SPF-Eintrag prüfen und erstellen

So prüfen Sie einen SPF-Eintrag

1. Geben Sie eine Domain in das Feld oben ein. Eine vollständige E-Mail-Adresse funktioniert auch. Das Tool übernimmt nur die Domain.
2. Klicken Sie auf "SPF-Eintrag prüfen". Der SPF-Check liest den aktuellen Eintrag aus dem öffentlichen DNS. Das ist derselbe Eintrag, den ein empfangender Server liest.
3. Lesen Sie zuerst die Zusammenfassung. Sie zeigt, ob der Eintrag gültig ist, Warnungen hat oder fehlerhaft ist.
4. Lesen Sie danach die Liste der Probleme, falls es welche gibt. Bei jedem Problem steht, was Sie ändern sollten.
5. Darunter erklärt das Tool jeden Teil des Eintrags und zeigt, wie viele DNS-Abfragen er kostet. Öffnen Sie ein include, um zu sehen, was der Dienst dahinter erlaubt.

Der Link in Ihrer Adresszeile startet denselben SPF-Check noch einmal. Sie können ihn an Kollegen oder an Ihren DNS-Anbieter senden. Eine Einschränkung: Ein Empfänger prüft SPF gegen die IP-Adresse des Servers, der die Nachricht gesendet hat. Dieses Tool hat keine Nachricht vor sich und prüft deshalb den Eintrag selbst. Teile, die aus SPF-Makros bestehen, kann es nicht auswerten. Diese Makros ändern sich mit jedem sendenden Server.

Was ist ein SPF-Eintrag?

Ein SPF-Eintrag ist ein TXT-Eintrag im DNS einer Domain. Er listet die Server auf, die E-Mails für diese Domain senden dürfen. SPF steht für Sender Policy Framework. Die Regeln stehen in RFC 7208. Eine Domain, die Google Workspace nutzt, hat oft einen Eintrag wie diesen:

v=spf1 include:_spf.google.com ~all

v=spf1 kennzeichnet ihn als SPF-Eintrag. include:_spf.google.com erlaubt jeden Server aus Googles eigener Liste. ~all sagt Empfängern, dass sie E-Mails von allen anderen Servern als verdächtig behandeln sollen.

Kommt eine Nachricht an, nimmt der empfangende Server die Domain aus der Bounce-Adresse, dem sogenannten Return-Path. Er liest den SPF-Eintrag dieser Domain und prüft, ob die IP-Adresse des sendenden Servers auf der Liste steht. SPF prüft nicht die From-Adresse, die Sie in Ihrem Posteingang sehen. Deshalb arbeitet SPF mit DKIM und DMARC zusammen. Wie die drei zusammenpassen, lesen Sie in SPF, DKIM und DMARC erklärt.

Seit Februar 2024 verlangt Gmail SPF oder DKIM von jedem Absender und beides von Massenversendern. Yahoo hat dieselben Regeln.

Was die Teile eines SPF-Eintrags bedeuten

Ein SPF-Eintrag besteht aus Teilen, die durch Leerzeichen getrennt sind. Empfänger lesen sie von links nach rechts. Sie hören beim ersten Teil auf, der auf den sendenden Server zutrifft.

Jeder Teil kann mit einem Qualifier beginnen. Er legt das Ergebnis fest, wenn der Teil zutrifft. + bedeutet Pass und ist der Standard, deshalb schreibt ihn niemand. - bedeutet Fail, ~ bedeutet Softfail und ? bedeutet Neutral. Deshalb kann dasselbe Wort, all, einen Eintrag als -all, ~all oder ?all beenden.

Groß- und Kleinschreibung spielt bei den Namen keine Rolle. Include: funktioniert also genauso wie include:. RFC 7208 empfiehlt, jeden Eintrag mit all oder einem redirect zu beenden. Fehlt beides, bekommen nicht aufgeführte Server ein neutrales Ergebnis.

Das Limit von 10 DNS-Abfragen

Jedes include, a, mx, ptr, exists und redirect löst beim Empfänger eine DNS-Abfrage aus. RFC 7208 erlaubt insgesamt 10. Abfragen innerhalb eines includes zählen mit. Ein einzelnes include kann also mehrere kosten. ip4, ip6 und all kosten nichts. Braucht ein Eintrag mehr als 10, brechen Empfänger ab und melden einen permerror. SPF schlägt dann fehl.

