E-Mail-Sicherheit · E-Mail-Sicherheit
Was ist SPF? Der SPF-Eintrag verständlich erklärt
SPF ist der älteste und einfachste der drei Schutzmechanismen für E-Mail. Ein einziger DNS-Eintrag, der trotzdem oft falsch gesetzt ist.
Kurz beantwortet
SPF, kurz für Sender Policy Framework, ist ein TXT-Eintrag im DNS einer Domain, der festlegt, welche Mailserver E-Mails für diese Domain versenden dürfen. Der empfangende Server prüft, ob der einliefernde Server in dieser Liste steht. Jede Domain darf nur einen SPF-Eintrag haben, und er darf höchstens zehn weitere DNS-Abfragen auslösen.
Wie ein SPF-Eintrag aufgebaut ist
Ein SPF-Eintrag ist eine Zeile Text im DNS der Domain. Er beginnt immer mit v=spf1, listet dann die erlaubten Absender und endet mit einer Regel für alle anderen.
SPF für IONOSv=spf1 include:_spf-eu.ionos.com ~all
SPF für Microsoft 365 und ein Newsletter-Werkzeugv=spf1 include:spf.protection.outlook.com include:newsletter.example.com -all
- includeFremde Liste einbinden
- Übernimmt die erlaubten Server eines Dienstes, etwa des Mailanbieters.
- ip4 / ip6Einzelne Adressen
- Erlaubt einen bestimmten Server über seine IP-Adresse.
- a / mxEigene Server
- Erlaubt die Server, auf die der A- oder MX-Eintrag der Domain zeigt.
- ~allSoftfail
- Andere Server sind nicht erlaubt, die Mail soll aber nicht hart abgewiesen werden.
- -allFail
- Andere Server sind nicht erlaubt, die Mail soll abgelehnt werden.
Was SPF prüft, und was nicht
SPF prüft die Domain im technischen Umschlag der Mail, den sogenannten Envelope-Absender oder Return-Path. Das ist nicht unbedingt die Adresse, die der Empfänger als Absender sieht. Ein Betrüger kann also eine eigene Domain mit gültigem SPF verwenden und trotzdem eine fremde Absenderadresse anzeigen. Diese Lücke schließt erst DMARC, siehe Was ist DMARC?.
Eine zweite Schwäche: Wird eine Mail weitergeleitet, sendet sie der weiterleitende Server, der meist nicht in der SPF-Liste steht. SPF schlägt dann fehl. DKIM übersteht Weiterleitungen dagegen in der Regel, siehe Was ist DKIM?.
Zwei harte Regeln
So richten Sie SPF ein
Absender sammeln
Postfachanbieter, Newsletter, Shop, Buchhaltung, Ticketsystem, Website-Formular: Wer verschickt Mails mit Ihrer Domain als Absender?
Angaben der Dienste holen
Jeder Dienst nennt in seiner Hilfe, welche
include-Angabe nötig ist.Einen Eintrag bauen
Alle Angaben in einen TXT-Eintrag auf der Domain zusammenfassen.
Mit ~all beginnen
Solange nicht sicher ist, dass alle Absender erfasst sind. Später auf
-allumstellen.Prüfen
Mit einem SPF-Prüfwerkzeug im Netz Syntax und Zahl der Abfragen kontrollieren und eine Testmail an ein fremdes Postfach schicken.
Aus der Praxis von KKM-Design
Häufige Fragen
Soll ich ~all oder -all verwenden?
Mit ~all beginnen, solange nicht sicher ist, dass alle Absender erfasst sind. In Verbindung mit DMARC hängt die tatsächliche Behandlung ohnehin von der DMARC-Richtlinie ab. Wer alle Absender kennt, kann auf -all umstellen.
Was mache ich, wenn ich mehr als zehn Abfragen brauche?
Prüfen, ob alle Dienste noch genutzt werden, und Überflüssiges entfernen. Manche Dienste können mit einer eigenen Subdomain als Absender arbeiten, die einen eigenen SPF-Eintrag bekommt.
Reicht SPF allein?
Nein. SPF prüft nicht die sichtbare Absenderadresse und bricht bei Weiterleitungen. Erst zusammen mit DKIM und DMARC entsteht ein wirksamer Schutz, siehe SPF, DKIM und DMARC erklärt.
Kay Strack · Webdesigner und Cloud Engineer · KKM-Design