Glossar
Sender Policy Framework (SPF): Schutzschild gegen E-Mail-Spoofing
Zusammenfassung: Das Sender Policy Framework (SPF) ist ein zentraler Baustein der modernen E-Mail-Sicherheit. Es hilft Unternehmen, ihre Domain gegen Missbrauch – insbesondere durch Spoofing und Phishing – zu schützen. SPF verhindert, dass nicht autorisierte Server im Namen Ihrer Domain E-Mails versenden. Als DNS-basierter Authentifizierungsmechanismus überprüft es, ob die IP-Adresse eines sendenden Servers mit der im DNS definierten Liste übereinstimmt.
Dieser Glossartext beleuchtet die Funktionsweise, Konfiguration und Bedeutung von SPF – verständlich erklärt, praxisnah aufbereitet und ergänzt durch Vergleiche mit DKIM, DMARC sowie einem Ausblick auf die Zukunft der E-Mail-Authentifizierung.
1. Was ist das Sender Policy Framework (SPF) – und warum ist es wichtig?
Das Sender Policy Framework (SPF) ist ein technischer Standard zur Authentifizierung von E-Mail-Absendern. Es wurde entwickelt, um den zunehmenden Missbrauch von E-Mail-Domains – etwa durch Spoofing, Phishing oder Spam – zu bekämpfen. SPF ist damit ein DNS-basierter Sicherheitsmechanismus, der dafür sorgt, dass nur autorisierte Mailserver im Namen einer Domain E-Mails versenden dürfen.
📌 Ziel von SPF: Schutz vor E-Mail-Spoofing
E-Mail-Spoofing beschreibt das Vortäuschen einer gefälschten Absenderadresse, um Empfänger zu täuschen oder Schadsoftware zu verbreiten. Mit SPF lässt sich dies unterbinden, da der empfangende Mailserver anhand des SPF-Eintrags im DNS überprüfen kann, ob die sendende IP-Adresse zum Absender gehört.
🔐 SPF als Teil der E-Mail-Authentifizierung
SPF ist neben DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting & Conformance) ein Grundpfeiler der modernen E-Mail-Authentifizierung. Während SPF die sendende IP-Adresse überprüft, prüft DKIM den Inhalt über digitale Signaturen, und DMARC koordiniert das Verhalten bei Fehlschlägen.
🌐 Technischer Zusammenhang mit DNS
- SPF basiert auf einem TXT-Record im Domain Name System (DNS)
- Dieser Eintrag listet alle Mailserver (bzw. IP-Adressen oder Domains) auf, die im Namen der Domain E-Mails versenden dürfen
- Beispiel eines SPF-Records:
v=spf1 ip4:192.0.2.0/24 include:_spf.google.com ~all
🎯 Relevanz für Unternehmen & Mail-Infrastruktur
- Schutz der eigenen Markenreputation
- Reduktion von Spam- und Phishing-Versuchen über die eigene Domain
- Grundlage für hohe E-Mail-Zustellraten (Deliverability)
- Pflichtbestandteil für E-Mail-Versand über Drittanbieter (z. B. Mailchimp, Microsoft 365)
2. Wie funktioniert SPF technisch – von DNS-Eintrag bis Prüfung?
SPF arbeitet auf Basis von DNS-TXT-Records, die festlegen, welche Server berechtigt sind, im Namen einer Domain E-Mails zu versenden. Beim Empfang einer E-Mail überprüft der empfangende Mailserver mithilfe dieses SPF-Eintrags, ob die IP-Adresse des sendenden Servers autorisiert ist.
🔍 SPF als DNS-TXT-Eintrag
Der SPF-Record wird im DNS als TXT-Eintrag veröffentlicht und beginnt mit dem Versionskennzeichen v=spf1. Es folgen verschiedene Mechanismen und Modifikatoren, die die zugelassenen Mailserver oder IP-Adressen definieren.
