Vor dem Aufstieg des E-Mail-Marketings führten ISPs ein vergleichsweise ruhiges Leben: überschaubare Mengen an E-Mails, dazu Spammer und Hacker, die sich effizient bekämpfen ließen. Doch die Lage hat sich dramatisch verändert.
Weil das Internet immer leichter zugänglich wird und E-Mail-Marketing rasant an Beliebtheit gewinnt, ist die Zahl der weltweit versendeten und empfangenen E-Mails auf atemberaubende 306 Milliarden gestiegen. Das wäre in Ordnung, wenn es sich dabei nur um Newsletter von E-Mail-Marketern oder um persönliche Korrespondenz handeln würde. Laut aktuellen Studien sind aber mehr als 80 % aller heute versendeten E-Mails Spam oder Angriffe. Diese ungeheuerliche Lage bei den Bedrohungen aus dem Netz setzt ISPs stark unter Druck, denn E-Mail-Verbindungen sauber und gesund zu halten ist sehr schwierig geworden.
Um das Problem anzugehen und Nutzern eine sichere Umgebung zu bieten, haben ISPs mehrere Lösungen entwickelt. Sie haben Filter und verschiedene Protokolle geschaffen, die prüfen, ob E-Mails vertrauenswürdig sind. Wie sich zeigte, reicht das aber nicht, denn es ist eine Aufgabe für beide Seiten. Auch die Absender müssen für E-Mail-Authentifizierung sorgen, allen voran alle, die E-Mail-Marketing-Kampagnen fahren und Dienste von Drittanbietern nutzen. Genauer gesagt müssen sie einen SPF-Eintrag anlegen, der äußere Faktoren wie Spoofing abdeckt.
Das klingt vielleicht kompliziert, ist aber keine Raketenwissenschaft. Damit du das ganze Bild siehst und den SPF-Eintrag wirklich verstehst, gehen wir durch, was SPF bedeutet und wie du SPF-Einträge ohne zusätzliche Hilfe von Fachleuten erstellst. Zum Schluss sehen wir uns ein paar gute Werkzeuge für den SPF-Check an, die banale Fehler verhindern und dir viel Zeit und Geld sparen.
Der Reihe nach. Was ist SPF?
Was ist SPF?
Sender Policy Framework, kurz SPF, ist einer der verbreiteten offenen Standards im nie endenden Kampf gegen Spam und Betrug.
Um SPF zu verstehen, musst du nur eines begreifen: SPF ist eine Liste von Absendern, denen der Inhaber oder der Dienst offiziell erlaubt, E-Mails zu versenden. Kurz gesagt ist es eine Textdatei, die den Absender einer E-Mail authentifiziert.
Die Hauptaufgabe von SPF ist es, Internet Service Providern die richtige Entscheidung über eine E-Mail zu erleichtern, indem es die Information liefert, ob der Mailserver Newsletter für eine bestimmte Domain versenden darf.
Wie läuft die SPF-Authentifizierung genau ab?
Wie funktioniert der SPF-TXT-Eintrag?
Was ist ein SPF-Eintrag?
Bevor wir zu den Prinzipien von SPF kommen, ist es entscheidend zu verstehen, was ein SPF-Eintrag ist, denn SPF ist ein Standard und kein Werkzeug, das Authentifizierung durchsetzt.
Einfach gesagt ist ein SPF-Eintrag eine Textdatei, die IP-Adressen auflistet, die in deinem Namen E-Mails versenden dürfen. Enthalten sein können:
- die IP-Adresse des Mailservers im eigenen Haus (zum Beispiel Microsoft Exchange) oder deines eigenen Servers;
- die IP-Adresse deines Internet Service Providers;
- der Mailserver des Mailbox-Providers deiner Endnutzer;
- IP-Adressen von Servern Dritter, etwa von verbreiteten E-Mail-Versandplattformen.
Um einen SPF-Eintrag zu erstellen, musst du dich an ein bestimmtes Format und eine bestimmte Syntax halten. Das klingt zunächst kompliziert, aber ein korrekter und sauberer SPF-Eintrag verlangt keine besonderen technischen Fähigkeiten. Alles ist geradlinig, und wenn du die Syntax gar nicht erst von Hand schreiben willst: Unser SPF-Record-Generator baut dir in wenigen Klicks einen gültigen Eintrag. Die Grundlagen sehen wir uns gleich an. Zuerst schauen wir, wie SPF funktioniert.
Wie funktioniert SPF?
Grob gesagt läuft SPF so ab:
- Es beginnt auf der Absenderseite, wenn der Nutzer oder das System einen SPF-Eintrag im DNS veröffentlicht.
