SPF Generator: SPF-Eintrag erstellen

So trägst du den SPF-Eintrag ein

1. Alle Versandwege sammeln. Postfach, Newsletter-Dienst, Buchungs- oder Shopsystem, Rechnungsprogramm, Kontaktformular der Website. Was fehlt, fällt später mit -all durch. Wie man die Liste vollständig bekommt, steht in SPF-Eintrag erstellen.
2. DNS-Verwaltung öffnen – beim Hoster oder Registrar der Domain, unter „DNS“ oder „Zone bearbeiten“.
3. Vorhandenen SPF-Eintrag suchen. Gibt es schon einen TXT-Eintrag, der mit v=spf1 beginnt, wird dieser bearbeitet und kein zweiter angelegt. Andere TXT-Einträge, etwa Bestätigungen für Google oder Microsoft, bleiben stehen.
4. TXT-Eintrag auf die Domain selbst setzen. Als Name @ oder das Feld leer lassen, je nach Oberfläche – nicht www und nicht _spf. Den Wert einfügen, TTL auf der Vorgabe lassen.
5. Prüfen. Nach ein paar Minuten den E-Mail-Check laufen lassen. Er liest alle TXT-Einträge, meldet doppelte und zählt die DNS-Abfragen über alle eingebundenen Einträge hinweg.

Mit ~all starten, mit DMARC-Berichten prüfen, dann auf -all gehen. Solange DMARC auf p=none steht, zeigen die Berichte, ob ein vergessener Versandweg SPF nicht besteht – ohne dass deswegen eine Mail verloren geht. Den passenden Eintrag erzeugt der DMARC-Generator.

Warum der Generator DNS-Abfragen zählt

Ein Empfänger, der SPF prüft, darf dabei höchstens zehn DNS-Abfragen machen (RFC 7208, Abschnitt 4.6.4). Jedes include, a, mx, exists und redirect kostet eine – und zwar auch in den Einträgen, die per include eingebunden werden. Wer Microsoft 365, einen Newsletter-Dienst, ein Buchungssystem und ein Ticketsystem einbindet, liegt schnell darüber. Dann endet die Prüfung mit einem permanenten Fehler, und auch echte Mails bestehen SPF nicht mehr.

So geht ein Empfänger einen Eintrag durch, am Beispiel meiner eigenen Domain:

ip4 und ip6 kosten keine Abfrage. Für die Dienste in der Liste kennt der Generator die Tiefe ihrer Einträge (gemessen am 02.10.2026, am 08.10.2026 per DNS-over-HTTPS nachgezählt und unverändert: SendGrid kostet zwei Abfragen, die anderen sechs je eine). Für eigene include-Domains kann er im Browser nicht nachsehen und zählt sie als „mindestens eine“ – die genaue Zahl liefert der E-Mail-Check. Wie man einen bestehenden Eintrag von Hand nachzählt, steht in SPF-Eintrag erstellen und prüfen.

Mit Microsoft 365 und Brevo kommt der Generator auf zwei Abfragen:

Was SPF nicht leistet: Es prüft nur die unsichtbare Absenderadresse aus dem Umschlag der Mail, nicht die, die im Postfach angezeigt wird. Gegen gefälschte Absender hilft es erst zusammen mit DMARC.

Was in echten SPF-Einträgen steht

Am 27. und 29.09.2026 habe ich die SPF-Einträge von 149 Tiroler Domains abgefragt, Tourismusverbände und Betriebe, passiv über öffentliche DNS-Einträge. 135 hatten einen Eintrag, 14 keinen, und 2 hatten zwei nebeneinander, womit beide wirkungslos sind.

Jeder fünfte Eintrag hat vier oder mehr include, und jedes davon bringt die Abfragen der eingebundenen Domain mit. Dort wird die Grenze von zehn knapp, ohne dass es jemand merkt. Deshalb zählt der Generator mit, und der E-Mail-Check zählt bei bestehenden Einträgen live nach.