--- title: 'SPF-Eintrag erstellen und prüfen – wer darf in Ihrem Namen mailen?' url: 'https://www.p17-tools.de/netzwerk/spf-generator' markdown: 'https://www.p17-tools.de/netzwerk/spf-generator.md' lang: de date: '2026-10-14' description: 'SPF-Record erstellen und prüfen: TXT-Eintrag für Microsoft 365, Google Workspace, IONOS & Co. bauen, DNS-Abfragen zählen, Fehler finden – mit Erklärung.' --- Netzwerk # SPF-Eintrag erstellen und prüfen – wer darf in Ihrem Namen mailen? Versender auswählen, eigene Server ergänzen, Richtlinie festlegen: Der Generator baut den TXT-Eintrag für Ihre Domain, zählt die DNS-Abfragen und erklärt jeden Bestandteil. Einen vorhandenen Eintrag prüft er auf genau die Fehler, an denen Zustellungen in der Praxis scheitern. ## Werkzeug: SPF-Eintrag Der Eintrag wird nur in Ihrem Browser erzeugt und geprüft – ohne DNS-Abfrage. Was hinter einem include steckt und ob Ihr Eintrag tatsächlich veröffentlicht ist, prüft erst der empfangende Mailserver. Die Anbieterwerte stammen aus deren Dokumentation, Stand September 2026. ## Was SPF macht Jede E-Mail hat zwei Absenderangaben: die sichtbare im Mailprogramm und die technische im „Umschlag“, die beim Einliefern übermittelt wird (Return-Path oder MAIL FROM). Kommt eine Mail an, fragt der empfangende Server im DNS der Umschlagdomain nach deren SPF-Eintrag und prüft, ob die IP-Adresse des einliefernden Servers darin erlaubt ist. Das Ergebnis ist eines von sieben: | Ergebnis | Bedeutung | Typische Folge | |---|---|---| | **pass** | Server ist erlaubt | Positiv für die Zustellung | | **fail** | Server ist ausdrücklich nicht erlaubt (`-all`) | Ablehnung oder Spam | | **softfail** | Server ist wahrscheinlich nicht erlaubt (`~all`) | Zustellung, aber als verdächtig markiert | | **neutral** | Domain macht keine Aussage (`?all`) | Wie ohne SPF | | **none** | Kein SPF-Eintrag vorhanden | Wie ohne SPF | | **permerror** | Eintrag fehlerhaft, etwa zu viele DNS-Abfragen | Wird oft wie fail behandelt | | **temperror** | DNS vorübergehend nicht erreichbar | Erneuter Versuch später | ## So ist ein SPF-Eintrag aufgebaut ``` v=spf1 ip4:203.0.113.10 include:spf.protection.outlook.com ~all ``` Der Eintrag wird von links nach rechts gelesen, der erste Treffer entscheidet. Hier also: Kommt die Mail von 203.0.113.10, ist sie erlaubt. Kommt sie von einem Server, den Microsoft 365 freigibt, ebenfalls. Für alle übrigen gilt SoftFail. | Bestandteil | Bedeutung | DNS-Abfrage | |---|---|---| | `v=spf1` | Kennung, steht immer am Anfang | – | | `ip4:` / `ip6:` | Einzelne Adresse oder Bereich, etwa `ip4:198.51.100.0/24` | nein | | `a` | Der Server hinter der IP-Adresse der Domain | ja | | `mx` | Die Server aus dem MX-Eintrag, also die Empfangsserver | ja | | `include:` | Übernimmt die erlaubten Server einer anderen Domain | ja, plus deren eigene | | `exists:` | Trifft zu, wenn für eine Domain eine Adresse existiert – für Sonderfälle | ja | | `ptr` | Rückwärtsauflösung – veraltet, soll nicht mehr verwendet werden | ja | | `all` | Alle übrigen Server, steht immer am Ende | nein | | `redirect=` | Übernimmt die gesamte Richtlinie einer anderen Domain, ersetzt `all` | ja | Vor jedem Mechanismus kann ein **Qualifier** stehen: `+` erlauben (Standard, wird meist weggelassen), `-` ablehnen, `~` als verdächtig markieren, `?