Was ist „SPF Include“? Wie verwendet man es sicher in Ihrem SPF-Eintrag?

Kurze Antwort: Der SPF-Include-Mechanismus ermöglicht es einem Domain-Inhaber, einen Drittabsender zu autorisieren, indem er in seinem eigenen DNS-TXT-Eintrag auf den SPF-Eintrag dieses Absenders verweist. Wenn ein empfangender Server Ihren SPF-Eintrag auswertet und auf eine „include“-Anweisung stößt, ruft er im Rahmen der Überprüfung den SPF-Eintrag der referenzierten Domain ab und wertet diesen aus. Da jede „include“-Anweisung mindestens eine zusätzliche DNS-Abfrage auslöst, müssen Sie die Gesamtzahl der DNS-Abfragen auf höchstens 10 begrenzen, um einen „PermError“ zu vermeiden.

Ihr SPF-Eintrag teilt den empfangenden Mail-Servern mit, welche Absender E-Mails im Namen Ihrer Domain versenden dürfen. Sobald Ihr Unternehmen Plattformen von Drittanbietern für Marketing, Transaktionsnachrichten, CRM-Aktualisierungen oder Support-E-Mails nutzt, wird die manuelle Verwaltung des SPF-Eintrags immer aufwendiger. Hier kommt der SPF-Include-Mechanismus ins Spiel.

In diesem Leitfaden wird erläutert, was ein SPF-Include ist, wie es funktioniert und wie Sie mit mehreren Includes umgehen können, ohne dass Ihre Einträge ungültig werden. Außerdem wird beschrieben, wie Sie alles mit DMARC in Einklang halten, damit Ihre E-Mails stets den Posteingang erreichen.

Wer muss sich mit „SPF Include“ auskennen?

SPF ist besonders wichtig für IT-Teams, Systemadministratoren, Berater für Cybersicherheit und MSPs , die Domains verwalten, über die E-Mails über mehrere Dienste von Drittanbietern versendet werden. Wenn Ihr Unternehmen Plattformen wie ein CRM, einen Helpdesk, ein Marketing-Automatisierungstool, einen Anbieter für Transaktions-E-Mails oder einen Cloud-E-Mail-Dienst nutzt, hängt Ihr SPF-Eintrag wahrscheinlich von einem oder mehreren „include“-Mechanismen ab.

• IT- und Sicherheitsteams in Unternehmen, die mehrere SaaS-Plattformen, regionale Absender oder Domain-Portfolios verwalten
• Systemadministratoren, die für DNS-Einträge und die Zustellbarkeit von E-Mails zuständig sind
• MSPs und MSSPs, die SPF und DMARC über mehrere Kundendomänen hinweg verwalten
• Berater für Cybersicherheit in regulierten Branchen wie dem Finanzwesen, dem Gesundheitswesen, dem Einzelhandel und dem öffentlichen Sektor

Was ist ein SPF-Eintrag?

Ein SPF-Eintrag oder Sender Policy Framework-Eintrag , ist ein DNS-TXT-Eintrag , der alle Server und IP-Adressen auflistet, die zum Versenden von E-Mails im Namen einer bestimmten Domain berechtigt sind. Wenn eine E-Mail eintrifft, überprüft der empfangende Mailserver die DNS-Einträge des Absenders, um sicherzustellen, dass die E-Mail von einer autorisierten Quelle stammt. Stimmt die IP-Adresse des Absenders mit einem Eintrag im Datensatz überein, wird die SPF-Prüfung bestanden. Ist dies nicht der Fall, wird die SPF-Prüfung nicht bestanden.

