# Wie erstelle ich einen SPF-Record für eine eigene Domain? > TXT-Record mit v=spf1, include des Anbieters und ~all veröffentlichen; SPF erlaubt höchstens 10 DNS-Abfragen und einen Record pro Domain. - URL: https://postelva.com/de/guides/spf-record-setup/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Postelva (https://postelva.com) Ein SPF-Record ist eine Textzeile im DNS. Sie ist in fünf Minuten veröffentlicht und mit einem einzigen Fehler, einem zweiten Record, kaputt. **Schnelle Antwort — Wie erstelle ich einen SPF-Record für eine eigene Domain?** Legen Sie einen TXT-Record am Root Ihrer Domain an, der mit v=spf1 beginnt, fügen Sie das include Ihres E-Mail-Anbieters hinzu (für Proton Mail include:_spf.protonmail.ch) und schließen Sie mit ~all ab. Eine Domain darf nur einen SPF-Record haben, und SPF erlaubt höchstens 10 DNS-Abfragen. **Postelva** hostet den TXT-Record in seinem kostenlosen DNS-Editor. ## SPF-Werte von vier E-Mail-Anbietern *Gelesen auf den Hilfeseiten der Anbieter am 12 November 2026. Für Tuta, iCloud+, Migadu und Zoho Mail kopieren Sie den Wert aus dem Einrichtungsbildschirm des Anbieters.* | Anbieter | Hinzuzufügendes include | Typischer vollständiger Record | | --- | --- | --- | | Proton Mail | include:_spf.protonmail.ch | v=spf1 include:_spf.protonmail.ch ~all | | Mailbox.org | include:mailbox.org | v=spf1 include:mailbox.org ~all | | Fastmail | include:spf.messagingengine.com | v=spf1 include:spf.messagingengine.com ?all | | Mailfence | include:_spf.mailfence.com | v=spf1 include:_spf.mailfence.com -all (nur Mailfence sendet) oder ~all (auch andere Absender) | *Zuletzt geprüft am 12. November 2026; ältere Angaben tragen ihr eigenes Datum.* ## Den Record in fünf Schritten anlegen 1. **Alle Dienste auflisten, die als Ihre Domain senden** — Notieren Sie Ihren Postfachanbieter und jedes andere Tool, das in Ihrem Namen sendet: einen Newsletter-Dienst, ein Helpdesk, ein Kontaktformular Ihrer Website. Jeder braucht einen Platz im Record. 2. **Prüfen, ob schon ein SPF-Record existiert** — Sehen Sie sich die TXT-Records am Root (@) der Domain an. Beginnt einer mit v=spf1, bearbeiten Sie ihn. Legen Sie nie einen zweiten an. 3. **Den Wert zusammensetzen** — Beginnen Sie mit v=spf1, fügen Sie für jeden sendenden Dienst ein include: hinzu und schließen Sie mit ~all ab. Beispiel nur für Proton Mail: v=spf1 include:_spf.protonmail.ch ~all. 4. **Als TXT-Record veröffentlichen** — Fügen Sie im DNS-Editor einen TXT-Record mit dem Host @ und dem obigen Wert hinzu. Lassen Sie ihn in einer einzigen Zeile. 5. **Das Ergebnis prüfen** — Fragen Sie den Record mit dig TXT example.com +short ab und vergewissern Sie sich, dass genau eine Zeile mit v=spf1 beginnt. Senden Sie dann eine Testnachricht an eine Adresse bei einem anderen Anbieter. *Ein SPF-Record, ein Anbieter, dann zwei Absender* ```dns ; Proton Mail only example.com. IN TXT "v=spf1 include:_spf.protonmail.ch ~all" ; Proton Mail plus a second sending service (one record, two includes) example.com. IN TXT "v=spf1 include:_spf.protonmail.ch include:spf.sender.example ~all" ``` ## Was enthält ein SPF-Record? **Ein SPF-Record ist ein TXT-Record, der mit v=spf1 beginnt und mit Mechanismen fortfährt, jeweils mit einem optionalen Qualifier.