Einen SPF-Eintrag beim DNS-Anbieter hinzufügen

Einen SPF-Eintrag legen Sie als TXT-Eintrag auf Ihrem Domainnamen an, und zwar in der DNS-Verwaltung des Anbieters, bei dem die Nameserver Ihrer Domain liegen. Eine Domain darf nur einen einzigen SPF-Eintrag haben: Gibt es bereits einen, setzen Sie den include-Verweis von 2Mail in diesen bestehenden Eintrag, vor das abschließende ~all oder -all. Den genauen Wert finden Sie im Dashboard von 2Mail bei Ihrer Versanddomain; unten lesen Sie, wo Sie ihn bei den gängigen DNS-Anbietern eintragen.

Was Sie vorher bereitlegen

• Den SPF-Verweis von 2Mail. Öffnen Sie im Dashboard Ihre Versanddomain. Bei der Authentifizierung sehen Sie einen kurzen include-Verweis auf 2Mail. Kopieren Sie ihn wörtlich.
• Zugang zur richtigen DNS-Verwaltung. Es zählt nicht der Anbieter, bei dem Sie die Domain gekauft haben, sondern der, auf den die Nameserver zeigen. Liegen sie bei Cloudflare, bleibt eine Änderung im Panel Ihres Registrars völlig wirkungslos.
• Den aktuellen Eintrag. Geben Sie Ihre Domain in den kostenlosen SPF-, DKIM- und DMARC-Checker ein: Sie sehen sofort, ob es schon einen SPF-Eintrag gibt und was darin steht.

Den Eintrag in fünf Schritten hinzufügen

1. Öffnen Sie die DNS-Verwaltung und suchen Sie nach einem TXT-Eintrag auf Ihrer Domain, der mit v=spf1 beginnt.
2. Gibt es noch keinen: Legen Sie einen neuen Eintrag vom Typ TXT an. Als Name gilt die Domain selbst; in den meisten Panels ist das ein At-Zeichen (@) oder ein leeres Feld. Der Wert beginnt mit v=spf1, darauf folgt der include-Verweis aus Ihrem 2Mail-Dashboard, und er endet auf ~all.
3. Gibt es schon einen: Bearbeiten Sie diesen Eintrag und fügen Sie den include-Verweis von 2Mail hinzu, mit einem Leerzeichen davor und danach, vor dem abschließenden all. Am Rest ändern Sie nichts.
4. Speichern Sie und lassen Sie die TTL unverändert.
5. Gehen Sie zurück zu Ihrer Versanddomain im Dashboard und lassen Sie 2Mail den Eintrag prüfen.

Ein Eintrag: so führen Sie zusammen

Empfangende Server akzeptieren genau einen SPF-Eintrag pro Domain. Finden sie zwei, schlägt die Prüfung für alle Absender fehl, auch für den Dienst, der seit Jahren problemlos lief. Jeder Dienst, der in Ihrem Namen versendet, bekommt also seinen Platz im selben Eintrag. Nutzen Sie zum Beispiel Microsoft 365 für Ihre Büropost, steht dort jetzt vermutlich v=spf1 include:spf.protection.outlook.com -all. Nach der Anpassung lautet der Eintrag: v=spf1, dann include:spf.protection.outlook.com, dann der include-Verweis aus Ihrem 2Mail-Dashboard und zuletzt -all. Die Reihenfolge der include-Verweise spielt keine Rolle; der all-Bestandteil muss aber ganz am Ende stehen.

Wo Sie den Eintrag hinzufügen, je DNS-Anbieter

Panels werden regelmäßig umgestaltet, die Schaltflächen können bei Ihnen also etwas anders heißen. Der Weg dorthin bleibt derselbe.