Was SPF-Einträge allein nicht leisten können

SPF-Mechanismen sind von grundlegender Bedeutung, weisen jedoch Einschränkungen auf, die es zu kennen gilt:

• Es überprüft den Absender des Umschlags, nicht die sichtbare Absenderadresse, die die Empfänger tatsächlich sehen
• Es bricht während der E-Mail-Weiterleitung, sodass weitergeleitete E-Mails oft die SPF-Prüfung nicht bestehen, selbst wenn der ursprüngliche Absender legitim ist
• Es kann allein nicht verhindern, dass Domain-Spoofing auf der Ebene des „From“-Headers verhindern, wo die meisten Phishing-Angriffe auf die Empfänger abzielen

Aus diesem Grund funktioniert SPF am besten als Teil einer umfassenderen Authentifizierungskonfiguration, die auch DKIM und DMARC. Die gemeinsame Konfiguration aller drei Protokolle bietet den höchsten Schutz für E-Mails.

Was beinhaltet SPF?

Wenn SPF-Einträge sozusagen das Regelwerk dafür sind, wer E-Mails von Ihrer Domain versenden darf, dann dient der SPF-Include-Mechanismus dazu, die von anderen erstellten Regeln zu übernehmen. Er ermöglicht es einem Domaininhaber, die Versandberechtigung an eine andere Domain zu delegieren, indem er in seinem eigenen SPF-Eintrag auf den SPF-Eintrag dieser Domain verweist. Anstatt jede IP-Adresse, die von einem E-Mail-Dienst eines Drittanbieters verwendet wird, manuell aufzulisten, fügen Sie dessen Domain ein, und der empfangende Server ruft den entsprechenden SPF-Eintrag ab und wertet ihn als Teil Ihres eigenen SPF-Eintrags aus.

Warum es die SPF-Einbeziehung gibt

Der moderne E-Mail-Versand erfolgt selten über einen einzigen Server. Für IT- und Sicherheitsteams in Unternehmen nimmt die Komplexität von SPF in der Regel zu, wenn im Laufe der Zeit neue SaaS-Tools, regionale Marketingplattformen, CRM-Systeme, Helpdesks und Transaktions-E-Mail-Dienste hinzukommen. Jeder neue Absender muss ordnungsgemäß autorisiert, kontinuierlich überwacht und innerhalb des SPF-Limits von 10 DNS-Lookups gehalten werden, um Authentifizierungsfehler und Probleme bei der Zustellbarkeit zu vermeiden.

Der SPF-Include-Mechanismus löst dieses Problem, indem er es Ihnen ermöglicht, direkt auf den SPF-Eintrag des Drittanbieters zu verweisen. Wenn der empfangende Server Ihren SPF-Eintrag auswertet und auf eine „include“-Anweisung stößt, ruft er im Rahmen des Validierungsprozesses den SPF-TXT-Eintrag dieser externen Domain ab und löst ihn auf. Wenn die SPF-Richtlinie der einbezogenen Domain für die sendende IP-Adresse einen „Pass“ zurückgibt, stimmt der „include“-Mechanismus überein und die SPF-Auswertung kann für diesen Absender erfolgreich abgeschlossen werden. Ist dies nicht der Fall, setzt der empfangende Server die Auswertung des restlichen SPF-Eintrags fort.

So sieht die Einbindung von SPF in der Praxis aus

Eine einfache SPF-Include-Anweisung sieht wie folgt aus:

In diesem Beispiel ruft der empfangende Server den SPF-Eintrag für „thirdpartydomain.com“ ab und wertet ihn zusammen mit Ihren übrigen Einträgen aus. Ist die Absender-IP in diesem Eintrag autorisiert, besteht die E-Mail die SPF-Prüfung für Ihre Domain. Der „Include“-Mechanismus ist für Domains unverzichtbar, die den E-Mail-Versand auslagern oder auf mehrere Anbieter zurückgreifen, da die Alternative darin bestünde, jede von jedem Dienst verwendete IP-Adresse manuell aufzulisten – was unpraktisch und fehleranfällig ist.

Wie funktioniert der SPF-Include-Mechanismus?

Wenn Sie den SPF-Include-Mechanismus auf technischer Ebene verstehen, können Sie Konfigurationsfehler vermeiden, die dazu führen, dass SPF unbemerkt versagt. Hier erfahren Sie, was passiert, wenn ein empfangender Server einen SPF-Eintrag auswertet, der Include-Anweisungen enthält.

