Mit einem SPF-Record legst du fest, welche Mailserver beziehungsweise Versandsysteme berechtigt sind, E-Mails im Namen deiner Domain zu versenden.
Wenn du SpamExperts für die ausgehende E-Mail-Filterung verwendest und deine Nachrichten über die SpamExperts-Infrastruktur versendet werden, muss diese Infrastruktur in deinem SPF-Record berücksichtigt werden.
Der dafür vorgesehene SpamExperts-SPF-Mechanismus lautet:
include:spf.antispamcloud.com
Wichtig: SPF ist ein DNS-Eintrag deiner Absenderdomain. Er wird nicht im E-Mail-Programm eingerichtet. Änderungen erfolgen dort, wo die DNS-Zone deiner Domain verwaltet wird.
Was ist SPF? #
SPF steht für Sender Policy Framework. Eine Domain veröffentlicht über DNS, welche Systeme berechtigt sind, E-Mails für diese Domain zu versenden.
Ein empfangender Mailserver kann den SPF-Record abrufen und prüfen, ob der tatsächlich sendende Server durch die veröffentlichte Richtlinie autorisiert ist.
Vereinfacht funktioniert die Prüfung so:
E-Mail wird versendet
↓
Empfangender Mailserver
↓
SPF-Record der Absenderdomain abrufen
↓
Ist der sendende Server autorisiert?
↙ ↘
Ja Nein
↓ ↓
SPF-Prüfung bestanden SPF-Prüfung schlägt fehlSPF ist damit ein wichtiger Bestandteil moderner E-Mail-Authentifizierung.
Warum benötigt SpamExperts einen SPF-Eintrag? #
Wenn deine ausgehenden E-Mails über SpamExperts Outgoing Filtering versendet werden, übernimmt die SpamExperts-Infrastruktur die Weiterleitung der Nachrichten an die externen Empfänger.
Der empfangende Mailserver sieht damit SpamExperts als Teil des Versandweges.
Die SpamExperts-Systeme müssen deshalb durch den SPF-Record deiner Domain für diesen Versand autorisiert sein.
SpamExperts stellt dafür folgenden Include-Mechanismus bereit:
include:spf.antispamcloud.com
Damit werden die von SpamExperts vorgesehenen Versandserver über deren eigene SPF-Konfiguration eingebunden.
SPF und SpamExperts Incoming Filtering nicht verwechseln #
Ein häufiger Irrtum besteht darin, SPF mit den MX-Einträgen für SpamExperts gleichzusetzen.
Beide Einstellungen befinden sich zwar im DNS, erfüllen aber völlig unterschiedliche Aufgaben.
| DNS-Einstellung | Aufgabe |
|---|---|
| MX | Legt fest, wohin eingehende E-Mails für deine Domain zugestellt werden |
| SPF als TXT-Record | Legt fest, welche Systeme E-Mails im Namen deiner Domain versenden dürfen |
Für SpamExperts Incoming Filtering werden die MX-Einträge auf die SpamExperts-Infrastruktur gesetzt.
Die vollständige Einrichtung erklären wir unter SpamExperts Incoming Filtering einrichten und MX-Einträge konfigurieren.
Wann benötigst du SpamExperts im SPF-Record? #
Der Eintrag ist relevant, wenn ausgehende E-Mails deiner Domain über SpamExperts Outgoing Filtering versendet werden.
Wenn SpamExperts ausschließlich für die Filterung eingehender E-Mails verwendet wird, bedeutet das nicht automatisch, dass SpamExperts auch als ausgehendes Versandsystem in SPF eingetragen werden muss.
Kurz erklärt: Incoming Filtering und Outgoing Filtering sind zwei getrennte Funktionen. Ein MX-Eintrag für eingehende Nachrichten sagt nichts darüber aus, über welche Systeme deine Domain E-Mails versendet.
Die Einrichtung des ausgehenden Filters erklären wir unter SpamExperts Outgoing Filtering einrichten.
Wo wird der SPF-Record gespeichert? #
SPF wird als TXT-Record in der DNS-Zone der Domain veröffentlicht.
Typischerweise befindet sich der Eintrag auf der Hauptdomain, also beispielsweise:
example.ch
Der genaue Name beziehungsweise Host, der im DNS-Editor eingetragen werden muss, hängt vom verwendeten DNS-System ab. Manche Systeme erwarten die vollständige Domain, andere verwenden beispielsweise @ für die Hauptdomain.
