SPF ist die Gästeliste deiner Domain. Darin steht, welche Server E-Mails mit deiner Absenderadresse verschicken dürfen. Kommt eine Nachricht von einem Server, der nicht auf der Liste steht, weiß der Empfänger: Hier stimmt etwas nicht.
Ohne diese Liste kann jeder Rechner der Welt Post mit deiner Adresse im Absender losschicken, und niemand kann das von außen unterscheiden. Das ist keine theoretische Gefahr – gefälschte Rechnungen im Namen kleiner Firmen sind Alltag. Umgekehrt schadet ein fehlender oder fehlerhafter SPF-Eintrag auch deiner eigenen Post: Wer keine Gästeliste vorweist, landet bei vielen Empfängern schneller im Spam-Ordner.
SPF ist ein ganz normaler TXT-Eintrag im DNS deiner Domain. Ein typischer sieht so aus:
v=spf1 include:_spf.perfora.net include:_spf-eu.ionos.com ~allÜbersetzt heißt das:
v=spf1 – hier beginnt ein SPF-Eintrag. Muss ganz vorne stehen.include:… – „übernimm zusätzlich die Liste dieses Anbieters". So kommen die Server deines Postfach-Anbieters, deines Newsletter-Werkzeugs und deines Shops in die Gästeliste, ohne dass du einzelne IP-Adressen pflegen musst.~all – „alles andere ist vermutlich nicht von mir". Der Empfänger nimmt solche Nachrichten meist trotzdem an, wertet sie aber ab.Statt ~all gibt es auch -all („alles andere ist definitiv nicht von mir", strenger) und +all oder ?all – die beiden letzten heben den Schutz auf, dazu unten mehr.
Das ist der Punkt, an dem die meisten gewachsenen Einträge scheitern, und der Grund, warum dieser Test die Kette komplett durchrechnet.
Jedes include löst beim Empfänger eine DNS-Abfrage aus. Und jeder eingebundene Eintrag darf seinerseits include enthalten – die zählen mit. Der Standard erlaubt insgesamt höchstens zehn solcher Abfragen.
Wird diese Grenze überschritten, ist das Ergebnis nicht etwa „ein bisschen schlechter". Der Empfänger bricht die Auswertung ab und behandelt die Domain so, als hätte sie überhaupt keinen SPF-Eintrag. Der Eintrag steht weiter im DNS, sieht vollständig aus, wirkt aber nicht mehr.
Wie das passiert, zeigt ein typischer Verlauf über ein paar Jahre:
| Was dazukam | Abfragen | Summe |
|---|---|---|
| Postfach beim Hoster | 2 | 2 |
| Newsletter-Werkzeug | 2 | 4 |
| Shop-Bestätigungsmails | 1 | 5 |
| CRM mit Serienmails | 3 | 8 |
| Terminbuchung | 1 | 9 |
| Rechnungsprogramm | 2 | 11 – ab hier fällt SPF aus |
Niemand hat etwas falsch gemacht. Jeder einzelne Dienst hat eine korrekte Anleitung geliefert. Trotzdem ist der Schutz weg, und gemerkt hat es niemand – denn es gibt keine Fehlermeldung. Man sieht es nur, wenn man nachzählt.
Was hilft: nicht mehr genutzte include herauswerfen (der häufigste Fall – das Newsletter-Werkzeug von vor drei Jahren steht oft noch drin), Dienste auf eigene Versanddomains umstellen (mailing.deine-domain.de statt der Hauptdomain), oder die IP-Adressen eines sparsamen Dienstes direkt als ip4: eintragen, was keine Abfrage kostet.
Der Eintrag gehört immer dorthin, wo die DNS-Zone deiner Domain liegt – nicht unbedingt dorthin, wo die Website liegt. Bei den meisten kleinen Firmen ist das der Hoster, bei dem die Domain registriert ist.