• Cloudflare — wählen Sie Ihre Domain, öffnen Sie den Bereich DNS und dort die Einträge. Fügen Sie einen Eintrag mit dem Typ TXT, dem Namen @ und dem Wert im Inhaltsfeld hinzu. Den Proxy-Schalter (die orange Wolke) gibt es für TXT-Einträge nicht; damit müssen Sie nichts tun.
• Combell — öffnen Sie im Kontrollpanel Ihren Domainnamen und gehen Sie zur DNS-Verwaltung; TXT-Einträge haben dort eine eigene Rubrik. Für die Domain selbst lassen Sie das Namensfeld leer oder tragen @ ein, so wie das Panel es vorgibt.
• one.com — gehen Sie im Kontrollpanel zu den DNS-Einstellungen und dort zu den DNS-Einträgen. Legen Sie einen Eintrag vom Typ TXT an. Das Panel zeigt Ihre Domain bereits hinter dem Namensfeld an: Für die Domain selbst bleibt dieses Feld in der Regel leer.
• TransIP — öffnen Sie im Kontrollpanel Ihre Domain und scrollen Sie zum DNS-Abschnitt. Fügen Sie eine Zeile mit dem Namen @, dem Typ TXT und dem Wert hinzu. Klicken Sie danach unten auf Speichern: Ohne diesen Klick geht die Zeile verloren.
• OVHcloud — öffnen Sie im Manager Ihren Domainnamen und wählen Sie den Reiter mit der DNS-Zone. Fügen Sie einen Eintrag vom Typ TXT hinzu und lassen Sie das Feld für die Subdomain leer. In derselben Liste steht auch eine Eingabehilfe für SPF; mit TXT fügen Sie den Wert einfach so ein, wie er ist. Rechnen Sie bei OVHcloud mit einigen Stunden bis zu einem Tag, bis die Änderung überall sichtbar ist.
• GoDaddy — öffnen Sie in Ihrer Produktübersicht die Domain und wählen Sie die DNS-Verwaltung. Fügen Sie einen neuen Eintrag mit dem Typ TXT, dem Namen @ und dem Wert hinzu.
• Microsoft 365 — betrifft Sie nur, wenn das DNS Ihrer Domain bei Microsoft selbst liegt, etwa weil Sie die Domain über Microsoft gekauft haben. Im Admin Center finden Sie unter den Einstellungen die Domänen; wählen Sie Ihre Domain, öffnen Sie die DNS-Einträge und fügen Sie einen benutzerdefinierten Eintrag hinzu. Liegt Ihr DNS woanders, zeigt dieser Bildschirm nur, welche Einträge Microsoft erwartet, und Sie passen sie bei Ihrem eigentlichen DNS-Anbieter an. In beiden Fällen gibt es bereits einen SPF-Eintrag für Microsoft: also zusammenführen.

Die Grenze von zehn DNS-Abfragen

Ein empfangender Server darf beim Auswerten Ihres SPF-Eintrags höchstens zehn DNS-Abfragen ausführen. Jedes include zählt mit, ebenso die Bestandteile a, mx, exists und redirect, und auch die Abfragen, die in einem include-Verweis verschachtelt sind. Die Bestandteile ip4, ip6 und all kosten nichts. Überschreiten Sie die zehn, schlägt der gesamte Eintrag fehl, auch für die Absender, die weiter vorne stehen. Streichen Sie deshalb die Verweise auf Dienste, die Sie nicht mehr nutzen: das alte Newsletter-Tool, den früheren Hoster, das CRM von vor drei Jahren. Der Checker zählt die Abfragen für Sie.

~all oder -all?

Der letzte Bestandteil sagt, was ein Empfänger von Servern halten soll, die nicht im Eintrag stehen. Mit ~all (Softfail) gelten sie als verdächtig, mit -all (Fail) als ausdrücklich nicht zugelassen. Steht in Ihrem Eintrag bereits ein Abschluss, lassen Sie ihn stehen. Fangen Sie bei null an, wählen Sie ~all, bis Sie sicher wissen, dass jeder Dienst, der in Ihrem Namen versendet, im Eintrag steht; danach können Sie auf -all wechseln. Verwenden Sie niemals +all, denn das erklärt jeden Server der Welt für zulässig, und vermeiden Sie ?all, denn daraus zieht kein Empfänger irgendeinen Schluss.

