SPF-Eintrag einrichten: Schritte und Anbieterbeispiele

Die Einrichtung Ihres SPF-Eintrags gehört zu den Prüfungen, die ein empfangender Mailserver vornehmen kann. Fehler können zur Ablehnung führen; ein SMTP-Fehler 550 5.7.26 beweist für sich allein jedoch keine SPF-Ursache. Seit Februar 2024 gelten Authentifizierungsanforderungen von Google und Yahoo, deren Umfang unter anderem vom Versandvolumen und Empfängerdienst abhängt.

Typische Fehler sind doppelte Einträge, die Überschreitung der Grenze von 10 DNS-abfragenden Termen und ein ungeeigneter Abschlussqualifikator. Sie können die Zustellung beeinträchtigen und unter Umständen tagelang unbemerkt bleiben. Rückläufer erklären die Ursache nicht immer eindeutig.

Dieser Leitfaden behandelt die SPF-Einrichtung: Syntax, Beispiele für TrekMail mit Managed SMTP oder BYO, DNS-Veröffentlichung und Prüfungen per Kommandozeile. Falls Ihre Domain noch keine E-Mail-Konfiguration hat, beginnen Sie mit E-Mail auf Ihrer eigenen Domain einrichten und ergänzen danach die Authentifizierung.

Was SPF leistet

SPF (Sender Policy Framework) veröffentlicht als DNS-TXT-Eintrag, welche Server für eine Domain senden dürfen. Ein empfangender Server kann die sendende IP-Adresse mit dieser Richtlinie abgleichen. Nicht aufgeführte Absender erhalten je nach Qualifikator ein anderes SPF-Ergebnis; die Behandlung entscheidet der Empfänger. Wie in RFC 7208 definiert, prüft SPF die MAIL-FROM-Identität (Envelope-Absender), nicht das sichtbare From-Feld.

Ohne SPF fehlt Empfängern diese veröffentlichte Autorisierung für den Envelope-Absender. SPF kann auch die HELO-Identität prüfen, wenn dies zutrifft; eine fehlende Richtlinie ergibt keine automatische Ablehnungsanweisung. Andere Prüfungen bleiben möglich. Für DMARC genügt grundsätzlich erfolgreiches SPF oder gültiges DKIM mit Domain-Alignment auf das sichtbare From. SPF allein verhindert weder jede Fälschung noch garantiert es die Zustellung im Posteingang.

Die Regel: ein SPF-Eintrag

Für denselben DNS-Namen darf nur ein SPF-TXT-Ressourceneintrag veröffentlicht sein. Zwei solche Einträge mit v=spf1 verursachen einen PermError. Mehrere in Anführungszeichen gesetzte Zeichenfolgen innerhalb desselben Ressourceneintrags werden dagegen zusammengefügt. Empfänger können Nachrichten bei einem PermError ablehnen, müssen aber nicht alle Nachrichten ablehnen. Duplikate können beim Anbieterwechsel oder beim Hinzufügen eines Marketingdienstes entstehen.

Bearbeiten Sie den vorhandenen SPF-Eintrag und führen Sie die weiterhin benötigten Autorisierungen zusammen. Löschen Sie ihn nicht vorsorglich, bevor der Ersatz bereitsteht: Dadurch kann eine Lücke in der veröffentlichten Richtlinie entstehen.

Schritt 1: alle sendenden Dienste erfassen

Listen Sie vor einer DNS-Änderung alle Dienste auf, die als @yourdomain.com senden. Ein übersehener Dienst kann nach Veröffentlichung von -all ein SPF-Fail erhalten, sofern er Ihre Domain als Envelope-Absender nutzt. Fünf Minuten für diese Bestandsaufnahme sind ein Planungsbeispiel, kein fester Zeitbedarf; eine sorgfältige Prüfung kann Stunden späterer Fehlersuche ersparen. Ob eine Nachricht abgewiesen wird, hängt von der Empfängerrichtlinie ab.

Häufige Absender:

• Geschäftliche E-Mail: TrekMail, Google Workspace, Microsoft 365
• Transaktionsnachrichten: Amazon SES, SendGrid, Mailgun, Postmark
• Marketing: Mailchimp, HubSpot, Klaviyo, Brevo
• SaaS-Anwendungen: Zendesk, Freshdesk, Shopify, Intercom

Manche Dienste verwenden eine eigene Return-Path-Domain wie bounce.mailchimp.com und benötigen dann keine Autorisierung im SPF-Eintrag Ihrer Domain. Andere verwenden einen eigenen Envelope-Absender Ihrer Domain für DMARC-Alignment. Prüfen Sie die Dokumentation und die tatsächliche Kontokonfiguration des Anbieters.

