Schlage den SPF-TXT-Eintrag jeder Domain nach und validiere ihn: Mechanismen, Qualifier, die all-Richtlinie und das Limit von 10 DNS-Lookups. Läuft kostenlos in deinem Browser über DNS-over-HTTPS, ohne Anmeldung und ohne dass etwas gespeichert wird.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
SPF (Sender Policy Framework, definiert in RFC 7208) ist eine veröffentlichte Liste der Server, die E-Mails für deine Domain senden dürfen. Es liegt als einzelner DNS-TXT-Eintrag auf der sendenden Domain, der mit v=spf1 beginnt, gefolgt von Mechanismen, die autorisierte Quellen benennen, und einer abschließenden all-Richtlinie. Wenn ein Mailbox-Provider eine Nachricht empfängt, prüft er die sendende IP gegen den SPF-Eintrag auf der Envelope-Domain (Return-Path) und nutzt das Ergebnis als ein Signal dafür, ob die Mail im Posteingang landet. SPF ist außerdem einer der Bausteine von DMARC, ein korrekter Eintrag gehört also dazu, um die Anforderungen an Massenversender bei Gmail, Yahoo, Outlook.com und Apple zu erfüllen.
Jeder gültige SPF-Eintrag beginnt mit v=spf1. Wenn der Eintrag nicht mit genau diesem Tag beginnt oder gar kein TXT-Eintrag zurückkommt, hat die Domain keine nutzbare SPF-Richtlinie.
Diese benennen die Quellen, die du autorisierst. include delegiert an das SPF einer anderen Domain (zum Beispiel deine E-Mail-Plattform), a und mx autorisieren deine eigenen A- und MX-Hosts, und ip4 / ip6 listen konkrete Adressen oder CIDR-Bereiche auf.
Der Mechanismus am Ende legt den Standard für alle nicht Gelisteten fest: -all ist ein harter Fehlschlag (empfohlen), ~all ein weicher Fehlschlag (üblich beim Testen), ?all ist neutral, und +all autorisiert jeden (nicht verwenden).
SPF erlaubt bei der Auswertung höchstens 10 DNS-Lookups. Mechanismen wie include, a und mx kosten jeweils Lookups, und verschachtelte includes bringen eigene mit, deshalb folgt der Check der gesamten include-Kette, um die tatsächliche Summe zu zählen, und markiert Einträge, die über dem Limit liegen. Klapp die Aufschlüsselung auf, um zu sehen, von welchem Mechanismus jeder Lookup stammt.
Eine Domain muss genau einen v=spf1-TXT-Eintrag veröffentlichen. Wenn der Check zwei oder mehr findet, ist der Eintrag ungültig und Provider geben einen PermError zurück.
Eine Domain darf nur einen TXT-Eintrag veröffentlichen, der mit v=spf1 beginnt. Kommt ein zweiter hinzu (oft beim Einrichten einer neuen E-Mail-Plattform), gibt die Auswertung einen PermError zurück und SPF schlägt praktisch fehl. Führe jede Quelle in einem einzigen Eintrag mit mehreren include-Mechanismen zusammen.
Jeder include-, a-, mx-, ptr- und exists-Mechanismus löst DNS-Lookups aus, und verschachtelte includes bringen eigene mit. Sobald die Auswertung mehr als 10 braucht, ist das Ergebnis ein PermError. Entferne includes für Plattformen, über die du nicht mehr sendest, oder verlege eine Plattform mit eigenem Eintrag auf eine eigene Subdomain. Ein include in rohe ip4-Einträge abzuflachen funktioniert auch, aber nur bei einem Anbieter mit stabilen Adressen: Microsoft rät davon ab, den eigenen include abzuflachen, weil sich die Adressen dahinter ändern und eine abgeflachte Kopie unbemerkt veraltet.
Den Eintrag mit +all zu beenden, teilt der ganzen Welt mit, dass jeder Server als deine Domain senden darf, was SPF vollständig abschaltet und Spoofing einlädt. Nutze -all für einen harten Fehlschlag oder ~all, solange du deine Quellen noch bestätigst.
Wenn die Abfrage nichts zurückgibt oder einen TXT-Eintrag, der nicht mit v=spf1 beginnt, hat die Domain keine durchsetzbare Richtlinie und DMARC hat nichts, womit es sich ausrichten kann. Veröffentliche einen Eintrag, der mit v=spf1 beginnt und mit einem restriktiven all endet.
