AutoSPF erklärt: Der ultimative Leitfaden zum Hinzufügen eines SPF-Eintrags bei Cloudflare

E-Mail ist eines der leistungsstärksten Kommunikationsmittel des digitalen Zeitalters – doch mit dieser Macht geht auch Verantwortung einher. Wenn Sie eine Domain betreiben, die E-Mails versendet – ob Transaktionsnachrichten, Newsletter oder interne Team-E-Mails – müssen Sie diese Nachrichten korrekt authentifizieren. Ohne ordnungsgemäße Authentifizierung laufen Ihre E-Mails Gefahr, als Spam markiert, blockiert oder von den empfangenden Servern rundweg abgelehnt zu werden.

Gemäß RFC 7208 ist die SPF-Auswertung auf 10 DNS-Mechanismus-Lookups und 2 Void-Lookups pro Prüfung begrenzt – wird eines der beiden Limits überschritten, entsteht ein PermError, der die Authentifizierung für jede Nachricht der Domain scheitern lässt.

Anleitungen zur Einrichtung für Cloudflare und Dutzende weitere Plattformen finden Sie in unserem Leitfaden zur SPF-Eintrags-Einrichtung.

Genau hier kommt SPF (Sender Policy Framework) ins Spiel.

In diesem ausführlichen Leitfaden führe ich Sie durch alles, was Sie über SPF wissen müssen – was es ist, warum es wichtig ist, wie Cloudflare mit DNS-Einträgen umgeht und genau, wie Sie Ihren SPF-Eintrag in Cloudflare Schritt für Schritt hinzufügen. Außerdem beleuchten wir fortgeschrittene Tipps und häufige Fallstricke, damit es Ihnen gleich beim ersten Mal gelingt.

Was ist SPF?

SPF steht für Sender Policy Framework – eine Möglichkeit für Domain-Inhaber, eine Liste der Server und Dienste zu veröffentlichen, die berechtigt sind, in ihrem Namen E-Mails zu versenden. Technisch gesehen ist SPF ein DNS-TXT-Eintrag, der festlegt, welche IP-Adressen und Domains E-Mails für Ihre Domain versenden dürfen.

Wenn ein eingehender Mailserver eine E-Mail erhält, die vorgibt, von Ihrer Domain zu stammen, führt er eine SPF-Prüfung durch. Er ruft den SPF-TXT-Eintrag aus dem DNS ab, um zu überprüfen, ob der sendende Server autorisiert ist. Ist er es, besteht die Prüfung; ist er es nicht, schlägt die Prüfung fehl, und die E-Mail kann im Spam landen oder ganz abgelehnt werden.

SPF hilft dabei, E-Mail-Spoofing, Phishing und den unbefugten Gebrauch Ihrer Domain zu bekämpfen – allesamt große Bedrohungen für Ihren Ruf und Ihre Zustellbarkeit. Es schützt sowohl Ihr Unternehmen als auch Ihre Empfänger.

Warum Cloudflare DNS?

Cloudflare ist einer der weltweit meistgenutzten DNS-Anbieter. Sein global verteiltes Netzwerk verbessert die Leistung, indem es Ihr DNS weltweit zwischenspeichert, und trägt mit integrierten Schutzmechanismen zur Sicherheit bei. Viele Domain-Inhaber nutzen Cloudflare zur DNS-Verwaltung, weil es zuverlässig und schnell ist und sich gut mit anderen Cloudflare-Diensten integrieren lässt.

Ganz gleich, ob Sie Cloudflare nur für DNS oder in Kombination mit anderen Cloudflare-Funktionen (wie CDN, Sicherheit, E-Mail-Routing usw.) nutzen – das Hinzufügen von DNS-Einträgen, einschließlich SPF, folgt stets demselben grundlegenden Muster.

Warum SPF vor allem anderen zählt

SPF sorgt nicht nur dafür, dass Ihre E-Mails zugestellt werden. Es ist Teil eines Trios von Standards, die zusammenwirken:

SPF – Überprüft, dass die E-Mail von einem autorisierten Server versendet wird.
DKIM – Fügt ausgehenden Nachrichten eine kryptografische Signatur hinzu, damit Empfänger die Integrität überprüfen können.
DMARC – Weist empfangende Server an, wie sie mit Nachrichten umgehen sollen, die bei SPF und/oder DKIM durchfallen, und sendet Ihnen optional Berichte über die Fehler.

