SPF-Eintrag für E-Mail richtig einrichten

Ihre E-Mail kam zurück. Sie landete nicht im Spam, sondern wurde abgewiesen. Der Server meldete 550 5.7.26 oder 550 5.7.515, und die Nachricht kam nicht an. Eine mögliche Ursache: Ihrer Domain fehlt ein gültiger SPF-Eintrag für E-Mail, oder der vorhandene Eintrag ist fehlerhaft. Diese Codes allein belegen jedoch keinen reinen SPF-Fehler.

Seit Februar 2024 setzen Google und Yahoo strengere Anforderungen an die Absenderauthentifizierung durch. Welche Verfahren erforderlich sind, hängt unter anderem von der Absenderkategorie und dem Versandvolumen ab. Ein falscher SPF-Eintrag kann zur Ablehnung beitragen, bedeutet aber nicht automatisch, dass jede Nachricht jeder geschäftlichen Domain abgewiesen wird.

Google: 550 5.7.26 - Nicht authentifizierte E-Mail wird nicht akzeptiert

Microsoft: 550 5.7.515 - Absenderidentität nicht authentifiziert

Dieser Leitfaden kommt direkt zur Praxis: passende Einträge für Ihre Konfiguration, versteckte Fehler in scheinbar korrekten Einstellungen und ein Test, mit dem Sie den tatsächlich genutzten Versandweg prüfen. SPF ist ein Teil der Authentifizierung mit SPF, DKIM und DMARC. Wie diese zusammenwirken, erklärt die Sicherheitsbasis für geschäftliche E-Mail.

Was ist ein SPF-Eintrag für E-Mail?

Ein SPF-Eintrag ist ein DNS-TXT-Eintrag Ihrer Domain, der festlegt, welche Mailserver für diese Domain senden dürfen. Bei Eingang einer Nachricht fragt der empfangende Server, etwa bei Gmail oder Outlook, das DNS ab und prüft die Absender-IP anhand dieser Regeln. Ein Treffer kann SPF-Pass ergeben; das Ergebnis ohne Treffer hängt von der abschließenden Regel ab. Ob die Nachricht akzeptiert wird, entscheidet der Empfänger anhand weiterer Kriterien.

SPF prüft den SMTP-Umschlag, also die Domain in MAIL FROM, nicht die sichtbare Absenderadresse im Posteingang. Der TXT-Eintrag gehört an die geprüfte Domain. Bei Versand über die Hauptdomain ist das deren Wurzel (@); bei einer Envelope-Subdomain gehört er dorthin. Wie die DNS-Bausteine zusammenpassen, erklärt E-Mail auf Ihrer Domain einrichten von Grund auf.

Die Regel: nur ein SPF-Eintrag

RFC 7208, die SPF-Spezifikation, erlaubt pro geprüfter Domain nur einen TXT-Eintrag, der mit v=spf1 beginnt. Findet der empfangende Server zwei solche Einträge, ergibt die SPF-Prüfung einen PermError. Das ist ein Authentifizierungsfehler, nicht bloß ein höherer Spamwert. Ob daraus eine Ablehnung folgt, hängt von der Empfangsrichtlinie ab.

Dieser kritische Fehler tritt häufig auf, wenn zu einer Domain mit Google Workspace oder einem anderen Anbieter ein weiterer Dienst hinzukommt: Statt den vorhandenen Eintrag zu bearbeiten, wird ein zweiter angelegt.

Prüfen Sie vor jeder Änderung die vorhandenen Einträge:

dig +short txt yourdomain.com

Zählen Sie die Zeilen, die mit v=spf1 beginnen. Sind es zwei, führt die SPF-Prüfung zu einem PermError. Beheben Sie zuerst diesen strukturellen Fehler.

Situation	Ergebnis
Ein SPF-Eintrag mit korrekter Syntax	Pass möglich, wenn die sendende IP autorisiert ist ✓
Zwei SPF-Einträge auf derselben Domain	PermError bei der SPF-Prüfung ✗
Kein SPF-Eintrag auf Ihrer Domain	Kein SPF-Nachweis; Ablehnung je nach Anforderungen möglich ✗

Falsch: zwei Einträge ergeben bei der Prüfung dieser Domain einen PermError:

v=spf1 include:_spf.google.com -all
v=spf1 include:spf.trekmail.net -all

Richtig: beide Anbieter in einem einzigen SPF-Eintrag zusammenführen:

v=spf1 include:_spf.google.com include:spf.trekmail.net -all

Ihr SPF-Eintrag: die minimale Konfiguration

Der genaue Inhalt hängt davon ab, welche Server Ihre E-Mails tatsächlich versenden. Autorisieren Sie nur genutzte Dienste. Jedes zusätzliche include: beansprucht das Lookup-Budget und bezieht IP-Bereiche ein, die Sie nicht selbst kontrollieren.

