SPF-Eintrag erstellen und prüfen – wer darf in Ihrem Namen mailen?

Was SPF macht

Jede E-Mail hat zwei Absenderangaben: die sichtbare im Mailprogramm und die technische im „Umschlag“, die beim Einliefern übermittelt wird (Return-Path oder MAIL FROM). Kommt eine Mail an, fragt der empfangende Server im DNS der Umschlagdomain nach deren SPF-Eintrag und prüft, ob die IP-Adresse des einliefernden Servers darin erlaubt ist.

Das Ergebnis ist eines von sieben:

So ist ein SPF-Eintrag aufgebaut

v=spf1 ip4:203.0.113.10 include:spf.protection.outlook.com ~all

Der Eintrag wird von links nach rechts gelesen, der erste Treffer entscheidet. Hier also: Kommt die Mail von 203.0.113.10, ist sie erlaubt. Kommt sie von einem Server, den Microsoft 365 freigibt, ebenfalls. Für alle übrigen gilt SoftFail.

Vor jedem Mechanismus kann ein Qualifier stehen: + erlauben (Standard, wird meist weggelassen), - ablehnen, ~ als verdächtig markieren, ? keine Aussage. Deshalb bedeuten mx und +mx dasselbe.

Die Grenze von zehn DNS-Abfragen

An dieser Regel scheitern in der Praxis die meisten SPF-Einträge. Laut RFC 7208 darf die Prüfung eines Eintrags insgesamt nicht mehr als zehn Begriffe auswerten, die DNS-Abfragen auslösen – include, a, mx, ptr, exists und redirect. Entscheidend ist die Summe über alle Ebenen: Ein include zählt selbst und bringt alle Abfragen mit, die im eingebundenen Eintrag stehen.

Wer Microsoft 365, einen Newsletter-Dienst, ein CRM, ein Ticketsystem und den Webhoster einträgt, ist schnell darüber. Die Folge ist PermError – und die Mails aller Dienste gelten als nicht authentifiziert. Zusätzlich dürfen höchstens zwei Abfragen ins Leere laufen, etwa weil ein eingebundener Dienst seinen Eintrag gelöscht hat.

So bleibt der Eintrag unter der Grenze:

• Unnötige Einträge streichen. mx und a braucht nur, wer tatsächlich über diese Server versendet. Viele Newsletter-Dienste benötigen keinen include mehr.
• Eigene Server als Adresse angeben. ip4: und ip6: kosten keine Abfrage.
• Massenversand auf eine Subdomain legen. Newsletter über news.beispiel.de bekommen einen eigenen SPF-Eintrag und belasten den der Hauptdomain nicht.
• Anbieter-includes nicht von Hand durch Adressen ersetzen. Cloud-Anbieter ändern ihre Adressbereiche; Microsoft rät ausdrücklich davon ab.

Der Generator zählt die direkten Abfragen. Was hinter einem include steckt, lässt sich ohne DNS nicht ermitteln – bei acht oder mehr direkten Abfragen warnt er deshalb.

Die Einträge der gängigen Anbieter

Stand September 2026 laut Dokumentation der Anbieter. Werte ändern sich gelegentlich – maßgeblich ist immer die aktuelle Anleitung.

Mailchimp und rapidmail dokumentieren keinen SPF-include, sondern CNAME-Einträge für die Authentifizierung.

Schritt für Schritt zum richtigen Eintrag

1. Alle Versender sammeln. Nicht nur die Postfächer: Newsletter-Dienst, CRM, Ticketsystem, Onlineshop, Kontaktformular der Website, Rechnungsversand aus der Buchhaltung, Terminbuchung und das Multifunktionsgerät, das Scans per Mail verschickt.
2. Für jeden Dienst die Anleitung prüfen. Braucht er einen include, eine IP-Adresse – oder gar nichts?
3. Eintrag erzeugen und mit ~all beginnen. Erst wenn sicher alle Versender erfasst sind, auf -all wechseln.
4. Vorhandenen Eintrag ersetzen, nicht einen zweiten anlegen.
5. Testen. Eine Mail an ein Gmail-Konto senden, dort „Original anzeigen“ wählen: Hinter SPF sollte PASS stehen. DMARC-Berichte zeigen über Wochen, ob irgendwo noch Mails scheitern.

SPF, DKIM und DMARC gehören zusammen

SPF allein hat zwei Schwächen: Es prüft nur die Umschlagadresse, nicht den sichtbaren Absender, und es scheitert bei Weiterleitungen. DKIM ergänzt eine kryptografische Signatur, die Weiterleitungen übersteht. DMARC verbindet beides mit der sichtbaren Absenderdomain, legt fest, was mit nicht authentifizierten Mails geschieht, und liefert Berichte darüber, wer in Ihrem Namen sendet.

Für große Postfachanbieter ist das längst Pflicht: Google und Yahoo verlangen seit Februar 2024 von Absendern mit rund 5.000 Mails pro Tag an ihre Nutzer SPF, DKIM und einen DMARC-Eintrag. Microsoft setzt dieselben Anforderungen seit dem 5. Mai 2025 für Outlook.com, Hotmail und Live durch und lehnt nicht konforme Mails ab. Auch wer weit darunter liegt, profitiert: Sauber authentifizierte Mails landen seltener im Spam.

Häufige Fehler

• Zwei SPF-Einträge für dieselbe Domain – etwa ein alter vom Hoster und ein neuer für Microsoft 365. Ergebnis: PermError.
• +all oder ein vergessenes Minus. Damit darf jeder Server der Welt in Ihrem Namen senden.
• Zu viele includes. Jeder Dienst „nur schnell dazu“ – bis die Grenze von zehn Abfragen überschritten ist.
• Vergessene Versender. Das Kontaktformular der Website oder das Rechnungsprogramm fällt oft erst auf, wenn Kunden sich melden.
• all in der Mitte. Alles danach wird ignoriert.
• Veralteter Eintragstyp. SPF wird ausschließlich als TXT veröffentlicht; der frühere DNS-Typ „SPF“ wird nicht mehr verwendet.
• Tippfehler in der Schreibweise. include: spf.protection.outlook.com mit Leerzeichen ist ungültig.

Wenn E-Mail geschäftskritisch ist

Ein SPF-Eintrag ist in fünf Minuten gesetzt – das saubere Zusammenspiel mit DKIM, DMARC, Microsoft 365 und allen Diensten, die in Ihrem Namen senden, braucht mehr Sorgfalt. Die nice-IT GmbH richtet Microsoft 365, Exchange Online und die E-Mail-Authentifizierung ein und betreut sie im Betrieb. Wer Mailings direkt aus dem Kundenmanagement verschickt, findet bei p17-crm.de Unterstützung für den Versand aus cobra CRM; Anbindungen von Kontaktformularen und eigenen Anwendungen setzt die p17 GmbH um.

Verwandte Werkzeuge

• IP-Bereiche für ip4: verstehen: CIDR-Rechner
• Netze und Adressbereiche berechnen: Subnetzrechner
• Newsletter-Links messbar machen: UTM-Link-Generator