Wählen Sie die Dienste, die für Ihre Domain E-Mails versenden, und erhalten Sie einen gültigen SPF-Eintrag mit der echten Zahl an DNS-Abfragen. Laden Sie den heute veröffentlichten Eintrag, führen Sie ihn mit dem neuen zusammen und prüfen Sie ihn gegen Live-DNS. Kostenlos, ohne Anmeldung.
Ein SPF-Eintrag ist ein TXT-Eintrag im DNS einer Domain, der festlegt, welche Mailserver für diese Domain E-Mails versenden dürfen. Empfangende Server vergleichen den sendenden Server mit dieser Liste und behandeln E-Mails von allen anderen als verdächtig oder lehnen sie ab. SPF ist in RFC 7208 definiert und beginnt immer mit v=spf1.
Der Generator auf dieser Seite baut den Eintrag aus den Diensten, die Sie tatsächlich nutzen, zählt die DNS-Abfragen, die er auslöst, und warnt, bevor er die Grenze von zehn überschreitet. Das ist der häufigste Grund, warum ein SPF-Eintrag, der korrekt aussieht, überhaupt nicht wirkt.
1. Sagen Sie dem Generator, wer Ihre E-Mails versendet. Kreuzen Sie Ihren Postfachanbieter an, Ihr Newsletter-Tool und jeden anderen Dienst, der mit Ihrer Domain in der Absenderadresse versendet: den Shop, den Helpdesk, das CRM, die Rechnungssoftware. Versendet Ihr eigener Server E-Mails, kreuzen Sie mx an oder tragen seine Adresse unter IPv4 ein.
2. Veröffentlichen Sie einen TXT-Eintrag. Kopieren Sie den Wert als TXT-Eintrag auf der Domain selbst in Ihr DNS. Gibt es schon einen Eintrag, der mit v=spf1 beginnt, ersetzen Sie ihn. Legen Sie keinen zweiten an: Zwei SPF-Einträge sind ein Fehler, und Empfänger ignorieren SPF dann vollständig.
3. Prüfen Sie ihn. „Mit Live-DNS prüfen“ löst jedes include des neuen Eintrags auf und zählt die Abfragen so, wie ein Empfänger es tut. Nach dem Veröffentlichen liest der Email Security Check SPF zusammen mit DKIM und DMARC und zeigt, ob die drei zusammenpassen.
Sie haben schon einen Eintrag? Geben Sie oben Ihre Domain ein und klicken Sie auf „Veröffentlichten Eintrag laden“. Der Generator liest, was Sie heute veröffentlichen, kreuzt die Dienste an, die er erkennt, und behält alles andere. So erweitern Sie den Eintrag, statt von vorn zu beginnen und einen Absender zu verlieren, an den sich niemand mehr erinnert hat.
Jede DNS-Oberfläche fragt dieselben drei Dinge ab: Typ, Name und Wert. Nur das Namensfeld unterscheidet sich, weil die Oberflächen „die Domain selbst“ unterschiedlich schreiben.
| Was Ihre Oberfläche zeigt | Was Sie als Name eintragen | Zum Beispiel bei |
|---|---|---|
| Ein Feld „Name“ oder „Host“ | @ |
Cloudflare, IONOS, GoDaddy, Namecheap |
| Ein Namensfeld, hinter dem die Domain schon steht | leer lassen | Plesk, AWS Route 53, viele Hosting-Oberflächen |
| Ein Feld, das den vollständigen Namen verlangt | example.com. mit Punkt am Ende |
Editoren im BIND-Stil, einige Registrare |
| Eine Zonendatei | example.com. 3600 IN TXT "v=spf1 ..." |
Ihr eigener Nameserver |
Der Typ ist immer TXT. Den alten Typ SPF (Typ 99) hat die IETF 2014 abgeschafft, Empfänger ignorieren ihn; bietet Ihre Oberfläche ihn noch an, nutzen Sie ihn nicht. Die TTL kann auf dem Standardwert bleiben. Tragen Sie den Wert ohne Anführungszeichen ein, außer die Oberfläche verlangt sie. Teilt sie einen langen Wert in mehrere Zeichenketten in Anführungszeichen auf, ist das in Ordnung: Empfänger setzen sie ohne Leerzeichen wieder zusammen.
Ein Empfänger darf beim Auswerten eines SPF-Eintrags höchstens zehn DNS-Abfragen ausführen (RFC 7208, Abschnitt 4.6.4). Er zählt jedes include, jedes a, mx, ptr und exists sowie den Modifikator redirect, und zwar über den ganzen Baum: Ein include, das drei weitere includes enthält, kostet vier. Bei der elften Abfrage hört der Empfänger auf und meldet permerror. Die meisten Empfänger behandeln das genau wie einen fehlenden SPF-Eintrag.