Schritt 2: den SPF-Eintrag aufbauen

Ein SPF-Eintrag ist ein DNS-TXT-Ressourceneintrag, dessen Zeichenfolgen bei Bedarf zusammengefügt werden. Die Grundstruktur bleibt gleich, die Mechanismen richten sich nach Ihren Absendern. Die Bestandteile im Überblick; die gezeigten Adressbereiche dienen der Dokumentation und sind keine produktiven Versandadressen:

Schritt 3: anbieterspezifische SPF-Konfiguration

Wählen Sie das passende Szenario. Die folgenden Einträge sind Beispiele: Prüfen Sie aktuelle Anbieterangaben und Ihre Kontoeinstellungen vor der Veröffentlichung. Bei mehreren Anbietern führen Sie die include-Mechanismen in einem Eintrag zusammen.

Szenario A: TrekMail Managed SMTP (Starter- und Agency-Tarife)

Wenn Ihr aktueller TrekMail-Tarif Managed SMTP umfasst und nur dieser Dienst für die betreffende Envelope-Domain sendet, kann der SPF-Eintrag so aussehen:

v=spf1 include:spf.trekmail.net -all

Damit wird die von TrekMail veröffentlichte Richtlinie eingebunden. Weitere Absender müssen ebenfalls berücksichtigt werden.

Szenario B: TrekMail BYO SMTP (kostenloser Tarif oder individuelle Konfiguration)

Wenn TrekMail das Postfach bereitstellt und Sie einen eigenen SMTP-Anbieter für ausgehende Nachrichten verbinden, autorisieren Sie diesen entsprechend dessen Dokumentation. Entscheidend sind die IP-Adressen des letzten Versandservers und der tatsächlich verwendete Envelope-Absender.

# Amazon SES
v=spf1 include:amazonses.com -all

# SendGrid
v=spf1 include:sendgrid.net -all

Szenario C: Google Workspace

v=spf1 include:_spf.google.com -all

Szenario D: Microsoft 365

v=spf1 include:spf.protection.outlook.com -all

Szenario E: Kombination aus TrekMail und Marketingplattform

TrekMail für Team-E-Mail und HubSpot für Kampagnen? Autorisieren Sie beide in einem Eintrag, sofern beide mit dieser Envelope-Domain senden:

v=spf1 include:spf.trekmail.net include:456789.spf05.hubspotemail.net -all

Die HubSpot-Zeichenfolge ist portalspezifisch. Übernehmen Sie den Wert aus Ihren HubSpot-DNS-Einstellungen, nicht die Beispielnummer dieses Leitfadens.

Schritt 4: im DNS veröffentlichen

Veröffentlichen Sie die Richtlinie als TXT-Eintrag bei Ihrem DNS-Anbieter, etwa Cloudflare, Namecheap, GoDaddy oder Route 53.

1. Typ: TXT
2. Host/Name: @ (oder leer lassen, je nach Anbieter)
3. Wert: die vollständige SPF-Zeichenfolge, z. B. v=spf1 include:spf.trekmail.net -all
4. TTL: 3600 (1 Stunde)

Wenn bereits ein SPF-Eintrag existiert, aktualisieren Sie diesen statt einen zweiten hinzuzufügen. Behalten Sie benötigte Absender bei und vermeiden Sie eine Lücke durch vorzeitiges Löschen. Kontrollieren Sie anschließend, dass genau ein SPF-Eintrag vorhanden ist.

Schritt 5: den SPF-Eintrag prüfen

Kontrollieren Sie die Veröffentlichung per Kommandozeile. Die Abfragen zeigen die Antwort des verwendeten Resolvers; auch dieser kann zwischengespeicherte Daten liefern. Weder die Kommandozeile noch die TTL umgehen sämtliche DNS-Caches.

# Mac, Linux, or Windows PowerShell
nslookup -q=txt yourdomain.com

# Linux/Mac alternative
dig txt yourdomain.com +short

Prüfen Sie drei Punkte:

• Genau ein TXT-Eintrag beginnt mit v=spf1
• Alle erforderlichen include-Mechanismen sind vorhanden
• Der Eintrag endet mit -all oder ~all, entsprechend Ihrer Richtlinie

Prüfen Sie, ob tatsächlich getrennte Ressourceneinträge mit v=spf1 vorliegen oder nur mehrere Zeichenfolgen desselben Eintrags angezeigt werden. Echte Duplikate werden nach dem Zusammenführen aller erforderlichen Autorisierungen entfernt. Prüfen Sie auch die rekursive Auswertung und tatsächliche Nachrichten: DNS-Veröffentlichung allein belegt weder SPF-Erfolg noch DMARC-Alignment oder Posteingangszustellung.

Häufige SPF-Fehler beheben

Drei typische Problemfelder helfen bei der Eingrenzung. Prüfen Sie zusätzlich die vollständige SMTP-Antwort und die Authentifizierungsergebnisse, bevor Sie eine Ursache festlegen.

