SPF-Eintrag erstellen: Anleitung mit fertigen Beispielen

Zuerst prüfen: Was steht schon im DNS?

Prüfen Sie Ihre Domain im kostenlosen Domain-Check: Kostenloser Domain-Check. Er zeigt, ob bereits ein SPF-Eintrag besteht und ob er gültig ist. Das ist wichtig, denn viele Hoster legen bei der Einrichtung schon einen an. Dann erstellen Sie keinen neuen, sondern ergänzen den bestehenden.

Klären Sie ausserdem, wo Ihr DNS verwaltet wird. Massgebend ist der Anbieter, auf den die Nameserver der Domain zeigen. Ein Eintrag bei einem anderen Anbieter wirkt nicht.

Machen Sie zum Schluss eine Liste: Wer verschickt Mails mit Ihrer Domain? Typisch sind das Postfach (zum Beispiel Microsoft 365), das Newsletter-Tool, der Webshop, die Buchhaltung, das Kontaktformular der Webseite und manchmal ein Multifunktionsdrucker.

So ist ein SPF-Eintrag aufgebaut

Ein SPF-Eintrag ist ein TXT-Eintrag direkt auf der Domain. Er besteht aus Bausteinen, getrennt durch Leerzeichen:

• v=spf1 steht immer am Anfang. Daran erkennen Empfänger den SPF-Eintrag.
• include: übernimmt die Liste eines Anbieters, zum Beispiel include:spf.protection.outlook.com für Microsoft 365. Der Anbieter pflegt seine Server selbst.
• ip4: und ip6: erlauben eine feste IP-Adresse oder einen Adressbereich, etwa den eigenen Webserver: ip4:203.0.113.25.
• a erlaubt die Server, auf die Ihre Domain zeigt (meist der Webserver). mx erlaubt die Server, die für Ihre Domain Mails empfangen.
• redirect= verweist vollständig auf den Eintrag eines Anbieters. Hostpoint nutzt diese Form.
• Am Ende steht die Regel für alle anderen: -all heisst «ablehnen» (hart), ~all heisst «verdächtig» (weich). +all erlaubt jedem Server der Welt, in Ihrem Namen zu senden. Nie verwenden.

Wichtig zu wissen: SPF prüft die technische Absenderadresse (Return-Path), nicht die Adresse, die der Empfänger sieht. Viele Newsletter-Tools verwenden dafür eine eigene Adresse. Dann braucht es in Ihrem SPF keinen Eintrag für das Tool, aber eine DKIM-Signatur. Die Anleitung des Tools sagt, was nötig ist.

Fertige Beispiele für die häufigsten Anbieter

Ersetzen Sie nichts an diesen Werten, ausser Sie senden über weitere Dienste.

• Microsoft 365: v=spf1 include:spf.protection.outlook.com -all. Microsoft empfiehlt den harten Abschluss -all.
• Google Workspace: v=spf1 include:_spf.google.com ~all. Google empfiehlt den weichen Abschluss ~all.
• Hostpoint: Liegen Domain und Mail bei Hostpoint, klicken Sie im Control Panel unter «Domains» bei der Domain auf «DNS-Zone bearbeiten» und dann auf «Hostpoint SPF-Record hinzufügen». Hostpoint setzt den richtigen Wert selbst. Liegt das DNS anderswo, lautet der Wert v=spf1 redirect=spf.mail.hostpoint.ch.
• Infomaniak: v=spf1 include:spf.infomaniak.ch -all. Infomaniak legt ihn beim Einrichten des Maildienstes meist automatisch an.
• cyon: v=spf1 include:spf.protection.cyon.net -all. Mit den Nameservern von cyon ist er in der Regel schon gesetzt.
• Domain ohne Mailversand (zum Beispiel eine reservierte Zweitdomain): v=spf1 -all. Damit erklären Sie, dass von dieser Domain keine Mails kommen.

Beispiele für Kombinationen

Die meisten KMU senden über mehrere Wege. Alle stehen im selben Eintrag, mit v=spf1 vorne und genau einem Abschluss hinten. Die Platzhalter in eckigen Klammern ersetzen Sie durch den Wert aus der Anleitung des jeweiligen Dienstes.

• Microsoft 365, Newsletter-Tool und Webshop auf eigenem Server: v=spf1 include:spf.protection.outlook.com include:[Wert des Newsletter-Tools] ip4:203.0.113.25 -all
• Google Workspace und Buchhaltungssoftware: v=spf1 include:_spf.google.com include:[Wert der Buchhaltung] ~all
• Microsoft 365 für die Postfächer, Webshop bei Hostpoint: v=spf1 include:spf.protection.outlook.com redirect=spf.mail.hostpoint.ch. Diese Form beschreibt Hostpoint selbst. Der redirect= steht am Ende, nur einmal, und es folgt kein all. Den Abschluss liefert der Hostpoint-Eintrag.
• cyon-Postfächer und Newsletter-Tool: v=spf1 include:spf.protection.cyon.net include:[Wert des Newsletter-Tools] -all
• Umzug von Infomaniak zu Microsoft 365: Während der Übergangszeit v=spf1 include:spf.protection.outlook.com include:spf.infomaniak.ch -all. Sobald nichts mehr über Infomaniak geht, den Infomaniak-Teil entfernen.

