Welchen SPF-Eintrag benötige ich für meine Domäne?

E-Mail-Spoofing und Phishing sind nach wie vor eine ständige Bedrohung für Unternehmen weltweit, weshalb die E-Mail-Authentifizierung wichtiger denn je ist. Wenn Sie sich fragen: "Welchen SPF brauche ich?", dann haben Sie bereits einen wichtigen Schritt zum Schutz Ihrer Domain und zum Schutz des Rufs Ihrer Marke getan.

SPF (Sender Policy Framework) ist ein DNS-TXT-Eintrag, der empfangenden E-Mail-Servern mitteilt, welche IP-Adressen und Server berechtigt sind, E-Mails im Namen Ihrer Domäne zu versenden. Ohne ordnungsgemäße SPF-Konfiguration können Ihre legitimen E-Mails in Spam-Ordnern landen, während Cyberkriminelle sich leicht als Ihre Domäne ausgeben können.

Um herauszufinden, welche SPF Sie benötigen, müssen Sie Ihre aktuelle E-Mail-Einrichtung bewerten und sicherstellen, dass alle legitimen Sendequellen ordnungsgemäß autorisiert sind.

Was ist SPF in E-Mails?

SPF ist ein E-Mail-Authentifizierungsprotokoll, das über einen DNS-TXT-Eintrag implementiert wird. Sein Zweck ist es, anzugeben, welche Mailserver und IP-Adressen berechtigt sind, E-Mails im Namen Ihrer Domäne zu versenden. Durch die Veröffentlichung dieser Informationen schaffen Sie einen Bezugspunkt, den empfangende Mailserver bei der Entscheidung über die Annahme einer Nachricht überprüfen können.

SPF-Datensätze werden unter Verwendung einer definierten Syntax geschrieben, die Mechanismen wie "einschließen", "a", "mx", und "ip4/ip6". Diese Mechanismen ermöglichen es Domäneninhabern, vertrauenswürdige Server auf strukturierte Weise anzugeben. Mit "include" werden beispielsweise die SPF-Richtlinien von Drittanbietern einbezogen, während "mx" die Server autorisiert, die die eingehende Post Ihrer Domäne bearbeiten. Zusammen bilden diese Elemente einen präzisen Satz von Anweisungen für Mailserver, die sicherstellen, dass nur legitime Absender erkannt werden.

Warum ist SPF wichtig?

Die SPF-Authentifizierung bietet mehrere Vorteile, die direkt sowohl die Sicherheit und die E-Mail-Leistung verbessern.

Erstens: SPF hilft E-Mail-Spoofing und Phishing-Versuchezu verhindern indem es Cyber-Kriminellen erheblich erschwert wird, sich in bösartigen E-Mails als Ihre Domäne auszugeben. Mit diesem Schutz verlieren Angreifer eine wichtige Methode, Ihre Markenidentität in betrügerischen Kampagnen auszunutzen.

SPF verbessert auch verbessert die Zustellbarkeit von E-Mails. Internetdienstanbieter und -plattformen wie Gmail, Outlook und Yahoo verwenden die SPF-Validierung als wichtige Voraussetzung, um zu entscheiden, ob sie einer eingehenden E-Mail vertrauen. Ein ordnungsgemäß konfigurierter SPF-Eintrag signalisiert diesen Diensten, dass Ihre E-Mails legitim sind, was die Wahrscheinlichkeit erhöht, dass Ihre Nachrichten im Posteingang und nicht im Junk-Ordner landen.

SPF schützt den Ruf Ihrer Marke indem es die unbefugte Verwendung Ihrer Domäne in Spam- oder Phishing-Kampagnen verhindert. Wenn die Kunden wissen, dass die E-Mails wirklich von Ihnen stammen, wächst das Vertrauen in Ihr Unternehmen, und Sie behalten eine bessere Kontrolle über Ihre Kommunikationskanäle.

Wie SPF funktioniert

Der SPF-Authentifizierungsprozess funktioniert durch eine klare, schrittweise Überprüfungssequenz, die jedes Mal stattfindet, wenn eine E-Mail gesendet wird. Ein gründliches Verständnis dieses Prozesses macht es einfacher, genaue SPF-Einträge zu konfigurieren, die der einzigartigen Struktur Ihrer E-Mail-Umgebung entsprechen.

