SPF einrichten

SPF für eine E-Mail-Domain einrichten

Mit einem SPF-Eintrag legen Sie fest, welche Server im Namen Ihrer Domain E-Mails versenden dürfen. Empfangende Mailserver prüfen bei jeder E-Mail, ob der sendende Server in dieser Liste steht. Fehlt der Eintrag oder ist er unvollständig, landen Ihre E-Mails häufiger im Spam-Ordner oder werden abgewiesen.

Was ist SPF?

SPF steht für "Sender Policy Framework". Der Eintrag ist ein TXT-Eintrag in der DNS-Zone Ihrer Domain und sieht zum Beispiel so aus:

v=spf1 a mx ~all

Die Bestandteile:

v=spf1 kennzeichnet den Eintrag als SPF-Eintrag. Die Angabe muss am Anfang stehen.
a: Der Server, auf den die Domain selbst zeigt (A-Eintrag), darf versenden.
mx: Die Mailserver der Domain (MX-Einträge) dürfen versenden.
ip4:192.0.2.10: Eine einzelne IPv4-Adresse darf versenden. Für IPv6 lautet die Angabe ip6:.
include:example.net übernimmt die erlaubten Server aus dem SPF-Eintrag einer anderen Domain, etwa eines Newsletter-Anbieters.
~all: Alle anderen Server gelten als nicht autorisiert, E-Mails werden aber meist noch angenommen und als verdächtig markiert.
-all: Alle anderen Server sind nicht autorisiert, E-Mails sollen abgewiesen werden.

SPF ist einer von drei Bausteinen der E-Mail-Authentifizierung. Die beiden anderen sind DKIM und DMARC. Richten Sie alle drei ein.

In dieser Schritt-für-Schritt-Anleitung zeigen wir Ihnen, wie Sie Ihren SPF-Eintrag prüfen, anlegen und erweitern. Sie gilt für alle Domains, deren DNS-Zone Sie im Kundencenter von Timme Hosting verwalten.

Wichtiger Hinweis

Pro Domain darf es nur einen SPF-Eintrag geben. Zwei Einträge machen die Prüfung ungültig. Wenn bereits ein Eintrag vorhanden ist, erweitern Sie ihn, statt einen zweiten anzulegen.

Voraussetzungen

Zugang zum Kundencenter unter cp.timmehosting.de.
Eine Liste aller Systeme, die E-Mails mit Ihrer Domain als Absender versenden.

Inhaltsverzeichnis

Vorhandenen SPF-Eintrag prüfen
Versender zusammenstellen
SPF-Eintrag anlegen oder erweitern
SPF-Eintrag prüfen

1. Vorhandenen SPF-Eintrag prüfen

Loggen Sie sich bitte im Kundencenter ein: cp.timmehosting.de
Das gilt für alle Domains, deren DNS-Zone Sie bei Timme Hosting verwalten.

Wählen Sie im Hauptmenü den Punkt "DNS" aus.

Ergebnis: Die Übersicht aller DNS-Zonen wird angezeigt.

Klicken Sie auf das Bild, um es zu vergrößern.

Wählen Sie die DNS-Zone Ihrer Domain aus.

Ergebnis: Sie gelangen in die Detailansicht des Reiters "Einträge" der ausgewählten Zone.

Suchen Sie in der Tabelle nach einem TXT-Eintrag, dessen Text mit v=spf1 beginnt.

Ergebnis: Sie wissen, ob bereits ein SPF-Eintrag existiert. Wenn Sie die DNS-Zone mit dem Assistenten angelegt haben, ist in der Regel schon einer vorhanden.

2. Versender zusammenstellen

Prüfen Sie, welche der folgenden Fälle auf Ihre Domain zutreffen, und notieren Sie die passende Angabe:

Postfächer und Website auf Ihrem Server bei Timme Hosting: a mx
SMTP-Relay von Timme Hosting: include:mail.timmehosting.de
Externer Dienst (Newsletter-Anbieter, CRM, Ticketsystem, Microsoft 365, Google Workspace): include:… nach Vorgabe des Anbieters
Eigener Server mit fester IP-Adresse außerhalb von Timme Hosting: ip4:… bzw. ip6:…

Die genaue Angabe für externe Dienste finden Sie in der Dokumentation des jeweiligen Anbieters, meist unter dem Stichwort "SPF" oder "Absenderdomain authentifizieren".

Ergebnis: Sie haben alle Angaben, die in Ihren SPF-Eintrag gehören.

3. SPF-Eintrag anlegen oder erweitern

Ist noch kein SPF-Eintrag vorhanden, klicken Sie in der DNS-Zone auf den grünen Button "TXT".
Ist bereits ein SPF-Eintrag vorhanden, öffnen Sie diesen Eintrag zum Bearbeiten.

