Ein SPF Record ist ein DNS-Eintrag im TXT-Format, der festlegt, welche Server und IP-Adressen berechtigt sind, im Namen einer Domain E-Mails zu versenden. Empfangende Mailprovider gleichen jede eingehende Nachricht mit diesem Eintrag ab und erkennen so, ob der Absender legitim ist oder gefälscht wurde.
Im professionellen Outbound und in der Kaltakquise ist SPF eine der drei technischen Grundlagen, ohne die E-Mails kaum noch zuverlässig im Posteingang ankommen. Wer ohne korrekte Authentifizierung versendet, riskiert, dass selbst sorgfältig recherchierte Kampagnen unbemerkt im Spam landen.
Wofür SPF steht und wie es funktioniert
SPF ist die Abkürzung für Sender Policy Framework. Das Verfahren wurde entwickelt, um eine grundlegende Schwäche des E-Mail-Protokolls zu beheben: Ohne Authentifizierung kann jeder Server beliebige Absenderadressen behaupten. Diese Offenheit war in den Anfangstagen der E-Mail praktisch, wurde aber zur Einladung für Missbrauch, weil Spammer und Betrüger sich als beliebige Absender ausgeben konnten. Ein SPF Record schließt diese Lücke, indem er als Liste festhält, welche Versandserver für eine Domain autorisiert sind.
Trifft eine Mail bei einem Provider ein, liest dieser die im Envelope angegebene Absenderdomain aus und ruft deren SPF Record im DNS ab. Stammt die Mail von einer dort aufgeführten IP-Adresse, gilt die Prüfung als bestanden. Stammt sie von einem nicht gelisteten Server, schlägt sie fehl, und der Provider behandelt die Nachricht je nach Strenge der Richtlinie als verdächtig. Wichtig ist dabei, dass SPF die sogenannte Envelope-From-Adresse prüft, nicht die für den Empfänger sichtbare Absenderzeile. Diese Unterscheidung ist ein Grund, warum SPF allein keinen vollständigen Schutz vor gefälschten Absendern bietet und erst im Verbund mit DMARC seine volle Wirkung entfaltet.
Aufbau eines SPF Records
Ein SPF Record besteht aus mehreren Bausteinen, die zusammen die Versandregeln beschreiben. Die wichtigsten Elemente fasst die folgende Tabelle zusammen.
| Bestandteil | Bedeutung | Beispiel |
|---|---|---|
| v=spf1 | Versionskennung, leitet jeden Record ein | v=spf1 |
| ip4 / ip6 | erlaubt eine konkrete IP-Adresse | ip4:198.51.100.10 |
| include | bindet den SPF-Eintrag eines Dienstes ein | include:_spf.google.com |
| a / mx | erlaubt Hosts aus A- oder MX-Records | a mx |
| all | Abschlussregel für alle übrigen Server | -all |
Der Abschluss-Mechanismus entscheidet, wie streng mit nicht autorisierten Servern verfahren wird. Ein Minuszeichen vor all bedeutet hardfail und weist nicht gelistete Absender klar ab. Eine Tilde steht für softfail, der die Mail markiert, aber nicht blockiert. Ein Fragezeichen steht für neutral und trifft keine Aussage, was im Ergebnis fast so wirkungslos ist wie ein fehlender Record. Für den seriösen Outbound ist hardfail die empfohlene Einstellung, weil sie das stärkste Signal an die Provider sendet und keinen Spielraum für gefälschte Absender lässt.
Warum SPF für die Zustellbarkeit entscheidet
Mailprovider verarbeiten täglich enorme Mengen an Nachrichten und müssen schnell unterscheiden, welchen Absendern sie vertrauen. Ein gültiger SPF Record ist dabei eines der ersten Vertrauenssignale. Fehlt er oder ist er fehlerhaft, wertet das die Einschätzung des Absenders ab und erhöht das Risiko, im Spam zu landen. Große Anbieter wie Google und Microsoft haben ihre Anforderungen in den vergangenen Jahren deutlich verschärft und setzen eine korrekte Authentifizierung inzwischen voraus, besonders bei höheren Versandvolumina, wie sie im Outbound üblich sind.
