E-Mail-Authentifizierung

Was ist SPF? Sender Policy Framework erklärt

SPF ist ein DNS-Eintrag, der festlegt, welche Server E-Mails im Namen einer Domain versenden dürfen. Empfänger prüfen ihn bei jeder eingehenden Mail.

So funktioniert SPF

Der SPF-Record ist ein TXT-Eintrag direkt an der Domain, der mit „v=spf1“ beginnt. Er zählt die erlaubten Absender auf: IP-Adressen (ip4, ip6), die Server aus dem A- oder MX-Eintrag der Domain oder per „include“ die Server eines Dienstleisters wie Microsoft 365 oder eines Newsletter-Anbieters.

Am Ende steht eine Regel für alle anderen Server: „-all“ (ablehnen), „~all“ (verdächtig markieren) oder „?all“ (neutral). Der empfangende Server vergleicht die IP-Adresse des einliefernden Servers mit dieser Liste. Geprüft wird dabei die Absenderadresse aus dem SMTP-Envelope (Return-Path), nicht die sichtbare From-Adresse – dafür braucht es zusätzlich DMARC.

Domains, die gar keine E-Mails versenden, sollten trotzdem einen SPF-Record haben: „v=spf1 -all“ sagt allen Empfängern, dass jede Mail mit dieser Domain gefälscht ist. Das gilt auch für aktive Subdomains wie www oder shop.

Beispiel

example.com.      TXT  "v=spf1 mx include:spf.protection.outlook.com -all"
www.example.com.  TXT  "v=spf1 -all"

Die Hauptdomain erlaubt die eigenen MX-Server und Microsoft 365, alles andere wird abgelehnt. Die Subdomain www versendet keine Mails.

Typische Fehler

Zwei SPF-Records an derselben Domain – dann ist SPF ungültig (permerror).
Mehr als 10 DNS-Lookups durch verschachtelte includes – auch das führt zu einem Fehler.
Ein neuer Dienstleister (Newsletter, CRM, Ticketsystem) versendet Mails, wurde aber nicht aufgenommen.
„+all“ oder „?all“ am Ende – damit schützt SPF praktisch nicht.
Der veraltete Mechanismus „ptr“, den RFC 7208 nicht mehr empfiehlt.

So bewertet der Domain Trust Check SPF

Kriterium „SPF Hauptdomain“ (Gewicht 5 von 5): Genau ein gültiger SPF-Record (v=spf1), eine klare Regel für fremde Server (-all oder ~all), höchstens 10 DNS-Lookups, alle Includes auflösbar, kein veralteter ptr-Mechanismus.

Kriterium „SPF für Subdomains“ (Gewicht 5 von 5): Aktive Subdomains wie www, mail oder shop ohne eigenen Mailversand sollten „v=spf1 -all“ veröffentlichen – oder per DMARC sp=reject geschützt sein, damit Angreifer nicht auf Subdomains ausweichen.

Standard: RFC 7208