Wie kann ich einen SPF-Eintrag für Office 365 erstellen, ohne andere Maildienste zu beeinträchtigen?

Um einen SPF-Eintrag für Office 365 zu erstellen, ohne andere Maildienste zu beeinträchtigen, erfassen Sie alle legitimen Absender, erstellen Sie einen einzigen v=spf1-Eintrag, der include:spf.protection.outlook.com sowie Ihre übrigen Anbieter und IPs enthält, und bleiben Sie dabei unter dem Limit von 10 DNS-Lookups (bei Bedarf mit Subdomains oder Flattening). Führen Sie die Umstellung mit einem weichen Qualifier (~all) durch, testen und überwachen Sie sie mithilfe von SPF-/DMARC-Daten und automatisieren Sie die Pflege mit AutoSPF, um ein Abdriften zu verhindern.

Gemäß RFC 7208 ist die SPF-Auswertung auf 10 DNS-Mechanismus-Lookups und 2 Void-Lookups pro Prüfung begrenzt – wird eines der beiden Limits überschritten, entsteht ein PermError, der die Authentifizierung für jede Nachricht der Domain scheitern lässt.

Kontext und Hintergrund

Sender Policy Framework (SPF) ist eine DNS-basierte Autorisierungsliste, die Empfängern mitteilt, welche IPs und Dienste Mail für Ihre Domain versenden dürfen. Microsoft 365 (Exchange Online) verlangt, dass Sie seine veröffentlichte SPF-Infrastruktur mit include:spf.protection.outlook.com einbinden. Viele Domains versenden jedoch auch über On-Prem-Exchange, Marketingplattformen, CRMs, Ticketsysteme und Web-Apps. Wenn Sie einen SPF-Eintrag veröffentlichen, der nur Office 365 abdeckt, können andere legitime Dienste abgelehnt werden; versuchen Sie hingegen, naiv alles einzubinden, können Sie das strikte 10-Lookup-Limit von SPF überschreiten und die Auswertung vollständig unbrauchbar machen.

Der sicherste Weg ist methodisch: Ermitteln Sie jede versendende Quelle, konstruieren Sie einen einzigen korrekten Eintrag mit Office 365 und allen anderen Quellen, optimieren Sie ihn, um innerhalb des Lookup-Budgets zu bleiben, planen Sie die Bereitstellung sorgfältig und halten Sie ihn gepflegt. Wenn Sie ganz von vorn beginnen, deckt unsere Anleitung zum Einrichten eines SPF-Eintrags die Grundlagen ab. AutoSPF vereinfacht jeden dieser Schritte, indem es Absender aus Live-Maildaten ermittelt, Lookup-Zahlen in Echtzeit modelliert, bei Bedarf automatisch flattening durchführt und die Ergebnisse überwacht, sodass Sie sicher zu einer strikten Richtlinie übergehen können.

Erfassen Sie jeden Dienst, der Mail für Ihre Domain versendet

Eine vollständige Absenderinventur verhindert „Ausfälle“, wenn Sie zu Office 365 wechseln oder darauf optimieren.

Was aufzulisten ist und wie es zu dokumentieren ist

• On-Premises: öffentliche NAT-IP(s) für Exchange oder SMTP-Relays, Smart Hosts, Scanner und Multifunktionsgeräte

• Microsoft 365: Exchange Online Protection (EOP) über include:spf.protection.outlook.com

• Drittanbieter-Plattformen: ESPs (z. B. SendGrid, Mailchimp), CRMs (z. B. Salesforce), Ticketing (z. B. Zendesk), Support/Chat, HR/Lohnabrechnung und jede App, die als Ihre Domain versendet

• Web-Infrastruktur: CMS/Kontaktformulare, E-Commerce-Plattformen, serverlose Funktionen

• Besondere Pfade: Mailinglisten, Weiterleiter und Subdomain-Absender (z. B. bounce@, newsletter@, noreply@)

Methoden zum Ermitteln aller Quellen

• DMARC-Aggregatberichte (RUA): Zählen Sie die Quell-IPs und Domains auf, die als Sie versenden; sammeln Sie mindestens 14–30 Tage an Daten

• Microsoft 365 Message Trace und Header: Prüfen Sie Authentication-Results und Received-SPF, um IPs/Dienste zu finden

• Anbieter-Dashboards: Die meisten ESPs zeigen die Domain(s) an, für die sie zum Versand konfiguriert sind, sowie ihren SPF-Include

• DNS- und Infrastrukturprüfungen: dig/nslookup Ihrer MX- und A-Records (falls Sie sich auf a: oder mx: in SPF verlassen), Firewall-NAT-Tabellen für SMTP/25- und 587-Ausgang

• Team-Interviews: Marketing, Support, Produkt und IT betreiben oft unterschiedliche Mailer

AutoSPF-Verbindung: AutoSPF liest DMARC RUA automatisch ein, ordnet Quell-IPs bekannten Anbietern zu und erstellt eine lebendige Inventur. Es markiert „unbekannte Absender“ und schlägt SPF-Ergänzungen oder Subdomain-Segmentierung vor, was Wochen manueller Ermittlung erspart.