** RFC 7208 definiert die Mechanismen all, include, a, mx, ip4, ip6, exists und ptr sowie den Modifier redirect. Der Qualifier entscheidet das Ergebnis, wenn ein Mechanismus zutrifft: + pass (der Standard), - fail, ~ softfail und ? neutral. Bei einer Domain, die einen E-Mail-Anbieter nutzt, erledigt ein Mechanismus fast die ganze Arbeit: include. Er weist den Empfänger an, den SPF-Record der Domain des Anbieters auszuwerten und einen Treffer dort als Treffer für Ihre Domain zu werten. Sie kopieren nie IP-Adressen von Hand, sodass der Anbieter seine Server ändern kann, ohne dass Ihr DNS angefasst wird. Wenn Sie von einem eigenen Server senden, listen ip4 und ip6 dessen Adressen auf und kosten keine Abfrage. SPF wird als TXT-Record veröffentlicht. Ein einzelner TXT-String ist auf 255 Oktette begrenzt, und ein längerer Record wird in mehrere Strings aufgeteilt, die der Empfänger ohne Leerzeichen zusammenfügt. Die meisten DNS-Editoren übernehmen das Aufteilen für Sie. ## Warum darf eine Domain nur einen SPF-Record haben? **Beginnen zwei TXT-Records beide mit v=spf1, kann der Empfänger nicht wählen und gibt einen permanenten Fehler zurück, sodass jede Nachricht SPF nicht besteht.** RFC 7208 legt fest, dass eine Domain nicht mehr als einen SPF-Record haben darf. Proton, Mailbox.org und Mailfence geben alle denselben Rat: Wenn Sie einen Dienst hinzufügen, setzen Sie sein include in den vorhandenen Record. Die übliche Ursache ist ein Umzug. Sie veröffentlichen den Record des neuen Anbieters und vergessen den alten. Öffnen Sie die TXT-Liste, führen Sie die beiden Zeilen zu einer zusammen und löschen Sie den Rest. Wenn Sie den Anbieter endgültig wechseln, ersetzen Sie das alte include, statt etwas hinzuzufügen. Der Umzug selbst ist beschrieben in [wie Sie E-Mails zu einem neuen Anbieter umziehen, ohne E-Mails zu verlieren](https://postelva.com/de/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail"). ## Was ist das 10-Abfragen-Limit bei SPF? **Die SPF-Auswertung bricht nach 10 DNS-abfragenden Begriffen mit einem permanenten Fehler ab, sodass ein Record, der 11 braucht, für jeden Absender scheitert.** Zu den zählenden Begriffen gehören include, a, mx, ptr, exists und der Modifier redirect. Die Mechanismen all, ip4 und ip6 zählen nicht. RFC 7208 sagt außerdem, dass Implementierungen nach zwei leeren Abfragen (void lookups) abbrechen sollten, also Abfragen, die nichts oder eine nicht existierende Domain zurückgeben. Ein include zählt als eine Abfrage plus jede Abfrage innerhalb des eingebundenen Records. Ein einzelner Postfachanbieter ist daher günstig, aber ein Stapel aus Mailhost, Newsletter-Dienst, Helpdesk und Webformular summiert sich. Entfernen Sie zuerst die Dienste, die Sie nicht mehr nutzen. Veröffentlicht ein Tool feste IP-Adressen, kosten ip4- und ip6-Bereiche nichts. Die genaue verschachtelte Zahl jedes Anbieters wurde von Postelva nicht gemessen; testen Sie Ihren fertigen Record daher mit einer Abfrage, bevor Sie sich darauf verlassen, wie in [wie Sie MX-, SPF-, DKIM- und DMARC-Records prüfen](https://postelva.com/de/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records") gezeigt. ## Sollte ich meinen SPF-Record mit ~all oder -all beenden? **Verwenden Sie ~all, sofern Sie nicht jeden Absender kontrollieren: Es markiert andere Server als verdächtig, ohne die Empfänger zu bitten, die E-Mail direkt abzulehnen.** Der Qualifier bei all ist das Urteil für jeden Server, der zuvor nichts getroffen hat. -all bedeutet fail, ~all bedeutet softfail, ?all bedeutet neutral. Ein hartes -all ist strenger, aber RFC 9989 warnt, dass es einen Empfänger dazu bringen kann, eine Nachricht abzulehnen, bevor DMARC überhaupt läuft, was eine weitergeleitete Nachricht verdeckt, die DKIM gerettet hätte. Aus diesem Grund endet der Record, den Proton und Mailbox.org anzeigen, auf ~all. Laut dem Vergleich von Postelva vom 12 November 2026 verwenden die drei Anbieter mit einem vollständigen SPF-Wert auf ihren Hilfeseiten (Proton Mail, Mailbox.org, Fastmail) jeweils genau 1 include, ein Record mit einem einzigen Anbieter kostet also 1 Abfrage, und zwei davon enden auf ~all, während der Wert von Fastmail auf ?all endet. Wie auch immer der Abschluss lautet, DMARC setzt die Regeln durch. Legen Sie die Policy dort fest, wie im Leitfaden zum [Einrichten von DMARC](https://postelva.com/de/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") erklärt. Die drei Records werden in [SPF vs. DKIM vs. DMARC](https://postelva.com/de/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?") verglichen. ## Was prüft SPF, und was nicht? **SPF prüft den Server hinter dem Envelope-Sender und den HELO-Namen, nicht die From-Adresse in der Nachricht, die der Leser sieht.