Beispiel eines einfachen SPF-Records:
v=spf1 ip4:192.0.2.0/24 include:_spf.google.com -all
🧠 Die Mechanismen im Überblick
| Mechanismus | Bedeutung | Beispiel |
| ip4: | Erlaubt IPv4-Adressen oder -Bereiche | ip4:203.0.113.0/24 |
| ip6: | Erlaubt IPv6-Adressen | ip6:2001:db8::/32 |
| include: | Integriert den SPF-Eintrag einer anderen Domain | include:_spf.google.com |
| a, mx | Prüft, ob die IP zur A- oder MX-Adresse der Domain gehört | a, mx |
| exists: | Prüft, ob eine bestimmte Domain existiert | exists:%{i}.spf.example.com |
| all | Default-Fallback, oft am Ende verwendet | -all, ~all, ?all |
📥 Ablauf der SPF-Prüfung beim empfangenden Mailserver
- Der empfangende Server extrahiert die Absenderdomain aus der E-Mail-Adresse
- Er ruft den SPF-TXT-Record dieser Domain im DNS ab
- Er vergleicht die IP-Adresse des sendenden Servers mit den im SPF-Record definierten Quellen
- Je nach Ergebnis wird ein SPF-Resultat vergeben: Pass, Fail, Softfail, Neutral, None
📊 Bedeutung der Modifizierer (z. B. -all vs. ~all)
- -all = harter Fail: E-Mails von nicht autorisierten Quellen sollten abgelehnt werden
- ~all = weicher Fail: E-Mails können akzeptiert, aber markiert werden
- ?all = neutral: keine Bewertung
Tipp: In der Anfangsphase empfiehlt sich ~all, später ggf. auf -all umstellen.
3. Wie richtet man einen SPF-Record korrekt ein?
Die Konfiguration eines SPF-Eintrags ist ein zentraler Schritt für die E-Mail-Sicherheit einer Domain. Obwohl die Syntax relativ einfach erscheint, können bereits kleine Fehler gravierende Auswirkungen auf die Zustellbarkeit haben. Deshalb gilt: Sorgfältige Planung und regelmäßige Validierung sind Pflicht.
🧱 Aufbau eines SPF-Records
Ein SPF-Record ist ein TXT-Record im DNS-Zonenfile der Domain. Der typische Aufbau:
v=spf1 [Mechanismen und Modifikatoren] [Ende]
v=spf1 → SPF-Versionskennzeichen (verpflichtend)- Danach folgen eine oder mehrere IP-Adressen, Domains oder Mechanismen (ip4, include, mx, …)
- Zum Schluss: -all, ~all, ?all oder +all (nicht empfohlen)
Beispiel für einen gängigen SPF-Eintrag:
v=spf1 ip4:192.0.2.0/24 include:_spf.mailprovider.com ~all
🔨 Tools zur SPF-Erstellung und -Prüfung
- SPF Record Generator:
- https://www.spfwizard.net/
- https://mxtoolbox.com/SPFRecordGenerator.aspx
- SPF Check Tools:
- https://dmarcian.com/spf-survey/
- https://tools.wordtothewise.com/spf
✅ Best Practices für den SPF-Record
- Nur benötigte Absender-IPs eintragen – keine pauschalen Freigaben
- Jede include:-Domain prüfen – enthalten diese ihrerseits gültige SPF-Einträge?
- ~all statt -all bei Tests verwenden, bis SPF-Setup vollständig validiert ist
- DNS-Lookup-Grenze beachten – maximal 10 Rekursionen erlaubt
- Keine Duplikate im TXT-Record – pro Domain nur ein SPF-Record
📌 SPF bei mehreren Diensten (z. B. Microsoft 365 + Newsletter-Tool)
- Beispiel:
v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net ~all
Wichtig: Reihenfolge ist nicht relevant – Hauptsache, alle Dienste sind korrekt eingebunden
4. Warum ist SPF entscheidend für die Zustellbarkeit von E-Mails?
Ein korrekt eingerichteter SPF-Record verbessert nicht nur die Sicherheit, sondern auch die Zustellwahrscheinlichkeit legitimer E-Mails. E-Mail-Provider wie Gmail, Microsoft, Yahoo und viele Unternehmens-Mailserver verwenden SPF als eines von mehreren Kriterien zur Einstufung einer Nachricht als vertrauenswürdig oder verdächtig.