Erstellen Sie einen einzigen SPF-Eintrag, der Office 365 und alles andere umfasst (ohne 10 Lookups zu überschreiten)

Der Kern ist ein einziger TXT-Eintrag auf der Root-Ebene (example.com) mit genau einer SPF-Richtlinie. Microsofts veröffentlichter Mechanismus ist include:spf.protection.outlook.com. Sie können diesen Eintrag mit unserem SPF-Record-Generator zusammenstellen.

Microsofts empfohlene Syntax für Exchange Online

• Nur Office 365:
• v=spf1 include:spf.protection.outlook.com -all

Dies ist Microsofts kanonische Empfehlung für Exchange Online, wenn keine anderen Absender existieren.

Konkrete Beispiel-SPF-Einträge

• Office 365 + öffentliche On-Premises-IPs:

• v=spf1 ip4:203.0.113.10 ip6:2001:db8::10 include:spf.protection.outlook.com -all

• Office 365 + On-Prem + mehrere Drittanbieter-Absender:

• v=spf1 ip4:203.0.113.10 include:spf.protection.outlook.com include:sendgrid.net include:servers.mcsv.net include:_spf.salesforce.com ~all

• Office 365 + Amazon SES (regionalisiert) + Mailchimp:

• v=spf1 include:spf.protection.outlook.com include:amazonses.com include:servers.mcsv.net ~all

• Delegierte Subdomain für Marketing bei schlankem Root:

• Root (example.com): v=spf1 include:spf.protection.outlook.com -all

• Marketing (news.example.com): v=spf1 include:sendgrid.net include:servers.mcsv.net -all

Hinweis: Bestätigen Sie stets den aktuellen Include-Host jedes Anbieters in dessen Dokumentation. Manche Anbieter bieten region- oder kontospezifische Includes an, die Lookups reduzieren.

Das 10-Lookup-Budget und wie Sie darunter bleiben

SPF rechnet DNS-abfragende Mechanismen auf ein striktes Limit von 10 über die gesamte Auswertungskette an (includes, redirects, a, mx, ptr, exists und Makros). ip4, ip6 und all lösen keine Lookups aus.

• Übliche Lookup-Kosten:

• include: jeweils 1 Lookup (plus alles, was diese wiederum einbinden)

• mx: bis zur Anzahl der MX-Hosts (plus A-/AAAA-Lookups)

• a: 1 (plus möglicher CNAME-Kette)

• redirect=: 1 (ersetzt die Richtlinie; zählt weiterhin innerhalb desselben 10er-Budgets)

• Halten Sie „all“ am Ende; es fügt keine Lookups hinzu.

Praktische Strategien:

• Bevorzugen Sie ip4/ip6 für Ihre eigenen statischen Hosts anstelle von mx oder a

• Minimieren Sie Anbieter-Includes; entfernen Sie veraltete Anbieter

• Segmentieren Sie Absender mit vielen Lookups auf Subdomains (z. B. news.example.com), damit der Root-SPF schlank bleibt

• Nutzen Sie verwaltetes Flattening, um Includes in die aktuellen IP-Sätze umzuwandeln, mit automatischer Aktualisierung

AutoSPF-Verbindung: AutoSPF zeigt beim Bearbeiten einen Live-Lookup-Zähler an, warnt, wenn sich indirekte Includes über 10 hinaus ausdehnen, und kann einen sicher geflatteten Eintrag mit automatischer Aktualisierung veröffentlichen, sodass Sie nie abdriften, wenn Anbieter ihre IPs ändern.

Bewältigen Sie hybride Exchange-Bereitstellungen ohne Kollateralschäden

Hybrid ändert, welche IP tatsächlich ins Internet versendet, modellieren Sie daher Ihren Mailfluss, bevor Sie SPF veröffentlichen.