- Nachdem die E-Mail versendet und zum Empfänger übertragen wurde, erledigt der „empfangende“ Server zwei entscheidende Dinge:
- Er holt sich den SPF-Eintrag über die Return-Path-Adresse aus den E-Mail-Headern.
- Er führt ein Lookup des SPF-Eintrags durch, um die IP-Adresse des versendenden Mailservers mit den autorisierten abzugleichen.
Stammt die Nachricht von einem Server auf dieser Liste, stellt das Verfahren eine Verbindung zwischen E-Mail und E-Mail-Domain her und vergibt den Status „pass“.
Beachte: Auch wenn diese Verbindung zwischen E-Mail und E-Mail-Domain nicht zustande kommt, kann die Nachricht trotzdem zugestellt werden. Der empfangende ISP entscheidet abschließend über das Schicksal der E-Mail, abhängig von seiner Policy und seinen Kriterien. Außerdem sind nicht alle Mailserver von der SPF-Authentifizierung überzeugt, denn sie hat Schwächen: Die Liste der Absender kann ungenau sein, oder die E-Mail selbst ist gefälscht. SPF ist nur einer von wenigen Punkten, anhand derer ein ISP festlegt, was mit der Nachricht geschieht.
Auch wenn der SPF-Eintrag nicht perfekt ist, bringt er trotzdem eine zusätzliche Schutzschicht. Auf die leichte Schulter nehmen solltest du ihn also nicht. Sehen wir uns an, warum es wichtig ist, einen SPF-Eintrag anzulegen.
Warum ist es wichtig, einen SPF-Eintrag anzulegen?
Auch wenn der SPF-Eintrag nur einer von vielen Faktoren ist, die ein ISP bei der Entscheidung über das Schicksal einer E-Mail berücksichtigt, ist er unverzichtbar. Zuallererst sorgt er dafür, dass deine E-Mails nicht ohne Prüfung abgewiesen werden, denn manche ISPs ignorieren E-Mails, deren Rechtmäßigkeit sie nicht bestimmen können. Er wird außerdem schnell zur Grundvoraussetzung: Von den Domains, die wir testen, veröffentlichen 90 % einen gültigen SPF-Eintrag. Die 10 %, die weiterhin keinen haben, fallen also aus den falschen Gründen auf.
Obendrein gibt dir ein eingerichteter SPF-Eintrag eine echte Chance,
- deine E-Mail-Domain vor Spoofing, Phishing-Angriffen, Ransomware, Schadsoftware, finanziellen Verlusten und Betrug zu schützen;
- die Sicherheit deiner Domain insgesamt zu stärken;
- die Vertrauenswürdigkeit deiner Ressource zu erhöhen;
- die Rechtmäßigkeit deiner E-Mails zu belegen, was für Mailserver und ISPs sehr wichtig ist, vor allem für große Anbieter wie Gmail oder Outlook;
- deine Zustellbarkeit zu verbessern, die Öffnungsraten und Conversion-Raten und damit die ganze E-Mail-Marketing-Kampagne deutlich beeinflusst;
- deine Absender-Reputation zu stärken, was wiederum die Wahrnehmung deiner Marke verbessert.
Obendrein trägt der SPF-Eintrag zum gesunden Betrieb eines Mailservers bei und macht das Netz zu einem besseren Ort, an dem normale Nutzer sich sicher fühlen, anderen einen Mehrwert bieten und ihre Geschäfte reibungslos führen können.
Wichtig ist ein SPF-Eintrag außerdem, weil er zu den grundlegenden Verfahren der E-Mail-Authentifizierung für DMARC gehört, das bei der Entscheidung eines ISPs über eine empfangene E-Mail eine zentrale Rolle spielt. Diese Übergabe zählt, denn 42 % der Domains, die wir prüfen, haben weiterhin gar keine DMARC-Policy. Ein sauberer SPF-Eintrag ist bei diesen Absendern also oft das einzige Authentifizierungssignal.
Wie erstellst du einen SPF-Eintrag?
Wie wir schon gesehen haben, ist der SPF-Eintrag eine sauber formatierte Textdatei, die vertrauenswürdige IP-Adressen in einer bestimmten Syntax auflistet. Gehen wir die wesentlichen Punkte durch, damit du es allein hinbekommst.
Schritt 1: Vertrauenswürdige IP-Adressen sammeln
Bevor du Notepad öffnest (oder welchen Texteditor du gerade zur Hand hast), musst du die Grundlage legen. Fang also damit an, die Mailserver herauszusuchen, über die du E-Mails versendest. Dazu gehören
- der Server des Unternehmens, etwa ein Microsoft Exchange im eigenen Haus oder ein webbasierter wie Gmail;
- die E-Mail-Versandplattformen, also die Dienste von Drittanbietern, über die du E-Mail-Marketing-Kampagnen fährst, zum Beispiel Mailchimp;
- der Mailserver deines ISPs;
- sonstige Dienste wie Zahlungsanbieter oder Support-Systeme.
