Dynamischer SPF vs. automatischer SPF vs. gehosteter SPF: Welche Variante korrigiert Ihren SPF-Eintrag tatsächlich?

Sie haben gerade eine neue Helpdesk- oder Marketing-Automatisierungsplattform zu Ihrer Infrastruktur hinzugefügt, Ihre DNS-Einstellungen aktualisiert – und plötzlich werden Ihre Transaktions-E-Mails als unzustellbar zurückgeschickt. Wenn Sie sich die Rohdaten der E-Mail-Header ansehen, stößt Ihnen die Fehlermeldung „PermError: too many DNS lookups“ ins Auge.

Wenn Sie sich auf die Suche nach einer Lösung machen, stoßen Sie sofort auf drei Begriffe, die als Komplettlösungen vermarktet werden: Dynamic SPF, Auto SPF und Hosted SPF. Jeder Anbieter behauptet, seine Plattform biete „unbegrenzte Lookups“, doch die Bezeichnungen verraten so gut wie nichts darüber, was tatsächlich in Ihrem öffentlichen DNS veröffentlicht wird oder wie die Authentifizierung zum Zeitpunkt der Zustellung erfolgt.

Hier zunächst die technische Tatsache: Diese drei Bezeichnungen stehen für zwei grundlegend unterschiedliche Mechanismen und nicht für drei Namensvarianten desselben Produkts. Dynamisches SPF und Auto-SPF basieren auf gespeicherten IP-Snapshots, die kontinuierlich neu aufgelöst und im DNS aktualisiert werden müssen. Hosted SPF (insbesondere PowerSPF von PowerDMARC) nutzt die Makroauswertung zum Zeitpunkt der Abfrage, um die IP-Adresse des Absenders genau zum Zeitpunkt der Zustellung dynamisch aufzulösen. Da bei der Auswertung zum Zeitpunkt der Abfrage kein statischer Snapshot erstellt wird, ist PowerSPF der einzige Mechanismus, bei dem Ihr Eintrag nicht unbemerkt veralten und legitime E-Mails blockieren kann, wenn ein Anbieter IP-Bereiche rotiert – und das bei nur einer einzigen DNS-Abfrage. Bevor Sie sich für einen Anbieter entscheiden, sollten Sie prüfen, wie viele DNS-Abfragen Ihr Eintrag derzeit benötigt, um Ihr derzeitiges Risiko einzuschätzen.

Warum Ihr SPF-Eintrag fehlgeschlagen ist: Die Beschränkung auf 10 Abfragen und „PermError“

Um einen SPF-Eintrag zu korrigieren, der die Obergrenze überschreitet, muss man zunächst verstehen, warum diese Obergrenze in der Protokollspezifikation festgelegt ist. Gemäß RFC 7208 §4.6.4 muss jeder empfangende Mail Transfer Agent (MTA), der eine SPF-Richtlinie auswertet, die Verarbeitung abbrechen und einen „PermError“ zurückgeben, wenn die Auswertung mehr als 10 DNS-Abfragen erfordert.

Mechanismus-Lookup-Abrechnung (RFC 7208 §4.6.4)

Diese Begrenzung wurde speziell entwickelt, um empfangende Resolver vor Endlosschleifen und DNS-Amplifikations-Denial-of-Service-Angriffen zu schützen. Das Budget wird jedoch viel schneller aufgebraucht, als die meisten IT-Teams erwarten, da sich „include:“-Mechanismen rekursiv verschachteln. Wenn Sie die „include“-Zeile eines einzelnen SaaS-Anbieters hinzufügen, übernehmen Sie alle „include:“, „a“ und „mx“-Mechanismen, die in der Datensatzstruktur dieses Anbieters enthalten sind.