Beispiel: SpamExperts ist das einzige autorisierte Versandsystem #
Wenn SpamExperts das einzige System ist, das für deine Domain E-Mails versenden soll, kann ein SPF-Record beispielsweise so aussehen:
v=spf1 include:spf.antispamcloud.com -all
Die Bestandteile bedeuten:
| Bestandteil | Bedeutung |
|---|---|
v=spf1 | Kennzeichnet den TXT-Eintrag als SPF-Version 1 |
include:spf.antispamcloud.com | Autorisiert die von SpamExperts veröffentlichten SPF-Systeme |
-all | Andere, nicht autorisierte Versandquellen sollen bei der SPF-Prüfung als nicht berechtigt gelten |
Achtung: Übernimm dieses Beispiel nicht blind, wenn deine Domain zusätzlich über andere Systeme E-Mails versendet. Alle legitimen Versandquellen müssen bei der SPF-Konfiguration berücksichtigt werden.
Prüfe zuerst, ob bereits ein SPF-Record existiert #
Bevor du einen SPF-Record erstellst, solltest du kontrollieren, ob für deine Domain bereits ein entsprechender TXT-Record vorhanden ist.
Ein bestehender SPF-Record beginnt mit:
v=spf1
Beispielsweise könnte bereits ein Eintrag für einen anderen E-Mail-Dienst vorhanden sein.
In diesem Fall solltest du keinen zweiten unabhängigen SPF-Record erstellen.
Wichtig: Eine Domain sollte nicht mehrere separate SPF-Records mit
v=spf1veröffentlichen. Wenn bereits ein SPF-Record vorhanden ist, müssen die benötigten Versandquellen in einer gemeinsamen SPF-Richtlinie zusammengeführt werden.
Bestehenden SPF-Record um SpamExperts ergänzen #
Wenn bereits ein SPF-Record existiert und SpamExperts zusätzlich als ausgehendes Versandsystem verwendet wird, muss der bestehende Record entsprechend ergänzt werden.
Angenommen, ein bestehender Record lautet schematisch:
v=spf1 include:example-mail-provider.com -all
Dann könnte eine kombinierte Konfiguration beispielsweise so aussehen:
v=spf1 include:example-mail-provider.com include:spf.antispamcloud.com -all
Das ist lediglich ein Schema. Welche weiteren Mechanismen tatsächlich erforderlich sind, hängt davon ab, welche Systeme E-Mails für deine Domain versenden.
Das all-Element gehört ans Ende #
Mechanismen wie -all beenden die SPF-Auswertung für alle nicht zuvor erfassten Versandquellen.
Neue autorisierte Versandquellen müssen deshalb vor dem abschließenden all-Mechanismus eingefügt werden.
Beispiel:
v=spf1 include:example.com include:spf.antispamcloud.com -all
Nicht sinnvoll wäre es, einen zusätzlichen Include-Mechanismus einfach hinter ein bereits abschließendes -all zu setzen.
Was bedeutet -all? #
Das Minuszeichen vor all steht bei SPF für Fail.
Damit erklärt die Domain grundsätzlich, dass Systeme, die von keiner vorherigen SPF-Regel autorisiert wurden, nicht zum Versand berechtigt sind.
Daneben existieren weitere Qualifier wie beispielsweise ~all. Welche Richtlinie für eine Domain geeignet ist, hängt von der gesamten Versandkonfiguration ab.
Wichtig: Stelle nicht auf
-allum, solange du nicht sicher bist, dass alle legitimen Versandsysteme deiner Domain im SPF-Record berücksichtigt sind.
Welche Versandsysteme müssen berücksichtigt werden? #
Eine Domain versendet häufig nicht nur über ein einziges System E-Mails.
Neben einem normalen Mailserver können beispielsweise weitere Dienste Nachrichten im Namen deiner Domain versenden:
- SpamExperts Outgoing Filtering
- Newsletter-Systeme
- CRM-Systeme
- Support- oder Ticketsysteme
- Webshops
- externe Transaktionsmail-Dienste
- Cloud-Dienste
Bevor du einen bestehenden SPF-Record ersetzt, solltest du deshalb klären, welche dieser Systeme tatsächlich verwendet werden.