Wichtig ist außerdem, inaktive Domains aufzunehmen, um sie vor Missbrauch zu schützen.
Schritt 2: Eine Liste der Domains anlegen
Als Faustregel gilt: Jeder SPF-Eintrag bezieht sich auf eine bestimmte Domain. Du musst deshalb jede Domain auflisten, die du kontrollierst, auch die, die „geparkt“ sind und gerade nicht genutzt werden.
Der Grund dafür ist banal: Ein Angreifer wird versuchen, alle deine Domains zu fälschen, egal ob sie versenden oder nicht. Damit SPF wirklich trägt, muss das ganze System geschützt sein, inaktive Teile eingeschlossen. Erst der Schutz über alles hinweg stoppt Spam, Spoofing und andere Bedrohungen aus dem Netz.
Schritt 3: Den SPF-Eintrag erstellen
Bevor du den SPF-Eintrag schreibst, musst du zuerst festlegen, was die „empfangende“ Seite mit deinen unrechtmäßigen E-Mails tun soll. Du kannst den Server zum Beispiel bitten, alle nicht autorisierten E-Mails abzuweisen oder sie anzunehmen, aber als Spam zu markieren.
Danach folgst du diesem einfachen Ablauf in 5 Schritten:
1. Die txt-Datei öffnen. Tippe am Anfang der neuen Zeile „v=spf1“, das kennzeichnet einen SPF-Eintrag. Nutze nur die Version „spf1“, denn andere Versionen sind veraltet und werden nicht unterstützt.
2. Die erlaubten IP-Adressen auflisten. Das sieht so aus:
v=spf1 ip4:7.7.7.7
Wenn du mehr als eine IP-Adresse ergänzen musst (was meistens der Fall ist), listest du sie nacheinander auf. Keine Kommas, nur Leerzeichen. Das sieht so aus:
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9
3_._ Dienste von Drittanbietern über den Mechanismus „include“ ergänzen, also so: „include:thirdpartydomain.com“. Nutzt du zum Beispiel Mailchimp, kann der fertige SPF-Eintrag so aussehen:
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9 include:servers.mcsv.net
Dabei ist servers.mcsv.net eine verifizierte Domain von Mailchimp.
Nutzt du die E-Mail von Google Apps (Gmail), kannst du außerdem „_spf.google.com“ über den Mechanismus include ergänzen. Der fertige SPF-Eintrag kann dann so aussehen:
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9 include:_spf.google.com include:servers.mcsv.net
Beachte aber: Es ist sehr zu empfehlen, einen einzigen SPF-Eintrag für Gmail und die Dienste von Drittanbietern zu führen, so:
v=spf1 include:_spf.google.com include:servers.mcsv.net
4. Jeden SPF-Eintrag mit dem Mechanismus „all“ abschließen. Der Qualifizierer davor hat mehrere Bedeutungen:
- „-all“ bedeutet, alle nicht autorisierten E-Mails abzuweisen;
- „~all“ bedeutet, alle nicht autorisierten E-Mails anzunehmen, aber zu markieren;
- „+all“ bedeutet, dass jeder beliebige Server E-Mails von deiner Domain versenden darf, wovon dringend abzuraten ist, weil es den Server offen für Spoofing lässt.
Der fertige SPF-Eintrag sollte so aussehen:
v=spf1 ip4:7.7.7.7 ip4:9.9.9.9 include:_spf.google.com include:servers.mcsv.net -all
5. Zu guter Letzt: alle Domains schützen. Aus Sicherheitsgründen sollten alle Domains im SPF-Eintrag stehen, auch die „geparkten“. Ergänze dafür am Ende der Datei die Zeile
v=spf1 -all
Wie du siehst, ist ein SPF-Eintrag schnell erstellt. Nichts ist allerdings perfekt: Fehler passieren ständig. Um sie zu vermeiden, solltest du ein paar Grundregeln kennen.
Verbreitete SPF-Einträge
Grundregeln für den SPF-Eintrag
Ein paar Grundregeln musst du befolgen, damit dein SPF-Eintrag gültig ist:
- Nutze Mechanismen, um die Menge der Hosts zu beschreiben.
- Nutze Modifier nur einmal pro Eintrag und nur an dessen Ende.
- Beginne den SPF-Eintrag immer mit dem Element „
v=“. - Die Version muss immer „
spf1“ sein. - Entferne überflüssige Leerzeichen vor dem Anfang und nach dem Ende der Zeichenkette.
- Prüfe Mechanismen und referenzierte Domains doppelt auf Tippfehler.
- Entferne alle Großbuchstaben in den Mechanismen.