Beispiel für eine tatsächliche Überschreitung des Limits

None
v=spf1 include:_spf.google.com include:spf.protection.outlook.com include:mail.zendesk.com include:thirdparty.salesforce.com include:servers.mcsv.net ~all

Ein „PermError“ ist keine weiche Warnung; er führt dazu, dass die SPF-Auswertung sofort fehlschlägt. Gemäß DMARC (RFC 7489) scheitert die gesamte Nachricht an der DMARC-Authentifizierung, wenn DKIM für genau diese Absenderdomain nicht ebenfalls erfolgreich ist und streng abgeglichen ist.

Abgesehen von der Obergrenze von 10 Lookups stoßen komplexe SPF-Einträge häufig an die Obergrenze der UDP-DNS-Nutzdaten von 512 Byte. Wenn eine DNS-Antwort 512 Byte überschreitet, müssen Resolver auf TCP ausweichen, was die Latenz beim Handshake erhöht und zu vorübergehenden Authentifizierungs-Timeouts führt. Es ist von entscheidender Bedeutung, die Funktion von „SPF include“ zu verstehen und die Syntax Ihres gesamten SPF-Eintrags genau zu analysieren, insbesondere wenn Sie versuchen, mehrere SPF-Einträge in komplexen Domain-Umgebungen zu verwalten.

Dynamischer SPF vs. automatischer SPF vs. gehosteter SPF: Ein kurzer Vergleich

Die folgende Tabelle gibt einen detaillierten Einblick in die Funktionsweise der einzelnen Mechanismen und vergleicht dabei die Kernarchitektur, den Suchaufwand und die Betriebsgrenzen.

Zwar halten alle drei Lösungen die Anzahl der DNS-Abfragen unter dem RFC-Grenzwert, doch ist Hosted SPF (PowerSPF) hinsichtlich des Kernmechanismus der klare Sieger. Durch die Verwendung von Makroexpansion zum Zeitpunkt der Abfrage anstelle von IP-Flattening beseitigt PowerSPF das Problem veralteter Snapshots vollständig, anstatt lediglich das Zeitfenster zwischen den Datenbankaktualisierungen zu verkürzen.

Was „Dynamic SPF“ eigentlich bewirkt

Wie es funktioniert

„Dynamic SPF“ ist ein Begriff, der ursprünglich von Red Sift (OnDMARC) geprägt und von Anbietern wie DmarcDuty, DMARC Advisor und Dmarcly übernommen wurde. Die Kernarchitektur basiert auf einem vom Anbieter gehosteten DNS-Eintrag. Wenn Sie einen neuen Versanddienst in Ihrem Plattform-Dashboard autorisieren, löst die Infrastruktur des Anbieters den Ziel-Include:Tree auf und aktualisiert den gehosteten Eintrag, auf den Ihre Hauptdomain verweist. Red Sift vermarktet dies mit der Aussage, dass Aktualisierungen „zum Zeitpunkt der Authentifizierung“ erfolgen. Entscheidend ist, dass Dynamic SPF makrofrei konzipiert ist und Makrosyntax bewusst vermieden wird, um eine saubere Verwaltung der SPF-Einbindungen zu gewährleisten.

Wer verwendet diesen Begriff?

Das Label wird kommerziell von Red Sift OnDMARC, DmarcDuty, DMARC Advisor und Dmarcly genutzt. Auch wenn sich die Marketingformulierungen unterscheiden, stützen sich alle diese Implementierungen auf Backend-Tracking-Server, um Änderungen an IP-Adressen von Drittanbietern zu überwachen und gehostete Einträge entsprechend anzupassen.

Stärken

Der Hauptvorteil von Dynamic SPF besteht darin, dass es die seit langem geführte Debatte um die Makro-Kompatibilität vollständig umgeht. Durch die Verwendung von Standard-SPF-Mechanismen (include:, ip4:, ip6:) gewährleistet es die Kompatibilität selbst mit nicht standardkonformen oder veralteten empfangenden Mail-Servern. Darüber hinaus verfügen erstklassige Implementierungen wie Red Sift über eine dokumentierte Ausfallsicherheit: Tritt ein vorübergehender Backend-Fehler auf, nutzt der Dienst die zuletzt bekannte funktionierende Konfiguration aus der Google Cloud-Infrastruktur, sodass der E-Mail-Verkehr weiterhin aufrechterhalten wird.