SPF nicht einfach durch den SpamExperts-Record ersetzen #
Angenommen, deine Domain besitzt bereits einen funktionierenden SPF-Record für andere legitime Versanddienste.
Wenn du diesen einfach durch:
v=spf1 include:spf.antispamcloud.com -all
ersetzt, könnten die bisherigen Versandsysteme anschließend nicht mehr durch SPF autorisiert sein.
Das kann die Zustellbarkeit legitimer E-Mails beeinträchtigen.
SpamExperts muss deshalb in die bestehende Versandarchitektur integriert werden – nicht blind an deren Stelle gesetzt werden.
SPF im cPanel Zone Editor bearbeiten #
Wenn die DNS-Zone deiner Domain bei CURIAWEB verwaltet wird und dir der cPanel Zone Editor zur Verfügung steht, kannst du TXT-Einträge dort bearbeiten.
Öffne dazu in cPanel den Zoneneditor und anschließend die Verwaltung der betreffenden Domain.
Wie du DNS-Einträge in cPanel verwaltest, erklären wir unter DNS-Zoneneditor in cPanel verwenden.
Suche dort zunächst nach einem bestehenden TXT-Record, dessen Inhalt mit v=spf1 beginnt.
SPF bei einem externen DNS-Anbieter bearbeiten #
Wenn deine Nameserver beziehungsweise deine DNS-Zone nicht bei CURIAWEB verwaltet werden, musst du den SPF-Record beim zuständigen DNS-Anbieter ändern.
Das kann beispielsweise dein Domainanbieter, ein externer DNS-Dienst oder eine andere Hostingplattform sein.
Entscheidend ist nicht, wo dein E-Mail-Konto liegt, sondern welche Nameserver beziehungsweise DNS-Zone für die Domain autoritativ sind.
DNS-Änderungen benötigen Zeit #
Änderungen an einem SPF-TXT-Record sind nicht zwangsläufig sofort weltweit sichtbar.
DNS-Resolver können vorherige Antworten entsprechend der eingestellten TTL zwischenspeichern.
Nach einer Änderung solltest du deshalb berücksichtigen, dass verschiedene Systeme vorübergehend noch unterschiedliche Versionen des Records sehen können.
SPF-Record nach der Änderung prüfen #
Nach der DNS-Änderung solltest du kontrollieren, welcher SPF-Record öffentlich für deine Domain ausgeliefert wird.
Der veröffentlichte TXT-Record muss den erwarteten Inhalt enthalten.
Wenn SpamExperts für den ausgehenden Versand verwendet wird, sollte darin entsprechend:
include:spf.antispamcloud.com
enthalten sein.
SPF-Prüfung mit einer echten Testmail #
Eine DNS-Prüfung zeigt, welcher SPF-Record veröffentlicht wird. Zusätzlich ist eine echte Testmail sinnvoll.
Sende dazu eine Nachricht über den normalen, tatsächlich verwendeten Versandweg deiner Domain an ein externes Postfach.
Prüfe anschließend die vollständigen Nachrichtenheader beziehungsweise Authentifizierungsergebnisse.
Dort können je nach Empfängersystem Angaben wie:
spf=pass
sichtbar sein.
Praxis-Tipp: Teste nicht nur irgendeinen SMTP-Server. Die Nachricht muss über genau den Versandweg gesendet werden, den du später produktiv verwendest. Nur dann sagt das Ergebnis etwas über deine tatsächliche SPF-Konfiguration aus.
Was bedeutet SPF Pass? #
SPF Pass bedeutet, dass der für die SPF-Prüfung relevante sendende Server durch die veröffentlichte SPF-Richtlinie autorisiert wurde.
Das ist das gewünschte Ergebnis bei einem korrekt eingerichteten legitimen Versandweg.
Was bedeutet SPF Fail? #
Ein SPF Fail bedeutet grundsätzlich, dass der überprüfte Versandserver gemäß der veröffentlichten SPF-Richtlinie nicht für diesen Versand autorisiert ist.
Wenn eine legitime Nachricht einen SPF Fail erhält, solltest du deshalb nicht einfach die SPF-Prüfung beim Empfänger deaktivieren.