Das Tückische: Nichts sieht falsch aus. Der Eintrag ist kurz, die Syntax gültig, jeder Dienst steht drin. Er bricht, sobald ein Anbieter seinem eigenen Eintrag ein weiteres include hinzufügt, und das sehen Sie nie. Deshalb zeigt der Generator neben jedem Dienst die Kosten, und deshalb zählt „Mit Live-DNS prüfen“ den ganzen Baum in dem Moment neu, in dem Sie klicken.
include:, a, mx, ptr, exists: und redirect=, jedes Vorkommen, auch in jedem eingebundenen Eintrag. Eine zweite, eigene Grenze gilt für leere Abfragen (void lookups), also Namen, die gar keinen Eintrag liefern. Mehr als zwei davon sind ebenfalls ein permerror.
ip4:, ip6: und all. Tragen Sie Ihren eigenen Server als Adresse statt als a oder mx ein, sparen Sie je eine Abfrage. Dafür müssen Sie den Eintrag anpassen, wenn sich die Adresse ändert.
Gemessen am 19. Oktober 2026 gegen öffentliches DNS, gezählt so, wie ein Empfänger zählt. Ein Anbieter kann seinen Eintrag jeden Tag ändern. Nehmen Sie die Zahlen als Momentaufnahme; das letzte Wort hat die Live-Prüfung.
| Dienst | include | Abfragen |
|---|---|---|
| Microsoft 365 | spf.protection.outlook.com |
1 |
| Google Workspace | _spf.google.com |
1 |
| IONOS | _spf-eu.ionos.com |
1 |
| Brevo | spf.brevo.com |
1 |
| SendGrid | sendgrid.net |
2 |
| Proton Mail | _spf.protonmail.ch |
2 |
| GoDaddy | secureserver.net |
3 |
| Namecheap Private Email | spf.privateemail.com |
4 |
| Mailgun | mailgun.org |
5 |
| Zoho Mail | zoho.com |
5 |
| Freshdesk | email.freshdesk.com |
7 |
Freshdesk allein verbraucht sieben von zehn. Zusammen mit Zoho Mail und einem weiteren Dienst ist der Eintrag über der Grenze, bevor ein einziger eigener Server drinsteht. Der Generator kennt 34 Dienste mit ihren gemessenen Kosten; für eine Domain, die er nicht kennt, zählt die Live-Prüfung die echte Zahl.
Wir haben am 19. Oktober 2026 die SPF-Einträge der 1.000 bestplatzierten .de-Domains der Tranco-Liste (Liste 467YX) gelesen, mit denselben Zählregeln, die der Generator verwendet.
| Befund | Domains |
|---|---|
| Gar kein SPF-Eintrag | 112 |
Endet auf -all |
507 |
Endet auf ~all |
320 |
Endet auf ?all, schützt also nichts |
22 |
Nur ein redirect= auf einen anderen Eintrag |
33 |
| Mehr als 10 Abfragen, SPF scheitert überall | 17 |
| 8 bis 10 Abfragen, eine Änderung vom Scheitern entfernt | 144 |
| Länger als 255 Zeichen | 79 |
Siebzehn große deutsche Domains veröffentlichen einen SPF-Eintrag, den kein Empfänger auswerten kann, und fast jeder sechste Eintrag liegt bei acht bis zehn Abfragen. Keiner davon wäre ohne Warnung durch den Generator gekommen. Methode und Rohdaten sind dokumentiert; gezählt wurde genau nach RFC 7208, wie oben beschrieben.
Der letzte Teil sagt Empfängern, was mit einem Server geschehen soll, der nicht in der Liste steht.
~all (softfail) markiert solche E-Mails als verdächtig, bittet den Empfänger aber, sie nicht sofort abzulehnen. Das ist die richtige Wahl, solange Sie noch jeden Dienst suchen, der für Sie versendet: Ein vergessener Absender landet dann im Spam, statt zu verschwinden.
-all (fail) sagt: Wer nicht in der Liste steht, sind nicht wir. Wechseln Sie dazu, sobald die DMARC-Sammelberichte einiger Wochen keine legitime Quelle mehr zeigen, die an SPF scheitert. Mit DMARC wird der Unterschied kleiner, weil DMARC nach seiner eigenen Richtlinie entscheidet; ohne DMARC ist -all die klarere Aussage.
?all (neutral) und +all machen den Eintrag wertlos. +all erlaubt sogar jedem Server im Internet, als Ihre Domain zu versenden. Der Generator bietet es gar nicht erst an.
ip4-Bereich mit /33 oder eine IPv6-Adresse im IPv4-Feld wird aus dem Eintrag weggelassen und gemeldet, statt ihn zu zerbrechen.SPF prüft den Envelope-Absender, die Adresse, die Server untereinander für Rückläufer nutzen. Es prüft nicht die Absenderzeile (From), die ein Leser im Mailprogramm sieht. Eine gefälschte Nachricht kann SPF für die eigene Domain des Angreifers bestehen und trotzdem Ihren Namen im Absender zeigen.