Im B2B-Outbound wirkt sich das unmittelbar auf die Generierung von Leads aus. Jede Mail, die nicht im Posteingang ankommt, ist verlorene Reichweite. Eine korrekte SPF-Konfiguration erhöht die Wahrscheinlichkeit, dass die Nachricht überhaupt gesehen wird, und bildet damit die Basis für jede weitere Optimierung von Betreffzeile, Text und Timing.
Häufige Fehler und das Lookup-Limit
Der häufigste Stolperstein bei SPF ist das Limit von zehn DNS-Lookups. Jeder include-Mechanismus und jeder Verweis auf andere Records zählt mit. Wer viele Versanddienste nutzt, etwa für Newsletter, Transaktionsmails und Outbound-Tools, überschreitet dieses Limit schnell. Das Ergebnis ist ein permerror, der die gesamte SPF-Prüfung ungültig macht.
Ein weiterer Fehler sind mehrere SPF Records für dieselbe Domain. Erlaubt ist genau ein TXT-Eintrag, der mit v=spf1 beginnt. Existieren zwei, behandeln viele Provider das Ergebnis als ungültig. Auch veraltete IP-Adressen oder vergessene Dienste schwächen den Schutz, weil sie entweder legitime Server ausschließen oder unnötige Berechtigungen offen lassen. Eine regelmäßige Pflege des Records gehört deshalb zur laufenden Wartung der Versandinfrastruktur.
Um das Lookup-Limit zu umgehen, hat sich die Technik des SPF-Flattening etabliert. Dabei werden die über include eingebundenen Records aufgelöst und die dahinterstehenden IP-Adressen direkt in den eigenen Record geschrieben. Das reduziert die Zahl der Lookups, bringt aber den Nachteil mit sich, dass Änderungen der eingebundenen Dienste nicht automatisch übernommen werden. Wer flattening einsetzt, muss seinen Record daher besonders aufmerksam pflegen, idealerweise mit einem Werkzeug, das Änderungen überwacht.
SPF im Zusammenspiel mit DKIM und DMARC
SPF allein deckt nur einen Teil der Authentifizierung ab. Es prüft die Absender-IP, sagt aber nichts über die Unversehrtheit des Nachrichteninhalts aus. Diese Lücke füllt die Signatur per DKIM, während DMARC beide Verfahren verknüpft und festlegt, wie mit fehlgeschlagenen Prüfungen umzugehen ist. Erst dieses Dreigespann erfüllt die Anforderungen, die große Provider seit den verschärften Absenderrichtlinien stellen.
Für den Outbound bedeutet das: SPF ist die notwendige, aber nicht hinreichende Grundlage. Eine sorgfältig gepflegte Sender Reputation baut auf einer korrekten Authentifizierung auf, ergänzt sie aber um Volumensteuerung, Listenqualität und relevante Inhalte. Wer die technische Basis ignoriert, verschenkt das Fundament, auf dem jede erfolgreiche Kampagne ruht.
Praktische Einrichtung im Outbound
Beim Aufsetzen einer Versanddomain für die Kaltakquise empfiehlt sich eine eigene Domain getrennt von der geschäftskritischen Hauptdomain. Der SPF Record dieser Versanddomain sollte ausschließlich die tatsächlich genutzten Versandserver enthalten und mit hardfail abschließen. Nach jeder Änderung an den Versandwegen muss der Eintrag aktualisiert werden, damit keine legitimen Server ausgeschlossen bleiben.
Wer den Aufbau systematisch angeht, kombiniert die technische Einrichtung mit einem durchdachten Vorgehen aus dem Leitfaden zur B2B-Kaltakquise. So greifen saubere Technik und durchdachte Ansprache ineinander, und die investierte Mühe in Recherche und Texte zahlt sich aus, weil die Nachrichten tatsächlich ankommen.
SPF in der Praxis: Zahlen aus dem Mittelstand
Laut unserer DMARC- und SPF-Studie 2026 nutzen 96,2 Prozent der untersuchten Mittelständler SPF, 2,5 Prozent überschreiten jedoch das Limit von zehn DNS-Abfragen. Ob Ihr Eintrag korrekt ist, zeigt der kostenlose SPF-Check.