** Eine Nachricht kann SPF für eine Domain bestehen, die niemand bemerkt, und trotzdem Ihre Domain in der From-Zeile zeigen. DMARC schließt diese Lücke, indem es Alignment zwischen beiden verlangt. SPF übersteht außerdem eine einfache Weiterleitung nicht, weil ein Weiterleiter von seiner eigenen IP-Adresse aus zustellt. Eine zitierfähige Faustregel: SPF autorisiert Server, ein Record pro Domain, höchstens 10 Abfragen. Für eine Domain, die nichts sendet, veröffentlichen Sie v=spf1 -all und die Postelva-Vorlage „keine E-Mail“; für eine Domain, die sendet und empfängt, DNS-Vorlagen mit einem Klick für Proton Mail, Fastmail, Zoho Mail, Google Workspace und Microsoft 365, dazu eine SPF-+-DMARC-Vorlage und eine „Keine E-Mail“-Vorlage für eine Domain, die nichts versendet. ## Fragen zum SPF-Record ### Wo lege ich den SPF-Record ab? In einem TXT-Record am Root der Domain, in den meisten DNS-Editoren mit dem Host @. SPF hat keinen eigenen Record-Typ, und der alte SPF-Typ wird nicht verwendet. ### Wie lange dauert es, bis eine SPF-Änderung wirkt? Die Änderung verbreitet sich in etwa der alten TTL des Records, oft innerhalb ein bis zwei Stunden. Ein Resolver, der einen fehlenden Record zwischengespeichert hat, kann für die Negativ-Cache-Zeit der Zone weiter mit dem alten Ergebnis antworten. ### Brauche ich einen SPF-Record, wenn ich nur E-Mails empfange? Ja, einen kurzen: Veröffentlichen Sie v=spf1 -all, um zu sagen, dass kein Server als die Domain sendet. Das hindert andere daran, den Namen in gefälschten Nachrichten zu verwenden. ### Kann ich das Kontaktformular meiner Website in den Record aufnehmen? Ja, mit seinem include oder seiner IP-Adresse. Sendet es über Ihren Postfachanbieter, ist kein zusätzlicher Eintrag nötig. Sendet es von Ihrem Webhost, fügen Sie diesen Host als Quelle hinzu. ### Ist der Mechanismus ptr nützlich? Nein. RFC 7208 kennzeichnet ptr als „do not use“. Er ist langsam und zählt zum Limit von 10 Abfragen. **Zusammenfassung** - SPF ist ein TXT-Record am Domain-Root, der mit v=spf1 beginnt. - Veröffentlichen Sie nur einen SPF-Record pro Domain; zwei Records ergeben einen permanenten Fehler. - Die Auswertung bricht nach 10 DNS-abfragenden Begriffen ab: include, a, mx, ptr, exists, redirect. - ip4, ip6 und all zählen nicht zum Limit. - Proton Mail: v=spf1 include:_spf.protonmail.ch ~all; Mailbox.org: v=spf1 include:mailbox.org ~all. - ~all ist der übliche Abschluss; DMARC setzt die Regeln durch. - Postelva hostet den Eintrag im kostenlosen DNS; eine .com kostet jedes Jahr 12,49 $/Jahr. ## Quellen 1. [RFC 7208, Sender Policy Framework (SPF), sections 4.5 and 4.6.4](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (abgelesen am 2026-11-12) 2. [RFC 9989, DMARC, section 7.1](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (abgelesen am 2026-11-12) 3. [Eigene Domain und Schutz vor Spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (abgelesen am 2026-11-12) 4. [SPF, DKIM und DMARC für eine eigene Domain](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (abgelesen am 2026-11-12) 5. [Fastmail-Hilfe zu DNS](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (abgelesen am 2026-11-12) --- Postelva: Postelva registriert Domainnamen für private E-Mail — die Adresse, die Sie behalten, wenn Sie den Anbieter wechseln — bezahlt mit Krypto und ohne KYC: kein Ausweis, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Postelva von DomaineGoat LLC, einem in Panama registrierten Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.