Gemeinsam reduzieren diese Protokolle Spam, Phishing und gefälschte E-Mails – und verbessern die Reputation Ihrer Domain im gesamten Internet.

Bevor Sie SPF hinzufügen, stellen Sie sicher, dass Sie alle Dienste kennen, die im Namen Ihrer Domain E-Mails versenden, einschließlich Marketing-Plattformen, CRM-Systeme und interne Mailserver.

Wie SPF-Einträge funktionieren (konzeptionell)

SPF-Einträge liegen im DNS als TXT-Einträge vor. Ein typischer SPF-Eintrag könnte so aussehen:

v=spf1 ip4:192.0.2.0/24 include:mailprovider.com ~all

Hier ist, was jeder Teil bedeutet:

v=spf1 – Dies deklariert, dass es sich um einen SPF-Eintrag der Version 1 handelt.
ip4:192.0.2.0/24 – Dies autorisiert einen Block von IP-Adressen zum Versenden von E-Mails.
include:mailprovider.com – Dies bindet die SPF-Regeln eines Drittanbieter-Maildienstes (etwa eines Newsletter-Anbieters) ein.
~all – Dies legt ein „Soft Fail” für jeden nicht oben aufgeführten Absender fest – das bedeutet, die E-Mail könnte als verdächtig markiert werden. Sie können auch -all für ein strengeres „Hard Fail” verwenden.

Bei Cloudflare müssen SPF-Einträge als TXT-Einträge in Ihren DNS-Einstellungen erstellt werden. Ein Beispiel-SPF-Eintrag, den Sie Seite an Seite betrachten, hilft dabei, die Syntax zu verinnerlichen.

Schritt für Schritt: Einen SPF-Eintrag in Cloudflare hinzufügen

Befolgen Sie diese Schritte, um Ihren SPF-Eintrag sicher in Cloudflare zu veröffentlichen:

Schritt 1: Bei Cloudflare anmelden

Rufen Sie https://dash.cloudflare.com auf und melden Sie sich mit Ihren Cloudflare-Zugangsdaten an.

Schritt 2: Ihre Domain auswählen

Klicken Sie in Ihrer Domain-Liste auf diejenige, die Sie konfigurieren möchten.

Schritt 3: Zu den DNS-Einstellungen gehen

Klicken Sie in der linken Seitenleiste auf DNS. So gelangen Sie zum Dashboard Ihrer DNS-Einträge.

Schritt 4: Einen neuen DNS-Eintrag hinzufügen

Klicken Sie auf „Eintrag hinzufügen”. Im Formular für den neuen Eintrag:

Typ: Wählen Sie TXT
Name: Geben Sie @ ein (dies steht für Ihre Root-Domain)
Inhalt: Fügen Sie Ihre SPF-Regel ein
TTL: Belassen Sie es auf Auto, sofern Sie keinen bestimmten Grund haben, dies zu ändern

Ein einfacher SPF-Eintrag könnte so aussehen:

v=spf1 include:thirdpartyservice.com ~all

Stellen Sie sicher, dass Sie alle autorisierten Absender einbinden (Ihre Server, Ihre Newsletter-Plattform, Ihr CRM usw.).

Klicken Sie dann auf Speichern.

Wichtiger Hinweis: Eine Domain sollte nur einen einzigen SPF-Eintrag haben. Mehrere Einträge können zu Authentifizierungsfehlern führen. Wenn Sie mehrere Absender autorisieren müssen, fassen Sie diese mithilfe von include-Mechanismen und IP-Mechanismen zu einem einzigen Eintrag zusammen.

Was sind bewährte Vorgehensweisen für die Autorisierung mehrerer Quellen?

Viele Domains versenden E-Mails über mehr als ein System – zum Beispiel:

Interne Mailserver
E-Mail-Marketing-Tools
CRM- oder Support-Plattformen
Drittanbieter

Wenn alle im Namen Ihrer Domain versenden, erstellen Sie nicht mehrere SPF-Einträge – fassen Sie sie zusammen. Zum Beispiel:

v=spf1 ip4:192.0.2.0 include:mailchimp.com include:zohomail.com ~all

Jedes include: unterstützt einen Anbieter. Zu viele includes oder Mechanismen können die DNS-Lookup-Limits erreichen, planen Sie also sorgfältig. Ein Verständnis der verschiedenen SPF-Eintrag-Varianten hilft Ihnen dabei, die schlankesten Mechanismen zu wählen.