-all oder ~all? Mit ~all fallen fremde Mails weich durch, mit -all hart. Für DMARC zählt beides als Fehlschlag. Ein sinnvoller Weg: mit ~all beginnen und auf -all wechseln, sobald die DMARC-Berichte zeigen, dass alle Versandwege erfasst sind.

Schritt für Schritt im DNS anlegen

1. Melden Sie sich beim Anbieter an, der Ihr DNS verwaltet, und öffnen Sie die DNS-Zone der Domain.
2. Suchen Sie einen TXT-Eintrag, der mit v=spf1 beginnt. Gibt es ihn, bearbeiten Sie ihn. Legen Sie keinen zweiten an.
3. Falls keiner besteht: neuen Eintrag vom Typ TXT anlegen. Bei Infomaniak heisst das «Datensatz hinzufügen», bei Hostpoint «Neuer Record hinzufügen».
4. Als Name die Domain selbst eintragen. Je nach Editor ist das @ oder ein leeres Feld, nicht example.com (sonst entsteht example.com.example.com).
5. Den Wert eintragen, zum Beispiel v=spf1 include:spf.protection.outlook.com -all. Ohne zusätzliche Anführungszeichen und ohne Zeilenumbruch.
6. TTL auf dem Vorschlag lassen oder 3600 Sekunden (eine Stunde) wählen. Speichern.
7. Warten. Den automatischen Hostpoint-Eintrag nennt der Anbieter nach 5 bis 10 Minuten aktiv. Allgemein kann es bis zu 48 Stunden dauern, bis alle Empfänger den neuen Wert sehen.

Die zwei Grenzen: ein Eintrag, zehn Abfragen

Nur ein SPF-Eintrag pro Domain. Zwei TXT-Einträge mit v=spf1 machen SPF ungültig, und alle Mails fallen durch. Wie Sie zusammenführen, steht hier: Zwei SPF-Einträge bei einer Domain – warum das alles ungültig macht.

Höchstens zehn DNS-Abfragen. Jedes include:, a, mx und redirect= kostet eine Abfrage, und Includes können weitere Includes enthalten. ip4:, ip6: und all kosten nichts. Der Infomaniak-Wert zum Beispiel enthält intern schon weitere Verweise. Bei mehr als zehn Abfragen ist der ganze Eintrag ungültig. Lösungen finden Sie hier: SPF-Fehler «too many DNS lookups» – warum zehn Abfragen reichen müssen.

Typische Fehler beim Erstellen

• Alter Hoster bleibt drin: Nach dem Wechsel zu Microsoft 365 steht noch der frühere Mailserver im Eintrag. Das kostet Abfragen und erlaubt einen Weg, den Sie nicht mehr kontrollieren.
• Tippfehler in der Schreibweise: include= statt include:, ein Leerzeichen nach dem Doppelpunkt oder ein Punkt am Ende des Namens. Microsoft nennt genau diese Fehler als häufig.
• Zwei Abschlüsse: ~all mitten im Eintrag und -all am Ende. Alles nach dem ersten all wird ignoriert.
• Hostpoint-Redirect mit -all kombiniert: Nach einem redirect= darf kein all stehen.
• Subdomain vergessen: Sendet der Shop als shop.example.com, braucht diese Subdomain einen eigenen SPF-Eintrag.

Prüfen, ob der Eintrag wirkt

1. Domain im Domain-Check erneut prüfen. Der Eintrag muss gefunden werden, gültig sein und unter zehn Abfragen bleiben.
2. Eine Testmail an ein Postfach bei einem anderen Anbieter senden und den Mailkopf ansehen. In der Zeile Authentication-Results sollte spf=pass stehen.
3. Jeden Versandweg einzeln testen: Newsletter, Shop-Bestellung, Rechnung aus der Buchhaltung.

Mehr zum Prüfen per Befehlszeile: SPF prüfen und richtig einrichten: Anleitung.

Was DomainRadar dabei übernimmt

DomainRadar prüft Ihren SPF-Eintrag jeden Tag: Gültigkeit, Anzahl Abfragen, doppelte Einträge. Ändert ein Anbieter seine Includes oder legt jemand einen zweiten Eintrag an, erhalten Sie einen Alarm. Die DMARC-Berichte zeigen zudem, welche Dienste in Ihrem Namen senden und ob sie SPF bestehen.