- Nutze keine Kommas.
- Setze zwischen zwei Mechanismen nur ein einziges Leerzeichen.
- Begrenze die Mechanismen, die innerhalb eines einzelnen SPF-Eintrags ein DNS-Lookup auslösen, auf zehn.
- Nutze höchstens 255 Zeichen.
Fehlersuche
Manchmal erfüllt ein SPF-Eintrag ohne sichtbare Fehler seine Aufgabe trotzdem nicht. In diesem Fall kannst du zwei Dinge versuchen.
Erstens kannst du den Inhalt in einen Texteditor ohne Formatierung kopieren, denn manche Textverarbeitungen, allen voran MS Word, erzeugen ungewollte Formatierungen. Kopierst du direkt aus einer E-Mail ins DNS, kann dasselbe Problem auftreten. Räum also allen Ballast weg.
Zweitens kannst du die Syntax des SPF-Eintrags mit Diagnosewerkzeugen prüfen. Sie testen SPF-Einträge auf Konformität mit den RFCs und zeigen, ob der SPF-Eintrag korrekt veröffentlicht ist, was dir Hinweise auf Fehler gibt.
Werkzeuge für den SPF-Check
Für den SPF-Check und die doppelte Kontrolle lohnen sich diese verbreiteten Werkzeuge:
- Unspam. Als starkes All-in-one-Werkzeug fürs Monitoring liefert der Dienst eine Menge wertvoller Informationen, darunter einen Bericht zum SPF-Eintrag. Der eigene SPF-Check prüft auf Duplikate, Autorisierung und mehr.
- SPF Record Check von Dmarcian. Dieses Diagnosewerkzeug zeigt seine Ergebnisse grafisch, sodass jeder die wichtigsten Punkte erfassen kann. Es zeigt, ob dein SPF-Eintrag korrekt ist, und benennt mögliche Fehler in der Formatierung.
- SPF Record Check von MXToolbox. MXToolbox führt ein Lookup des Eintrags durch und validiert den SPF-TXT-Eintrag.
- SPF Record Testing Tool. Neben dem Test von SPF-Einträgen beantwortet dieses Werkzeug auch entscheidende Fragen wie „Ist der SPF-Eintrag gültig?“ oder „Hat deine Domain überhaupt schon einen SPF-Eintrag?“.
- SPF Record Check. Der Dienst vereint drei Werkzeuge in einem: Lookup, Generator und Validator.
Nutze diese Werkzeuge auch für regelmäßige Kontrollen deiner SPF-Einträge. Entscheidend ist zu sehen, ob die rechtmäßigen IP-Adressen aufgeführt sind oder ob du sie aktualisieren musst. Außerdem bekommst du so die Perspektive des Empfängers und kannst deinen SPF-Eintrag weiter schärfen.
Wie fügst du den SPF-Eintrag zum DNS hinzu?
Als Teil des DNS deiner Domain gehört der SPF-Eintrag tief in die Domain hinein. Du brauchst also Zugriff auf dein DNS-Control-Panel.
Nutzt du einen Hosting-Anbieter, kannst du das Support-Team damit beauftragen oder einer passenden Anleitung folgen, um den SPF-Eintrag an die richtige Stelle zu setzen. In der Regel bieten alle Hosting-Anbieter einen sauberen, intuitiven Weg, SPF-Einträge zu erstellen.
Betreibst du deinen eigenen Server, bietet cPanel eine intuitive Oberfläche, um einen SPF-Eintrag zum Schutz des ausgehenden Mailverkehrs zu erzeugen.
Ein wichtiger Punkt noch: Erwarte nicht, dass der neue SPF-Eintrag sofort greift. In der Regel dauert das 24 bis 48 Stunden. Rechne diese Verzögerung also ein.
Fazit
Der SPF-Eintrag wacht seit 2003 über die Sicherheit der E-Mail-Korrespondenz. Er verhindert einen großen Teil der Bounces, erhöht die Vertrauenswürdigkeit von E-Mails, schützt Markenreputation und Absender-Reputation und sichert die Verbindung zu deinen Kunden.
Das Schöne an SPF: Du musst SPF nicht bis ins letzte Detail verstehen, um von den Vorteilen zu profitieren, denn der „empfangende“ Server macht die schwere Arbeit. Du musst nur einen SPF-Eintrag für deinen konkreten Fall anlegen.
Auch wenn SPF keine Sicherheit von 100 % garantiert, gibt es dir eine Schutzschicht, ohne die du Bedrohungen aus dem Netz schutzlos ausgeliefert bist. Nutze es zusammen mit DKIM und DMARC, um eine vollständige Policy für die E-Mail-Authentifizierung zu definieren, die Fälschungen auf allen Ebenen erkennt.