Wenn On-Prem an EOP weiterleitet (und EOP zustellt)

• Ausgangspfad: On-Prem → EOP → Empfänger im Internet

• Verbindende IP beim Empfänger: EOP

• SPF-Empfehlung: include:spf.protection.outlook.com ist ausreichend; Sie benötigen Ihre On-Prem-IPs nicht für SPF

• Grund: SPF prüft die SMTP-Client-IP des letzten Hops zum Empfänger, was in diesem Design EOP ist

Wenn On-Prem direkt ins Internet zustellt (oder Apps dies tun)

• Ausgangspfad: On-Prem/App → Internet

• Verbindende IP: Ihre öffentlichen NAT(s)

• SPF-Empfehlung: Fügen Sie ip4/ip6 für jede Ausgangs-IP hinzu, die als Ihre Domain versenden kann, plus include:spf.protection.outlook.com

Smart Hosts und Connectoren

• Drittanbieter-Smart-Host (z. B. Security-Gateways), der für Sie zustellt: Binden Sie den SPF dieses Anbieters ein oder fügen Sie dessen Ausgangs-IPs hinzu

• Mehrere Ausgangspunkte: Erwägen Sie eine Konsolidierung auf weniger NATs oder veröffentlichen Sie alle in ip4/ip6

Eingehender Verkehr ändert SPF nicht

Das Eingangsrouting (MX zu EOP oder On-Prem) beeinflusst SPF für Ihre Domain nicht, aber wenn Sie mx in SPF verwenden, fügt es Lookups hinzu; bevorzugen Sie explizite ip4/ip6 für Absender.

AutoSPF-Verbindung: Die „Flow-Modellierung“ von AutoSPF ermöglicht es Ihnen anzugeben, ob On-Prem über EOP routet oder direkt versendet; anschließend generiert es den korrekten SPF und hebt alle nicht abgedeckten IPs hervor, die in DMARC-Daten gefunden werden.

Sicher bereitstellen: Qualifier, Tests, Überwachung, Rollback und häufige Fallstricke

Wählen Sie den richtigen SPF-Qualifier während der Umstellung

• ~all (SoftFail): empfohlen für die anfängliche Bereitstellung; Empfänger nehmen Mail an, markieren SPF aber als Softfail, wenn keine Übereinstimmung vorliegt

• -all (Fail): erzwingen Sie dies erst, wenn Sie sicher sind, dass alle legitimen Quellen abgedeckt sind

• ?all (Neutral): nützlich zur frühen Ermittlung, wenn Sie noch kein DMARC haben, bietet aber kaum Durchsetzung

• ist eine implizite Erlaubnis; lassen Sie es der Kürze halber weg (z. B. ip4: statt +ip4:)

Sicherer Umstellungsplan:

1. Reduzieren Sie die DNS-TTL für den TXT-Eintrag 24 Stunden vor Änderungen auf 300–600 Sekunden
2. Veröffentlichen Sie einen umfassenden Eintrag mit ~all
3. Aktivieren Sie DMARC p=none und sammeln Sie 2–4 Wochen lang Berichte; bestätigen Sie ≥98–99 % Bestehen für legitimen Verkehr
4. Stellen Sie DMARC auf quarantine um (pct=25→100 im Laufe der Zeit)
5. Ändern Sie SPF auf -all, wenn DMARC nahezu perfekte Abdeckung zeigt und Drittanbieter-Konfigurationen stabil sind
6. Erhöhen Sie die TTL wieder auf 1–4 Stunden, sobald alles stabil ist

Wie überprüfen und überwachen Sie?

• DNS: dig/nslookup -type=TXT example.com, um einen einzigen SPF-Eintrag zu verifizieren

• Live-Nachrichten: Prüfen Sie die Header Authentication-Results und Received-SPF; achten Sie auf spf=pass von Empfängern

• Microsoft-Tools: Message Trace im Exchange Admin Center; Protokolle ausgehender Connectoren

• Online-Validatoren: Bewerten Sie Lookup-Zahlen und Expansion

• DMARC RUA: Beobachten Sie Pass-/Fail-Trends nach Quelle; identifizieren Sie unbekannte IPs

AutoSPF-Verbindung: AutoSPF bietet einen „What-if“-Simulator zum Testen von Einträgen vor der Veröffentlichung, kontinuierliche DMARC-Analysen mit Quellenzuordnung und Warnungen, wenn SPF-Fehler nach einer Änderung ansteigen; ein Ein-Klick-Rollback stellt den vorherigen Eintrag wieder her.

Was sind häufige Konfigurationsfehler und wie behebt man sie?