Alle folgenden Angaben sind gegen das DNS geprüft. Wenn ein Anbieter hier fehlt, hole dir den Baustein aus seiner Dokumentation und setze ihn in deinen vorhandenen Eintrag ein.
| Anbieter | Baustein |
|---|---|
| IONOS | include:_spf.perfora.net include:_spf-eu.ionos.com |
| Microsoft 365 | include:spf.protection.outlook.com |
| Google Workspace | include:_spf.google.com |
| mailbox.org | include:mailbox.org |
| STRATO | kein Include – STRATO legt den passenden Eintrag im Kundenbereich selbst an |
| Dienst | Baustein |
|---|---|
| Mailchimp | include:servers.mcsv.net |
| Brevo | include:spf.brevo.com |
| SendGrid | include:sendgrid.net |
| Mailgun | include:mailgun.org |
| Postmark | include:spf.mtasv.net |
| HubSpot | include:_spf.hubspotemail.net |
Ein zusammengesetzter Eintrag für eine Firma mit Microsoft 365 und Brevo sieht dann so aus:
v=spf1 include:spf.protection.outlook.com include:spf.brevo.com ~allv=spf1 existiert. Wenn ja: diesen bearbeiten, keinen zweiten anlegen.@ (oder leer – das steht für die Domain selbst), als Wert den fertigen Eintrag.Bei Microsoft 365, Google Workspace und STRATO ist der Weg derselbe, nur heißt der Bereich anders: DNS-Verwaltung, Zonenverwaltung oder Domain-Einstellungen.
Im DNS deiner Domain steht kein Eintrag, der mit v=spf1 beginnt. Empfänger haben damit keinerlei Anhaltspunkt, welche Server für dich versenden dürfen.
Was zu tun ist: Schreibe auf, über welche Wege deine Domain tatsächlich Post verschickt – Postfach, Newsletter, Shop, Kontaktformular der Website, Rechnungsprogramm. Setze dann einen einzigen Eintrag zusammen, der alle davon nennt, und schließe ihn mit ~all ab.
Es gibt zwei oder mehr TXT-Einträge mit v=spf1. Das ist kein Schönheitsfehler: Der Standard schreibt in diesem Fall einen harten Fehler vor, und Empfänger verwerfen SPF vollständig. Beide Einträge können für sich völlig richtig sein – zusammen wirken sie wie gar keiner.
Entsteht fast immer so: Ein Dienst sagt „legen Sie diesen TXT-Eintrag an", und man legt ihn brav neben den bestehenden.
Was zu tun ist: Die Bestandteile aller Einträge in einen einzigen zusammenführen (alle include hintereinander, ein einziges all am Ende) und die übrigen löschen.
Deine Kette löst mehr als zehn DNS-Abfragen aus. Damit gilt der Eintrag als fehlerhaft und wird ignoriert – siehe den Abschnitt oben, das ist der stillste und häufigste Ausfall.
Was zu tun ist: Der Befund zeigt dir, welche Einbindungen in der Kette stecken. Geh sie durch und streiche, was nicht mehr in Gebrauch ist. Reicht das nicht, stelle die verbleibenden Dienste auf eigene Versanddomains um: Ein Newsletter, der von news.deine-domain.de verschickt wird, braucht seinen Eintrag dort und belastet die Hauptdomain nicht mehr.
+all bedeutet: Jeder Server der Welt darf in deinem Namen versenden. Der Eintrag ist vorhanden und wirkt auf den ersten Blick sauber, hebt den Schutz aber vollständig auf – schlimmer als kein Eintrag, weil er Sicherheit vortäuscht.
Was zu tun ist: +all durch ~all ersetzen, später auf -all. Ein +all steht praktisch nie absichtlich da; meist stammt es aus einer kopierten Beispielzeile.
?all heißt „keine Aussage". Empfänger behandeln den Eintrag dann wie einen fehlenden.
