiel Ablehnung oder Spam-Markierung.

Für Unternehmen ist das aus zwei Gründen wichtig: Ein korrekter SPF-Eintrag schützt vor Spoofing und Phishing, weil Kriminelle Ihre Domain nicht mehr glaubwürdig als Absender fälschen können. Und er verbessert die Zustellbarkeit, weil große Provider wie Google und Microsoft E-Mails ohne gültige Authentifizierung zunehmend ablehnen oder in den Spam-Ordner sortieren. Besonders beim Versand von Newslettern, Angeboten und Rechnungen entscheidet der Eintrag darüber, ob Ihre Nachricht gelesen wird.

Aufbau: So liest sich ein SPF-Eintrag

Ein Beispiel für einen SPF-Eintrag, der einen eigenen Server und zwei externe Dienste zum Mailversand autorisiert:

v=spf1 ip4:XXX.X.XXX.XX/XX include:mail.zendesk.com include:_spf.google.com -all

Die Bestandteile im Einzelnen:

• v=spf1 ist die Version des Protokolls und steht immer am Anfang.
• ip4:XXX.X.XXX.XX/XX autorisiert die IP-Adresse beziehungsweise den Adressbereich Ihres eigenen Mailservers. Für IPv6-Adressen gibt es analog ip6:.
• include:mail.zendesk.com include:_spf.google.com bindet die SPF-Richtlinien der Dienste ein, die Sie zum Versenden von E-Mails verwenden. Der Mechanismus heißt laut RFC 7208 include. Ein „exclude“ existiert in SPF nicht und würde beim Empfänger einen Auswertungsfehler (permerror) auslösen.
• -all bezeichnet die veröffentlichte Richtlinie für alle nicht gelisteten Server: -all (Fail) weist sie hart ab, ~all (SoftFail) markiert sie als verdächtig, ?all trifft keine Aussage. Für produktive Domains empfiehlt sich -all, sobald alle Versanddienste erfasst sind.

Daneben kennt SPF die Mechanismen a (autorisiert die Server hinter dem A-Eintrag der Domain) und mx (autorisiert die Mailserver aus den MX-Einträgen). Beide kosten, wie jedes include, eine DNS-Abfrage bei der Auswertung.

SPF-Eintrag anlegen: Schritt für Schritt

1. Versanddienste inventarisieren. Notieren Sie jeden Dienst, der E-Mails mit Ihrer Domain als Absender verschickt: eigener Mailserver, Newsletter-Tool, Ticketsystem, Shop, CRM, Transaktionsmail-Dienst. Jeder fehlende Dienst fällt nach Veröffentlichung der Richtlinie beim Empfänger durch.
2. Eintrag zusammenstellen. Beginnen Sie mit v=spf1, ergänzen Sie die IP-Adressen des eigenen Servers und die include-Angaben der Dienste. Welche Domain ein Dienst für sein include vorgibt, steht in dessen Dokumentation.
3. Im DNS veröffentlichen. Legen Sie den Eintrag als TXT-Record auf der Hauptdomain an (Host meist @). Bei CMS-ADMINS-Hosting übernehmen wir das auf Wunsch im Rahmen der Wartung.
4. Prüfen und nachschärfen. Kontrollieren Sie den veröffentlichten Eintrag mit einem Prüf-Tool (siehe unten), beobachten Sie einige Tage die Zustellung und ziehen Sie die Richtlinie dann auf -all fest.

Die vier häufigsten Stolperfallen

1. Erfundene oder vertippte Mechanismen. SPF kennt nur die in RFC 7208 definierten Mechanismen (ip4, ip6, a, mx, include, exists, all). Jeder unbekannte Begriff, etwa ein „exclude“, führt zum permerror, und die betroffenen E-Mails gelten als nicht autorisiert.
2. Mehr als ein SPF-Eintrag pro Domain. Zulässig ist genau einer. Finden empfangende Server mehrere TXT-Einträge, die mit v=spf1 beginnen, ist das Ergebnis ebenfalls ein permerror. Neue Dienste werden in den bestehenden Eintrag aufgenommen, nicht als zweiter Eintrag angelegt.
3. Die 10-Lookup-Grenze. SPF erlaubt maximal 10 DNS-Abfragen pro Prüfung. Jedes include, a, mx und redirect zählt mit, auch verschachtelte includes innerhalb eingebundener Dienste. Wer viele Dienste nutzt, überschreitet die Grenze schneller als gedacht und produziert einen permerror.
4. Zeichen- und Formatgrenzen. Ein TXT-String fasst maximal 255 Zeichen; längere Einträge werden auf mehrere Strings innerhalb desselben Records aufgeteilt. Tippfehler in der Syntax verhindern die Auswertung komplett.

Was ist eigentlich … Spoofing & Phishing?

Beim Spoofing erstellen Angreifer E-Mails mit gefälschten Absenderadressen. Sie verändern die Kopfzeilen so, dass die Nachricht wirkt, als käme sie von der missbräuchlich verwendeten Domain. Möglich ist das vor allem dann, wenn die Domain keine Authentifizierung per SPF, DKIM und DMARC veröffentlicht.