Der SPF-Validierungsprozess

1. Wenn eine E-Mail bei einem empfangenden Mailserver eintrifft, extrahiert der Server die Domain aus der MAIL-FROM-Adresse und führt eine DNS-Abfrage durch, um den SPF-TXT-Eintrag dieser Domain abzurufen. Anschließend liest er den Eintrag von links nach rechts und wertet dabei jeden Mechanismus aus, bis er eine Übereinstimmung findet oder das Ende erreicht. Wenn er auf eine „include“-Anweisung stößt:
2. Der empfangende Server führt eine zusätzliche DNS-Abfrage durch, um den SPF-TXT-Eintrag der betreffenden Domain abzurufen.
3. Es vergleicht den SPF-Eintrag der betreffenden Domain mit der Absender-IP-Adresse.
4. Wenn die SPF-Richtlinie der einbezogenen Domain für die sendende IP-Adresse ein „Pass“-Ergebnis liefert, trifft der Einbeziehungsmechanismus zu, und die SPF-Prüfung kann für diesen Absender erfolgreich abgeschlossen werden.
5. Wird keine Übereinstimmung gefunden, setzt der Server die Auswertung der verbleibenden Mechanismen im ursprünglichen Datensatz fort.

Wie werden „How“-Einträge auf das Limit für DNS-Abfragen angerechnet?

Jede „include“-Anweisung in einem SPF-Eintrag löst mindestens eine zusätzliche DNS-Abfrage aus. Dies ist von Bedeutung, da die SPF-Validierung auf maximal zehn DNS-Abfragen pro Überprüfung beschränkt ist. Jedes „include“ wird zusammen mit Mechanismen wie „mx“ und „a“ auf dieses Limit angerechnet. Enthält der SPF-Eintrag der einbezogenen Domain selbst weitere „include“-Anweisungen, werden diese ebenfalls angerechnet, wodurch eine Kette von Abfragen entsteht, die sich schnell summieren kann.

Wird das Limit von zehn Abfragen überschritten, gibt SPF einen „PermError“ zurück, den empfangende Server als SPF-Fehler. Dies kann dazu führen, dass E-Mails abgelehnt werden oder im Spam-Ordner landen, selbst wenn die Absenderquelle völlig legitim ist.

Syntax von SPF-Einträgen: So verfassen Sie einen SPF-Include-Eintrag korrekt

Die korrekte Syntax ist unabdingbar. Schon ein einziger Fehler in Ihrer Syntax des SPF-Eintrags kann dazu führen, dass der gesamte Eintrag fehlschlägt, unabhängig davon, wie gut alles andere konfiguriert ist.

Der grundlegende Aufbau eines SPF-Eintrags

• v=spf1 gibt die SPF-Version an und muss am Anfang jedes SPF-TXT-Eintrags stehen
• Mechanismen definieren die autorisierten Absenderquellen, zu denen IP-Adressen, Domains über „include“, MX-Einträge und weitere gehören können
• „all“ ist der Sammelmechanismus, der festlegt, was mit E-Mails geschieht, die keiner der aufgeführten Quellen entsprechen

SPF-Qualifikationsrunden im Überblick

So verfassen Sie eine SPF-Include-Anweisung korrekt

Die korrekte Syntax für eine „include“-Anweisung lautet „include:domain.com“. Beachten Sie, dass zwischen „include“ und dem Doppelpunkt kein Leerzeichen stehen darf. Ein Leerzeichen führt zu einem Syntaxfehler. Hier ist ein vollständiges Beispiel für einen SPF-Eintrag mit mehreren „include“-Anweisungen:

• sendgrid.net und mailchimp.com sind über „include“ als Drittanbieter-Absender autorisiert
• 192.168.1.1 ist eine individuell autorisierte IP-Adresse
• ~„all“ ist ein Softfail, d. h., E-Mails aus nicht autorisierten Quellen werden markiert, aber nicht direkt abgelehnt