Der Prozess beginnt damit, dass Ihr Unternehmen einen SPF-Eintrag in den DNS-Einstellungen Ihrer Domäne veröffentlicht. Dieser Eintrag wirkt wie ein öffentliches Regelwerk, das angibt, welche IP-Adressen, Mailserver und Dienste von Drittanbietern in Ihrem Namen E-Mails versenden dürfen.

Wenn jemand eine E-Mail sendet, die angeblich von Ihrer Domäne stammt, leitet der empfangende E-Mail-Server eine SPF-Abfrage ein, indem er die DNS-Einträge Ihrer Domäne überprüft. Er vergleicht dann die IP-Adresse des sendenden Servers mit den in Ihrem SPF-Eintrag aufgeführten autorisierten Quellen.

Wenn der sendende Server aufgeführt ist, besteht die Nachricht die SPF-Authentifizierung und signalisiert dem Empfängersystem, dass der E-Mail vertraut werden kann. Wenn der sendende Server jedoch nicht als autorisiert aufgeführt ist, schlägt die E-Mail die SPF-Prüfung fehl. Je nach der von Ihnen konfigurierten Richtlinie kann der empfangende Server die E-Mail ablehnen, in Quarantäne stellen oder in den Spam-Ordner des Empfängers verschieben. Dieser gesamte Vorgang erfolgt automatisch und innerhalb von Millisekunden, was SPF zu einer äußerst effizienten Schutzschicht macht.

Welchen SPF-Eintrag benötigen Sie?

Um festzustellen, welches SPF Sie benötigen, müssen Sie Ihre E-Mail-Infrastruktur sorgfältig überprüfen, um jede legitime Quelle zu identifizieren, die Nachrichten im Namen Ihrer Domain sendet. Welchen SPF-Eintrag Sie genau benötigen, hängt davon ab, ob Ihr Unternehmen eigene Mailserver verwendet, sich auf Drittanbieter verlässt oder in einer hybriden Umgebung arbeitet.

Für Organisationen, die ihre eigenen Mailservermuss Ihr SPF-Eintrag die IP-Adressen Ihres Servers mit "ip4"- oder "ip6"-Mechanismen enthalten. Ein Beispiel hierfür ist:

• v=spf1 ip4:192.0.2.1 -all 

Dieser Eintrag autorisiert eine einzelne IPv4-Adresse, E-Mails für Ihre Domain zu versenden, während der Mechanismus -all die empfangenden Server anweist, Nachrichten von nicht autorisierten Quellen zurückzuweisen.

Wenn Ihr Unternehmen Drittanbieterverwenden, müssen Sie die SPF-Einträge jedes Dienstes mit "include"-Anweisungen einschließen. Übliche Beispiele sind:

• Google Arbeitsbereich: include:_spf.google.com
• Microsoft 365: include:spf.protection.outlook.com
• Mailchimp: include:servers.mcsv.net

Für gemischte Umgebungenkönnen Sie verschiedene Mechanismen in einem umfassenden SPF-Eintrag kombinieren. Zum Beispiel:

• v=spf1 include:_spf.google.com include:servers.mcsv.net ip4:203.0.113.1 -all

In diesem Beispiel werden Google Workspace, Mailchimp und eine bestimmte IPv4-Adresse autorisiert, im Namen Ihrer Domain zu senden.

Wie Sie Ihren SPF-Eintrag überprüfen

Die Überprüfung Ihres SPF-Eintrags ist ein wichtiger Schritt, um sicherzustellen, dass er korrekt konfiguriert ist und wie vorgesehen funktioniert. Eine ordnungsgemäße Validierung hilft Ihnen, Fehler frühzeitig zu erkennen, lange bevor sie die Zustellbarkeit von E-Mails beeinträchtigen oder Ihre Domain dem Missbrauch aussetzen.

Zu diesem Zweck gibt es eine Reihe von kostenlosen und zuverlässigen Tools. Beliebte Optionen sind MXToolbox, der SPF-Prüfer von PowerDMARCund die Admin Toolbox von Google. Diese Plattformen ermöglichen es Ihnen, Ihren veröffentlichten SPF-Eintrag schnell zu analysieren und detaillierte Berichte zu erstellen. Sie heben hervor, ob der Eintrag korrekt formatiert ist, erkennen Syntaxfehler und weisen auf potenzielle DNS-Lookup-Probleme hin, die zu unerwarteten Fehlern führen können.