Ein einzelner TXT-String ist auf 255 Zeichen begrenzt. Lange Einträge müssen in mehrere zitierte Strings innerhalb eines TXT-Eintrags aufgeteilt werden (das ist gültig), nicht in separate Einträge. Eine Aufteilung in separate Einträge erzeugt stattdessen den Fehler mit mehreren Einträgen.
SPF autorisiert den Envelope-Absender im Return-Path, nicht die Adresse, die deine Leute sehen. Eine Nachricht kann SPF bestehen und trotzdem ein beliebiges From anzeigen. Genau deshalb zählt die DMARC-Ausrichtung, und SPF allein beweist sehr wenig.
Alle Daten und Zahlen, die Unspam zu den Absenderanforderungen veröffentlicht, stehen hier und werden gegen die Dokumentation des jeweiligen Anbieters geprüft. Zuletzt gelesen am 16. August 2026.
| Anbieter | Was | Wert | Gilt für |
|---|---|---|---|
| Regeln für Massenversender in Kraft seit Quelle | Februar 2024 erforderlich | Mails an persönliche Gmail-Adressen | |
| Verschärfung der Durchsetzung seit Quelle | November 2025 beobachtet Google beschreibt das als schrittweise und fortlaufend, nicht als Schalter, der an einem Datum umgelegt wurde. | Mails an persönliche Gmail-Adressen | |
| Gilt als Massenversender ab Quelle | 5.000 erforderlich Das ist die Zahl von Google. Yahoo veröffentlicht bewusst keine. | Mails an persönliche Gmail-Adressen | |
| Obergrenze der Spam-Beschwerdequote Quelle | 0,3 % erforderlich Google beschreibt die Wirkung als gestuft und nicht als Grenzwert: oberhalb des empfohlenen Werts leidet die Zustellung bereits, an der Obergrenze stärker. | alle Absender an Gmail, nicht nur Massenversender | |
| Angestrebte Spam-Beschwerdequote Quelle | 0,1 % empfohlen Postmaster Tools teilt Beschwerden nicht durch alles, was Sie gesendet haben. Gemessen wird gegen DKIM-signierte Nachrichten, die den Posteingang eines aktiven Empfängers erreicht haben, ein bereits gefilterter Absender sieht daher eine künstlich niedrige Quote. | alle Absender an Gmail, nicht nur Massenversender | |
| Yahoo | Regeln für Massenversender in Kraft seit Quelle | Februar 2024 erforderlich | Mails an Yahoo, AOL und die übrigen Yahoo-Postfächer |
| Gilt als Massenversender ab Quelle | nicht veröffentlicht Yahoo erklärt, keinen Volumenschwellenwert zu nennen, es lässt sich also keine Zahl zuschreiben. | Mails an Yahoo, AOL und die übrigen Yahoo-Postfächer | |
| Obergrenze der Spam-Beschwerdequote Quelle | 0,3 % erforderlich | Mails an Yahoo, AOL und die übrigen Yahoo-Postfächer | |
| Outlook.com | Regeln für Massenversender in Kraft seit Quelle | Mai 2025 erforderlich | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant |
| Gilt als Massenversender ab Quelle | 5.000 erforderlich Die Regel gilt für jede Domain, die den Schwellenwert jemals überschritten hat, sie greift also auch an einem ruhigeren Tag. | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant | |
| Was mit fehlschlagenden Mails passiert Quelle | 550 5.7.515 beobachtet Nicht konforme Mail wird während der SMTP-Verbindung abgewiesen, statt im Spam-Ordner abgelegt zu werden. Die Postmaster-Richtlinienseite von Microsoft beschreibt den Junk-Ordner weiterhin als ersten Schritt, ein Versender kann also beides erleben, planen sollte er aber mit der Abweisung. | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant | |
| SPF und DKIM müssen beide bestehen, nicht nur DMARC Quelle | erforderlich Strenger als DMARC allein. DMARC gilt als bestanden, sobald SPF oder DKIM ausgerichtet ist, und Outlook.com verlangt zusätzlich, dass beide Prüfungen bestehen. | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant | |
| Apple | Regeln für Massenversender in Kraft seit Quelle | Februar 2025 erforderlich | Mails an iCloud Mail, me.com und mac.com |
| ARC-Header bei weitergeleiteten Mails Quelle | erforderlich Apple ist der Einzige der vier, der das verlangt, und das ist der ehrliche Grund, sich ARC überhaupt anzusehen. | Mails an iCloud Mail, me.com und mac.com |
Unspam liest all das allein aus Ihrem Domainnamen.
Keine DNS-Abfrage erreicht das. Dafür braucht es eine echte Nachricht oder echte Sendehistorie, und genau dafür ist ein Inbox-Placement-Test da.