Checkliste: So fügen Sie sicher einen neuen SPF-Eintrag hinzu

1. Identifizieren Sie den neuen Versanddienst und überprüfen Sie die vom Anbieter angegebene Include-Domain.
2. Rufen Sie Ihren aktuellen SPF-TXT-Eintrag mithilfe eines SPF-Lookup-Toolab.
3. Zähle die Gesamtzahl der DNS-Lookups, einschließlich verschachtelter Lookups innerhalb der einbezogenen Einträge.
4. Fügen Sie den neuen „include:“-Mechanismus zu Ihrem einzelnen SPF-TXT-Eintrag hinzu.
5. Syntax mit einem SPF-Eintrag-Generator oder einem Nachschlagewerk.
6. Veröffentlichen Sie den aktualisierten Datensatz und überprüfen Sie die Authentifizierungsergebnisse anhand der E-Mail-Header.
7. Überwachen Sie die DMARC-Berichte, um sicherzustellen, dass der neue Absender die SPF-Übereinstimmung erfüllt.

SPF „Include“ vs. „Redirect“: Was ist der Unterschied?

Sowohl der „include“-Mechanismus als auch der „redirect“-Modifikator verweisen auf den SPF-Eintrag einer anderen Domain, verhalten sich jedoch völlig unterschiedlich. Die Verwendung des einen, wenn eigentlich der andere benötigt wird, ist ein häufiger Konfigurationsfehler, der die Authentifizierung unbemerkt beeinträchtigen kann.

Der „include“-Mechanismus autorisiert Absender, die im SPF-Eintrag einer anderen Domain aufgeführt sind, während Ihr SPF-Eintrag weiterhin zusätzliche Mechanismen enthalten kann. Der „redirect“-Modifikator hingegen weist den empfangenden Server an, den SPF-Eintrag einer anderen Domain als vollständige Richtlinie für Ihre Domain zu verwenden und damit alle anderen Angaben in Ihrem Eintrag zu ersetzen.

Häufiger Fehler

Verwendung von „include“ und „redirect“ im selben Datensatz. Der Modifikator „redirect“ wird ignoriert, sobald im Datensatz ein „all“-Mechanismus vorkommt, sodass sich die beiden nicht so kombinieren lassen, wie man es erwarten würde. Bei den meisten Konfigurationen mit mehreren Absendern ist „include“ die richtige Wahl, und „redirect“ wird gänzlich weggelassen.

Häufige Syntaxfehler, die es zu vermeiden gilt

• Die Veröffentlichung von mehr als einem SPF-TXT-Eintrag für dieselbe Domain führt zu einem PermError, da empfangende Server nicht feststellen können, welche Richtlinie angewendet werden soll.
• Ein Leerzeichen nach dem Doppelpunkt in einer Include-Anweisung einfügen
• Die Verwendung falscher Qualifizierer oder Mechanismen, die miteinander in Konflikt stehen
• Vergessen, die Aufzeichnung mit einem „all“-Befehl zu beenden

Ein SPF-Eintrag-Generator erstellt von Grund auf einen korrekt formatierten Eintrag, oder Sie können Ihren bestehenden Eintrag über ein SPF-Prüftool laufen lassen, um ihn auf Fehler zu überprüfen, bevor diese zu Zustellproblemen führen.

Vergleich der SPF-Mechanismen: „include“ im Vergleich zu „a“, „mx“, „ip4“, „ip6“ und „all“

Bevor Sie einen DNS-TXT-Eintrag bearbeiten, sollten Sie sich darüber im Klaren sein, welcher SPF-Mechanismus wann zum Einsatz kommen sollte. Jeder Mechanismus dient einem anderen Zweck und wirkt sich unterschiedlich auf die Anzahl Ihrer DNS-Abfragen aus.

SPF-Regeln mit mehreren Einbindungen und Beschränkungen für DNS-Abfragen

Die Verwendung mehrerer SPF-Includes ist gängig und oft notwendig, führt jedoch zu einer Komplexität, die sorgfältig gehandhabt werden muss. Hier erfahren Sie, was Sie über den Umgang mit einem SPF-Eintrag mit mehreren Includes.

