Kurzfassung
- Für denselben Domainnamen darf nur eine SPF-Richtlinie veröffentlicht sein.
- Jeder legitime Versanddienst muss berücksichtigt werden; alte Freigaben sollten entfernt werden.
- Zu viele DNS-abhängige Prüfungen können einen dauerhaften SPF-Fehler auslösen.
- SPF allein schützt die sichtbare Absenderadresse nicht vollständig; DKIM und DMARC gehören dazu.
Was ein SPF-Eintrag tatsächlich festlegt
SPF ist eine öffentlich abrufbare DNS-Richtlinie. Empfangende Mailserver können damit prüfen, ob ein sendendes System für die verwendete Domain autorisiert ist. Das Ergebnis kann unter anderem bestanden, neutral, nicht bestanden oder fehlerhaft sein.
Wichtig ist die Grenze: SPF bezieht sich auf die technische SMTP-Identität. Ob diese Identität zur für Menschen sichtbaren Absenderdomain passt, bewertet DMARC. Eine bestandene SPF-Prüfung allein ist deshalb kein vollständiger Schutz vor Täuschung.
Die vier häufigsten SPF-Probleme
- Mehrere Richtlinien
- Zwei oder mehr SPF-Einträge für denselben Namen sind nicht zwei Schutzschichten. Die Auswertung endet mit einem dauerhaften Fehler.
- Vergessene Versanddienste
- Newsletter, Rechnungssoftware, Supportsysteme oder Website-Formulare versenden legitim, sind aber nicht in der Richtlinie berücksichtigt.
- Veraltete Freigaben
- Stillgelegte Anbieter bleiben autorisiert. Das vergrössert die Abhängigkeiten und erschwert die Kontrolle.
- Zu viele DNS-Abfragen
- Include-Ketten und weitergeleitete Richtlinien können das im Standard definierte Verarbeitungslimit überschreiten und dadurch PermError auslösen.
So prüfen Sie SPF ohne den Mailversand zu gefährden
- Versandquellen inventarisieren.Mailanbieter, Newsletter, Rechnungen, Support, Formulare und technische Benachrichtigungen erfassen.
- Öffentliche Richtlinie lesen.Prüfen, ob genau ein Eintrag mit v=spf1 beginnt und ob die Syntax vollständig ausgewertet werden kann.
- Abhängigkeiten verfolgen.Include- und Redirect-Ziele kontrollieren, weil deren Änderungen die eigene Richtlinie beeinflussen können.
- Freigaben abgleichen.Fehlende legitime Dienste ergänzen und nicht mehr benötigte Anbieter erst nach interner Bestätigung entfernen.
- Änderung überwachen.Nach der DNS-Änderung Zustellung, SPF-Ergebnisse und DMARC-Berichte beobachten, bevor die DMARC-Richtlinie verschärft wird.
Was MUITEM prüft – und was bewusst ausserhalb bleibt
MUITEM liest den öffentlich veröffentlichten SPF-Eintrag, verfolgt seine Include- und Redirect-Abhängigkeiten und weist auf mehrere Richtlinien, fehlende Ziele, Zyklen oder ein überschrittenes DNS-Limit hin. Das geschieht passiv und ohne Anmeldung bei Ihrem Mailanbieter.
MUITEM kennt dadurch nicht automatisch alle legitimen internen Versandprozesse und verändert keine DNS-Einträge. Der Bericht liefert den technischen Nachweis und einen priorisierten nächsten Schritt; die Freigabe einer Änderung bleibt bei Ihrem Unternehmen oder IT-Partner.
Kurze Antworten
- Darf eine Domain mehrere SPF-Einträge haben?
- Nein. Mehrere SPF-Richtlinien für denselben Namen führen bei der Auswertung zu einem dauerhaften Fehler. Benötigte Versanddienste gehören in eine gemeinsame Richtlinie.
- Reicht ein SPF-Eintrag gegen gefälschte Absender?
- Nein. SPF prüft eine technische SMTP-Identität. Für die sichtbare Absenderdomain sind zusätzlich DKIM und DMARC sowie ein kontrollierter Rollout wichtig.
- Kann MUITEM meinen SPF-Eintrag ändern?
- Nein. MUITEM liest öffentlich veröffentlichte DNS-Signale passiv aus und priorisiert Auffälligkeiten. Änderungen erfolgen bei Ihrem DNS- oder Mailanbieter.