SPF-Fehler systematisch finden
SPF prüfen: ein Eintrag, alle Absender, höchstens zehn DNS-Abfragen.
Ein vorhandener SPF-Eintrag ist nur der Anfang. Er muss jede legitime Sendequelle abdecken, syntaktisch gültig bleiben und darf das feste Limit von zehn DNS-Abfragen nicht überschreiten.
Geprüft: 19. Juli 2026 · Primärquellen am Seitenende
Genau einen SPF-Eintrag finden
SPF wird als TXT-Eintrag an der sendenden Domain veröffentlicht und beginnt exakt mit v=spf1. Mehr als ein passender Eintrag führt laut Standard zu permerror; fassen Sie alle Quellen deshalb in einem Eintrag zusammen.
Alle realen Sendequellen inventarisieren
Berücksichtigen Sie Mailplattform, Newsletter, CRM, Rechnungssoftware, Website, Scanner, Ticketing und externe Dienstleister. Ein neuer Dienst muss in SPF oder über ausgerichtetes DKIM abgedeckt werden.
Mechanismen von links nach rechts lesen
SPF wertet Mechanismen der Reihe nach aus. include, a, mx, exists und redirect können weitere DNS-Abfragen auslösen; ip4 und ip6 nicht. Beenden Sie den Eintrag bewusst mit einem all-Mechanismus.
Die DNS-Abfragen zählen
Der SPF-Standard erlaubt bei der Auswertung höchstens zehn DNS-Abfragen. Wird das Limit überschritten, lautet das Ergebnis permerror. Verschachtelte include-Einträge zählen mit und können sich durch Änderungen beim Anbieter vergrössern.
Die Endung bewusst wählen
~all signalisiert Softfail, -all ein hartes Fail für nicht autorisierte Quellen. Wechseln Sie nicht blind zu -all, solange das Absender-Inventar unvollständig ist. Google verwendet für reine Workspace-Setups als Beispiel Softfail.
v=spf1 include:_spf.google.com ~allMit echten Nachrichten und DMARC bestätigen
Prüfen Sie Authentication-Results in gesendeten Nachrichten. SPF authentifiziert die technische Envelope-Domain; für DMARC muss sie zur sichtbaren From-Domain ausgerichtet sein oder ausgerichtetes DKIM bestehen.
Wichtig
SPF-Flattening ist keine automatische Dauerlösung.
Das Ersetzen von include-Mechanismen durch aktuelle IP-Adressen kann DNS-Abfragen reduzieren, verlagert die Pflege aber zu Ihnen. Ändert der Anbieter seine Infrastruktur, wird der statische Eintrag veraltet. Bevorzugen Sie weniger Sendeplattformen, DKIM mit passender Absenderdomain und kontrollierte Anbietermechanismen.
Wenn Sie den Schutz laufend überwachen wollen
Sehen Sie, wer wirklich in Ihrem Namen sendet.
DMARCTrust ist eine externe Plattform für DMARC-Berichte, Warnungen und Absender-Inventar. Die kostenlose Teststufe ist auf eine Domain begrenzt; bezahlte Business-Tarife starten bei $19 pro Monat für zwei Domains. Der MX-Audit-Score bleibt unabhängig.
Darf eine Domain zwei SPF-Einträge haben?
Nein. Wenn die TXT-Abfrage mehr als einen passenden v=spf1-Eintrag liefert, verlangt RFC 7208 das Ergebnis permerror. Fassen Sie alle Mechanismen in einem Eintrag zusammen.
Was zählt zum Limit von zehn DNS-Abfragen?
include, a, mx, ptr, exists und redirect lösen DNS-Abfragen aus und zählen. Verschachtelte includes werden während der Auswertung ebenfalls verfolgt. ip4, ip6 und all zählen nicht zu diesem Limit.
Reicht SPF ohne DKIM und DMARC?
Nein. SPF schützt nur eine technische Absenderidentität und kann bei Weiterleitungen brechen. DKIM signiert die Nachricht; DMARC verbindet SPF oder DKIM mit der sichtbaren Absenderdomain und veröffentlicht eine Richtlinie.
Prüft MX Audit verschachtelte SPF-Includes?
Ja. Der Browser-Check folgt statischen include- und redirect-Verweisen rekursiv, zeigt die aufgelöste Kette und zählt alle DNS-auslösenden SPF-Mechanismen. Dynamische SPF-Makros und eine vollständige DNS-Zone lassen sich aus öffentlichen Daten jedoch nicht zuverlässig erfassen.