SPF (Sender Policy Framework)

Was ist SPF (Sender Policy Framework)?

SPF (Sender Policy Framework) ist ein Protokoll zur E-Mail-Authentifizierung, mit dem Mailserver überprüfen können, ob eine Nachricht von einer autorisierten Quelle gesendet wurde.

Dazu gleicht SPF die IP-Adresse des sendenden Mailservers mit einer Liste zugelassener Server ab, die im DNS-Eintrag des Absenders veröffentlicht ist. Steht die IP-Adresse nicht auf dieser Liste, kann die Nachricht als verdächtig markiert oder abgelehnt werden.

SPF ist eine der drei Kernkomponenten der modernen E-Mail-Authentifizierung, neben DKIM und DMARC.

Wie funktioniert SPF?

Jede Domain, die E-Mails versendet, kann einen SPF-Eintrag in ihrer DNS-Konfiguration veröffentlichen. Dieser Eintrag wird als TXT-Eintrag gespeichert und listet auf, welche Server oder IP-Adressen im Namen dieser Domain Nachrichten versenden dürfen.

Ein typischer SPF-Eintrag sieht so aus:

Wenn der Mailserver des Empfängers eine E-Mail erhält, führt er eine SPF-Prüfung durch:

1. Er extrahiert die Envelope-From-Domain aus dem Header der Nachricht.
2. Er ruft den SPF-Eintrag dieser Domain ab.
3. Er prüft, ob die IP-Adresse des Absenders mit einem autorisierten Eintrag übereinstimmt.
4. Auf Basis des Ergebnisses (pass, fail, softfail oder neutral) entscheidet der Mailserver, wie er die Nachricht behandelt.

SPF überprüft die Mail-Infrastruktur des Absenders, nicht den Inhalt der Nachricht selbst.

E-Mail-Authentifizierung mit SPF stärken

SPF bietet eine wichtige Verteidigungsebene gegen Spoofing und Phishing, entfaltet seine volle Wirkung aber erst in Kombination mit DKIM und DMARC.

Da SPF nur die sendende IP-Adresse validiert, können Angreifer die sichtbare Absenderadresse weiterhin fälschen. Hier setzt DMARC an: Es erzwingt das Alignment zwischen der per SPF authentifizierten Domain und der Domain, die Nutzer tatsächlich sehen.

Für einen zuverlässigen Betrieb sollten Organisationen:

• SPF-Einträge einfach halten und das DNS-Lookup-Limit (10) einhalten.
• Einträge regelmäßig aktualisieren, wenn neue Versanddienste hinzukommen.
• SPF-Leistung und -Ergebnisse über DMARC-Reporting-Tools überwachen.

SPF und DMARCeye

DMARCeye hilft Organisationen zu überwachen, wie die SPF-Authentifizierung über alle Versandquellen hinweg abschneidet.

Durch die Analyse aggregierter DMARC-Berichte zeigt DMARCeye, welche Server die SPF-Prüfung bestehen oder nicht bestehen und ob diese Ergebnisse zu Ihrer DMARC-Richtlinie passen.

Mit diesen Erkenntnissen erkennen Teams nicht autorisierte Absender, beheben Fehlkonfigurationen und erhalten eine starke Domain-Reputation, während sie sich schrittweise der vollständigen DMARC-Durchsetzung nähern.