Warum mehrere Einbindungen erforderlich sind

Die meisten Unternehmen versenden E-Mails über mehr als eine Plattform. Eine typische Konfiguration umfasst einen primären Mailserver für interne und ausgehende E-Mails, einen Transaktions-E-Mail-Dienst für Bestellbestätigungen und Benachrichtigungen, eine Marketingplattform für Newsletter und Kampagnen sowie ein CRM- oder Helpdesk-Tool für die Kundenkommunikation. Jeder dieser Dienste muss in Ihrem SPF-Eintrag autorisiert werden, und am praktischsten ist es, dies über „include“-Anweisungen zu tun, die auf den SPF-Eintrag des jeweiligen Anbieters verweisen.

Warum MSPs SPF-Einbindungen sorgfältig überwachen müssen

Für MSPs und MSSPs breiten sich Probleme mit SPF-Einträgen schnell über die Umgebungen der Kunden aus. Ein Kunde fügt möglicherweise ein neues E-Mail-Marketing-Tool hinzu, ein anderer wechselt das CRM-System, und ein dritter veröffentlicht unwissentlich mehrere SPF-Einträge. Ohne zentralisierte Transparenz führen diese Änderungen oft erst dann zu Support-Anfragen, wenn die E-Mail-Zustellung bereits fehlschlägt. Eine zentralisierte SPF- und DMARC-Verwaltungsplattform hilft MSPs dabei, fehlerhafte Einträge, ungenutzte „Includes“, Risiken durch Abfragebeschränkungen und Authentifizierungsfehler über alle Kundendomänen hinweg von einem einzigen Dashboard aus zu erkennen und so reaktive Fehlerbehebung zu reduzieren.

Warum mehrere SPF-Einbindungen das Limit von 10 Lookups überschreiten können

Jede „include“-Anweisung löst mindestens eine DNS-Abfrage aus, und manche SPF-Einträge von Drittanbietern enthalten ihrerseits weitere „include“-Anweisungen, wodurch noch mehr Abfragen hinzukommen. Wenn Sie vier oder fünf Plattformen autorisiert haben, nähern Sie sich möglicherweise bereits der Grenze von zehn Abfragen oder überschreiten diese sogar. Wird die Grenze überschritten, gibt der empfangende Server einen „PermError“ zurück und behandelt die E-Mail als SPF-Authentifizierungsfehler.

Beispiel: Wie sichtbare Includes mehr als insgesamt 10 Abfragen ausmachen

Drei sichtbare Einbindungen können leicht zu insgesamt mehr als zehn Abfragen führen, wenn man die verschachtelten Einbindungen innerhalb der referenzierten Datensätze mitzählt.

Wie viele SPF-Einträge kann ein SPF-Eintrag enthalten?

Es gibt keine feste Obergrenze für die Anzahl der „include“-Anweisungen, die Sie in einem SPF-Eintrag schreiben können. Allerdings dürfen alle DNS-Abfragemechanismen zusammen – einschließlich „include“, „a“, „mx“, „exists“ und „redirect“ – bei der Auswertung insgesamt nicht mehr als 10 DNS-Lookups auslösen. Diese Obergrenze umfasst auch verschachtelte Lookups innerhalb der eingebundenen Einträge.

In der Praxis können die meisten Domains problemlos drei bis fünf „include“-Anweisungen verwenden, bevor die Obergrenze erreicht wird – je nachdem, wie viele verschachtelte Lookups jeder referenzierte Eintrag auslöst. Das Hinzufügen eines sechsten oder siebten „include“ für einen Provider, dessen eigener SPF-Eintrag mehrere verschachtelte „include“-Anweisungen enthält, kann die Gesamtzahl auf über 10 erhöhen und einen „PermError“ auslösen, auch wenn der sichtbare Eintrag kurz erscheint. Ein SPF-Flattening-Tool zählt die Gesamtzahl der Abfragen und löst „include“-Ketten auf, bevor Sie Änderungen am Datensatz veröffentlichen.