🛡️ Schutz vor Spoofing = besserer Ruf
- SPF verhindert, dass Dritte E-Mails im Namen Ihrer Domain versenden können
- Dadurch sinkt das Risiko, dass Ihre Domain auf Blocklisten landet oder Empfänger E-Mails als Phishing einstufen
📥 Einfluss auf Spamfilter & Zustellraten
- Ein „SPF Pass“ erhöht die Wahrscheinlichkeit, dass eine E-Mail im Posteingang statt im Spam-Ordner landet
- Besonders wichtig für:
- Transaktionsmails (z. B. Bestellbestätigungen)
- Newsletter & Kampagnenmails
- Systemmails (z. B. Passwort-Reset, Alerts)
🚨 Häufige Auswirkungen von SPF-Fehlkonfigurationen
| Problem | Folge |
| Kein SPF-Record | Mails gelten als nicht authentifiziert, landen im Spam |
| Falsche IP-Adresse oder fehlendes Include | „SPF Fail“ – Mail wird blockiert oder abgelehnt |
| Mehr als 10 DNS-Lookups | SPF kann nicht validiert werden, „PermError“ |
🧪 SPF allein reicht nicht aus
- SPF ist notwendig, aber nicht ausreichend – insbesondere weil es keine Absicherung des Nachrichteninhalts bietet
- Empfehlung: SPF in Kombination mit:
- DKIM (digitale Signatur)
- DMARC (Richtlinie für E-Mail-Authentifizierungsfehler)
📈 Monitoring: SPF-Zustellberichte (DMARC Reports)
- Mit aktivem DMARC können Unternehmen SPF-Zustandsdaten abrufen:
- Wer nutzt die Domain zum Versenden?
- Wie oft schlägt die SPF-Prüfung fehl?
5. Wie ergänzt SPF die Standards DKIM & DMARC?
SPF allein bietet bereits Schutz gegen das Vortäuschen von E-Mail-Absendern. Um jedoch eine vollständige und robuste E-Mail-Authentifizierung zu erreichen, wird SPF in Kombination mit DKIM und DMARC eingesetzt. Diese drei Standards ergänzen sich in ihrer Funktionsweise und bilden gemeinsam das Fundament moderner E-Mail-Security.
🔐 Was ist DKIM?
DKIM (DomainKeys Identified Mail) ermöglicht es, eine E-Mail digital zu signieren. Die Signatur wird im E-Mail-Header gespeichert und kann vom empfangenden Server über einen öffentlichen Schlüssel (hinterlegt im DNS) überprüft werden.
- Schutz des E-Mail-Inhalts vor Manipulation
- Authentifizierung des Absenders anhand kryptografischer Methoden
📜 Was ist DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) definiert eine Richtlinie für SPF- und DKIM-Prüfergebnisse.
- Entscheidet, wie der empfangende Server bei einem Authentifizierungsfehler reagieren soll (none, quarantine, reject)
- Bietet Auswertungsberichte (Aggregate Reports), um Missbrauch zu erkennen
🧩 Zusammenspiel der drei Technologien
| Standard | Aufgabe | Vorteil |
| SPF | Überprüfung der Absender-IP | Schutz vor gefälschtem Envelope-Absender |
| DKIM | Prüfung der Mail-Inhalte | Manipulationsschutz und Integritätssicherung |
| DMARC | Richtliniensteuerung & Reporting | Durchsetzung & Transparenz der Authentifizierung |
✅ Best Practice: SPF, DKIM & DMARC gemeinsam einsetzen
- SPF-Record konfigurieren
- DKIM-Signatur über Mailserver oder Drittanbieter aktivieren
- DMARC-Policy setzen und regelmäßig Reports auswerten
Beispiel für eine DMARC-Policy:
v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100;
6. Welche häufigen Fehler treten bei SPF auf – und wie behebt man sie?
Trotz seiner einfachen Syntax kann SPF bei der Implementierung schnell zu Fehlkonfigurationen und unerwünschten Zustellproblemen führen. Um dies zu vermeiden, sollten typische Fallstricke bekannt und Monitoring-Tools aktiv eingesetzt werden.
