SPF-Eintrag prüfen
Warum landen meine Mails im Spam?
Prüfen Sie Ihren SPF-Eintrag: welche Dienste für Ihre Domain senden dürfen, wie nah Sie am Limit von 10 DNS-Lookups sind und welche Fehler den Eintrag ungültig machen – alles auf einen Blick.
SPF-Eintrag erstellen
Wählen Sie alle Dienste, die mit Ihrer Domain E-Mails senden, und tragen Sie den einzeiligen Eintrag als TXT-Eintrag im DNS-Panel ein. Löschen Sie den alten SPF-Eintrag: Eine Domain darf nur einen haben.
Mails im Spam? SPF-Probleme und Lösungen
SPF-Probleme haben meist eine einzige Ursache: Ein neuer Dienst hat einen zweiten SPF-Eintrag angelegt, die includes sprengen das Limit von 10 Lookups, oder der Dienst, über den Sie senden, fehlt im Eintrag. Wählen Sie Ihr Symptom.
Meine gesendeten Mails landen im Spam
Prüfen Sie zuerst, ob der Eintrag existiert, dann die Liste „Erkannte Dienste“ im Ergebnis: Fehlt der Dienst, über den Sie senden (E-Mail-Anbieter, Newsletter-Tool, CRM, Rechnungsprogramm), kann der Empfänger die Mail nicht prüfen. Ergänzen Sie dessen include im bestehenden Eintrag und prüfen Sie auch DKIM und DMARC.
SPF-Eintrag erstellen„SPF permerror“ oder „too many DNS lookups“
Bei der SPF-Prüfung sind höchstens 10 DNS-Lookups erlaubt; include, a, mx, ptr, exists und redirect zählen je einen, und Lookups innerhalb von includes zählen mit. Entfernen Sie includes nicht mehr genutzter Dienste und tragen Sie für Server mit fester IP ip4/ip6 ein. Die Zahl sehen Sie im Zähler und in der include-Kette des Ergebnisses.
Meine Domain hat zwei SPF-Einträge
Zwei getrennte v=spf1-Einträge machen SPF komplett ungültig. Fassen Sie die Mechanismen in einem Eintrag zusammen, etwa v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all, und löschen Sie den überzähligen.
~all oder -all?
~all lässt Mails nicht gelisteter Server als verdächtig markieren, -all lässt sie ablehnen. Sind Sie nicht sicher, alle Absender zu kennen, beginnen Sie mit ~all und wechseln auf -all, sobald DMARC-Berichte zeigen, dass alle legitimen Absender bestehen.
SPF schlägt bei weitergeleiteten Mails fehl
Bei einer Weiterleitung sendet der weiterleitende Server, und seine IP steht nicht in Ihrem SPF. Das ist eine bekannte Grenze von SPF; eine DKIM-Signatur übersteht die Weiterleitung und hält die Nachricht prüfbar.
DKIM prüfenSPF besteht, DMARC aber nicht
DMARC verlangt, dass SPF für Ihre Domain besteht (Alignment). Versendet ein Newsletter- oder CRM-Dienst mit eigener Domain, besteht SPF für dessen Domain, nicht für Ihre. Aktivieren Sie im Dienst den Versand mit Ihrer Domain (eigener Return-Path oder DKIM).
DMARC-Eintrag prüfenWas ist ein SPF-Eintrag?
SPF (Sender Policy Framework) ist ein TXT-Eintrag, der die Server auflistet, die für Ihre Domain E-Mails senden dürfen. Der Empfänger vergleicht die IP des Absenders mit dieser Liste; steht sie nicht darauf, gilt die Nachricht als verdächtig oder wird abgelehnt.
Eine Domain darf nur einen SPF-Eintrag haben, und seine Auswertung darf höchstens 10 DNS-Lookups brauchen (RFC 7208). Ein zweiter Eintrag oder eine zu lange include-Kette macht SPF komplett ungültig – prüfen Sie den Eintrag deshalb, wenn er wächst.