Prüfe stattdessen:
- ob der richtige SPF-Record veröffentlicht wird
- ob SpamExperts beziehungsweise der tatsächlich verwendete Versanddienst enthalten ist
- ob die Nachricht wirklich über den erwarteten Versandweg versendet wurde
- ob mehrere widersprüchliche SPF-Records existieren
- ob DNS-Änderungen bereits sichtbar sind
SPF Neutral, Softfail und andere Ergebnisse #
Neben Pass und Fail kennt SPF weitere mögliche Ergebnisse.
Ein häufig verwendeter Mechanismus ist beispielsweise:
~all
Dieser wird üblicherweise als Softfail ausgewertet.
Ein SPF-Ergebnis sollte immer zusammen mit der tatsächlich veröffentlichten Richtlinie und dem konkreten Versandweg beurteilt werden.
Warum mehrere SPF-Records problematisch sind #
Ein häufiger DNS-Fehler besteht darin, für jeden E-Mail-Dienst einen eigenen SPF-TXT-Record anzulegen.
Beispielsweise:
v=spf1 include:provider-a.example -all
v=spf1 include:spf.antispamcloud.com -allDas ist keine saubere SPF-Konfiguration.
Die autorisierten Versandquellen müssen in einer gemeinsamen SPF-Richtlinie zusammengeführt werden, beispielsweise schematisch:
v=spf1 include:provider-a.example include:spf.antispamcloud.com -all
SPF hat ein DNS-Lookup-Limit #
Bei umfangreichen SPF-Records muss außerdem berücksichtigt werden, dass SPF die Anzahl bestimmter DNS-basierter Abfragen begrenzt.
Viele verschachtelte include-Mechanismen können dazu führen, dass dieses Limit überschritten wird.
Das Problem lässt sich nicht zuverlässig beurteilen, indem man lediglich die sichtbare Länge des TXT-Records betrachtet. Auch die von eingebundenen Domains wiederum verwendeten DNS-Mechanismen müssen berücksichtigt werden.
Wichtig: Füge nicht beliebig viele SPF-Includes hinzu. Bei komplexen Versandumgebungen sollte die vollständige SPF-Struktur geprüft werden.
SPF allein verhindert kein Spoofing vollständig #
Ein korrekt eingerichteter SPF-Record ist wichtig, aber SPF allein bildet noch keinen vollständigen Schutz gegen gefälschte Absender.
Moderne E-Mail-Authentifizierung verwendet deshalb zusätzlich insbesondere DKIM und DMARC.
| Verfahren | Grundaufgabe |
|---|---|
| SPF | Prüft, ob ein Versandsystem für die verwendete Envelope-Sender-Domain autorisiert ist |
| DKIM | Prüft eine kryptografische Signatur der Nachricht |
| DMARC | Verknüpft SPF/DKIM mit der sichtbaren Absenderdomain und einer veröffentlichten Richtlinie |
Deshalb empfiehlt SpamExperts auch, die SPF-, DKIM- und DMARC-Prüfungen des Filters nicht ohne konkreten technischen Grund zu deaktivieren.
SPF und Weiterleitungen #
Weitergeleitete E-Mails können bei SPF besondere Herausforderungen verursachen.
Der ursprüngliche Absender hat seinen SPF-Record für seine eigenen Versandsysteme veröffentlicht. Wird eine Nachricht anschließend von einem anderen Server weitergeleitet, kann der nächste Empfänger eine andere sendende IP-Adresse sehen.
Professionelle Mailplattformen können dafür Verfahren wie SRS (Sender Rewriting Scheme) einsetzen.
Das ist einer der Gründe, warum SPF nicht isoliert betrachtet werden sollte und DKIM sowie DMARC ebenfalls wichtig sind.
SPF und SpamExperts Filter Settings #
SpamExperts kann SPF bei eingehenden Nachrichten als Teil seiner Absenderprüfungen berücksichtigen.
Diese Prüfung sollte grundsätzlich aktiviert bleiben.
Wenn eine legitime Nachricht wegen einer fehlerhaften SPF-Konfiguration Probleme verursacht, sollte die Ursache beim betreffenden Versandweg untersucht werden, statt die SPF-Prüfung global abzuschalten.
Unsere Empfehlung zu diesen Einstellungen findest du unter SpamExperts Filter-Einstellungen: Warum die Standardkonfiguration meist die beste Wahl ist.