Das Limit ist schnell erreicht. Wir haben mit echten DNS-Abfragen gemessen, was gängige includes kosten: Google Workspace 1, Microsoft 365 1, Salesforce 2, Mailgun 5 und Freshdesk 7. Eine Firma mit Google Workspace, die Mailgun und Freshdesk hinzufügt, braucht schon 13 Abfragen. Eine Studie zu SPF-Einträgen aus dem Jahr 2024 untersuchte .com, .net, .org und .se. Dabei brauchten 6,5 % der Einträge mehr als 10 Abfragen. Bei 83,7 % dieser Fälle lag es an includes von nur zwei Hosting-Anbietern.

Die Kosten ändern sich auch. Das include von Google kostete bis Dezember 2025 noch 4 Abfragen. Dann ersetzte Google seine verschachtelten includes durch eine flache Liste. Manche SPF-Anleitungen und SPF-Generatoren nennen noch 4. Das Tool oben zählt bei jedem Check die echte Zahl.

Wird das Limit überschritten, scheitert nicht immer jede Nachricht. Microsoft weist darauf hin, dass Empfänger beim ersten Treffer aufhören. E-Mails von einem Server, der weit vorne steht, können also noch bestehen. E-Mails von einem Server weiter hinten schlagen fehl. Dadurch wirkt das Problem zufällig. Zählen Sie deshalb die Abfragen des ganzen Eintrags.

Es gibt ein zweites Limit. Eine Abfrage, die nichts findet, ist eine leere Abfrage (Void Lookup). Ein Beispiel ist ein include einer Domain, die es nicht mehr gibt. Laut RFC 7208 sollen Empfänger nach 2 solchen Abfragen abbrechen.

So kommen Sie unter 10 DNS-Abfragen

1. Entfernen Sie includes für Dienste, die Sie nicht mehr nutzen.
2. Entfernen Sie includes, die ein Dienst nicht mehr verlangt. Mailchimp, Postmark, Brevo und Klaviyo brauchen auf Ihrer Hauptdomain kein include. SendGrid und Amazon SES setzen ihr include auf eine Subdomain. Die Liste steht weiter unten.
3. Führen Sie Ihre eigenen Server mit ip4 und ip6 auf statt mit a oder mx. RFC 7208 empfiehlt diese Reihenfolge, und IP-Adressen kosten keine Abfragen.
4. Senden Sie einen Teil Ihrer E-Mails von einer Subdomain, zum Beispiel news.beispiel.de. Jede Subdomain hat ihren eigenen Eintrag und ihre eigenen 10 Abfragen.

Manche Dienste bieten SPF-Flattening an. Dabei werden includes durch die IP-Adressen dahinter ersetzt. Das spart Abfragen. Anbieter ändern aber ihre Adressen, und ein flacher Eintrag passt sich nicht an. Microsoft rät, Flattening nur für Dienste mit stabilen, dokumentierten IP-Bereichen zu nutzen, nie für Microsoft 365 selbst. Außerdem rät Microsoft, das Ergebnis mindestens einmal im Quartal zu prüfen.

SPF-Includes für Google Workspace, Microsoft 365 und andere Dienste

Hier sehen Sie die include-Werte aus der Einrichtungsanleitung jedes Dienstes, mit den DNS-Abfragen, die jeder kostet. Wir haben die Kosten am 12. Oktober 2026 mit echten DNS-Abfragen gemessen. Wenn Sie einen Dienst einrichten, kopieren Sie den Wert aus dessen eigener Anleitung. Manche Werte hängen von Ihrer Region oder Ihrem Konto ab.

HubSpot gibt jedem Konto ein eigenes include, das auf hubspotemail.net endet. Kopieren Sie es aus Ihren E-Mail-Einstellungen in HubSpot. Es kostet 1 Abfrage.

Dienste, die meist kein include brauchen

SPF wird gegen die Bounce-Adresse geprüft, nicht gegen die From-Adresse. Viele Versanddienste nutzen heute eine eigene Bounce-Adresse oder eine Subdomain von Ihnen. Ein include für sie auf Ihrer Hauptdomain bringt dann nichts. Es verbraucht nur Abfragen.

• Mailchimp. Die Domain-Einrichtung von Mailchimp verlangt heute nur noch DKIM- und DMARC-Einträge, kein SPF.
• Postmark. Laut Postmark ist SPF nicht mehr nötig. Postmark sendet mit einer eigenen Bounce-Adresse oder mit einem Return-Path-Eintrag, den Sie auf Postmark zeigen lassen.
• Brevo. Laut Brevo ist SPF nicht nötig, außer Sie senden von einer eigenen (dedizierten) IP-Adresse.
• Klaviyo. Laut Klaviyo müssen Sie meist keinen SPF-Eintrag hinzufügen.
• SendGrid. Die Domain-Authentifizierung von SendGrid legt SPF auf eine Subdomain, die SendGrid für Sie anlegt, zum Beispiel em1234.ihredomain.de.
• Amazon SES. SES braucht das include nur auf einer eigenen MAIL-FROM-Subdomain, zum Beispiel bounce.ihredomain.de. Standardmäßig nutzt SES eine eigene Bounce-Adresse.