Daran schließt sich in der Regel das Phishing an: Über die maskierten E-Mails werden Empfänger nach Zugangsdaten, Kreditkarten- und Kontodaten gefragt. Mit den erbeuteten Informationen räumen Kriminelle Konten leer oder begehen Identitätsdiebstahl. Ein harter SPF-Eintrag entzieht dieser Masche die Grundlage, weil die gefälschten E-Mails beim Empfänger durchfallen.

SPF allein reicht nicht: DKIM und DMARC gehören dazu

SPF prüft nur den einliefernden Server, nicht den Inhalt der Nachricht, und es bricht bei klassischen Weiterleitungen. Deshalb gehört zu einer vollständigen Absender-Authentifizierung immer das Trio:

• DKIM (DomainKeys Identified Mail) signiert jede E-Mail kryptografisch. Der Empfänger prüft die Signatur gegen den öffentlichen Schlüssel im DNS und erkennt so Manipulationen am Inhalt.
• DMARC (Domain-based Message Authentication, Reporting & Conformance) verknüpft SPF und DKIM mit der sichtbaren Absenderadresse, legt fest, was mit durchgefallenen E-Mails geschieht, und liefert Reports über Missbrauchsversuche.

Erst DMARC macht aus SPF und DKIM eine durchsetzbare Richtlinie. Üblich ist ein Stufenplan von p=none (nur beobachten) über p=quarantine bis p=reject.

SPF, DKIM und DMARC prüfen und erzeugen: kostenlose Tools

Damit Sie den Eintrag nicht von Hand tippen müssen (und Tippfehler wie ein versehentliches „exclude“ gar nicht erst entstehen), empfehlen wir die kostenlosen E-Mail-Tools von ReportedIP. Alle laufen ohne Anmeldung direkt im Browser:

• Email Security Check prüft die sieben Einträge, die über Zustellung und Verschlüsselung entscheiden (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI), und verlinkt bei jedem Befund direkt den passenden Generator.
• Der SPF-Generator baut den SPF-Eintrag aus den Diensten zusammen, die Ihre E-Mails versenden, lädt einen bereits veröffentlichten Eintrag und führt beide zusammen. Er zählt dabei die echten DNS-Abfragen jedes include mit, so bleiben Sie unter der 10-Lookup-Grenze aus RFC 7208.
• Der DMARC-Generator erstellt eine DMARC-Richtlinie inklusive eines datierten Stufenplans von p=none bis p=reject.
• Der DKIM-Generator erzeugt das Schlüsselpaar direkt im Browser und liefert den DNS-Eintrag im Format Ihres DNS-Panels; nach der Veröffentlichung prüft das Tool den Schlüssel.
• Der DNSBL-Blacklist-Check prüft, ob Ihr Mailserver auf einer Blacklist steht; häufig die Ursache, wenn trotz korrektem SPF E-Mails abgewiesen werden.

ReportedIP stammt wie CMS ADMINS aus München, die Tools sind DSGVO-konform und nutzen dieselben Daten wie die ReportedIP-API.

Häufige Fragen zum SPF-Eintrag

Wo trage ich den SPF-Eintrag ein?

Im DNS Ihrer Domain, also beim Hoster oder DNS-Anbieter, als TXT-Record auf der Hauptdomain. Ein eigener Record-Typ „SPF“ ist seit RFC 7208 veraltet; verwenden Sie ausschließlich TXT.

Woran erkenne ich, ob mein SPF-Eintrag fehlerhaft ist?

Typische Symptome sind E-Mails, die bei Empfängern im Spam landen oder abgewiesen werden, sowie der Auswertungsstatus permerror in den Kopfzeilen empfangener Testmails (Abschnitt „Authentication-Results“). Ein Prüf-Tool wie der Email Security Check zeigt die Ursache konkret an.

Was passiert, wenn ich einen Versanddienst vergesse?

Dessen E-Mails fallen bei der SPF-Prüfung durch. Bei der Richtlinie -all werden sie häufig abgewiesen, bei ~all als verdächtig markiert. Nehmen Sie den Dienst per include in den bestehenden Eintrag auf.

Reicht ein SPF-Eintrag für gute Zustellbarkeit?

Nein. Große Provider erwarten inzwischen SPF und DKIM, verbunden über eine DMARC-Richtlinie. Erst das Trio schützt zuverlässig vor Spoofing und sichert die Zustellung.

Wie viele include-Angaben darf mein Eintrag enthalten?

Formal so viele, wie in die Zeichengrenzen passen. Praktisch limitiert die 10-Lookup-Grenze: Jedes include kostet mindestens eine DNS-Abfrage, verschachtelte includes der eingebundenen Dienste zählen mit. Ein Generator mit Lookup-Zähler schützt vor dem Überschreiten.

Quellen

• RFC 7208: Sender Policy Framework (SPF) for Authorizing Use of Domains in Email
• RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures

Weiterführende Beiträge

• E-Mails von WordPress kommen nicht an? CMS ADMINS hat die Lösung