So halten Sie das Limit für DNS-Abfragen ein

• Überprüfen Sie Ihren aktuellen SPF-Eintrag und ermitteln Sie die Gesamtzahl der dadurch ausgelösten DNS-Abfragen, einschließlich verschachtelter Abfragen innerhalb eingebundener Einträge
• Entfernen Sie alle Include-Anweisungen für Dienste, die Sie nicht mehr verwenden
• Ersetzen Sie nach Möglichkeit Include-Mechanismen durch direkte IPv4- oder IPv6-Einträge für Dienste, deren IP-Bereiche statisch und gut dokumentiert sind
• Verwendung SPF-Flattening , um Include-Ketten automatisch aufzulösen und durch direkte IP-Adressen zu ersetzen, wodurch die Gesamtzahl der Lookups reduziert wird
• Überprüfen Sie Ihren Datensatz jedes Mal, wenn Sie eine Versandplattform hinzufügen oder entfernen.

Immer nur ein SPF-Eintrag pro Domain

Eine wichtige Regel, die unabhängig davon gilt, wie viele Includes Sie verwalten: Veröffentlichen Sie niemals mehr als einen SPF-TXT-Eintrag für dieselbe Domain oder Subdomain. Mehrere SPF-Einträge führen zu einem SPF-PermError, da empfangende Server nicht feststellen können, welche Richtlinie angewendet werden soll. Daher muss alles in einem einzigen Eintrag zusammengefasst werden. Wenn Sie von Subdomains aus E-Mails versenden, benötigt jede Subdomain einen eigenen SPF-TXT-Eintrag.

Beispiele für SPF-Einbindungen bei gängigen E-Mail-Versandkonfigurationen

Die folgenden Beispiele veranschaulichen die korrekte SPF-Include-Syntax für typische plattformübergreifende Konfigurationen. Überprüfen Sie vor der Veröffentlichung stets die genaue Include-Domain in der Dokumentation Ihres Anbieters und validieren Sie jeden neuen Eintrag mit einem SPF-Eintrag-Abfrage-Tool , bevor Sie ihn im DNS veröffentlichen.

Nur ein E-Mail-Anbieter

E-Mail-Anbieter plus Transaktions-E-Mail-Dienst

E-Mail-Anbieter, Marketingplattform und CRM (beachten Sie die Anzahl der Suchanfragen)

Ungültige Beispiele

Zwei Datensätze, die fehlschlagen werden, mit folgender Begründung:

Häufige Fehler bei der Anwendung von Sonnenschutzmitteln und wie man sie vermeidet

SPF-Einträge sind leistungsstark, aber gnadenlos. Eine einzige Fehlkonfiguration kann zu Authentifizierungsfehlern im gesamten E-Mail-Verkehr führen, und das Frustrierende daran ist, dass viele dieser Fehler keine offensichtliche Fehlermeldung auslösen. Ganz gleich, ob Sie SPF zum ersten Mal einrichten oder einen bestehenden Eintrag überprüfen – auf diese Fehler sollten Sie achten.

SPF-Bewertungsergebnisse: „Pass“, „Fail“, „Softfail“, „Neutral“, „TempError“ und „PermError“

Wenn Sie wissen, was die einzelnen SPF-Ergebnisse bedeuten, können Sie Authentifizierungsfehler schnell diagnostizieren. Die folgende Tabelle enthält alle Ergebnisse, die ein empfangender Server nach der Auswertung eines SPF-Eintrags zurückgeben kann.

SPF-Einbindung und DMARC-Konformität

SPF-Einträge funktionieren nicht isoliert. Wie Sie diese konfigurieren, hat direkten Einfluss auf Ihre DMARC-Konformität, und das Verständnis der Zusammenhänge zwischen beiden ist entscheidend für die Aufrechterhaltung einer konsistenten Zustellbarkeit.

Für regulierte Branchen wie das Finanzwesen, das Gesundheitswesen, das Bildungswesen, den Einzelhandel und den öffentlichen Sektor ist die Einhaltung der SPF-Hygieneregeln nicht nur eine Frage der Zustellbarkeit. Sie unterstützt umfassendere Anforderungen an die E-Mail-Authentifizierung, die mit die Absenderregeln von Google und Yahoo, den Authentifizierungsanforderungen von Microsoft sowie PCI DSS, an die DSGVO angepasste Sicherheitskontrollen sowie interne Risikomanagementprogramme.