Das Tool meldet diese includes, wenn es sie in Ihrem Eintrag findet.

So erstellen Sie einen SPF-Eintrag mit dem SPF-Generator

Im Tab "SPF-Generator" oben erzeugen Sie einen SPF-Eintrag. Kreuzen Sie die Dienste an, die Ihre E-Mails senden. Das Tool erstellt dann den Eintrag und zählt seine Abfragen. Hat Ihre Domain schon einen Eintrag, laden Sie ihn zuerst. So ergänzen Sie ihn, statt ihn zu ersetzen. Diese Schritte stecken dahinter:

1. Listen Sie jeden Dienst auf, der E-Mails mit Ihrer Domain sendet. Denken Sie dabei nicht nur an Ihren Postfachanbieter: Newsletter, CRM, Helpdesk, Rechnungsversand, Formulare auf der Website. DMARC-Berichte zeigen Absender, die Sie vergessen haben.
2. Suchen Sie das include jedes Dienstes in dessen Einrichtungsanleitung, oder kreuzen Sie den Dienst im Tool an. Für Ihre eigenen Mailserver nutzen Sie deren IP-Adressen.
3. Wählen Sie das Ende: ~all oder -all. Der nächste Abschnitt erklärt den Unterschied.
4. Veröffentlichen Sie den Eintrag als einen einzigen TXT-Eintrag auf der Domain selbst. Die meisten DNS-Anbieter nennen diesen Namen @. Gibt es schon einen Eintrag, der mit v=spf1 beginnt, bearbeiten Sie ihn, statt einen zweiten anzulegen.
5. Warten Sie ein paar Minuten und prüfen Sie die Domain dann noch einmal mit dem SPF-Check.

Jeder Name, der E-Mails sendet, braucht einen eigenen Eintrag. Subdomains nutzen den Eintrag der übergeordneten Domain nicht. Auch eine Domain oder Subdomain, die nie E-Mails sendet, sollte einen bekommen: v=spf1 -all. RFC 7208 nennt das eine seit Langem bewährte Praxis. So kann niemand sonst E-Mails senden, die unter diesem Namen SPF bestehen. Das britische NCSC schlägt vor, solchen Domains außerdem einen DMARC-Eintrag mit p=reject und einen Null-MX-Eintrag zu geben.

Ein Eintrag mit mehr als 255 Zeichen muss in mehrere Strings innerhalb desselben TXT-Eintrags aufgeteilt werden. Empfänger fügen die Strings ohne Leerzeichen zusammen. Setzen Sie das Leerzeichen deshalb in einen String, nicht zwischen zwei Strings. Prüfen Sie, wie Ihr DNS-Anbieter lange Werte behandelt.

~all oder -all: welches Ende Sie nutzen sollten

Die großen Anbieter sind sich nicht einig, und jeder hat einen Grund dafür.

• Google empfiehlt ~all.
• M3AAWG ist ein Branchenverband, zu dem große Postfachanbieter und Absender gehören. Er sagt, Einträge sollten auf ~all enden. Außerdem bittet er Empfänger, bei einem SPF-Fail nicht abzulehnen, bevor DMARC geprüft wurde.
• Microsoft empfiehlt -all, sofern auch DKIM und DMARC eingerichtet sind.

Das Risiko bei -all: Manche Empfänger lehnen die Nachricht schon bei der Zustellung ab, bevor DMARC geprüft wird. RFC 9989, der DMARC-Standard von 2026, weist darauf hin, dass solche E-Mails nie in Ihren DMARC-Berichten erscheinen. Dadurch sind Probleme schwerer zu finden.

In der Praxis ist ~all für eine Domain, die E-Mails sendet, die sicherere Wahl. Das gilt vor allem, solange Sie noch nicht alle Ihre Absender kennen. Steht Ihr DMARC auf quarantine oder reject, entscheidet ohnehin DMARC, was mit fehlgeschlagenen E-Mails passiert. Nutzen Sie -all auf Domains, die überhaupt keine E-Mails senden. Nutzen Sie nie +all, denn damit besteht jeder Server. Vermeiden Sie auch ?all, das genauso zählt wie gar kein Eintrag.

