SPF - Sender Policy Framework nach RFC 7208
DNS-Eintrag, der zulässige Mailserver einer Domain festlegt
Lesezeit: 2 Min.
Was bedeutet SPF?
SPF ist ein DNS-TXT-Eintrag einer Domain, der auflistet, welche Server E-Mails im Namen dieser Domain versenden dürfen. Empfangende Server prüfen die einliefernde IP-Adresse gegen diese Liste und behandeln nicht gelistete Absender nach der im Record festgelegten Regel.
Das Sender Policy Framework (SPF, RFC 7208) ist ein DNS-basierter Mechanismus zur Authentifizierung des Umschlag-Absenders (Envelope-From, technisch die SMTP-MAIL-FROM-Adresse) einer E-Mail. Der Inhaber einer Domain veröffentlicht einen TXT-Record, der mit v=spf1 beginnt und über Mechanismen wie include, ip4, ip6, a oder mx festlegt, welche Server autorisiert sind. Ein abschließender Qualifier vor dem all-Mechanismus bestimmt das Verhalten für alle übrigen Absender: - für Fail (strikte Ablehnung), ~ für Softfail (markieren, meist als Spam-Verdacht), oder ? für Neutral (keine Aussage). Ohne SPF-Record oder mit einer zu lax konfigurierten Regel kann praktisch jeder Server E-Mails versenden, die im Umschlag-Absender die eigene Domain tragen - ein Kernbaustein von Phishing und CEO-Fraud.
Was SPF prüft - und was nicht
SPF authentifiziert ausschließlich den Umschlag-Absender (MAIL FROM), nicht das im Mailprogramm sichtbare From-Feld. Ein Angreifer kann einen SPF-konformen Server nutzen und trotzdem eine gefälschte Absenderadresse im sichtbaren From-Header anzeigen - dagegen hilft erst DMARC mit seiner Alignment-Prüfung, die Umschlag- und sichtbaren Absender auf dieselbe Domain abgleicht. SPF allein ist deshalb eine notwendige, aber keine hinreichende Maßnahme gegen Mail-Spoofing.
Die 10-Lookup-Grenze aus RFC 7208
RFC 7208 begrenzt die Zahl der DNS-Lookups, die zur Auswertung eines SPF-Records nötig sind, auf 10 (Mechanismen wie include, a, mx, exists und ptr zählen). Wird die Grenze überschritten, liefert die Prüfung einen PermError, den die meisten Empfänger wie ein Fail behandeln - der Record wird faktisch wirkungslos. Das passiert in der Praxis häufig, wenn mehrere Mail- und Marketing-Dienste (Versanddienstleister, CRM, Support-Tool) nacheinander per include ergänzt werden, ohne die kumulierte Lookup-Zahl zu prüfen.
Warum SPF nach einer Mail-Weiterleitung bricht
Leitet ein Server eine E-Mail weiter, ändert sich die einliefernde IP-Adresse beim nächsten Empfänger auf die des weiterleitenden Servers - der SPF-Check gegen die ursprüngliche Absenderdomain schlägt dann fehl, obwohl die Mail legitim ist. DKIM (RFC 6376), das die Mail kryptografisch signiert statt die einliefernde IP zu prüfen, übersteht Weiterleitungen dagegen unverändert. Ein vollständiges Absender-Schutzkonzept braucht deshalb SPF und DKIM gemeinsam, mit DMARC als darüberliegender Auswertungs- und Meldeschicht.
Praxis-Tool
Erstelle deinen SPF-Record aus Mailanbieter und Policy - direkt im Browser
Zum SPF- und DMARC-Generator →Auch bekannt als
Sender Policy Framework · SPF-Record · SPF-Eintrag
Verwandte Begriffe
Quellen
Zuletzt aktualisiert: 2026-08-21
Häufige Fragen zu SPF
Reicht ein SPF-Record allein aus, um Phishing mit der eigenen Domain zu verhindern?
Nein. SPF prüft nur den technischen Umschlag-Absender, nicht das sichtbare From-Feld im Mailprogramm. Erst DMARC mit Alignment-Prüfung sorgt dafür, dass eine SPF-Fehlerkennung tatsächlich auf E-Mails mit gefälschter sichtbarer Absenderadresse angewendet wird.
Was bedeutet ~all im Vergleich zu -all?
~all (Softfail) markiert E-Mails nicht gelisteter Absender als verdächtig, lehnt sie aber nicht zwingend ab - ein sinnvoller Einstieg, um erst alle legitimen Versandquellen zu erfassen. -all (Fail) lehnt sie strikt ab und sollte erst gesetzt werden, wenn der Record nachweislich vollständig ist.