Ihren SPF-Eintrag validieren

Nachdem Sie Ihren Eintrag hinzugefügt haben, sollten Sie ihn validieren:

Warten, bis sich DNS verbreitet hat

Es kann einige Minuten bis zu einigen Stunden dauern, bis sich DNS-Änderungen im Web ausgebreitet haben.

Ein SPF-Lookup-Tool verwenden

Verwenden Sie Tools wie:

SPF-Validatoren
DNS-TXT-Lookups
E-Mail-Authentifizierungsprüfer

Diese Tools bestätigen, dass Ihr Eintrag sichtbar und syntaktisch korrekt ist. Unser kostenloser SPF-Eintrag-Checker tut genau das.

Häufige Fehler und wie man sie behebt

Mehrere SPF-Einträge

Cloudflare unterstützt, wie alle DNS-Systeme, nur einen SPF-TXT-Eintrag pro Domain. Wenn Sie versehentlich mehr als einen erstellen, lehnen einige Mailserver Ihre Nachrichten rundweg ab. Cloudflare Docs

Zu viele DNS-Lookups

SPF-Einträge, die zu viele Drittanbieterdienste einbinden, können das DNS-Lookup-Limit (10 includes) überschreiten. Wenn Sie diese Obergrenze erreichen, kann die E-Mail-Authentifizierung fehlschlagen, selbst wenn der Eintrag technisch vorhanden ist.

Fehlende Includes

Wenn Sie vergessen, den SPF eines Anbieters einzubinden, kann dessen E-Mail bei SPF-Prüfungen durchfallen und im Spam landen.

Falscher Eintragstyp

Manchmal versuchen Domain-Inhaber, SPF als Eintragstyp zu verwenden – aber SPF muss als TXT-Eintrag veröffentlicht werden. Cloudflare unterstützt den veralteten SPF-Eintragstyp nicht.

E-Mail-Sicherheit mit DKIM und DMARC stärken

Sobald SPF aktiv ist, sollten Sie nicht dabei stehen bleiben.

DKIM

DKIM fügt Nachrichten eine kryptografische Signatur hinzu, damit Empfänger überprüfen können, dass die Nachricht während der Übertragung nicht verändert wurde. Es verwendet zusätzliche DNS-TXT- oder CNAME-Einträge und erfordert Unterstützung von Ihrem Maildienst.

DMARC

Mit DMARC können Sie empfangenden Servern mitteilen, wie sie mit E-Mails umgehen sollen, die bei SPF und/oder DKIM durchfallen – und optional Berichte über die Fehler sammeln. DMARC wird üblicherweise als TXT-Eintrag unter _dmarc.ihredomain.com hinzugefügt.

Gemeinsam bilden SPF, DKIM und DMARC das Fundament einer starken E-Mail-Authentifizierung und sind entscheidend für Zustellbarkeit und Markenschutz.

Tools zur Vereinfachung der SPF-Verwaltung

Die manuelle Verwaltung von SPF-Einträgen kann mühsam sein, besonders wenn Sie viele Maildienste nutzen. Tools wie AutoSPF (das bin ich!), EasyDMARC, PowerDMARC und andere können Ihnen helfen:

SPF-Einträge zu generieren
Syntax zu validieren
includes zusammenzufassen
DNS-Probleme zu überwachen

Diese Tools tragen dazu bei, dass Ihr SPF gesund bleibt, während sich Ihr E-Mail-Ökosystem weiterentwickelt.

Abschließende Tipps

Ja Pflegen Sie stets einen einzigen SPF-Eintrag pro Domain. Ja Binden Sie alle autorisierten Sendequellen ein. Ja Testen Sie nach der Veröffentlichung. Ja Überprüfen Sie regelmäßig, wenn Sie Dienste hinzufügen oder entfernen. Ja Ergänzen Sie mit DKIM und DMARC für vollständigen Schutz.