Wie SPF in DMARC integriert wird

DMARC baut auf SPF und DKIM auf und gibt Domain-Inhabern die Kontrolle darüber, wie ihre E-Mails behandelt werden, wenn die Authentifizierung fehlschlägt. Damit eine E-Mail DMARC besteht, muss mindestens eine der folgenden Bedingungen erfüllt sein:

• SPF-Prüfung erfolgreich, und die Domain im Absenderfeld stimmt mit der „From“-Domain überein
• DKIM wird erfolgreich verifiziert, und die DKIM-Signaturdomäne stimmt mit der Absenderdomäne überein

Das bedeutet, dass selbst ein korrekt konfigurierter SPF-Eintrag mit allen erforderlichen Einbindungen allein nicht ausreicht. Auch die SPF-Übereinstimmung muss gegeben sein, d. h., die Domain im Rückweg muss gemäß Ihren DMARC-Einstellungen zur Übereinstimmung mit der „From“-Domain übereinstimmen.

Wie sich die Einbeziehung von SPF auf die Ausrichtung auswirkt

Wenn ein Drittanbieter im Rückweg seine eigene Domain verwendet, ist dessen „include“-Eintrag möglicherweise in Ihrem SPF-Eintrag enthalten, und die SPF-Prüfung für diese Domain wird technisch gesehen zwar bestanden, doch stimmt die Domain nicht mit Ihrer „From“-Domain überein. In diesem Szenario schlägt die DMARC-Prüfung bei der SPF-Überprüfung dennoch fehl. Konfigurieren Sie den Drittanbieter-Dienst so, dass er einen benutzerdefinierten Rückweg unter Ihrer Domain verwendet, oder stellen Sie sicher, dass DKIM-Übereinstimmung als Ausweichlösung gewährleistet ist, ist unerlässlich.

Warum der Lichtschutzfaktor allein nicht ausreicht

SPF, DKIM und DMARC sind darauf ausgelegt, als Kernkomponenten E-Mail-Sicherheitsmaßnahmen . SPF überprüft die Absenderquelle, versagt jedoch bei der Weiterleitung. DKIM signiert die Nachricht selbst und bleibt auch bei der Weiterleitung erhalten. DMARC verbindet beide Verfahren und bietet Ihnen Transparenz und Kontrolle darüber, was geschieht, wenn eines der beiden versagt. Nur durch die Konfiguration aller drei Verfahren lässt sich eine robuste E-Mail-Authentifizierung aufbauen.

Einrichtung von DMARC neben SPF

Wenn Sie Ihre SPF-Einbindungen korrekt konfiguriert haben, DMARC jedoch noch nicht implementiert haben, ist die Einrichtung von DMARC der logische nächste Schritt. Beginnen Sie mit einer Richtlinie von p=none , um Ihre E-Mail-Ströme zu überwachen, ohne die Zustellbarkeit zu beeinträchtigen, und wechseln Sie dann zu „Quarantäne“ und „Ablehnen“, sobald Ihr Vertrauen in Ihre Authentifizierungskonfiguration wächst.

Verwalten Sie SPF-Includes und DMARC-Alignment mit PowerDMARC

Die Verwaltung von SPF-Includes wird schwierig, wenn Ihr Unternehmen mehrere Absender von Drittanbietern über Abteilungen, Domänen und Regionen hinweg einsetzt. Ein einziges ungenutztes Include, eine verschachtelte Lookup-Kette oder eine falsch zugeordnete Return-Path-Domäne kann zu Authentifizierungsfehlern führen, die manuell nur schwer zu erkennen sind.