Wenn Sie eine Prüfung durchführen, zeigen die Ergebnisse in der Regel eines von mehreren Resultaten an:

Ein Ergebnis von "passieren" bedeutet, dass der sendende Server autorisiert ist und die E-Mail die SPF-Anforderungen erfolgreich erfüllt hat. A "fail"Ergebnis bedeutet, dass der Server nicht in Ihrem SPF-Eintrag aufgeführt ist und die E-Mail als nicht autorisiert gilt.

A "softfail" deutet darauf hin, dass der Server wahrscheinlich nicht autorisiert ist, aber die E-Mail kann trotzdem zugestellt werden (oft mit einer Warnung oder in den Spam-Ordner), und ein "neutrales"Ergebnis bedeutet, dass der SPF-Eintrag keine eindeutige Aussage darüber macht, ob der Server autorisiert ist, und die Entscheidung dem Mailserver des Empfängers überlässt.

Darüber hinaus gibt es noch weitere mögliche Ergebnisse. "Keine"bedeutet, dass kein SPF-Datensatz für die Domäne gefunden wurde, so dass es keine veröffentlichte Richtlinie gibt, gegen die validiert werden kann. "Permerror"(permanenter Fehler) tritt auf, wenn der SPF-Datensatz ungültig oder falsch konfiguriert ist, z. B. wenn es zu viele DNS-Abfragen oder Syntaxfehler gibt, so dass der Empfängerserver ihn nicht richtig auswerten kann. "Temperror"(temporärer Fehler) weist auf ein temporäres Problem hin, z. B. einen DNS-Fehler, der eine ordnungsgemäße SPF-Validierung verhindert hat, aber durch einen erneuten Versuch behoben werden kann.

Häufige SPF-Fehler zu vermeiden

SPF bietet zwar einen wirksamen Schutz, kann aber durch falsche Konfiguration leicht untergraben werden. Wenn Sie diese Fehler verstehen, können Sie von Anfang an effektivere SPF-Einträge implementieren.

Der wichtigste Fehler ist die Erstellung von mehrere SPF-Einträge für eine einzige Domäne. Gemäß den SPF-Einschränkungenlässt DNS nur einen SPF-Eintrag pro Domäne zu. Wenn mehr als ein SPF-Datensatz vorhanden ist, können empfangende Server den Datensatz als ungültig behandeln, was dazu führt, dass legitime E-Mails nicht authentifiziert werden können. Stattdessen müssen alle autorisierten Absenderquellen sorgfältig in einem einzigen, umfassenden Eintrag zusammengefasst werden.

Ein weiteres häufiges Problem ergibt sich aus Überschreitung des Limits von 10 DNS-Lookups. Jede "Include"-Anweisung oder jeder Mechanismus, der auf externe DNS-Einträge verweist, wird auf diese Grenze angerechnet, und komplexe Setups können diese Grenze ohne sorgfältige Planung überschreiten. In diesem Fall schlägt die SPF-Validierung standardmäßig fehl und untergräbt sowohl die Zustellbarkeit als auch das Vertrauen.

Ein weiteres Versäumnis ist das Versäumnis, SPF-Einträge zu aktualisieren zu aktualisieren, wenn sich Änderungen in Ihrer E-Mail-Infrastruktur ergeben. Wenn Sie beispielsweise eine neue Marketing-Plattform einführen, den Hosting-Anbieter wechseln oder zu einem Dienst wie Microsoft 365 oder Google Workspace migrieren, es aber versäumen, Ihren SPF-Eintrag zu aktualisieren, kann es passieren, dass Ihre legitimen Nachrichten nicht mehr authentifiziert werden. Dies unterbricht die Unternehmenskommunikation und kann die Kundenbeziehungen beeinträchtigen, wenn wichtige E-Mails nicht ankommen.

