Was ist SPF?
SPF steht für Sender Policy Framework und ist in RFC 7208 von 2014 festgelegt. Die Idee ist simpel: Du veröffentlichst im DNS deiner Domain eine Liste der Server, die für dich Mails verschicken dürfen. Der empfangende Server schaut nach, ob die Mail von einem dieser Server kommt.
Das Ergebnis der Prüfung ist zum Beispiel pass (erlaubt), fail (nicht erlaubt) oder softfail (eher nicht erlaubt). Was der Empfänger daraus macht, entscheidet er selbst — oder DMARC.
So ist ein SPF-Eintrag aufgebaut
SPF ist ein TXT-Eintrag direkt auf deiner Domain. Für eine Firma mit Microsoft 365 sieht er so aus: v=spf1 include:spf.protection.outlook.com -all. Die Teile:
Teil
Bedeutung
v=spf1
Kennung, muss am Anfang stehen
include:
übernimmt die Liste eines Dienstes
ip4: / ip6:
erlaubt bestimmte IP-Adressen
a / mx
erlaubt Web- bzw. Mailserver der Domain
-all / ~all
Regel für alle anderen
Gelesen wird von links nach rechts, beim ersten Treffer ist Schluss. Das all am Ende fängt alles andere ab. Mit -all sagst du „ablehnen“ (Hardfail), mit ~all „verdächtig“ (Softfail).
Was Gmail, Yahoo und Outlook verlangen
Seit Februar 2024 verlangen Google und Yahoo von allen Absendern mindestens SPF oder DKIM. Wer mehr als 5.000 Mails am Tag an Gmail schickt, braucht SPF und DKIM plus DMARC. Seit November 2025 setzt Gmail das härter durch: Mails ohne bestandene SPF-Prüfung können gebremst oder abgelehnt werden. Microsoft verlangt für Outlook.com von Massenversendern seit Mai 2025 ebenfalls bestandenes SPF und DKIM.
Trotzdem ist SPF kein Selbstläufer. Eine Studie der TU Berlin hat 2023 knapp 12,8 Millionen Domains untersucht: 56,5 % hatten einen SPF-Eintrag, davon waren 2,9 % fehlerhaft. Fast ein Viertel dieser Fehler war das Lookup-Limit.
Häufige Fehler
Fehler 1 · Zwei SPF-Einträge
Jeder neue Dienst sagt „trag diesen SPF-Eintrag ein“ — und schon stehen zwei Einträge mit v=spf1 im DNS. Pro Domain ist nur einer erlaubt, sonst lautet das Ergebnis permerror und SPF zählt gar nicht. Ergänze stattdessen das include des Dienstes im bestehenden Eintrag.
Fehler 2 · Mehr als zehn DNS-Abfragen
Jedes include, a oder mx löst eine DNS-Abfrage aus, und verschachtelte Includes zählen mit. Mehr als zehn sind laut RFC verboten. Wer Microsoft 365, Newsletter, CRM, Shop und Helpdesk einträgt, ist schnell drüber. Abhilfe: Dienste aufräumen oder einen Dienst über eine eigene Subdomain senden lassen.
Fehler 3 · Glauben, das Include für das Newsletter-Tool reicht
Viele Newsletter-Tools versenden mit ihrer eigenen Return-Path-Domain. Dann hilft dein SPF-Eintrag für DMARC nichts. Mailchimp etwa nennt für die Domain-Authentifizierung nur DKIM- und DMARC-Einträge. Entscheidend ist dort die DKIM-Signatur mit deiner Domain.
So richtest du SPF richtig ein
- Liste machen: alle Dienste, die mit deiner Domain mailen — Postfach, Newsletter, Shop, CRM, Rechnungen, Kontaktformular.
- Ein Eintrag: alle nötigen Includes in einen einzigen TXT-Eintrag beim DNS-Anbieter.
- Zählen: mit MXToolbox oder dem SPF Surveyor von dmarcian prüfen, ob du unter zehn Lookups bleibst.
- DKIM und DMARC dazu: SPF allein schützt deinen sichtbaren Absender nicht.
- Weiterleitungen beachten: Leitet ein Server deine Mail weiter, bricht SPF meist. Dann trägt DKIM die Authentifizierung.
Häufige Fragen
Wie sieht ein korrekter SPF-Eintrag aus?
Ein TXT-Eintrag auf deiner Domain, der mit v=spf1 beginnt, die erlaubten Dienste per include oder IP nennt und mit ~all oder -all endet, zum Beispiel v=spf1 include:_spf.google.com ~all für Google Workspace.
Was ist der Unterschied zwischen ~all und -all?
Mit -all sagst du, dass alle nicht genannten Server abgelehnt werden sollen (Hardfail). Mit ~all markierst du sie nur als verdächtig (Softfail). Google empfiehlt ~all, Microsoft -all.
Was passiert, wenn ich zwei SPF-Einträge habe?
Dann ist das Ergebnis permerror und SPF gilt als nicht bestanden. Erlaubt ist nur ein SPF-Eintrag pro Domain. Alle Dienste gehören in diesen einen Eintrag.
Reicht SPF allein?
Nein. SPF prüft nur die technische Absenderadresse, nicht die sichtbare. Gmail, Yahoo und Outlook verlangen von Massenversendern SPF, DKIM und DMARC zusammen.
Warum schlägt SPF bei weitergeleiteten Mails fehl?
Weil der Weiterleitungsserver nicht in deinem SPF-Eintrag steht. Manche Anbieter schreiben die Absenderadresse beim Weiterleiten um, etwa Microsoft mit dem Sender Rewriting Scheme. Verlässlicher ist eine DKIM-Signatur, die Weiterleitungen meist übersteht.