Die eigene Domain nicht über Block Lists gegen Spoofing schützen #
Die eigene Domain sollte nicht auf die SpamExperts Sender Block List gesetzt werden, um gefälschte Absender zu verhindern.
SpamExperts empfiehlt dafür ausdrücklich Mechanismen wie SPF und DMARC.
Eine Block List hat einen anderen Zweck und ersetzt keine korrekte E-Mail-Authentifizierung.
Mehr dazu erklären wir unter Sender Block List: Absender in SpamExperts blockieren.
Typische SPF-Fehler #
| Fehler | Mögliche Folge |
|---|---|
| SpamExperts fehlt im SPF-Record | Über SpamExperts versendete Nachrichten können SPF-Probleme verursachen |
Mehrere separate v=spf1-Records | Ungültige beziehungsweise nicht eindeutig auswertbare SPF-Konfiguration |
| Bestehenden SPF-Record überschrieben | Andere legitime Versandsysteme verlieren ihre Autorisierung |
| Falsche Domain bearbeitet | Änderung hat keinen Effekt auf den tatsächlichen Versand |
| Zu viele DNS-basierte Mechanismen | SPF-Auswertung kann das zulässige Lookup-Limit überschreiten |
| Versandweg falsch eingeschätzt | SPF autorisiert andere Systeme als diejenigen, die tatsächlich senden |
Empfohlene Vorgehensweise bei der SPF-Einrichtung #
- Ermitteln, welche Systeme tatsächlich E-Mails für deine Domain versenden.
- Prüfen, ob bereits ein SPF-TXT-Record mit
v=spf1vorhanden ist. - Bestehenden SPF-Record nicht löschen, bevor seine Mechanismen verstanden sind.
- Bei SpamExperts Outgoing Filtering
include:spf.antispamcloud.comintegrieren. - Alle weiteren legitimen Versanddienste berücksichtigen.
- Sicherstellen, dass nur eine gemeinsame SPF-Richtlinie veröffentlicht wird.
- DNS-Änderung speichern und deren Veröffentlichung abwarten.
- Öffentlich sichtbaren SPF-Record kontrollieren.
- Eine echte Testmail über den produktiven Versandweg senden.
- SPF-Ergebnis in den Nachrichtenheadern prüfen.
Wenn E-Mails nach einer SPF-Änderung Probleme machen #
Wenn nach einer SPF-Änderung legitime Nachrichten nicht mehr wie erwartet zugestellt werden, solltest du die Änderung nicht durch weitere zufällige Anpassungen „reparieren“.
Prüfe zuerst den aktuell veröffentlichten SPF-Record und vergleiche ihn mit den tatsächlich verwendeten Versandsystemen.
Wenn die betreffende Nachricht über SpamExperts Outgoing Filtering versendet wurde, kann zusätzlich die Outgoing Log Search helfen, den Versandweg nachzuvollziehen.
Zusammenfassung #
SPF legt über einen DNS-TXT-Record fest, welche Systeme E-Mails im Namen deiner Domain versenden dürfen.
Wenn du SpamExperts Outgoing Filtering verwendest, muss die SpamExperts-Versandinfrastruktur in der SPF-Konfiguration berücksichtigt werden. Der dafür vorgesehene Mechanismus lautet:
include:spf.antispamcloud.com
Wenn SpamExperts das einzige autorisierte Versandsystem ist, kann eine vollständige Richtlinie beispielsweise so aussehen:
v=spf1 include:spf.antispamcloud.com -all
Existiert bereits ein SPF-Record, solltest du keinen zweiten SPF-Record erstellen. Stattdessen müssen alle legitimen Versandquellen in einer gemeinsamen Richtlinie zusammengeführt werden.
Prüfe außerdem vor jeder Änderung, welche Systeme tatsächlich E-Mails für deine Domain versenden. Newsletter-Dienste, Shops, CRM-Systeme oder andere externe Plattformen können ebenfalls Bestandteil deiner SPF-Konfiguration sein.
Nach der Änderung solltest du sowohl den öffentlich sichtbaren DNS-Eintrag als auch eine echte Testmail über den produktiven Versandweg kontrollieren.
SPF ist ein wichtiger Bestandteil der E-Mail-Authentifizierung, ersetzt aber DKIM und DMARC nicht.