Diese Lücke schließt DMARC: Es verlangt, dass die Domain im Absender zu einer Domain passt, die SPF oder DKIM bestanden hat, und sagt Empfängern, was sonst geschehen soll. SPF bricht außerdem bei Weiterleitungen, weil der weiterleitende Server nicht auf Ihrer Liste steht; eine DKIM-Signatur übersteht die Weiterleitung. Richtig geschützt ist eine Domain erst mit allen dreien: SPF, DKIM und DMARC.
Nein. Eine Domain darf genau einen TXT-Eintrag veröffentlichen, der mit v=spf1 beginnt. Bei zwei oder mehr melden Empfänger permerror und ignorieren SPF für die Domain vollständig. Verlangen mehrere Dienste, dass Sie „ihren SPF-Eintrag“ anlegen, fassen Sie deren include-Angaben in einem Eintrag zusammen. Genau das macht der Generator.
Beginnen Sie mit ~all, solange Sie noch alle Dienste sammeln, die für Sie versenden. Ein vergessener Absender landet dann im Spam, statt abgelehnt zu werden. Wechseln Sie zu -all, sobald die DMARC-Berichte zeigen, dass alle legitimen E-Mails bestehen. Steht DMARC auf quarantine oder reject, zählt die Richtlinie dort mehr als der Qualifier hier.
Der Empfänger stoppt bei der elften Abfrage und meldet permerror. Die meisten Empfänger behandeln die Domain dann so, als gäbe es keinen SPF-Eintrag, und DMARC kann nur noch über DKIM bestehen. Entfernen Sie Dienste, die Sie nicht mehr nutzen, oder ersetzen Sie ein include durch die ip4- und ip6-Bereiche, für die es steht. Deren Änderungen müssen Sie dann allerdings selbst nachziehen.
Nein. Der Eintrag entsteht in Ihrem Browser. Nur die beiden Schaltflächen, die DNS brauchen, fragen unseren Server: „Veröffentlichten Eintrag laden“ liest den öffentlichen TXT-Eintrag der Domain, und „Mit Live-DNS prüfen“ löst die includes Ihres Eintrags auf. Keine von beiden speichert den Eintrag. Die Nutzung wird je Tool gezählt, ohne Ihre Adresse.
Warten Sie, bis die Änderung bei den Resolvern angekommen ist, meist Minuten, je nach TTL des alten Eintrags manchmal einige Stunden. Laden Sie den Eintrag dann hier erneut oder starten Sie den Email Security Check, der SPF zusammen mit DKIM und DMARC prüft. Der DNS Checker zeigt, ob Resolver weltweit den neuen Wert schon sehen.
Nur wenn diese Server E-Mails versenden. mx erlaubt die Server aus Ihrem MX-Eintrag, die E-Mails empfangen und oft gar keine senden; a erlaubt den Webserver, was wichtig ist, wenn ein Kontaktformular oder ein Shop direkt von dort versendet. Jedes kostet eine Abfrage, lassen Sie also weg, was Sie nicht brauchen.
Nein. SPF prüft nur den Envelope-Absender, nicht die Absenderadresse, die ein Leser sieht. Ohne DMARC kann ein Angreifer Ihre Domain weiterhin in die Absenderzeile schreiben. SPF ist der erste von drei Einträgen; DKIM signiert die Nachricht, und DMARC entscheidet, was geschieht, wenn keins von beiden zu Ihrer Domain passt.
Der Eintrag wird im Browser aus den Diensten, Adressen und dem Qualifier zusammengesetzt, die Sie wählen. Die Abfragekosten der 34 Vorgaben wurden am 19. Oktober 2026 gemessen, indem jedes include rekursiv gegen öffentliches DNS aufgelöst wurde. Für jedes andere include zählt der Generator eine Abfrage und markiert die Summe als Mindestwert, bis Sie die Live-Prüfung starten.
„Veröffentlichten Eintrag laden“ fragt die TXT-Einträge der Domain über unseren Resolver ab und lässt denselben Validator laufen wie der Email Security Check, einschließlich der rekursiven Zählung. „Mit Live-DNS prüfen“ löst jedes include Ihres neuen Eintrags auf, parallel und mit Schleifenschutz, und meldet die Kosten jedes einzelnen. Das ist die Zahl, die ein Empfänger heute sieht. Beide Anfragen zählen gegen das Tageslimit der kostenlosen Tools.
Was das Tool nicht wissen kann: welche Dienste wirklich für Ihre Domain versenden. Ein Dienst, der mit Ihrer Adresse versendet und im Eintrag fehlt, fällt bei SPF durch, und kein Prüfprogramm kann das allein aus DNS erkennen. Die DMARC-Sammelberichte können es. Deshalb gehört DMARC direkt nach SPF eingerichtet.