Prüfen und abwarten

Die Prüfung im Dashboard ist die Referenz: Sobald sie grün ist, geht Post über unser Relay mit einem positiven SPF-Ergebnis raus. Ein neuer Eintrag ist in der Regel innerhalb einer Stunde sichtbar. Ein geänderter Eintrag liefert so lange die alte Antwort, wie die vorherige TTL es vorgab. Ihr eigener Rechner und Ihr Internetanbieter merken sich diese alte Antwort ebenfalls; testen Sie also nicht zehnmal hintereinander vom eigenen Gerät aus, sondern nutzen Sie den Checker oder die Prüfung im Dashboard.

Häufige Fehler

• Ein zweiter Eintrag — der häufigste Fehler. Führen Sie beide zu einem Eintrag zusammen und löschen Sie den anderen.
• Anführungszeichen — manche Panels setzen selbst Anführungszeichen um den Wert, andere erwarten, dass Sie sie weglassen. Folgen Sie dem Panel und tippen Sie keine dazu. Kopieren Sie den Wert aus einer E-Mail oder einem Word-Dokument, prüfen Sie, ob keine typografischen Anführungszeichen mitgekommen sind: Damit ist der Eintrag ungültig.
• Das Namensfeld — tragen Sie beim Namen Ihre vollständige Domain ein, obwohl das Panel sie selbst ergänzt, landet der Eintrag auf ihredomain.de.ihredomain.de und niemand findet ihn.
• Die falsche Domain — SPF gehört auf die Domain Ihrer Absenderadresse, nicht auf die Domain Ihrer Website, wenn diese sich unterscheiden.
• Der Eintragstyp SPF — manche Panels bieten noch einen eigenen Typ SPF an. Dieser Typ ist abgeschafft; Empfänger sehen nur auf TXT.
• Das falsche Panel — der Eintrag steht bei Ihrem Registrar, aber die Nameserver zeigen auf einen anderen Anbieter.

SPF allein genügt nicht. Schalten Sie danach auch DKIM ein mit einen DKIM-Schlüssel aktivieren und erstellen Sie eine DMARC-Richtlinie mit dem DMARC-Record-Generator. Wie die drei Einträge zusammenspielen, lesen Sie auf SPF, DKIM und DMARC.

Häufige Fragen

Darf ich zwei SPF-Einträge haben, wenn jeder für einen anderen Dienst gedacht ist?

Nein. Egal wie viele Dienste in Ihrem Namen versenden, sie gehören alle in einen Eintrag. Zwei Einträge ergeben einen dauerhaften Fehler, und Empfänger ignorieren dann beide.

Braucht eine Subdomain einen eigenen SPF-Eintrag?

Ja. SPF wird nicht von der Hauptdomain geerbt. Versenden Sie von einer Subdomain, etwa einer eigenen Domain für Newsletter, bekommt diese Subdomain einen eigenen TXT-Eintrag mit einem eigenen v=spf1-Wert.

Mein Eintrag wird zu lang. Was nun?

Eine einzelne Zeichenkette in einem TXT-Eintrag darf höchstens 255 Zeichen umfassen. Die meisten Panels teilen einen längeren Wert selbst in Stücke innerhalb desselben Eintrags auf, und das ist zulässig. Wird Ihr Eintrag so lang, sind Sie vermutlich auch nahe an der Grenze von zehn Abfragen: Aufräumen hilft dann mehr als Aufteilen.

Warum schlägt SPF bei weitergeleiteter Post fehl?

Leitet ein Empfänger Ihre Nachricht automatisch an eine andere Adresse weiter, geht sie dort von einem Server aus, der nicht in Ihrem Eintrag steht. Das ist normal und lässt sich mit SPF nicht lösen. Die DKIM-Signatur bleibt beim Weiterleiten dagegen gültig, und genau deshalb richten Sie beides ein.

Klappt es nicht?

Schicken Sie uns über Kontakt Ihren Domainnamen und einen Screenshot des Eintrags, so wie er in Ihrem Panel steht. Wir sagen Ihnen, was sich ändern muss.