Szenario A: verwaltetes TrekMail-SMTP (Starter- und Agency-Tarife)

Wenn Ihr gebuchter TrekMail-Tarif verwalteten Versand umfasst und ausschließlich dieser Versandweg genutzt wird, kann diese Zeile Ihre Domain abdecken. Prüfen Sie vorher alle Absenderdienste:

v=spf1 include:spf.trekmail.net -all

Szenario B: kostenloser TrekMail-Tarif (eigenes SMTP)

Sofern der Nano-Tarif eigenes SMTP unterstützt, verbinden Sie einen Anbieter wie Amazon SES, SendGrid oder Mailgun. Autorisieren Sie dessen Versandserver, nicht die von TrekMail:

v=spf1 include:amazonses.com -all

Ersetzen Sie include:amazonses.com durch die Angabe aus der Dokumentation Ihres Anbieters für die tatsächlich geprüfte Envelope-Domain. Autorisieren Sie keine ungenutzten IP-Bereiche.

Szenario C: Mischbetrieb - TrekMail + Google Workspace

Sie wechseln von Google oder nutzen während der Umstellung beide Versandwege? Führen Sie beide in einem Eintrag zusammen:

v=spf1 include:spf.trekmail.net include:_spf.google.com -all

Bestandteile des Eintrags

Bestandteil	Funktion
`v=spf1`	Versionskennung. Muss am Anfang stehen.
`include:`	Bezieht die SPF-Regeln eines Drittanbieters ein.
`-all`	Hard Fail für nicht autorisierte Absender. Nach vollständiger Bestandsaufnahme verwenden; keine automatische Ablehnungsgarantie gegenüber `~all`.

~all (Soft Fail) kennzeichnet nicht erfasste Absender als vermutlich nicht autorisiert. Das garantiert weder Zustellung noch Ablehnung. -all meldet Fail und eignet sich, wenn sämtliche legitimen Versandwege erfasst sind. ~all kann während Einführung und Prüfung sinnvoll sein; die Wahl sollte zur dokumentierten Versandkonfiguration passen.

Das Limit von 10 Elementen, die DNS-Abfragen auslösen

Die SPF-Spezifikation (RFC 7208) begrenzt bei einer Auswertung die DNS-Lookups auslösenden Mechanismen und Modifikatoren auf 10, nicht sämtliche DNS-Abfragen. include:, a, mx und redirect zählen dazu, ebenso entsprechende Begriffe in eingebundenen Einträgen. ip4: und ip6: zählen nicht. Werden mehr als 10 ausgewertet, lautet das Ergebnis PermError.

Dieser Fehler bleibt leicht unbemerkt: Ihr SPF-Eintrag besteht eine reine Syntaxprüfung. Doch wenn ein Empfänger die Kette durchläuft, Ihr Include ein weiteres Include referenziert und dieses wiederum das nächste, kann die Summe 10 überschreiten. Dann scheitert die SPF-Auswertung.

Was zum Limit zählt:

include: (einschließlich verschachtelter Includes)
a, mx, redirect

Was nicht dazu zählt:

ip4: und ip6: - direkte IP-Angaben benötigen diese Lookup-Kette nicht
all

Prüfen Sie vor dem Veröffentlichen den Eintrag und die referenzierten Regeln:

dig +short txt yourdomain.com

Bei langen Include-Ketten können Sie den Eintrag abflachen, indem Sie include: durch direkte ip4:-Angaben ersetzen. Dann müssen Sie Änderungen an den IP-Bereichen des Anbieters zuverlässig nachführen. Alternativ verteilen Sie Versandwege auf geeignete Envelope-Subdomains mit eigenen SPF-Einträgen und Budgets.

Ihren SPF-Eintrag überprüfen

Verlassen Sie sich nicht nur auf grüne Häkchen im DNS-Dashboard. Eine Syntaxprüfung belegt keine Zustellung. Prüfen Sie den SPF-Eintrag mit einer echten SMTP-Sendung, damit Sie sehen, wie Gmail diesen konkreten Versandweg bewertet.

Senden Sie von Ihrer Domain eine E-Mail an ein Gmail-Konto, das Sie kontrollieren.
Öffnen Sie die Nachricht in Gmail.
Öffnen Sie das Dreipunktmenü → Original anzeigen.
Suchen Sie nach Authentication-Results.

So sieht ein erfolgreiches SPF-Ergebnis aus:

spf=pass (google.com: domain of team@yourdomain.com designates 192.0.2.1 as permitted sender)

Ergebnis	Bedeutung	Abhilfe
`spf=softfail`	Absender-IP nicht autorisiert; eine Regel wie `~all` greift	Legitimen Versandweg ergänzen; erst nach Bestandsaufnahme auf `-all` umstellen
`spf=fail`	IP nicht autorisiert; `-all` ergibt Fail	Legitime Absender-IP in den Eintrag aufnehmen
`spf=permerror`	Syntaxfehler, zwei Einträge oder mehr als 10 Lookup-auslösende Begriffe	Zuerst die Struktur korrigieren
`spf=none`	Kein SPF-Eintrag für die geprüfte Domain gefunden	TXT-Eintrag an der Envelope-Domain veröffentlichen, bei der Hauptdomain an `@`

permerror weist auf einen Fehler bei der SPF-Auswertung hin, nicht lediglich auf eine fehlende Absender-IP. Prüfen Sie zuerst doppelte Einträge, Lookup-Budget und Syntax.