` keine Aussage. Deshalb bedeuten `mx` und `+mx` dasselbe. ## Die Grenze von zehn DNS-Abfragen An dieser Regel scheitern in der Praxis die meisten SPF-Einträge. Laut RFC 7208 darf die Prüfung eines Eintrags insgesamt nicht mehr als zehn Begriffe auswerten, die DNS-Abfragen auslösen – `include`, `a`, `mx`, `ptr`, `exists` und `redirect`. Entscheidend ist die Summe über alle Ebenen: Ein `include` zählt selbst und bringt alle Abfragen mit, die im eingebundenen Eintrag stehen. Wer Microsoft 365, einen Newsletter-Dienst, ein CRM, ein Ticketsystem und den Webhoster einträgt, ist schnell darüber. Die Folge ist PermError – und die Mails aller Dienste gelten als nicht authentifiziert. Zusätzlich dürfen höchstens zwei Abfragen ins Leere laufen, etwa weil ein eingebundener Dienst seinen Eintrag gelöscht hat. So bleibt der Eintrag unter der Grenze: - **Unnötige Einträge streichen.** `mx` und `a` braucht nur, wer tatsächlich über diese Server versendet. Viele Newsletter-Dienste benötigen keinen include mehr. - **Eigene Server als Adresse angeben.** `ip4:` und `ip6:` kosten keine Abfrage. - **Massenversand auf eine Subdomain legen.** Newsletter über `news.beispiel.de` bekommen einen eigenen SPF-Eintrag und belasten den der Hauptdomain nicht. - **Anbieter-includes nicht von Hand durch Adressen ersetzen.** Cloud-Anbieter ändern ihre Adressbereiche; Microsoft rät ausdrücklich davon ab. Der Generator zählt die direkten Abfragen. Was hinter einem `include` steckt, lässt sich ohne DNS nicht ermitteln – bei acht oder mehr direkten Abfragen warnt er deshalb. ## Die Einträge der gängigen Anbieter Stand September 2026 laut Dokumentation der Anbieter. Werte ändern sich gelegentlich – maßgeblich ist immer die aktuelle Anleitung. | Anbieter | SPF-Mechanismus | Hinweis | |---|---|---| | Microsoft 365 | `include:spf.protection.outlook.com` | Microsoft empfiehlt `-all` | | Google Workspace | `include:_spf.google.com` | | | IONOS | `include:_spf-eu.ionos.com` | Bei DNS im IONOS-Konto standardmäßig aktiv | | STRATO | `redirect=_spf.strato.com` | Dokumentiert ist nur redirect, kein include | | ALL-INKL.COM | `include:spf.kasserver.com` | | | Mittwald | `include:agenturserver.de` | Mittwald rät von `a` und `mx` ab | | Host Europe | `include:spf.server-he.de` | Seit Januar 2024 automatisch gesetzt | | Telekom Homepagecenter | `include:_spf.hier-im-netz.de` | Wird bei Registrierung gesetzt | | Zoho Mail | `include:zoho.com` | | | Proton Mail | `include:_spf.protonmail.ch` | | | mailbox.org | `include:mailbox.org` | | | CleverReach | `include:spf.crsend.com` | | | Mailjet | `include:spf.mailjet.com` | | | Brevo | `include:spf.brevo.com` | Nur bei dedizierter IP nötig | | SendGrid | `include:sendgrid.net` | Nur ohne „Automated Security“, auf der Sende-Subdomain | | Mailgun | `include:mailgun.org` | Auf der Sendedomain, meist `mg.`-Subdomain | | Amazon SES | `include:amazonses.com` | Auf der MAIL-FROM-Subdomain | | Postmark | `include:spf.mtasv.net` | Laut Postmark nicht mehr nötig | | Salesforce | `include:_spf.salesforce.com` | | | HubSpot | `include:.spf0….hubspotemail.net` | Kontospezifisch, Wert im HubSpot-Konto | | Zendesk | `include:mail.zendesk.com` | Empfohlen, nicht zwingend | | Freshdesk | `include:email.freshdesk.com` | Nicht nötig, wenn DKIM eingerichtet ist | Mailchimp und rapidmail dokumentieren keinen SPF-include, sondern CNAME-Einträge für die Authentifizierung. ## Schritt für Schritt zum richtigen Eintrag 1. **Alle Versender sammeln.** Nicht nur die Postfächer: Newsletter-Dienst, CRM, Ticketsystem, Onlineshop, Kontaktformular der Website, Rechnungsversand aus der Buchhaltung, Terminbuchung und das Multifunktionsgerät, das Scans per Mail verschickt. 