Einschränkungen

Trotz des dynamischen Namens erstellt Dynamic SPF weiterhin einen verwalteten IP-Snapshot hinter einem Referenzzeiger. Die Genauigkeit Ihres Eintrags hängt weiterhin von der Abfragehäufigkeit und dem Aktualisierungszyklus des Anbieters ab. Wenn ein Cloud-Anbieter seinem Versandcluster einen neuen IP-Block hinzufügt und sofort E-Mails versendet, kann eine Verzögerung im Neuabfragezyklus des Anbieters zu falsch-positiven SPF-Fehlern führen. Darüber hinaus nehmen Wettbewerber wie AutoSPF diese Kategorie häufig ins Visier und weisen darauf hin, dass „geplante, nicht in Echtzeit erfolgende“ Aktualisierungen bei sich schnell ändernden Infrastrukturen immer noch hinterherhinken können.

Was „Auto SPF“ eigentlich bewirkt (SPF-Flattening)

Wie es funktioniert

Auto SPF solutions typically offer a hybrid approach, providing both scheduled SPF flattening and dynamic macro-based resolution. When operating in flattening mode, the system recursively queries all include:, a, and mx mechanisms, extracts the underlying IP blocks, and writes them into hosted sub-records on a scheduled loop. When operating in macro mode, tools like AutoSPF utilize %{ir} macro-flattening to evaluate connecting IPs dynamically at run-time, similar to Hosted SPF solutions.

SPF-Flattening-Architektur

1. Ursprünglicher Eintrag: v=spf1 include:_spf.google.com include:sendgrid.net ~all

2. Verarbeitung durch die Flattening-Engine:

• Löst _spf.google.com → 35.190.247.0/24, 172.217.0.0/19… auf
• Löst sendgrid.net auf → 167.89.0.0/17, 208.117.48.0/20…

3. Veröffentlichter, vereinfachter öffentlicher Datensatz: v=spf1 ip4:35.190.247.0/24 ip4:167.89.0.0/17 ~all

Stärken

Auto SPF macht das manuelle Schreiben und Ausführen lokaler Python-Skripte zum Vereinfachen von Datensätzen vollständig überflüssig. Die Lösung ist herstellerunabhängig, kostengünstig und ideal für Unternehmen, die einen einzelnen SPF-Lookup-Fehler beheben möchten, ohne eine umfassendere Cybersicherheitsplattform nutzen zu müssen.

Einschränkungen

Das Abflachen bringt deutliche operative Nachteile mit sich:

1. Veraltete Momentaufnahme: Ein „flattened record“ ist eine Momentaufnahme zu einem bestimmten Zeitpunkt. Wenn ein E-Mail-Anbieter seine IP-Bereiche ohne Vorankündigung erweitert, ist Ihr Eintrag bis zum Abschluss der nächsten geplanten Abfrage ungenau.

2. Effizienz bei der Abfrage: Bei der Vereinfachung sind in der Regel zwei Abfragen erforderlich (eine für die CNAME-Weiterleitung und eine für die vereinfachte TXT-Kette), während makrobasierte Lösungen nur eine Abfrage erfordern.

3. Übermäßige Datensatzgröße: Durch das Ersetzen von „includes“ durch Hunderte von rohen CIDR-Blöcken wird die Datensatzlänge direkt an die 512-Byte-UDP-Grenze herangeführt.

4. Offenlegung der öffentlichen IP-Infrastruktur: Durch das „Flattening“ wird Ihr gesamter autorisierter Sendestack im öffentlichen DNS im Klartext offengelegt, wodurch böswillige Akteure einen genauen Überblick über Ihre Drittanbieter erhalten. Branchenexperten raten aufgrund dieser konkreten strukturellen Risiken durchweg von reinem „Flattening“ ab.