Häufige SPF-Fehler

Viele SPF-Probleme gehen auf fünf Fehler zurück. Häufig lassen sie sich in weniger als 10 Minuten diagnostizieren und korrigieren; DNS-Verbreitung und Nachtests können länger dauern.

Fehler	Folge
`+all` verwenden	Autorisiert das gesamte Internet für die geprüfte Domain. Nicht verwenden.
Den Mechanismus `ptr` verwenden	Laut SPF-Spezifikation nicht empfohlen. Langsam und unzuverlässig.
Tippfehler in der Include-Domain	`include:google.com` ist nicht der vorgesehene Workspace-Eintrag. Verwenden Sie `include:_spf.google.com`.
Leerzeichen nach dem Doppelpunkt	`ip4: 1.2.3.4` ist ungültig. Richtig ist `ip4:1.2.3.4`, ohne Leerzeichen.
`~all` ohne bewusste Richtlinienentscheidung im Produktivbetrieb verwenden	Soft Fail garantiert keine Ablehnung gefälschter E-Mail. Nach Erfassung aller legitimen Absender `-all` erwägen.

Ein Tippfehler in der Include-Domain ist besonders tückisch, weil reine Syntaxprüfungen nicht unbedingt erkennen, ob der referenzierte SPF-Eintrag gültig ist. Gleichen Sie die genaue Include-Angabe immer mit der Dokumentation Ihres Anbieters ab.

SPF-Einträge für mehrere Domains verwalten

Eine einfache SPF-Konfiguration für eine Domain kann in 10 Minuten erledigt sein. Bei 50 Kundendomains wird daraus eine laufende Aufgabe. Jeder neue Marketingdienst kann die Authentifizierung verändern, ohne dass Sie es sofort bemerken. Im ungünstigen Fall erfahren Sie erst davon, wenn ein Kunde nach zurückgewiesenen Nachrichten fragt.

Für Agenturen und MSPs hilft Standardisierung. Soweit im gewählten Tarif verfügbar, unterstützen TrekMails Multi-Domain-Dashboard und SPF/DKIM/DMARC-Assistent eine einheitliche Konfiguration. Kostenpflichtige Tarife werden ab $3.50/Monat angeboten; Preis und verwalteter SMTP-Versand richten sich nach den aktuellen Bedingungen. Beim Nano-Tarif nutzen Sie, sofern unterstützt, eigenes SMTP. Die IP-Reputation hängt dann auch vom gewählten Anbieter und der Art der IP-Zuteilung ab; vorhandene SES- oder Mailgun-Konten können dafür hilfreich sein.

Mit passenden TrekMail-Versandwegen können Sie eine gemeinsame Vorlage verwenden, statt für jede Kundendomain völlig andere Anbieterkombinationen zu pflegen. Prüfen Sie trotzdem pro Domain sämtliche legitimen Absender. Mehr zur Organisation im großen Maßstab finden Sie unter Kunden-E-Mail für Agenturen verwalten. Für neue Konfigurationen erklärt E-Mail mit Ihrer Domain erstellen den vollständigen Ablauf.

SPF-Eintrag: Checkliste vor dem Veröffentlichen

Gehen Sie vor der Veröffentlichung diese Punkte der Reihe nach durch:

Vorhandene Einträge prüfen: dig +short txt yourdomain.com - nur eine Zeile mit v=spf1.
Alle Dienste erfassen, die über Ihre Domain senden: Transaktionsmails, Marketing und Support.
Einen Eintrag für alle benötigten Versandwege erstellen. Zusammenführen, nicht stapeln.
Nach vollständiger Bestandsaufnahme -all verwenden; ~all bewusst beurteilen und +all vermeiden.
Lookup-auslösende Begriffe einschließlich verschachtelter Regeln zählen; als Sicherheitsmarge unter 10 bleiben.
TXT-Eintrag an der geprüften Envelope-Domain veröffentlichen, bei der Hauptdomain an @.
Testmail an Gmail senden und unter Original anzeigen nach spf=pass suchen.

Googles Richtlinien für E-Mail-Absender unterscheiden zwischen Absenderkategorien. Für Massenversender sind SPF, DKIM und DMARC gemeinsam erforderlich; für andere Absender gelten andere Mindestanforderungen. Ein korrekter SPF-Eintrag ist ein wichtiger Anfang. DKIM und DMARC ergänzen ihn, doch auch erfolgreiche Authentifizierung garantiert weder Annahme noch Posteingangsplatzierung.

Ein sorgfältig eingerichteter SPF-Eintrag reduziert spätere Fehlersuche. Prüfen Sie ihn erneut, wenn Anbieter oder IP-Bereiche sich ändern. Fehler können den geschäftlichen Versand beeinträchtigen. TrekMail kostenlos ausprobieren: Ob Nano ohne Kreditkarte verfügbar ist und kostenpflichtige Tarife ab $3.50/Monat eine 14-tägige Testphase bieten, richtet sich nach den aktuellen Tarifbedingungen.