Ergebnis: Sie gelangen in den Bereich "DNS-TXT-Eintrag".

Formular ausfüllen!

Hostname: Lassen Sie das Feld leer. Der Eintrag gilt dann für die gesamte Domain.
Text: Geben Sie Ihren SPF-Eintrag ein, zum Beispiel v=spf1 a mx ~all. Weitere Beispiele finden Sie unter diesem Schritt.
TTL: Lassen Sie den Wert 3600 stehen oder geben Sie Ihren gewünschten TTL-Wert als Ganzzahl in Sekunden ein.
Speichern: Klicken Sie auf die grüne Schaltfläche, um die Angaben zu bestätigen.

Ergebnis: Der SPF-Eintrag erscheint in der Tabelle Ihrer DNS-Zone.

Beispiele für den Text des Eintrags:

Nur der Server bei Timme Hosting versendet:
v=spf1 a mx ~all
Versand zusätzlich über das SMTP-Relay von Timme Hosting:
v=spf1 a mx include:mail.timmehosting.de ~all
Versand zusätzlich über einen externen Newsletter-Anbieter:
v=spf1 a mx include:spf.newsletter-anbieter.example ~all
Die Domain versendet gar keine E-Mails:
v=spf1 -all

Beachten Sie beim Zusammenstellen:

v=spf1 steht am Anfang, ~all oder -all am Ende.
Die Angaben werden nur durch Leerzeichen getrennt.
Ein SPF-Eintrag darf höchstens zehn DNS-Abfragen auslösen. Jedes include, a und mx zählt mit. Entfernen Sie deshalb Dienste, die Sie nicht mehr nutzen.

Geschafft! Sie haben einen SPF-Eintrag für Ihre Domain hinterlegt.

4. SPF-Eintrag prüfen

Warten Sie, bis der Eintrag weltweit abrufbar ist. Das dauert je nach TTL bis zu einer Stunde.
Prüfen Sie den Eintrag, zum Beispiel auf der Shell:
dig +short TXT example.com
Senden Sie eine E-Mail von einem Postfach Ihrer Domain an eine externe Adresse und öffnen Sie dort den E-Mail-Header. In der Zeile Authentication-Results oder Received-SPF sollte spf=pass bzw. pass stehen. Wie Sie den Header aufrufen, zeigt die Anleitung E-Mail-Header auslesen.
Wiederholen Sie den Test für jedes System aus Abschnitt 2, auch für Ihre Website oder Ihren Onlineshop.

Ergebnis: Alle Versender bestehen die SPF-Prüfung. Steht im Header softfail oder fail, fehlt der sendende Server im Eintrag.

Geschafft! Sie haben SPF für Ihre Domain eingerichtet.

Als Nächstes richten Sie DKIM und DMARC ein.

Häufige Fragen

Soll ich ~all oder -all verwenden?

Starten Sie mit ~all. So gehen keine E-Mails verloren, falls Sie einen Versender übersehen haben. Wenn alle Systeme die Prüfung zuverlässig bestehen und DMARC eingerichtet ist, können Sie auf -all umstellen.

Warum schlägt SPF bei weitergeleiteten E-Mails fehl?

Bei einer Weiterleitung stellt ein anderer Server die E-Mail zu als der, der im SPF-Eintrag steht. Das lässt sich mit SPF allein nicht lösen. Die DKIM-Signatur bleibt bei Weiterleitungen in der Regel gültig, deshalb gehören SPF und DKIM zusammen.

Meine Website versendet E-Mails, die SPF nicht bestehen. Woran liegt das?

Häufig versendet die Website über die PHP-Funktion mail() mit einer technischen Absenderadresse des Servers. Stellen Sie den Versand auf SMTP mit Authentifizierung über ein Postfach Ihrer Domain um. Die meisten CMS und Shopsysteme bieten dafür eine Einstellung oder ein Plugin.

Reicht SPF allein aus?

Nein. Große Anbieter erwarten SPF, DKIM und DMARC gemeinsam.

Finden Sie den passenden Tarif

Unser Tarifberater hilft Ihnen dabei, das passende Paket zu finden. Bei Fragen berät Sie unser Sales-Team sehr gerne unter +49 (0) 4131 / 22 78 1-25 oder sales@timmehosting.de.

Bitte beachten Sie: Der Tarifberater dient nur der groben Orientierung. Ihr tatsächlicher Bedarf kann durch den Ressourcenbedarf Ihrer Anwendung(en), tageszeitabhängige/saisonale/aktionsbedingte Schwankungen des Besucheraufkommens, geplantes Wachstum und weitere Faktoren von der Empfehlung abweichen.