Was ist SPF? Sender Policy Framework erklärt

SPF (Sender Policy Framework) ist ein DNS-Eintrag, der festlegt, welche Mailserver E-Mails im Namen Ihrer Domain versenden dürfen. Ohne ihn kann jeder E-Mails fälschen, die scheinbar von Ihrer Domain kommen.

SPF prüft den sendenden Server, DKIM prüft die Signatur, und DMARC entscheidet, was passiert, wenn eines von beiden fehlschlägt.

So funktioniert SPF

Wenn ein empfangender Mailserver eine E-Mail erhält, die angeblich von [email protected], stammt, fragt er die DNS-TXT-Einträge von example.com ab und sucht dort einen SPF-Eintrag. Ist die IP des sendenden Servers aufgeführt, besteht die E-Mail die SPF-Prüfung. Andernfalls fällt sie durch.

Die E-Mail erreicht den Mailserver des Empfängers
Der Server sucht im DNS den SPF-Eintrag der Absenderdomain
Der Server vergleicht die sendende IP mit dem SPF-Eintrag
Ist die IP autorisiert, besteht SPF. Andernfalls fällt es durch.
Der empfangende Server wendet die Richtlinie an (~all, -all usw.)

Syntax eines SPF-Eintrags

Ein SPF-Eintrag ist ein TXT-Eintrag, der beginnt mit v=spf1:

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Aufgeschlüsselt bedeutet das:

v=spf1 — Kennung der SPF-Version (immer diese)
include:_spf.google.com — autorisiert die Mailserver von Google
include:sendgrid.net — autorisiert die Mailserver von SendGrid
~all — Softfail für jeden anderen Server

SPF-Mechanismen

Mechanism	Example	Meaning
`ip4:`	`ip4:203.0.113.1`	Autorisiert eine bestimmte IPv4-Adresse
`ip6:`	`ip6:2001:db8::1`	Autorisiert eine bestimmte IPv6-Adresse
`include:`	`include:_spf.google.com`	Übernimmt die SPF-Richtlinie einer anderen Domain
`a`	`a`	Autorisiert die IP aus dem eigenen A-Eintrag der Domain
`mx`	`mx`	Autorisiert die IPs aus den MX-Einträgen der Domain

All-Qualifizierer

Qualifier	Name	Meaning
`-all`	Fail	E-Mails von nicht autorisierten Servern ablehnen (streng)
`~all`	Softfail	Annehmen, aber als verdächtig markieren (empfohlen)
`?all`	Neutral	Keine Richtlinie — behandeln, als gäbe es kein SPF
`+all`	Pass	Alle Server zulassen — gefährlich, niemals verwenden

Übliche SPF-Einträge nach Mailanbieter

# Google Workspace
v=spf1 include:_spf.google.com ~all

# Microsoft 365
v=spf1 include:spf.protection.outlook.com ~all

# Mailchimp + Google Workspace
v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

# SendGrid
v=spf1 include:sendgrid.net ~all

Grenzen von SPF

Limit von 10 DNS-Abfragen — SPF erlaubt höchstens 10 DNS-Abfragen (jedes include:, a, mx zählt mit). Wird das überschritten, entsteht ein PermError.
Weiterleitungen brechen SPF — Wird eine E-Mail weitergeleitet, steht die IP des weiterleitenden Servers nicht in Ihrem SPF-Eintrag, sodass SPF fehlschlägt. Genau deshalb braucht man zusätzlich DMARC mit DKIM.
Ein SPF-Eintrag pro Domain — Mehrere SPF-Einträge führen zu einem PermError. Fassen Sie sie zu einem zusammen.

Häufige Fragen

Brauche ich SPF?

Ja. Ohne SPF kann jeder E-Mails senden, die scheinbar von Ihrer Domain kommen. SPF ist die erste Verteidigungslinie gegen E-Mail-Spoofing.

Wo füge ich einen SPF-Eintrag hinzu?

Legen Sie einen TXT-Eintrag auf der Root-Domain an (@) — über Ihren DNS-Anbieter oder Registrar. Der Wert ist die SPF-Zeichenkette.

Woran erkenne ich, dass mein SPF funktioniert?

Use the E-Mail-Sicherheitsprüfung or the TXT-Eintragsabfrage um Ihren aktuellen SPF-Eintrag zu sehen.

SPF-Eintrag prüfen →Weiter: DMARC einrichten →

Auf Ihrer Domain ausprobieren

Sehen Sie die Theorie in der Praxis — führen Sie E-Mail-Sicherheitsprüfung für Ihre eigene Domain aus.