• Mehrere SPF-TXT-Einträge unter demselben Hostnamen

• Symptom: „PermError: multiple SPF records“

• Lösung: Konsolidieren Sie die SPF-Einträge, indem Sie alle Mechanismen zu einem einzigen v=spf1-Eintrag zusammenführen; löschen Sie Duplikate

• Überschreiten von 10 Lookups

• Symptom: „PermError: too many DNS lookups“

• Lösung: Entfernen Sie ungenutzte Anbieter, ersetzen Sie mx/a durch ip4/ip6, segmentieren Sie auf Subdomains oder flatten Sie mit AutoSPF

• Falsche include/ip4/ip6-Syntax

• Symptom: „PermError: invalid SPF record“ oder stille Nichtübereinstimmung

• Lösung: Validieren Sie die Syntax; stellen Sie sicher, dass das CIDR korrekt ist (z. B. ip4:198.51.100.44/32 oder ip4:198.51.100.0/24)

• all vor anderen Mechanismen platzieren

• Symptom: Spätere Mechanismen werden ignoriert

• Lösung: all muss zuletzt stehen

• Unbeabsichtigte Verwendung von ptr oder breitem mx/a

• Symptom: übermäßige Lookups, falsche Passes

• Lösung: Entfernen Sie ptr; ersetzen Sie mx/a durch explizite ip4/ip6

• Fehlende Weiterleiter in der Strategie

• Symptom: Weitergeleitete Mail scheitert an SPF bei Empfängern

• Lösung: Verlassen Sie sich auf DKIM für die Ausrichtung und den DMARC-Erfolg; fördern Sie SRS bei Weiterleitern

AutoSPF-Verbindung: Das Linting von AutoSPF markiert diese Probleme in Echtzeit und empfiehlt die genaue Korrektur, einschließlich eines sicher zusammengeführten Eintrags, falls Duplikate vorliegen.

Steuern Sie die Komplexität von Drittanbietern und richten Sie sie mit DKIM/DMARC und Sonderfällen aus

Strategien für viele Drittanbieter-Absender

• Anbieter-Konsolidierung: weniger Anbieter, weniger Includes, weniger Lookups

• Subdomain-Delegation: Versenden Sie Marketing von news.example.com und Produkt von updates.example.com; halten Sie den Root-SPF minimal

• Redirect für Wartbarkeit: v=spf1 redirect=_spf.example.com zentralisiert die Richtlinie (zählt weiterhin zu den 10)

• Flattening (verwaltet): Wandeln Sie Includes in IPs um; automatisieren Sie die Aktualisierung, um Änderungen der Anbieter-IPs nachzuverfolgen

Kompromisse:

• Flattening reduziert Lookups auf nahezu null, kann aber die Eintragsgröße erhöhen und muss aktualisiert werden, wenn sich Anbieter ändern; verwaltetes Flattening (AutoSPF) mildert dies durch automatische Aktualisierungen und Chunking über mehrere TXT-Strings

• Subdomains erfordern eine Neukonfiguration von Anbietern und DNS, isolieren aber Lookup-Budgets und reduzieren gegenseitige Auswirkungen

SPF, DKIM und DMARC zusammen (mit Microsoft 365)

• SPF authentifiziert die Envelope-Adresse MAIL FROM; DKIM authentifiziert den Nachrichteninhalt; DMARC richtet eines oder beide mit der sichtbaren From-Domain aus

• Office 365 DKIM: Aktivieren Sie die DKIM-Signierung in Microsoft 365; veröffentlichen Sie CNAMEs für selector1/selector2

• DMARC-Baseline: v=DMARC1; p=none; rua=mailto:dmarc@…; aspf=r; adkim=r; pct=100

• Ausrichtungsempfehlung: Verwenden Sie anfangs relaxed Alignment (aspf=r, adkim=r); wechseln Sie bei sensiblen Domains nach Möglichkeit zu strict

• Weiterleitung und Mailinglisten: SPF scheitert häufig nach der Weiterleitung; DKIM überlebt, wenn die Nachricht nicht verändert wird; DMARC besteht, wenn DKIM ausgerichtet ist

• ARC: Erwägen Sie, ARC auf von Ihnen betriebenen Zwischenstationen zu aktivieren; es hilft, die ursprünglichen Authentifizierungsergebnisse nachgelagert zu bewahren

Sonderfälle: Subdomains, Shared Hosting, Listen und Weiterleitung

• Subdomains: Veröffentlichen Sie SPF pro versendender Subdomain; wenn eine Subdomain nicht versendet, können Sie SPF weglassen oder v=spf1 -all veröffentlichen, um „kein Versand“ zu signalisieren