Die Nuance der Kommunikation

Zwar wird AutoSPF vor allem wegen seiner automatisierten Flattening-Funktionen für Nutzer beworben, die statische, lesbare IP-Listen in ihrem DNS wünschen, doch ist es wichtig zu beachten, dass die Plattform auch die Echtzeit-Makroauflösung nativ unterstützt – für Unternehmen, die Aktualisierungen ohne Verzögerung benötigen.

Was Hosted SPF (PowerSPF) anders macht: Makros zur Abfragezeit

„Hosted“ ist ein Bereitstellungsmodell, kein Mechanismus

Um diese Produkte objektiv zu bewerten, müssen Sie sich darüber im Klaren sein, dass der Begriff „gehostet“ die Art und Weise beschreibt, wie der Eintrag bereitgestellt wird, und nicht die dahinterstehende Technologie. Dynamic SPF, Auto SPF und PowerSPF sind allesamt gehostet; Sie veröffentlichen einen einzigen statischen Eintrag im DNS Ihrer Domain, und der Anbieter verwaltet die dahinterliegende Datenlast. Was das Hosted SPF (PowerSPF) von PowerDMARC auszeichnet, ist die Engine, die hinter diesem Eintrag steht: die Makroauswertung zum Zeitpunkt der Abfrage.

PowerSPF-Makro-Auswertungs-Pipeline

1. IP-Adresse des MTA des Absenders: 192.0.2.45

2. Receiver Queries Domain SPF Policy: v=spf1 exists:%{i}.abcde12345.macrospf.powerspf.com -all

3. Receiver Expands Macro %{i} to Connecting IP: 192.0.2.45.abcde12345.macrospf.powerspf.com

4. Der Empfänger führt eine DNS-Abfrage für den erweiterten Hostnamen durch:

• Die Abfrage wird an das PowerDMARC-Edge-DNS weitergeleitet.
• 192.0.2.45 ist im Dashboard autorisiert → Gibt 127.0.0.2 zurück (es ist ein A-Eintrag vorhanden).
• SPF-Bewertungsergebnis: BESTANDEN

Wie PowerSPF einen Absender identifiziert

Anstatt eine Liste aufgelöster IP-Adressen in Ihrem DNS zu speichern, nutzt PowerSPF offizielle RFC-7208-Makros. Wenn Sie PowerSPF bereitstellen, wird Ihr öffentlicher DNS-Eintrag mit einem „exists:“-Mechanismus konfiguriert, der wie folgt aufgebaut ist:

v=spf1 exists:%{i}.abcde12345.macrospf.powerspf.com -all

When a receiving mail server processes an incoming message, it evaluates the macro %{i}, which the SPF specification defines as the connecting sender’s IP address. The receiver automatically inserts the sender’s IP into the string and executes a single DNS query:

192.0.2.45.abcde12345.macrospf.powerspf.com

Das globale DNS-Netzwerk von PowerDMARC empfängt diese Anfrage. Wenn die IP-Adresse 192.0.2.45 in Ihrem PowerDMARC-Dashboard autorisiert ist, gibt der DNS-Server eine A-Eintrag-Antwort (127.0.0.2) zurück. Der empfangende Server stellt fest, dass die Domain existiert, und bewertet die SPF-Prüfung als „Bestanden“.

Was Sie dafür bekommen

1. Immer nur 1 DNS-Lookup: Unabhängig davon, ob Sie 3 oder 50 Versandtools autorisieren, verbraucht Ihr Eintrag genau 1 DNS-Lookup. Laut internen Benchmark-Tests von PowerDMARC lässt sich die Anzahl der Lookups durch die Umstellung eines Standard-Eintrags mit 5 Lookups auf die Funktionsweise von SPF-Makros auf 1 reduzieren, während sie durch „Flattening“ in der Regel auf 2 sinkt.

