Kein SPF-Eintrag auf deiner Domain

Was das bedeutet

SPF (Sender Policy Framework) ist eine kurze Textzeile im DNS deiner Domain. Das DNS ist das öffentliche Adressbuch des Internets. Die SPF-Zeile listet die Server auf, die mit deinem Domainnamen E-Mails senden dürfen.

Fehlt sie, kann ein empfangender Server wie Gmail oder Outlook nicht prüfen, ob der Server, der deine E-Mail gesendet hat, wirklich zu dir gehört.

Warum das wichtig ist

• Gmail, Yahoo und Outlook erwarten inzwischen von jedem Absender SPF (oder DKIM) und von Massenversendern beides.
• Ohne SPF landen deine E-Mails eher im Spam oder werden abgelehnt.
• Jeder kann leichter so tun, als würde er E-Mails von deiner Domain senden.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die SPF-Zeile zeigt „none“, wenn kein Eintrag existiert.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

So behebst du es

1. Liste alle Dienste auf, die E-Mails für dich senden. Deinen Postfach-Anbieter (Google Workspace, Microsoft 365, dein Webhoster), aber auch dein Newsletter-Tool, deinen Onlineshop, dein CRM oder das Kontaktformular deiner Website.
2. Finde den SPF-Wert jedes Dienstes. Jeder Anbieter nennt auf seinen Hilfeseiten einen include:-Wert. Häufige Werte:
   • Google Workspace: include:_spf.google.com
   • Microsoft 365: include:spf.protection.outlook.com
   • Dein eigener Server: ip4: gefolgt von seiner IP-Adresse
3. Melde dich bei deinem DNS-Anbieter an. Das ist meist dort, wo du deine Domain gekauft hast (GoDaddy, OVH, Namecheap, Cloudflare, IONOS…).
4. Füge einen TXT-Eintrag auf der Domain selbst hinzu. Das Feld Host oder Name ist oft @ oder bleibt leer.
5. Füge eine einzige Zeile ein, die alle deine Absender zusammenfasst.

Nur Google Workspace:

v=spf1 include:_spf.google.com ~all

Nur Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Google Workspace plus ein Newsletter-Tool plus dein eigener Server:

v=spf1 include:_spf.google.com include:spf.newsletter-example.com ip4:203.0.113.10 ~all

Was das Ende bedeutet

• ~all (Softfail): Nicht aufgeführte Server sind verdächtig. Eine sichere Wahl, solange du alles einrichtest.
• -all (Hardfail): Nicht aufgeführte Server sind nicht erlaubt. Nutze das, sobald du sicher bist, dass deine Liste vollständig ist.
• Nutze niemals +all: Damit darf das ganze Internet in deinem Namen senden.

Domains, die nie E-Mails senden

Wenn eine Domain gar nicht für E-Mails genutzt wird, schütze sie so:

v=spf1 -all

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte dann den Domain-Scanner erneut: Die SPF-Zeile sollte gültig sein. Sende zum Schluss eine neue Test-E-Mail über die Startseite. Der Bericht sollte zeigen, dass SPF für deine Domain bestanden ist.

Mehr Hilfe von den Anbietern: SPF-Anleitung von Google Workspace und SPF-Anleitung von Microsoft 365.