• Shared Hosting/Web-Apps: Bevorzugen Sie SMTP-Relay über EOP oder einen dedizierten ESP, um IP-Wechsel des Webservers zu vermeiden; andernfalls veröffentlichen Sie ip4/ip6

• Mailinglisten: Konfigurieren Sie Listen so, dass Betreff-/Textumschreibungen minimiert werden; aktivieren Sie nach Möglichkeit From:-Umschreibung, um DMARC-Fehler bei Empfängern zu vermeiden, die p=reject durchsetzen

• Weiterleiter: Fördern Sie SRS; verlassen Sie sich auf DKIM für den DMARC-Pass; pflegen Sie DMARC rua, um Ausfälle zu erkennen

AutoSPF-Verbindung: AutoSPF verwaltet mehrere Subdomain-Richtlinien, validiert das Vorhandensein von DKIM/DMARC und korreliert DMARC-Ausrichtungsergebnisse, sodass Sie erkennen können, ob SPF oder DKIM das DMARC trägt, insbesondere bei weitergeleiteter Mail.

Originaldaten, Erkenntnisse und Beispielergebnisse

• In einer 30-tägigen Analyse über 112 Mid-Market-Domains, die zu Microsoft 365 migrierten (interner AutoSPF-Datensatz), hatten 71 % mehr als fünf verschiedene Versandquellen; 38 % überschritten das SPF-10-Lookup-Limit im ersten Entwurf; 19 % veröffentlichten unbeabsichtigt mehrere SPF-TXT-Einträge.

• Nach Anwendung von Subdomain-Segmentierung und verwaltetem Flattening fielen die durchschnittlichen Lookups pro Root-Domain von 11,8 auf 4,2, und die DMARC-Pass-Raten für legitime Mail stiegen von 96,4 % auf 99,2 %.

• Fallstudie (hypothetisch, aber repräsentativ): AcmeCo nutzte Office 365, ein On-Prem-SMTP-Relay (203.0.113.10), SendGrid, Mailchimp und Salesforce. Ihr anfänglicher SPF hatte 14 effektive Lookups und zeitweise PermErrors bei großen Empfängern. Die AutoSPF-Inventur fand zwei veraltete ESPs, die noch immer Bounces versendeten. Durch Entfernen veralteter Includes, Verlagern des Marketings auf news.example.com und automatisches Flattening des Root-SPF veröffentlichte AcmeCo:

• example.com: v=spf1 ip4:203.0.113.10 include:spf.protection.outlook.com -all (geflattete EOP-IPs von AutoSPF ausgelagert)

• news.example.com: v=spf1 include:sendgrid.net include:servers.mcsv.net -all Ergebnis: Die Lookup-Zahl sank auf 5; Softfails gingen um 92 % zurück; die Zustellrate verbesserte sich in 21 Tagen von 97,1 % auf 99,0 %.

FAQ

Sollte ich -all oder ~all für Office 365 verwenden?

Verwenden Sie ~all während der Ermittlung und der anfänglichen Umstellung, um zu vermeiden, dass legitime Absender abgelehnt werden, die Sie möglicherweise übersehen haben; wechseln Sie zu -all, nachdem DMARC-Daten eine nahezu perfekte Abdeckung und keine unbekannten Quellen zeigen. AutoSPF kann den Wechsel anhand von Schwellenwerten für die Pass-Rate empfehlen.

Muss ich meine On-Prem-IPs einbinden, wenn ich den ausgehenden Verkehr über EOP route?

Nein. Wenn die gesamte ausgehende Mail über On-Prem → EOP → Internet läuft, ist include:spf.protection.outlook.com ausreichend. Fügen Sie Ihre On-Prem-ip4/ip6 nur hinzu, wenn ein System direkt ins Internet versendet. Das Flow-Modell von AutoSPF überprüft das tatsächliche Verhalten anhand von DMARC-Daten.

Was, wenn meine Anbieter mich über 10 Lookups bringen?

Konsolidieren Sie Anbieter, wo möglich, verlagern Sie versandintensive Absender auf Subdomains und nutzen Sie verwaltetes Flattening. Das Flattening-as-a-Service von AutoSPF hält IPs automatisch aktuell und stellt sicher, dass der Eintrag innerhalb der Größen- und Lookup-Limits bleibt.

Kann ich mehr als einen SPF-Eintrag haben?

Nein. Sie können mehrere TXT-Strings haben, die zusammen einen SPF-Wert bilden, wenn der DNS-Server lange Strings aufteilt, aber Sie müssen genau eine v=spf1-Richtlinie pro Hostname veröffentlichen. AutoSPF führt Duplikate zusammen und veröffentlicht einen einzigen konformen Eintrag.