loskan.io
@

SPF (Sender Policy Framework)

DefinitionLegt fest, welche Server E-Mails für eine Domain senden dürfen.

SPF (Sender Policy Framework) ist ein E-Mail-Sicherheitsverfahren, das per DNS-Eintrag festlegt, welche Mailserver berechtigt sind, E-Mails im Namen einer Domain zu versenden. Empfangende Mailserver können so prüfen, ob eine eingehende Nachricht von einer erlaubten Quelle kommt – das reduziert Spoofing, Phishing und den Missbrauch Ihrer Domain.

Was bedeutet SPF genau?

SPF ist ein Standard, bei dem der Domaininhaber im DNS (meist als TXT-Record) veröffentlicht, welche Systeme „autorisiert“ sind, E-Mails mit Absenderadressen dieser Domain zu senden. Typisch sind: der eigene Mailserver, ein Hosting-Provider oder Drittanbieter wie Newsletter-Tools, Ticket-Systeme oder Cloud-Dienste (z. B. Microsoft 365/Google Workspace).

Wie funktioniert SPF (technisch) – in der Praxis für KMU

  • 1) SPF-Record im DNS definieren: Sie hinterlegen einen TXT-Eintrag wie z. B. v=spf1 ... -all. Darin stehen erlaubte IPs/Hosts oder Verweise (include:) auf Provider-Regeln.
  • 2) E-Mail wird zugestellt: Ein empfangender Mailserver nimmt die Verbindung an und sieht die sendende IP-Adresse.
  • 3) SPF-Check: Der Empfänger fragt den SPF-Record Ihrer Domain im DNS ab und prüft, ob die sendende IP dort erlaubt ist.
  • 4) Ergebnis/Policy: Je nach Eintrag ergibt sich „Pass“ (erlaubt), „Fail“ (nicht erlaubt) oder „Softfail/Neutral“. Viele Empfänger nutzen das Ergebnis in ihrer Spam-Bewertung oder lehnen bei strenger Policy ab.

Warum ist SPF wichtig für IT-Sicherheit und Zustellbarkeit?

Für kleine Unternehmen ist SPF ein schneller, sehr wirksamer Basisschutz: Angreifer können Ihre Domain sonst leicht für gefälschte Absender nutzen (z. B. „rechnung@ihre-domain.de“). Das schadet nicht nur Kunden und Mitarbeitenden (Phishing), sondern auch Ihrer Reputation: Wenn viele gefälschte Mails im Umlauf sind, landen selbst echte Mails häufiger im Spam. SPF ist außerdem ein Baustein für moderne E-Mail-Authentifizierung (typisch zusammen mit DKIM und DMARC), die viele Provider heute faktisch erwarten.

Rechtliche Einordnung (DSGVO) für KMU

SPF ist keine direkte DSGVO-Pflicht „als eigener Artikel“, aber es unterstützt die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO: Sie reduzieren das Risiko von Identitätsmissbrauch, Social Engineering und Datenabfluss über gefälschte E-Mails. Kommt es durch Spoofing zu einem Sicherheitsvorfall (z. B. abgegriffene Zugangsdaten oder fehlgeleitete Zahlungen), kann das je nach Umfang auch meldepflichtig werden. SPF ist daher ein naheliegender, verhältnismäßiger Standard, den viele Prüfer/Versicherer bei E-Mail-Sicherheit voraussetzen.

Typische SPF-Fehler und Beispiele

  • Newsletter-Tool vergessen: Marketing versendet über einen Dienst, der nicht im SPF steht → SPF-Fail, schlechte Zustellung.
  • Zu viele DNS-Lookups: SPF erlaubt max. 10 DNS-Abfragen (durch viele include) → „PermError“ und Zustellprobleme.
  • Falsches „all“: ~all (Softfail) ist weniger strikt, -all (Fail) ist strenger. Für produktive Domains ist -all oft sinnvoll, wenn alles sauber erfasst ist.
  • SPF schützt nicht den sichtbaren From-Header: SPF prüft primär die Envelope-Domain (Return-Path). Für umfassenden Schutz braucht es meist zusätzlich DMARC.

Was kostet SPF?

SPF selbst ist kostenlos (DNS-Konfiguration). Aufwand entsteht durch Einrichtung/Testing und das fortlaufende Pflegen, wenn neue Dienste hinzukommen. Für KMU ist das oft in 30–120 Minuten umsetzbar, bei komplexen Setups (viele Tools/Standorte) entsprechend mehr.

  • 90%

    geringere Spoofing-Risiken

    Ein korrekt gepflegter SPF-Eintrag reduziert das Risiko, dass fremde Server im Namen einer KMU-Domain E-Mails versenden und so Phishing oder Identitätsmissbrauch erleichtern.

  • 3 von 4

    Standard bei Mail-Setups

    Bei professionell betriebenen B2B-Maildomains gehört SPF heute in den meisten Fällen zur Basiskonfiguration für Zustellbarkeit und E-Mail-Sicherheit.

  • 20%

    bessere Zustellbarkeit

    KMU verbessern mit sauber konfiguriertem SPF in Kombination mit DKIM und DMARC häufig ihre Inbox-Placement-Rate und senken die Wahrscheinlichkeit, im Spam zu landen.

  • Rechnungsversand vor Spoofing schützen

    Ein KMU im Finanz- oder Dienstleistungsbereich hinterlegt SPF, damit nur der eigene Mailserver und der genutzte Buchhaltungsdienst Rechnungen im Namen der Domain versenden dürfen. So sinkt das Risiko, dass Kunden gefälschte Zahlungsaufforderungen erhalten und offene Forderungen durch Misstrauen oder Betrugsfälle verzögert werden.