⚠️ SPF Fail vs. Softfail
- Fail (−all): Die IP-Adresse des sendenden Mailservers ist nicht autorisiert → Mail wird abgelehnt oder als Spam eingestuft
- Softfail (~all): Die IP ist nicht gelistet, Mail kann zugestellt, aber markiert werden
- Ursache: fehlende oder falsche IP/Include im SPF-Record
- Lösung: SPF-Eintrag um korrekte Absender ergänzen und Syntax überprüfen
🔄 „Too many DNS lookups“ – das 10-Limit-Problem
- SPF erlaubt maximal 10 DNS-Lookups pro Prüfung (inkl. aller include, a, mx etc.)
- Überschreitung führt zu: permerror → SPF kann nicht vollständig geprüft werden
- Lösung:
- Redundante Includes entfernen
- DNS-Optimierung: eigene Subdomains als Redirect nutzen
- SPF-Flattening Tools (z. B. https://www.spfbl.net/en/spf_flattening/)
🔁 Konflikte bei Include-Mechanismen
- Zwei Dienste mit Überschneidung (z. B. Mailchimp und Sendinblue) erzeugen zu viele Includes oder unklare all-Mechanismen
- Lösung:
- Nur saubere, geprüfte Includes verwenden
- Reihenfolge und Test mit Tools wie MXToolbox
❌ Mehrere SPF-Records im DNS
- Nur ein gültiger SPF-TXT-Record pro Domain erlaubt
- Mehrere Einträge führen zur Ignorierung durch Mailserver
- Lösung: Einträge zusammenführen in einen einzigen TXT-Record
🔍 Debugging-Tipps
- Header-Analyse in empfangener E-Mail:
- Suche nach: Received-SPF: pass/fail
- SPF-Check-Tools nutzen:
- https://mxtoolbox.com/spf.aspx
- https://tools.wordtothewise.com/spf
- https://dmarcian.com/spf-survey/
7. Welche Tools und Validatoren helfen bei der SPF-Prüfung?
Zur Verwaltung und laufenden Kontrolle eines SPF-Eintrags stehen zahlreiche kostenlose und professionelle Tools zur Verfügung. Diese Tools ermöglichen eine präzise Diagnose, zeigen Fehlkonfigurationen auf und unterstützen die Optimierung.
🔧 SPF Check Tools (kostenlos)
| Tool | Funktionen | URL |
| MXToolbox | SPF Lookup, Syntax-Check, DNS Lookup | https://mxtoolbox.com/spf.aspx |
| DMARCIAN SPF Survey | Vollständige Analyse inkl. Lookup-Ketten | https://dmarcian.com/spf-survey/ |
| Kitterman SPF Validator | Validierung & Parsing des SPF-Strings | https://www.kitterman.com/spf/validate.html |
| Mail-Tester | SPF + DKIM + Spamfilter-Bewertung | https://www.mail-tester.com |
🧰 DNS Tools mit SPF-Komponente
- DNSChecker.org – weltweiter DNS-Propagation-Check
- Toolbox Google Admin – Google-optimierte SPF-Analyse (z. B. bei Gmail-Zustellproblemen)
- WhatsMyDNS – Sofortige Anzeige von SPF-Einträgen weltweit
⚙️ SPF-Setup & Flattening-Generatoren
- SPF Generator Tools:
- https://spfwizard.net
- https://easydmarc.com/tools/spf-record-generator
- SPF Flattening Tools (bei Lookup-Limit-Problemen):
- https://www.spfbl.net/en/spf_flattening/
- https://tools.wordtothewise.com/spf/flatten
📈 Monitoring & Protokollierung
- DMARC Aggregate Reports liefern Informationen über SPF-Ausführungen
- Einige Tools (z. B. Postmark, Proofpoint, Valimail) bieten professionelles SPF/DMARC-Monitoring im Dashboard
🧠 Was sollte ein gutes SPF-Tool können?