2. Keine veralteten Snapshots: Da die IP-Adresse der Verbindung zum Zeitpunkt der Übermittlung in Echtzeit ausgewertet wird, gibt es keine zwischengespeicherte IP-Liste, die veralten könnte.

3. Vollständige IP-Datenschutz: Ihre autorisierten IP-Bereiche werden niemals im Klartext in öffentlichen DNS-Einträgen veröffentlicht.

4. Keine übermäßige Dateigröße: Die DNS-Eintragskette bleibt winzig und unveränderlich und ist somit völlig immun gegen 512-Byte-UDP-Abschneidefehler.

Einrichtung und Betrieb am zweiten Tag

Für die Einrichtung von Hosted SPF (PowerSPF) muss lediglich ein einziger CNAME-Eintrag zu Ihrem DNS hinzugefügt werden – ein Vorgang, der weniger als fünf Minuten dauert. Nach der Konfiguration muss sich Ihr IT-Team nie wieder um die DNS-Einträge kümmern. Absender werden direkt im PowerDMARC-Dashboard autorisiert oder gesperrt, wobei die Änderung sofort weltweit wirksam wird.

Fähigkeiten im Bereich der Unternehmensführung

Einzelne Tools glätten Datensätze isoliert, PowerSPF hingegen ist Teil einer umfassenden Sicherheitsplattform. Es bietet:

• Detaillierte SPF-Analysen, die das Versandvolumen nach Quelle, Mechanismus und einzelner IP-Adresse aufschlüsseln.
• Automatische Erkennung von PermError, ungültigen Lookups und Syntaxfehlern mit Anweisungen zur Korrektur direkt im Code.
• SSO-/SAML-Integration für Unternehmen, gestützt durch SOC 2 Typ 2- und ISO 27001-Zertifizierungen.
• Eine SLA mit einer Verfügbarkeit von 99,995 %, die auf einer hochverfügbaren Edge-Infrastruktur läuft.
• Vollständige Integration in Verbindung mit der Durchsetzung von DMARC, der Verwaltung von DKIM, der BIMI-Markendarstellung und der Verwaltung von MTA-STS-Richtlinien.

Der Fehler, den niemand auf seiner Preisseite erwähnt

Um zu verstehen, warum der Kernmechanismus von Bedeutung ist, betrachten Sie einmal ein typisches Betriebsszenario:

Ein mittelständisches Unternehmen konfiguriert ein SPF-Flattening-Tool zur Verwaltung von sechs Cloud-Diensten, darunter ein führendes CRM-System und einen Anbieter für Transaktions-E-Mails. Alle Authentifizierungen verlaufen reibungslos, und die Anzahl der Lookups sinkt von 13 auf 2.

Sechs Wochen später stellt der Anbieter von Transaktions-E-Mails einen neuen Block von IP-Adressen für seinen Versandcluster bereit, um den steigenden Datenverkehr zu bewältigen. Der Anbieter aktualisiert seinen eigenen primären SPF-Eintrag (_spf.vendor.com). Ihr Flattening-Tool führt die Neuauflösung externer Einträge jedoch nur nach einem festen Zeitplan von 4 oder 12 Stunden durch.

Analyse der zeitlichen Lücken bei der Abflachung

Während dieses Übergangszeitraums werden legitime Transaktionsnachrichten, Rechnungsbenachrichtigungen, Passwort-Zurücksetzungen und Bestellbestätigungen von den neuen IP-Adressen des Anbieters versendet. Wenn die empfangenden Server Ihren vereinfachten SPF-Eintrag überprüfen, fehlt die neue IP-Adresse darin.

Die SPF-Prüfung schlägt fehl. Wenn DKIM fehlerhaft ist, nicht übereinstimmt oder von einem zwischengeschalteten Relay entfernt wurde, durchläuft die Nachricht die DMARC-Prüfung nicht. Empfangsserver setzen Ihre DMARC-Richtlinie durch und leiten legitime Unternehmens-E-Mails in Spam-Ordner um oder verwerfen sie vollständig.