- Absender-ServerSendet von seiner IP-Adresse
- SPF-EintragNennt die erlaubten Server
- Empfänger-ServerEntscheidet: bestanden, verdächtig, abgelehnt
So lesen Sie einen SPF-Eintrag
v=spf1Version: Kennzeichnet den Eintrag als SPF; jeder SPF-Eintrag beginnt damit, genau einmal.include:_spf.google.cominclude: Bindet die SPF-Liste einer anderen Domain ein, hier die Server von Google Workspace. Jedes include zählt als ein DNS-Lookup.ip4:203.0.113.10ip4: Erlaubt den Versand von dieser IPv4-Adresse (oder einem Bereich wie /24) und braucht keinen DNS-Lookup.mxmx: Erlaubt den MX-Servern der Domain das Senden; zählt als ein DNS-Lookup.~allStandardregel: Die Entscheidung für nicht gelistete Server:~verdächtig,-ablehnen. Steht am Ende des Eintrags.
Das Ergebnis erklärt außerdem jeden Term, nennt die Dienste hinter jedem include und zeigt den Zähler gegen das Limit von 10 Lookups.
SPF-Werte bekannter E-Mail-Dienste
Fügen Sie den Wert jedes genutzten Dienstes in denselben v=spf1-Eintrag ein; legen Sie keinen eigenen Eintrag pro Dienst an.
| Dienst | Wert für den SPF-Eintrag |
|---|---|
| MailLB (Atak Domain) | ip4:185.46.40.0/22 |
| Google Workspace | include:_spf.google.com |
| Microsoft 365 | include:spf.protection.outlook.com |
| Yandex 360 | include:_spf.yandex.net |
| Zoho Mail | include:zohomail.com |
| Proton Mail | include:_spf.protonmail.ch |
Bei Newsletter-, CRM- oder Rechnungsdiensten steht der Wert im Bildschirm zur Domain-Verifizierung. Ob er noch gilt, sehen Sie mit diesem Tool in der include-Kette.
Häufige Fragen
Die häufigsten Fragen zu SPF, dem Limit von 10 Lookups und Spam-Problemen.
- SPF sagt Empfängern, welche Server für Ihre Domain senden dürfen. Versucht jemand anderes, mit Ihrer Domain zu senden, wird die Nachricht markiert oder abgelehnt – Ihre eigenen Mails landen dagegen nicht im Spam.
- Nein. Bei zwei getrennten
v=spf1-Einträgen liefert SPF permerror und wirkt gar nicht. Fassen Sie die Werte aller Dienste in einem Eintrag zusammen. - Bei der SPF-Prüfung macht der Empfänger höchstens 10 DNS-Lookups für include, a, mx, ptr, exists und redirect – auch die in includes verschachtelten zählen. Darüber liefert SPF permerror. Am sichersten: ungenutzte includes löschen und für feste IPs ip4/ip6 eintragen.
-
~all(softfail) lässt Mails nicht gelisteter Server als verdächtig markieren,-all(fail) lässt sie ablehnen. In der Praxis richten sich die meisten Empfänger nach Ihrer DMARC-Richtlinie; ist Ihre Absenderliste vollständig, schützt -all strenger. - Legen Sie im Panel, in dem Sie das DNS Ihrer Domain verwalten, einen TXT-Eintrag an: Name
@(oder Ihre Domain), Wert beginnend mitv=spf1und endend mit~all. Gibt es schon einen SPF-Eintrag, bearbeiten Sie ihn statt einen weiteren anzulegen. - Nein. SPF bricht bei Weiterleitungen und sagt nicht, was mit gefälschten Mails geschehen soll. Gmail und Yahoo verlangen von Absendern mit mehr als 5.000 Mails pro Tag SPF, DKIM und DMARC; auch für kleinere Absender verbessern alle drei zusammen die Zustellung deutlich.
Keine Lust auf E-Mail-DNS-Einträge?
Bei Atak Domain Business-E-Mail werden MX, SPF und DKIM automatisch eingetragen, Support gibt es jeden Tag – ab $0,99 im Monat.