Was das Ergebnis Ihres SPF-Checks bedeutet

Empfangende Server nutzen eigene Begriffe für das Ergebnis einer SPF-Prüfung. Sie sehen sie in den Headern einer Nachricht, etwa spf=pass oder spf=softfail, und in DMARC-Berichten:

Häufige Fehler im SPF-Eintrag und wie Sie sie beheben

Ein Scan von 12 Millionen beliebten Domains aus dem Jahr 2023 fand SPF auf 56,5 % davon. 2,9 % der SPF-Einträge hatten Fehler. Am häufigsten zeigte ein include oder redirect auf einen Namen ohne SPF-Eintrag. Zu viele Abfragen kamen an zweiter Stelle.

Zwei SPF-Einträge auf einer Domain

Das passiert oft, wenn die Anleitung eines neuen Dienstes sagt: "Fügen Sie diesen TXT-Eintrag hinzu". Dann legt ihn jemand zusätzlich zum alten an. Zwei Einträge führen zu einem permerror. Fassen Sie sie zu einem zusammen. Beginnen Sie mit einem v=spf1, führen Sie jedes include und jede IP-Adresse auf und enden Sie mit einem all.

Ein include, das ins Leere zeigt

Zeigt ein include auf eine Domain ohne SPF-Eintrag, schlägt der ganze Eintrag mit einem permerror fehl. Die Ursache kann ein Tippfehler sein. Oder ein Dienst wurde eingestellt oder hat sein include geändert. Entfernen Sie das include oder ersetzen Sie es durch den aktuellen Wert des Dienstes.

+all, ?all oder kein all am Ende

+all erlaubt jeden Server im Internet, der Eintrag schützt also nichts. ?all oder gar kein all ergibt ein neutrales Ergebnis. Empfänger behandeln das wie keinen Eintrag. Beenden Sie den Eintrag mit ~all oder -all.

ptr im Eintrag

Laut RFC 7208 soll ptr nicht genutzt werden. Es ist langsam, kostet eine Abfrage und ist bei DNS-Problemen weniger zuverlässig als andere Mechanismen. Ersetzen Sie es durch ip4- und ip6-Angaben für die Server, die es abdecken sollte.

Tippfehler

Ein Leerzeichen nach einem Doppelpunkt, eine IPv4-Adresse mit fehlendem Teil oder ein Wort, das SPF nicht kennt: All das führt zu einem permerror. Ein Fehler fällt weniger auf. include=beispiel.de mit Gleichheitszeichen gilt als unbekannte Einstellung und wird übersprungen. Dieser Dienst ist dann nie erlaubt. Das Tool meldet alle diese Fehler.

Drei Details, die SPF-Anleitungen oft falsch darstellen

• "Ein SPF-Eintrag darf keine Großbuchstaben enthalten." Laut RFC 7208 spielt Groß- und Kleinschreibung bei den Namen keine Rolle.
• "Ein SPF-Eintrag darf höchstens 255 Zeichen lang sein." Die Grenze von 255 gilt für jeden einzelnen String. Ein längerer Eintrag wird in mehrere Strings aufgeteilt. RFC 7208 verlangt nur, dass die gesamte DNS-Antwort klein bleibt, unter etwa 450 Byte.
• "Sie können bis zu 10 includes haben." Das Limit zählt DNS-Abfragen, und Abfragen innerhalb von includes zählen mit.

SPF ist ein Teil der E-Mail-Authentifizierung

Ein bestandener SPF-Check hat Grenzen. Im selben Scan von 2023 erlaubten 34,7 % der Domains E-Mails von mehr als 100.000 IP-Adressen. SPF scheitert außerdem, wenn jemand Ihre Nachricht weiterleitet. Der weiterleitende Server steht dann nicht in Ihrem Eintrag.

DKIM signiert die Nachricht selbst und übersteht Weiterleitungen deshalb meist. DMARC prüft, ob SPF oder DKIM für dieselbe Domain wie die From-Adresse bestanden hat. Hat keines von beiden bestanden, sagt DMARC den Empfängern, was sie tun sollen. Viele Versanddienste bestehen SPF mit ihrer eigenen Bounce-Domain, die nicht zu Ihrer From-Adresse passt. Ein eigener Return-Path beim Dienst löst das. Richten Sie die beiden anderen Einträge mit dem DKIM-Generator und dem DMARC-Generator ein. Mit dem MX-Lookup prüfen Sie, wo Ihre Domain E-Mails empfängt.

Bei Adressen, die es nicht gibt, hilft Authentifizierung auch nicht. E-Mails an sie kommen als Bounce zurück, und eine hohe Bounce-Rate schadet der Zustellung. Prüfen Sie einzelne Adressen mit dem E-Mail-Prüfer oder eine ganze Liste mit der E-Mail-Massenprüfung. Eine kurze Definition für Ihr Team finden Sie im Glossar unter SPF-Eintrag.