  • Newsletter- und Kampagnenversand sauber absichern

    Ein mittelständisches Unternehmen im Marketing trägt seinen Newsletter-Anbieter im SPF-Eintrag ein, damit Kampagnen technisch als legitime Absender erkannt werden. Das verbessert die Zustellbarkeit bei Geschäftskunden und reduziert Rückfragen, warum wichtige Produktinfos oder Event-Einladungen im Spam landen.

  • Bewerberkommunikation über externe HR-Tools absichern

    Ein KMU mit digitalem Recruiting nutzt SPF, um festzulegen, dass nur das eigene System und das Bewerbermanagement-Tool E-Mails an Kandidaten senden dürfen. Dadurch kommen Einladungen zu Interviews und Vertragsunterlagen verlässlicher an und die Gefahr von gefälschten Recruiting-Mails im Firmennamen wird reduziert.

Häufig gestellte Fragen

Was ist SPF (Sender Policy Framework)?

SPF ist ein DNS-basierter Standard, der festlegt, welche Mailserver berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden. Empfangende Server können so Spoofing erkennen und Mails besser als legitim oder verdächtig einstufen.

Wie funktioniert SPF (Sender Policy Framework)?

Sie hinterlegen einen SPF-TXT-Record im DNS, der erlaubte IPs/Server bzw. Provider per include definiert. Der Empfänger prüft beim Eingang einer Mail, ob die sendende IP zur veröffentlichten Policy passt, und bewertet die Mail entsprechend.

Reicht SPF allein aus, um E-Mail-Spoofing zu verhindern?

Nicht vollständig: SPF prüft primär, ob der sendende Server zur Domain passt, aber nicht jede Form der sichtbaren Absender-Manipulation. Für robusten Schutz wird SPF üblicherweise mit DKIM und DMARC kombiniert.

Welche SPF-Policy sollte ein kleines Unternehmen nutzen: ~all oder -all?

Wenn alle legitimen Versandquellen sauber im SPF erfasst sind, ist „-all“ (Fail) die strengere und meist bessere Option. „~all“ (Softfail) ist oft als Übergang sinnvoll, wenn Sie noch testen und Quellen nachziehen müssen.

Welche typischen Fehler verursachen SPF-Probleme bei der Zustellung?

Häufig sind vergessene Drittanbieter (Newsletter, Ticketsystem, CRM), zu viele DNS-Lookups durch viele include-Einträge oder widersprüchliche Records. Auch mehrere SPF-Records für dieselbe Domain führen oft zu Fehlern – es sollte nur einen geben.

Warum ist SPF für die E-Mail-Zustellbarkeit wichtig?

SPF hilft empfangenden Mailservern zu erkennen, ob eine E-Mail wirklich von einem autorisierten Server deiner Domain gesendet wurde. Das verbessert die Vertrauenswürdigkeit deiner Domain, reduziert Spoofing und kann die Zustellbarkeit verbessern – vor allem in Kombination mit DKIM und DMARC.

Wie prüfe ich, ob mein SPF-Eintrag korrekt eingerichtet ist?

Du kannst deinen SPF-Eintrag über DNS-Tools, Mail-Header-Analysen oder spezielle SPF-Checker prüfen. Wichtig ist, dass nur autorisierte Versanddienste enthalten sind, die Syntax korrekt ist und das DNS-Lookup-Limit nicht überschritten wird.

Ich bin kein Technikprofi – könntest du SPF und meine Mail-Authentifizierung trotzdem für mich prüfen?

Ja, genau dafür bin ich da. Im Rahmen eines Tech-Gutachtens oder einer laufenden Tech-Partnerschaft prüfe ich deine DNS-Einträge, Versandtools und Risiken verständlich und ohne Technik-Blabla, damit du weißt, was korrekt eingerichtet ist und was dringend angepasst werden sollte.

Lohnt sich eine professionelle SPF-Prüfung überhaupt für ein kleines Unternehmen?

Ja, gerade kleine Unternehmen sind oft anfällig für falsch konfigurierte Mail-Dienste, Weiterleitungen oder veraltete DNS-Einträge. Eine saubere Analyse verhindert Zustellprobleme, schützt deine Domain vor Missbrauch und spart dir im Zweifel deutlich mehr Zeit und Umsatz, als sie kostet.

Kannst du auch helfen, wenn mehrere Tools E-Mails über meine Domain versenden?

Ja, das ist ein typischer Fall. Ich analysiere, welche Systeme tatsächlich E-Mails versenden, konsolidiere die SPF-Konfiguration und prüfe, ob dein Setup mit CRM, Newsletter-Tool, Helpdesk oder OrbitOS sauber zusammenspielt, ohne unnötige Risiken oder Konflikte.

Unterstützt du nur bei der Analyse oder auch bei der technischen Umsetzung?

Beides. Ich kann im Tech-Gutachten zunächst Klarheit schaffen und anschließend die Änderungen direkt umsetzen – von DNS-Anpassungen über Tool-Bereinigung bis zur sauberen Integration in dein bestehendes System oder in eine OrbitOS-Umgebung.

Kann SPF auch Teil einer größeren technischen Aufräumaktion sein?

Absolut. SPF-Probleme sind oft nur ein Symptom für gewachsene Tool-Landschaften, unklare Verantwortlichkeiten oder unsaubere Prozesse – genau solche Themen decke ich in der Tech-Partnerschaft oder im Setup & Analyse-Gutachten strukturiert auf und löse sie mit dir Schritt für Schritt.

Verwandte Begriffe