PowerDMARC bietet IT-Teams, Sicherheitsverantwortlichen und MSPs einen zentralen Überblick über die SPF-, DKIM- und DMARC-Ergebnisse aller Absenderquellen. Mit automatisiertem SPF-Management, DMARC-Berichterstattung, SPF-Analysen, gehostete Authentifizierungsdienste und fachkundigen Support können Teams Fehler aufgrund von SPF-Lookup-Limits verhindern, unbefugte Absender identifizieren und die Compliance bei geringerem DNS-Aufwand gewährleisten.

Unternehmen nutzen PowerDMARC, um die SPF-Verwaltung zu zentralisieren, Authentifizierungsfehler zu überwachen und nicht autorisierte Absenderquellen zu identifizieren, bevor diese die Zustellbarkeit beeinträchtigen.

Demo buchen

Häufig gestellte Fragen

Wie viele SPF-Einträge kann ich haben?

Es gibt keine feste Obergrenze für „include“-Anweisungen, jedoch dürfen alle DNS-Abfragemekanismen zusammen nicht mehr als 10 Lookups umfassen, wobei verschachtelte Lookups innerhalb der referenzierten Datensätze mitgezählt werden. Die meisten Domains können drei bis fünf „include“-Anweisungen problemlos verarbeiten, bevor eine Verflachung erforderlich wird.

Was ist der Unterschied zwischen „include“ und „redirect“?

„include“ fügt die Absender einer anderen Domäne hinzu, während Ihre eigenen Mechanismen weiterhin aktiv bleiben. „redirect“ ersetzt Ihre gesamte Richtlinie durch den Eintrag einer anderen Domäne. „redirect“ wird ignoriert, wenn ein „all“-Mechanismus vorhanden ist, sodass sich die beiden nicht überschneiden.

Warum wird mein SPF-Test bestanden, der DMARC-Test aber immer noch nicht?

SPF kann als eigene Domain eines Drittabsenders durchgehen, ohne dass eine Übereinstimmung mit Ihrer „From“-Domain besteht. DMARC erfordert eine Übereinstimmung; konfigurieren Sie daher einen benutzerdefinierten Rückweg unter Ihrer Domain oder nutzen Sie als Ausweichlösung die DKIM-Übereinstimmung.

Was ist die Ursache für einen SPF-PermError?

Drei häufige Ursachen: Überschreitung des Limits von 10 Abfragen, Veröffentlichung von mehr als einem SPF-Eintrag für eine Domain oder ein Syntaxfehler, wie beispielsweise ein Leerzeichen nach „include:“. Alle drei Ursachen führen dazu, dass die SPF-Prüfung für jeden Absender fehlschlägt, bis der Fehler behoben ist.

Kann ich einen SPF-Eintrag für mehrere Subdomains verwenden?

Nein. Jede sendende Subdomain benötigt einen eigenen SPF-TXT-Eintrag. Der Eintrag der übergeordneten Domain gilt nicht für Subdomains, sodass E-Mails von einer nicht konfigurierten Subdomain die SPF-Prüfung nicht bestehen.

Wie kann ich die Anzahl der SPF-Abfragen reduzieren?

Entfernen Sie „include“-Einträge für nicht genutzte Dienste, ersetzen Sie Absender mit statischen IP-Adressen durch direkte IPv4- oder IPv6-Einträge und nutzen Sie SPF-Flattening, um „include“-Ketten in direkte IP-Adressen aufzulösen. Führen Sie bei jeder Hinzufügung oder Entfernung einer Versandplattform eine Überprüfung durch.

Hat das Hinzufügen eines Includes unmittelbare Auswirkungen auf E-Mails?

Erst nach der DNS-Propagierung, die bis zu 48 Stunden dauern kann. Überprüfen Sie den Eintrag vor der Veröffentlichung mit einem Lookup-Tool und vergewissern Sie sich anschließend, dass der neue Absender die SPF-Prüfung in Ihren DMARC-Berichten besteht.

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• Anleitung zur Einrichtung von Happyfox DKIM, DMARC und SPF – 13. August 2026
• Anleitung zur Einrichtung von SPF, DKIM und DMARC in Twikey – 11. August 2026
• Was versteht man unter „Whaling“ in der Cybersicherheit? – 7. August 2026