Die Quintessenz

Welche Art von SPF-Eintrag Sie benötigen, hängt ganz von der Einrichtung Ihres E-Mail-Dienstes und der gesamten Infrastruktur ab, auf die Sie sich stützen. Wenn Ihr Unternehmen seine eigenen Mailserver verwaltet, muss Ihr SPF-Eintrag die entsprechenden IP-Adressen enthalten. Wenn Sie von Drittanbietern wie Google Workspace, Microsoft 365 oder spezialisierten Marketingplattformen abhängig sind, muss Ihr Eintrag die von diesen veröffentlichten Mechanismen enthalten. In jedem Fall sollte der Eintrag eine umfassende Liste aller legitimen Sendequellen enthalten, um sicherzustellen, dass Ihre Domain vollständig vor Missbrauch geschützt ist.

Es ist jedoch wichtig zu verstehen, dass SPF allein keinen vollständigen Schutz bietet. Es überprüft zwar die Absender, aber Angreifer können SPF immer noch umgehen, indem sie die sichtbare Absenderadresse fälschen und den Empfängern vorgaukeln, dass eine E-Mail von Ihrer Domäne stammt, auch wenn sie die SPF-Prüfung nicht besteht. 

Aus diesem Grund sollte SPF niemals isoliert eingesetzt werden. In Kombination mit DKIM (das die Integrität der Nachricht überprüft) und DMARC (das den Abgleich zwischen dem sichtbaren Absender und den Authentifizierungsergebnissen erzwingt) entsteht eine echte mehrschichtige Verteidigung. Dieser kombinierte Ansatz stärkt Ihren Schutz vor Phishing, Spoofing und Domain-Missbrauch erheblich und gibt den Empfängern ein größeres Vertrauen, dass Ihre Nachrichten authentisch und vertrauenswürdig sind.

Wenn Sie eine fachkundige Anleitung wünschen, die auf Ihre Einrichtung zugeschnitten ist, sollten Sie eine Demo buchen mit PowerDMARC zu buchen, um zu sehen, wie unsere Lösungen Ihnen helfen können, Ihre Domain effektiver zu sichern.

Häufig gestellte Fragen (FAQs)

Was passiert, wenn ich keinen SPF-Eintrag einrichte?

Ohne einen SPF-Eintrag ist die Wahrscheinlichkeit, dass Ihre E-Mails von den empfangenden E-Mail-Servern als verdächtig oder als Spam markiert werden, sehr viel größer. Noch kritischer ist, dass Cyberkriminelle Ihre Domäne leicht fälschen und Phishing- oder betrügerische E-Mails versenden können, die scheinbar von Ihrem Unternehmen stammen. Dies gefährdet nicht nur die Zustellbarkeit Ihrer E-Mails, sondern setzt auch den Ruf Ihrer Marke und das Vertrauen Ihrer Kunden erheblich aufs Spiel.

Kann eine Domäne mehrere SPF-Einträge haben?

Nein, Domänen sollten nur einen SPF-Eintrag haben. Mehrere SPF-Einträge verstoßen gegen den Standard und führen zu Authentifizierungsfehlern, da Mailserver nicht in der Lage sind zu interpretieren, welcher Eintrag maßgebend ist. Fassen Sie stattdessen alle autorisierten Quellen in einem einzigen Eintrag zusammen.

• Über
• Neueste Beiträge

Ayan Bhuiya

Schichtleiter, Experte für Infrastruktur und E-Mail-Sicherheit bei PowerDMARC

Ayan Bhuiya verfügt über mehr als 13 Jahre Erfahrung im Bereich Cybersicherheit und ist spezialisiert auf Infrastruktur, Geschäftskontinuität, Risikomanagement und E-Mail-Sicherheit. Derzeit ist er als Shift Lead bei PowerDMARC tätig. Er hat ein Postgraduierten-Diplom in Netzwerken und Sicherheit und verfügt über eine nachgewiesene Erfolgsbilanz bei der Leitung strategischer Sicherheitsinitiativen zur Abschwächung von Bedrohungen und zur Gewährleistung der Widerstandsfähigkeit von Unternehmen.

Neueste Beiträge von Ayan Bhuiya (alle anzeigen)

• 6 Wege, wie eine Verletzung des Datenschutzes die Sicherheit Ihres Unternehmens gefährden kann – 1. April 2026
• NIS2-Richtlinie: Was sie ist, Anforderungen, Fristen und wie man sie einhält – 26. März 2026
• Essential Eight vs. SMB 1001: Ein umfassender Vergleich für moderne Cybersicherheit in Australien – 12. Februar 2026