2. **Für jeden Dienst die Anleitung prüfen.** Braucht er einen include, eine IP-Adresse – oder gar nichts? 3. **Eintrag erzeugen und mit `~all` beginnen.** Erst wenn sicher alle Versender erfasst sind, auf `-all` wechseln. 4. **Vorhandenen Eintrag ersetzen**, nicht einen zweiten anlegen. 5. **Testen.** Eine Mail an ein Gmail-Konto senden, dort „Original anzeigen“ wählen: Hinter SPF sollte `PASS` stehen. DMARC-Berichte zeigen über Wochen, ob irgendwo noch Mails scheitern. ## SPF, DKIM und DMARC gehören zusammen SPF allein hat zwei Schwächen: Es prüft nur die Umschlagadresse, nicht den sichtbaren Absender, und es scheitert bei Weiterleitungen. **DKIM** ergänzt eine kryptografische Signatur, die Weiterleitungen übersteht. **DMARC** verbindet beides mit der sichtbaren Absenderdomain, legt fest, was mit nicht authentifizierten Mails geschieht, und liefert Berichte darüber, wer in Ihrem Namen sendet. Für große Postfachanbieter ist das längst Pflicht: Google und Yahoo verlangen seit Februar 2024 von Absendern mit rund 5.000 Mails pro Tag an ihre Nutzer SPF, DKIM und einen DMARC-Eintrag. Microsoft setzt dieselben Anforderungen seit dem 5. Mai 2025 für Outlook.com, Hotmail und Live durch und lehnt nicht konforme Mails ab. Auch wer weit darunter liegt, profitiert: Sauber authentifizierte Mails landen seltener im Spam. ## Häufige Fehler - **Zwei SPF-Einträge** für dieselbe Domain – etwa ein alter vom Hoster und ein neuer für Microsoft 365. Ergebnis: PermError. - **`+all` oder ein vergessenes Minus.** Damit darf jeder Server der Welt in Ihrem Namen senden. - **Zu viele includes.** Jeder Dienst „nur schnell dazu“ – bis die Grenze von zehn Abfragen überschritten ist. - **Vergessene Versender.** Das Kontaktformular der Website oder das Rechnungsprogramm fällt oft erst auf, wenn Kunden sich melden. - **`all` in der Mitte.** Alles danach wird ignoriert. - **Veralteter Eintragstyp.** SPF wird ausschließlich als TXT veröffentlicht; der frühere DNS-Typ „SPF“ wird nicht mehr verwendet. - **Tippfehler in der Schreibweise.** `include: spf.protection.outlook.com` mit Leerzeichen ist ungültig. ## Wenn E-Mail geschäftskritisch ist Ein SPF-Eintrag ist in fünf Minuten gesetzt – das saubere Zusammenspiel mit DKIM, DMARC, Microsoft 365 und allen Diensten, die in Ihrem Namen senden, braucht mehr Sorgfalt. Die [nice-IT GmbH](https://www.niceit.de/) richtet Microsoft 365, Exchange Online und die E-Mail-Authentifizierung ein und betreut sie im Betrieb. Wer Mailings direkt aus dem Kundenmanagement verschickt, findet bei [p17-crm.de](https://www.p17-crm.de/) Unterstützung für den Versand aus cobra CRM; Anbindungen von Kontaktformularen und eigenen Anwendungen setzt die [p17 GmbH](https://www.p17.de/) um. ## Verwandte Werkzeuge - IP-Bereiche für `ip4:` verstehen: [CIDR-Rechner](https://www.p17-tools.de/netzwerk/cidr-rechner) - Netze und Adressbereiche berechnen: [Subnetzrechner](https://www.p17-tools.de/netzwerk/subnetzrechner) - Newsletter-Links messbar machen: [UTM-Link-Generator](https://www.p17-tools.de/web-seo/utm-link-generator) ## Häufige Fragen zu SPF Was ist ein SPF-Eintrag? Ein TXT-Eintrag im DNS Ihrer Domain, der festlegt, welche Server E-Mails mit dieser Domain versenden dürfen. Empfangende Mailserver vergleichen die IP-Adresse des einliefernden Servers mit dieser Liste. Passt sie nicht, steigt die Wahrscheinlichkeit, dass die Mail im Spam landet