- Prüfung auf DNS-Fehler und Lookup-Überschreitungen
- Aufschlüsselung aller Includes und Redirects
- Warnung bei ungültiger Syntax oder Duplikaten
- Ergebnisanzeige: Pass / Softfail / Fail / Neutral
8. Wie geht man mit SPF bei mehreren Absenderdiensten um?
🧩 Herausforderung: mehrere Services = mehrere SPF-Anforderungen
Immer mehr Unternehmen nutzen verschiedene Cloud-Dienste oder SaaS-Plattformen, um E-Mails zu versenden: Transaktionsmails über das ERP, Marketingmails über ein Tool wie Mailchimp, Supportkommunikation via Zendesk, interne Nachrichten über Microsoft 365. Damit SPF dabei korrekt funktioniert, braucht es strategische Planung und sauberes DNS-Management.
- Jeder Dienst (Google Workspace, Mailgun, Amazon SES, …) fordert, dass seine Versand-IP-Adressen im SPF-Record berücksichtigt werden
- Häufige Komplikationen:
- Mehrere Includes → Risiko der DNS-Lookup-Überschreitung
- Unvollständige oder falsche Angaben vom Dienstleister
- Konfigurationsfehler durch übereilte Copy-Paste-Integration
🧱 Aufbau eines kombinierten SPF-Records (Beispiel)
v=spf1 include:_spf.google.com include:servers.mcsv.net include:mail.zendesk.com ~all
Jeder include: verweist auf den SPF-Record des Dienstanbieters- Wichtig: Nur ein TXT-Record pro Domain – alles muss in einem zusammengeführt werden
🧠 Best Practices für SPF bei Multi-Service-Nutzung
- Alle Anbieter dokumentieren, die E-Mails im Namen der Domain versenden
- Offizielle SPF-Informationen nutzen, z. B. aus Knowledgebase oder API-Docs
- SPF-Flattening in Betracht ziehen, falls Lookup-Limit droht
- Subdomain-Strategie prüfen:
- z. B. mail.example.com für Mailchimp
- support.example.com für Zendesk → getrennter SPF-Eintrag möglich
💡 SPF & Shared Hosting
- Wenn der Hostinganbieter automatisch SPF einträgt, können Konflikte entstehen
- Lösung:
- Manuell konsolidieren
- Nachfragen beim Provider, welche Anpassungen möglich/sicher sind
9. Welche rechtlichen Aspekte und Empfehlungen gibt es zu SPF?
Neben den technischen Vorteilen spielt SPF auch in Fragen von Datenschutz, Identitätsschutz und rechtlicher Haftung eine zunehmend wichtige Rolle. Unternehmen, Behörden und Organisationen werden durch Normen, Standards und Empfehlungen ermutigt – teils sogar verpflichtet –, SPF und verwandte Sicherheitsmaßnahmen zu implementieren.
⚖️ DSGVO & E-Mail-Sicherheit
- Die Datenschutz-Grundverordnung (DSGVO) verlangt technische und organisatorische Maßnahmen (TOMs) zur Sicherung personenbezogener Daten (Art. 32)
- SPF ist eine anerkannte Maßnahme zur Vermeidung von Identitätsfälschung (Spoofing) im E-Mail-Verkehr
- Insbesondere bei der Verarbeitung personenbezogener Daten via E-Mail sollte SPF + DKIM + DMARC konfiguriert sein
🛡️ Empfehlungen von Behörden & Standards
- BSI (Bundesamt für Sicherheit in der Informationstechnik):
- Empfiehlt SPF + DKIM + DMARC als Mindestanforderung für Domaininhaber
- Veröffentlichte Checklisten und Handlungsempfehlungen (z. B. BSI TR-03108-1)
- ENISA (EU-Agentur für Cybersicherheit):
- Klassifiziert SPF als Best-Practice-Maßnahme in ihrer E-Mail-Security-Guideline
- ISO/IEC 27001 & IT-Grundschutz:
- SPF zählt zur Umsetzung von Maßnahmen zur sicheren Kommunikation
🧾 Juristische Relevanz bei Missbrauch
- Wird eine Domain für Phishing genutzt, kann das zu Reputations- und Vertrauensverlust führen
- Ohne SPF kann ein Unternehmen u. U. nicht glaubhaft nachweisen, dass es Spoofing aktiv verhindert hat
- Beispiel: Phishing-Mails über example.de, ohne SPF-Eintrag → potenzieller Reputations- und Haftungsschaden
🔍 Öffentliche Verwaltung & SPF
- Viele öffentliche Stellen (Städte, Universitäten, Behörden) setzen SPF in Kombination mit DMARC „p=reject“ um
- DMARC-Berichte bieten zusätzlichen Nachweis über die Maßnahmen – wichtig bei interner Revision oder Cyber-Vorfall