Da es sich bei diesem Ausfall um einen teilweisen und quellenspezifischen Ausfall handelt, löst er selten sofortige Netzwerkwarnungen aus. Der normale E-Mail-Verkehr läuft weiter, doch ein kritischer Transaktionsstrom bricht unbemerkt zusammen.

Der Unterschied: Bei der Makroauswertung zur Abfragezeit gibt es keinen IP-Datenbank-Snapshot, der veralten könnte. Wenn der Anbieter eine E-Mail über einen neu autorisierten Versanddienst versendet, vergleicht PowerSPF die IP-Adresse des Verbindungshergangs in Echtzeit mit den Richtlinien Ihres Dashboards – und zwar genau in dem Moment, in dem die E-Mail zugestellt wird.

Der ehrliche technische Kompromiss: Keine Sicherheitsarchitektur ist völlig risikofrei. Durch die „Flattening“-Methode verlagert sich Ihre Sicherheitsabhängigkeit auf den Aktualisierungszyklus der Datenbank des Anbieters; da die „geflachten“ IP-Adressen jedoch in standardmäßigen DNS-TXT-Einträgen zwischengespeichert werden, bleibt Ihre E-Mail-Authentifizierung auch dann erhalten, wenn das Backend des Anbieters offline geht. Bei der Makroauswertung verlagert sich Ihre Abhängigkeit auf die Erreichbarkeit des Makro-DNS-Dienstes des Anbieters zum Zeitpunkt der Abfrage. Wenn bei einem makrobasierten Anbieter ein Ausfall des autoritativen DNS auftritt, geben eingehende SPF-Prüfungen einen „TempError“ zurück oder schlagen vollständig fehl, bis der Dienst wiederhergestellt ist. Hochrangige Anbieter begegnen diesem Problem durch den Betrieb global verteilter Edge-Netzwerke mit einer SLA-Verfügbarkeit von 99,995 %.

Zwei Einwände, die Sie von Mitbewerbern zu hören bekommen werden

1. „Eine auf Makros basierende Auswertung führt zu einem Single Point of Failure.“

Konkurrenten, die sich ausschließlich auf herkömmliches „Flattening“ stützen, weisen häufig darauf hin, dass die Makroauswertung zum Zeitpunkt der Abfrage für jede einzelne E-Mail-Zustellung eine Live-DNS-Abfrage an den Server des Anbieters erfordert.

Die Faktenprüfung: Hierbei handelt es sich um einen berechtigten architektonischen Unterschied. Wenn die DNS-Infrastruktur eines Makro-Anbieters ausfällt, kann der Empfänger das Makro nicht auflösen, was zu einem SPF-TempError führt. Bei der herkömmlichen „Flattening“-Methode wird dies vermieden, da Standard-TXT-Einträge weltweit im Cache verbleiben. Um dieses Risiko zu mindern, betreiben Makro-SPF-Anbieter für Unternehmen (wie PowerSPF) hochgradig redundante, global verteilte Anycast-DNS-Netzwerke, um Abfrageantworten im Sub-Millisekundenbereich und maximale Verfügbarkeit zu gewährleisten.

2. „SPF-Makros funktionieren auf älteren empfangenden Mailservern nicht.“

Competitors using traditional flattening often claim that macro syntax (exists:%{i}) breaks compatibility with legacy email gateways.

Die Faktenprüfung: Die Makroauswertung und der „exists“-Mechanismus sind Kernkomponenten von RFC 7208 §7, veröffentlicht im Jahr 2014 (und zuvor in RFC 4408 im Jahr 2006). Es handelt sich dabei nicht um proprietäre Erweiterungen von Anbietern. Jeder RFC-konforme empfangende Mailserver im Internet, einschließlich Microsoft 365, Google Workspace, Proofpoint, Cisco Secure Email und Mimecast, unterstützt die Makroauswertung nativ.