oder abgelehnt wird. SPF steht für Sender Policy Framework und ist in RFC 7208 beschrieben. Wo trage ich den SPF-Eintrag ein? In der DNS-Verwaltung dort, wo Ihre Domain verwaltet wird – beim Domain- oder Hostinganbieter. Legen Sie einen Eintrag vom Typ TXT an, als Name „@“ für die Domain selbst, als Wert den erzeugten Text. Änderungen sind je nach TTL nach Minuten bis wenigen Stunden überall sichtbar. Darf eine Domain mehrere SPF-Einträge haben? Nein. Findet ein Empfänger zwei TXT-Einträge, die mit `v=spf1` beginnen, lautet das Ergebnis PermError – und SPF gilt als fehlgeschlagen. Kommt ein neuer Dienst hinzu, wird er in den vorhandenen Eintrag aufgenommen. Der Prüfmodus des Generators übernimmt einen bestehenden Eintrag dafür mit einem Klick. Soll ich ~all oder -all verwenden? `~all` (SoftFail) markiert Mails von nicht genannten Servern als verdächtig, `-all` (Fail) fordert die Ablehnung. Beginnen Sie mit `~all`, solange nicht sicher ist, dass alle Versender erfasst sind. Wenn nach einigen Wochen keine legitimen Mails mehr scheitern – am besten belegt durch DMARC-Berichte –, können Sie auf `-all` wechseln. Microsoft empfiehlt für Microsoft 365 ausdrücklich `-all`. Was bedeutet „too many DNS lookups“? Ein SPF-Eintrag darf bei der Prüfung insgesamt höchstens zehn DNS-Abfragen auslösen. Jedes `include`, `a`, `mx`, `exists`, `ptr` und `redirect` zählt – auch die, die in eingebundenen Einträgen der Anbieter stecken. Wird die Grenze überschritten, bricht der Empfänger mit PermError ab. Abhilfe: unnötige includes streichen, eigene Server als `ip4` angeben und Massenversand auf eine Subdomain legen. Schützt SPF allein vor gefälschten Absendern? Nein. SPF prüft die Absenderadresse im Umschlag der Mail (Return-Path), nicht die im Postfach angezeigte Absenderadresse. Erst DMARC verbindet beides und legt fest, was mit Mails passiert, die weder SPF noch DKIM bestehen. Wirksamen Schutz bietet deshalb nur das Zusammenspiel von SPF, DKIM und DMARC. Braucht eine Domain ohne E-Mail-Versand einen SPF-Eintrag? Ja, gerade dann. `v=spf1 -all` erklärt, dass kein Server im Namen dieser Domain senden darf. Das erschwert Betrügern, Zweit- oder Tippfehlerdomains für Phishing zu missbrauchen. Ergänzend sollte ein DMARC-Eintrag mit `p=reject` gesetzt werden. Warum scheitert SPF bei weitergeleiteten Mails? Weil der weiterleitende Server die Mail mit seiner eigenen IP-Adresse einliefert, die in Ihrem SPF-Eintrag nicht vorkommt. Manche Weiterleiter schreiben deshalb die Umschlagadresse um (SRS). Eine DKIM-Signatur übersteht die Weiterleitung dagegen meist – ein weiterer Grund, SPF nie allein einzusetzen. Weiterführend ## Weitere Werkzeuge aus „Netzwerk“ - [CIDR](https://www.p17-tools.de/netzwerk/cidr-rechner)Präfix eingeben, Maske, Adressraum und nutzbare Hosts ablesen – mit Tabelle von /0 bis /32. - [Subnetze](https://www.p17-tools.de/netzwerk/subnetzrechner)Netzadresse, Broadcast, Hostbereich und Aufteilung eines IPv4-Netzes. - [Datenmengen](https://www.p17-tools.de/netzwerk/datenmengen-rechner)Byte, Megabyte, Gibibyte und Übertragungsdauern ineinander umrechnen. - [Alle Werkzeuge: Netzwerk](https://www.p17-tools.de/netzwerk)CIDR-Präfixe, IPv4-Subnetze, Datenmengen und SPF-Einträge. --- ## Navigation - Parent: [Netzwerk & E-Mail: CIDR, Subnetze, Datenmengen und SPF](https://www.p17-tools.de/netzwerk.md) - Previous: [Datenmengen umrechnen und Übertragungsdauer schätzen](https://www.p17-tools.de/netzwerk/datenmengen-rechner.md)