Grundlagen · SPF

Was ist SPF?

Das Sender Policy Framework ist der digitale Türsteher Ihrer Domain, er entscheidet, welche Server in Ihrem Namen E-Mails versenden dürfen.

Das Problem

Im Standard-E-Mail-Protokoll kann jeder beliebige Server behaupten, er versende Mails für ihre-firma.at. Empfänger haben ohne Zusatzinformation keine Möglichkeit zu prüfen, ob die Absenderadresse echt ist. Das ist die Grundlage von Phishing und CEO-Fraud.

Wie SPF funktioniert

SPF löst das Problem per DNS-Eintrag und ist in RFC 7208 standardisiert. In einem TXT-Record veröffentlichen Sie eine Liste der Server, die für Ihre Domain senden dürfen. Der empfangende Mailserver fragt diese Liste ab und vergleicht sie mit der IP-Adresse, von der die E-Mail gerade kommt.

Google verlangt seit Februar 2024 für alle Absender an Gmail mindestens SPF oder DKIM, für Bulk-Sender beides (Google-Absender-Richtlinien).

Absender mail.firma.at IP 192.0.2.10 Empfänger-Server prüft SPF DNS TXT Record 1. E-Mail 2. fragt 3. Liste 4. IP in Liste? → Mail OK. Sonst → Reject.
SPF-Check in 4 Schritten

Beispiel-Record

So sieht ein typischer SPF-Eintrag im DNS aus, hier für eine Domain, die Google Workspace und Mailgun nutzt:

; TXT-Record für @ (Root-Domain)
"v=spf1 include:_spf.google.com include:mailgun.org ~all"

Die wichtigen Bestandteile:

Die vier Policy-Endungen

EndungBedeutungEmpfehlung
-allHard-Fail, alles außerhalb der Liste wird abgelehnt.Ideal
~allSoft-Fail, verdächtig, aber nicht blockiert.Gut
?allNeutral, keine Aussage.Schwach
+allAlles erlaubt.Nie
Wichtig: SPF allein schützt nicht vollständig. Ein Angreifer kann die sichtbare From-Adresse fälschen, ohne dass SPF es merkt. Erst die Kombination mit DKIM und DMARC schließt diese Lücke.

Die häufigsten Stolperfallen

Häufige Fragen

Was ist das DNS-Lookup-Limit?

SPF erlaubt maximal 10 DNS-Lookups pro Auswertung. Jeder include:, a:, mx:, exists: und ptr: zählt mit. Wird das Limit überschritten, antwortet der prüfende Server mit PermError und SPF gilt als nicht bestanden.

Was ist der Unterschied zwischen -all und ~all?

-all (Hardfail) weist Mailserver an, nicht-passende Mails abzulehnen. ~all (Softfail) lässt sie zu, markiert sie aber als verdächtig. Für Production-Domains mit aktivem DMARC ist -all die richtige Wahl.

Kann ich mehrere SPF-Records auf einer Domain haben?

Nein. Mehrere TXT-Records mit v=spf1 auf demselben Host führen zu PermError. Konsolidieren Sie alle Mechanismen in einem einzigen Record.

Brauche ich SPF, wenn ich DMARC nutze?

Ja. DMARC baut auf SPF und/oder DKIM auf. Ohne mindestens einen der beiden bestanden plus aligned scheitert DMARC, selbst wenn die anderen Komponenten korrekt sind.

Wie teste ich SPF-Änderungen risikofrei?

Setzen Sie zuerst eine niedrige TTL (300 Sekunden), prüfen Sie mit dem Mailantis SelfCheck und beobachten Sie DMARC-Aggregate-Reports einige Tage. Erst dann TTL wieder erhöhen.

Das Wichtigste in Kürze

  • SPF veröffentlicht per DNS-TXT-Record, welche Server für Ihre Domain senden dürfen; der Empfänger prüft die Absender-IP dagegen.
  • Ein SPF-Record erlaubt maximal 10 DNS-Lookups, und pro Domain darf es nur einen v=spf1-Record geben.
  • Die Endung -all lehnt fremde Server ab, ~all markiert sie nur; SPF ist in RFC 7208 standardisiert.
  • SPF allein reicht nicht: erst mit DKIM und DMARC ist die From-Adresse abgesichert. Google verlangt seit Februar 2024 mindestens SPF oder DKIM.