Was zu tun ist: Auf ~all wechseln. Wenn du unsicher bist, ob alle Versandwege erfasst sind, ist ~all genau der richtige Zwischenschritt – es wertet unbekannte Absender ab, weist sie aber nicht ab.
Dem Eintrag fehlt der all-Mechanismus am Ende. Damit bleibt offen, wie ein Empfänger mit Servern umgehen soll, die nicht aufgeführt sind.
Was zu tun ist: ~all anhängen.
Der ptr-Mechanismus schlägt die Rückwärtsauflösung der sendenden IP-Adresse nach. Er gilt seit Jahren als überholt, ist langsam und unzuverlässig; ein Teil der Empfänger wertet ihn gar nicht mehr aus oder behandelt ihn als Fehler.
Was zu tun ist: ptr entfernen und die betroffenen Server stattdessen über ip4:, ip6: oder a: aufnehmen.
Mehrere eingebundene Domains liefern gar keinen SPF-Eintrag zurück. Ab zwei solchen Fehlgriffen gilt der gesamte Eintrag als fehlerhaft. Typischer Fall: Ein Dienst wurde eingestellt, sein include steht aber noch drin.
Was zu tun ist: Die ins Leere laufenden Einbindungen streichen.
Lange Einträge müssen im DNS in Stücke zerlegt werden. Das ist zulässig, aber einzelne Oberflächen zerlegen falsch und zerreißen dabei den Eintrag.
Was zu tun ist: Nicht mehr benötigte Bestandteile entfernen. Wenn der Eintrag trotzdem lang bleibt, nach dem Speichern hier noch einmal prüfen, ob er vollständig ankommt.
Eine eingebundene Domain verweist wieder auf eine, die schon besucht wurde. Die Auswertung bricht ab.
Was zu tun ist: Die Verschachtelung auflösen – meist verweisen zwei eigene Domains gegenseitig aufeinander.
Auch in eingebundenen Einträgen ist nur einer erlaubt. Mehrere machen diesen Zweig fehlerhaft – und damit unter Umständen deinen ganzen Eintrag.
Was zu tun ist: Den Betreiber der eingebundenen Domain darauf hinweisen. Ist es eine eigene Domain, gilt dort dasselbe wie hier: zusammenführen.
Ein Bestandteil gehört nicht zum Standard – oft ein Tippfehler (includ:), ein doppeltes v=spf1 oder Text, der versehentlich mit hineingerutscht ist. Strenge Empfänger werten den Eintrag dann als fehlerhaft.
Was zu tun ist: Den genannten Bestandteil prüfen und entfernen oder korrigieren.
Ja, und dort ist es besonders wichtig. Eine Domain ohne Einträge ist für Fälscher das bequemste Ziel. Für eine Domain, die nur eine Website trägt oder nur weiterleitet, genügt v=spf1 -all – das heißt „von hier kommt niemals Post".
Nein. SPF überlebt keine Weiterleitung: Leitet jemand deine Mail weiter, versendet plötzlich ein fremder Server, und SPF schlägt fehl. Deshalb braucht es zusätzlich DKIM, das die Nachricht selbst signiert, und DMARC, das dem Empfänger sagt, was er bei einem Fehlschlag tun soll.
Meist wenige Minuten bis eine Stunde, abhängig von der Gültigkeitsdauer des alten Eintrags. Der Check misst live – wenn er noch den alten Stand zeigt, einfach etwas später erneut prüfen.
Ja. Es zählt die Anzahl der Abfragen, nicht die Anzahl verschiedener Anbieter. Zwei include auf dieselbe Domain kosten zwei Abfragen – eine davon ist also immer überflüssig.
Grafikdesigner & Programmierer. Seit über 25 Jahren in der Werbung zuhause – heute mit Fokus auf Websites, 3D, SEO und KI-Automation für Agenturen und Unternehmen.
Unverbindlich und auf Augenhöhe – ich sage dir ehrlich, was sinnvoll ist.
Termin vereinbaren → oder Kontaktdaten ansehen