Zwar kann es vorkommen, dass ein äußerst seltenes, nicht konformes Legacy-Gateway Makros nicht korrekt auswertet, doch muss dieses Randrisiko gegen das garantierte tägliche Risiko abgewogen werden, dass statische IP-Snapshots aufgrund herkömmlicher Flattening-Verfahren veraltet sind.

Für welche Lösung sollten Sie sich entscheiden?

Entscheidungsmatrix

Szenario 1: Sie verfügen über 2–3 stabile Cloud-Absender und weniger als 10 Abfragen

Wenn Ihre Domain ausschließlich Google Workspace und einen einzigen Helpdesk nutzt, müssen Sie möglicherweise keine SPF-Verwaltungssoftware erwerben. Überprüfen Sie Ihre Einträge mit einem Lookup-Tool, entfernen Sie nicht verwendete „include:“-Zeilen und ersetzen Sie unnötige MX- oder A-Einträge durch saubere Regeln. Solange die Anzahl der Lookups unter 10 bleibt, behalten Sie Ihre Standard-DNS-Konfiguration bei.

Szenario 2: Sie verwalten 5 bis 30 Cloud-Tools mit aktiver IP-Rotation

Wenn Ihr Unternehmen auf moderne Marketing-, Vertriebs- und HR-Systeme setzt, stellt die herkömmliche Flachstruktur ein ständiges Risiko für die Zustellbarkeit dar. Die Makroauswertung zur Abfragezeit mittels PowerSPF ist die optimale technische Lösung, da sie veraltete Snapshots verhindert, Ihre interne IP-Topologie schützt und die Anzahl der Lookups auf 1 begrenzt.

Szenario 3: MSPs und Unternehmensteams bei der Verwaltung von Portfolios mit mehreren Domänen

Wenn Sie die E-Mail-Authentifizierung für Dutzende von Kundendomänen verwalten, führt die isolierte Bewertung einzelner Tools zu einer erhöhten Komplexität bei der Verwaltung. Sie benötigen ein mandantenfähiges Dashboard, rollenbasierte Zugriffskontrollen, detaillierte IP-Analysen und eine umfassende Authentifizierungssuite. Die Suche nach Alternativen zu AutoSPF wird Unternehmensteams zu einheitlichen Plattformen wie PowerDMARC führen.

Schlussfolgerung

Dynamic SPF, Auto SPF und Hosted SPF senken bereits heute die Anzahl Ihrer DNS-Abfragen erfolgreich unter den in RFC 10 festgelegten Schwellenwert. Allerdings garantiert nur die Auswertung von Makros zum Zeitpunkt der Abfrage, dass Ihr Eintrag morgen nicht unbemerkt aus der Synchronisation gerät.

Durch die Echtzeit-Überprüfung der Absenderautorisierung zum Zeitpunkt der Zustellung verhindert Hosted SPF (PowerSPF) veraltete Snapshots, verbirgt Ihre internen IP-Adressen und senkt Ihre DNS-Lookup-Kosten auf 1 – und das alles auf einer Plattform der Enterprise-Klasse, die durch ein SLA mit einer Verfügbarkeit von 99,995 % abgesichert ist.

Nächste Schritte:

1. Nutzen Sie unser kostenloses SPF-Abfrage-Tool, um die aktuelle Anzahl der Abfragen für Ihre Domain zu überprüfen und verschachtelte Einbindungen zu identifizieren.

2. Wenn Ihr Eintrag mehr als 10 Abfragen aufweist, starten Sie eine Testversion von PowerSPF (Hosted SPF), um Ihren Eintrag in weniger als fünf Minuten zu korrigieren.

3. Verwalten Sie ein Unternehmens- oder MSP-Portfolio? Vereinbaren Sie einen Termin für eine technische Demo mit unserem Entwicklerteam, um sich unser Dashboard für die mandantenfähige Authentifizierung anzusehen.

Häufig gestellte Fragen

Ist dynamischer SPF dasselbe wie SPF-Flattening?