10. Welche Weiterentwicklungen und Trends zeichnen sich bei SPF ab?
Obwohl SPF ein bewährter Standard ist, entwickelt sich das Feld der E-Mail-Authentifizierung kontinuierlich weiter. Neue Technologien, steigende Anforderungen an Zustellbarkeit und Sicherheitsrichtlinien sowie Entwicklungen im Cloud- und SaaS-Bereich führen dazu, dass SPF künftig noch stärker integriert, erweitert und automatisiert wird.
🆕 BIMI – Brand Indicators for Message Identification
- Ergänzung zu SPF, DKIM & DMARC
- Zeigt verifizierte Markenlogos in unterstützten E-Mail-Clients (z. B. Gmail)
- Voraussetzungen:
- SPF + DKIM + DMARC „p=quarantine“ oder „reject“
- Validiertes VMC-Zertifikat (Verified Mark Certificate)
📡 MTA-STS & TLS Reporting (TLS-RPT)
- SPF schützt nur Absenderidentität – MTA-STS schützt die Transportverschlüsselung
- TLS-RPT ermöglicht Auswertung fehlgeschlagener TLS-Verbindungen
- Gemeinsam mit SPF, DKIM & DMARC Teil des modernen Secure Email Stack
🔄 SPF-Automatisierung & Self-Healing-Mechanismen
- Tools & APIs analysieren automatisch DNS-Lookups, SPF-Performance & Reporting
- Systeme wie Valimail, Proofpoint oder dmarcian setzen auf automatisierte Pflege komplexer SPF-Strukturen
- Künftige Lösungen:
- Dynamisches SPF-Flattening
- Echtzeit-DNS-Optimierung basierend auf Mailserver-Logs
🌐 Zero Trust für E-Mail-Infrastrukturen
- SPF wird Teil von umfassender Zero-Trust-Kommunikation
- Kombination mit S/MIME, Domain Reputation, Header Authentication und Threat Intelligence
🧠 KI-gestützte SPF-Auswertung & Visualisierung
- Einsatz von Machine Learning zur Erkennung von Missbrauchsmustern
- Predictive SPF-Management: Empfehlungen für SPF-Anpassungen auf Basis vergangener Zustellanalysen
✨ Fazit
Das Sender Policy Framework (SPF) ist mehr als nur ein technischer Eintrag im DNS – es ist ein essenzielles Werkzeug zum Schutz deiner Domain, deiner Kund:innen und deiner Marke. Zusammen mit DKIM und DMARC bildet SPF die Basis eines vertrauenswürdigen, modernen und regelkonformen E-Mail-Verkehrs.
✅ Warum SPF ein Muss ist:
- Es schützt vor Spoofing & Phishing
- Es verbessert die Zustellbarkeit von legitimen E-Mails
- Es wird von Behörden und Sicherheitsstandards empfohlen
- Es ist Voraussetzung für viele Erweiterungen wie BIMI & DMARC
👉 Jetzt bist du gefragt:
- Prüfe, ob deine Domain einen gültigen SPF-Record hat – z. B. mit MXToolbox
- Dokumentiere alle Dienste, die E-Mails über deine Domain versenden – und pflege sie regelmäßig in deinen SPF-Record ein
- Ergänze SPF mit DKIM und DMARC, um ein vollständiges Authentifizierungs-Setup zu erreichen
- Nutze Monitoring-Tools und Reports, um Spoofingversuche frühzeitig zu erkennen
E-Mail-Sicherheit beginnt mit SPF – mach deine Domain jetzt spoofing-sicher.