1. Die Grenze von 10 DNS-Abfragen (PermError)

SPF begrenzt die bei der Auswertung verwendeten DNS-abfragenden Terme auf 10. Dazu zählen unter anderem include, a, mx, exists, ptr und redirect sowie die rekursiv ausgewerteten Terme. Es geht nicht einfach um die Zahl aller DNS-Pakete. Mehr als 10 solcher Terme erzeugen einen PermError; Empfänger können Nachrichten dann ablehnen.

Symptom: Prüfdienste melden PermError oder „too many DNS lookups“.

Lösung: Verlagern Sie geeignete Absender wie Mailchimp oder Zendesk auf eine Subdomain wie support.yourdomain.com. Ihr eigenes Budget von 10 DNS-abfragenden Termen hilft nur, wenn der Dienst diese Subdomain tatsächlich als MAIL-FROM-Domain verwendet und ihr SPF-Eintrag korrekt eingerichtet ist. Die Hauptdomain behält dann eine schlankere Richtlinie.

2. Microsoft-Privatpostfächer (550 5.7.515)

Bei 550 5.7.515 sollten Sie die vollständige Microsoft-Fehlermeldung prüfen, statt gültiges SPF oder ein Reputationsproblem vorauszusetzen. Für den betroffenen Versand mit hohem Volumen an persönliche Hotmail- und Outlook.com-Postfächer müssen sowohl SPF als auch DKIM erfolgreich sein und DMARC bestehen, wobei mindestens einer der erfolgreichen Mechanismen mit From abgestimmt ist. Das garantiert keine Posteingangszustellung. Hinweise finden Sie in den Sicherheitsgrundlagen für geschäftliche E-Mail.

3. SoftFail (~all) und HardFail (-all)

~all ergibt SoftFail, während ?all Neutral ergibt und damit keine Aussage zur Autorisierung trifft. Wechseln Sie erst zu -all, wenn alle legitimen Versandwege bestätigt sind. DKIM, DMARC und Empfängerrichtlinien bleiben wichtig.

SPF mit TrekMail einrichten

DNS-Einträge und SMTP-Fehler können Zeit kosten. Wenn der SPF/DKIM/DMARC-Assistent in Ihrer aktuellen TrekMail-Konfiguration verfügbar ist, kann er bei der Einrichtung für Managed SMTP oder BYO helfen. Prüfen Sie die angezeigten Werte für Ihre Domain.

Für Agenturen mit vielen Kundendomains lohnt sich ein einheitliches Vorgehen. Das Multi-Domain-Dashboard kann die Prüfung erwarteter DNS-Einträge erleichtern; diese Anzeige misst nicht die kryptografische Authentifizierung, das Alignment tatsächlicher Nachrichten oder deren Posteingangszustellung. Mehr zum Ablauf bieten E-Mail-Hosting für mehrere Domains und E-Mail mit eigener Domain erstellen.

Der zugrunde liegende Tarifüberblick nennt $3.50/Monat für Starter mit Managed SMTP, Nano ohne Gebühr mit BYO SMTP, ohne Kreditkarte und ohne Ablauf einer Testphase, sowie eine 14-tägige Testphase für kostenpflichtige Tarife mit erforderlicher Kreditkarte. Im beschriebenen Nano-Modell benötigen alle ausgehenden Nachrichten einschließlich Antworten Ihren eigenen SMTP-Anbieter; das gilt nicht pauschal für bezahlte Tarife mit berechtigtem Managed SMTP. Preise, Verfügbarkeit und Bedingungen können sich ändern; prüfen Sie das aktuelle Angebot. TrekMail ausprobieren.

Die vollständige SPF-Checkliste

Gehen Sie vor Abschluss diese sieben Schritte durch. Eine einfache Konfiguration kann in weniger als 15 Minuten vorbereitet sein; DNS-Caches und komplexere Versandwege können zusätzliche Zeit erfordern.

1. Alle Dienste erfasst, die mit Ihrer Domain senden
2. Bestätigt, dass bisher kein oder genau ein SPF-Eintrag existiert, nicht zwei
3. Eine zusammengeführte v=spf1-Zeichenfolge für alle erforderlichen Anbieter erstellt
4. Als TXT-Eintrag bei @ mit TTL 3600 veröffentlicht
5. Den vorhandenen Eintrag ohne Veröffentlichungslücke aktualisiert und Duplikate nach dem Zusammenführen entfernt
6. Mit dig txt yourdomain.com +short geprüft
7. Genau einen Eintrag mit v=spf1 und dem bewusst gewählten Abschluss -all bestätigt

Vereinfachen Sie Ihre DNS-Einrichtung. Mit TrekMail senden.