„Dynamic SPF“ ist ein übergeordneter Begriff, während „SPF-Flattening“ einen spezifischen Mechanismus bezeichnet. Viele Anbieter, die „Dynamic SPF“ anbieten, stützen sich im Hintergrund auf automatisiertes SPF-Flattening, bei dem „include:“-Ketten regelmäßig in statische IP-Adressen aufgelöst werden, die in gehosteten Einträgen veröffentlicht sind.

Was ist der Unterschied zwischen gehostetem SPF und SPF-Flattening?

SPF Flattening extrahiert IP-Bereiche und veröffentlicht diese als statische IP-Blöcke in Ihrem DNS. Hosted SPF (insbesondere PowerSPF von PowerDMARC) nutzt die Makroauswertung zum Zeitpunkt der Abfrage, um die IP-Adresse des Absenders zum Zeitpunkt der Zustellung in Echtzeit zu überprüfen. Dadurch wird die Speicherung statischer IP-Adressen vermieden und verhindert, dass die Snapshots veraltet sind.

Funktionieren SPF-Makros mit Microsoft 365 und Google Workspace?

Ja. Die Makro-Erweiterung und der „exists:“-Mechanismus sind gemäß RFC 7208 §7 vollständig standardisiert. Sowohl Microsoft 365 als auch Google Workspace verarbeiten die makrobasierte SPF-Auswertung nativ, ohne dass dabei Kompatibilitätsprobleme auftreten.

Gibt es so etwas wie „unbegrenzte SPF-Abfragen“ wirklich?

Kein einzelner Eintrag kann bei der Auswertung die in RFC 7208 festgelegte Obergrenze von 10 Abfragen umgehen. Plattformen, die „unbegrenzte Abfragen“ anbieten, optimieren Ihre Eintragsarchitektur mithilfe von Flattening oder Makros, sodass der empfangende Server unabhängig von der Anzahl der hinzugefügten Absender maximal 1 oder 2 Abfragen durchführt.

Was passiert mit meinen E-Mails, wenn es bei meinem SPF-Hosting-Anbieter zu einem Ausfall kommt?

Führende Anbieter wie PowerDMARC nutzen verteilte Edge-Netzwerke mit einer SLA-Verfügbarkeit von 99,995 %. Im Falle eines Ausfalls reagieren redundante DNS-Knoten weiterhin, und Fallback-Regeln verhindern Authentifizierungsfehler.

Wie behebe ich den Fehler „zu viele DNS-Abfragen“ in meinem SPF-Eintrag?

Sie können einen Eintrag wegen Überschreitung des Limits beheben, indem Sie veraltete `include:`-Anweisungen überprüfen und entfernen, bestimmte Absender in eigene Subdomains verschieben oder eine gehostete Makrolösung wie PowerSPF implementieren, um den Bewertungsaufwand auf eine einzige Abfrage zu reduzieren.

• Über
• Neueste Beiträge

Milena Baghdasaryan

Content-Spezialist bei PowerDMARC

Milena ist eine erfahrene Autorin und Inhaltserstellerin mit mehr als 7 Jahren Erfahrung in der Erstellung ansprechender Inhalte über IT, Cybersicherheit, virtuelle Veranstaltungen und mehr. Sie hat eine nachgewiesene Erfolgsbilanz bei der Erstellung hochwertiger Arbeiten für internationale Magazine und ist Absolventin renommierter Institutionen wie der New York University Abu Dhabi, UWC China und dem College of Europe.

Neueste Beiträge von Milena Baghdasaryan (alle anzeigen)

• Dynamischer SPF vs. automatischer SPF vs. gehosteter SPF: Welche Variante korrigiert Ihren SPF-Eintrag tatsächlich? – 25. August 2026
• „Antworten“ vs. „Allen antworten“: Verhaltensregeln und Sicherheitsrisiken – 14. August 2026
• DMARC-Fehlerberichte (RUF): Was sie sind, wie sie funktionieren und wie man sie sicher aktiviert – 11. August 2026