SPF-Softfail (~all)

Was ist ein SPF-Softfail?

Ein SPF-Softfail ist ein Ergebnis der Sender-Policy-Framework-Authentifizierung (SPF). Es zeigt an, dass eine E-Mail von einem Server gesendet wurde, der im SPF-Eintrag der Domain nicht ausdrücklich autorisiert ist, den der Domaininhaber aber nicht vollständig blockieren möchte.

Mit anderen Worten: Die Nachricht ist wahrscheinlich nicht autorisiert, wird aber nicht direkt zurückgewiesen. Empfangende Server markieren solche Nachrichten üblicherweise als verdächtig oder leiten sie in den Spam-Ordner um, statt sie vollständig abzulehnen.

So funktioniert ein SPF-Softfail

Ein SPF-Softfail tritt auf, wenn der SPF-Eintrag der Domain mit dem Mechanismus ~all endet. Dieser teilt empfangenden Mailservern mit:

„Wenn die Nachricht zu keinem meiner autorisierten Absender passt, soll sie angenommen, aber als verdächtig markiert werden.“

Zum Beispiel:

Wird eine E-Mail von einer nicht gelisteten IP-Adresse gesendet, prüft der Server den SPF-Eintrag, erkennt die ~all-Direktive und markiert das Ergebnis als Softfail.

Dieses Ergebnis deutet auf eine mögliche Fehlkonfiguration oder einen nicht autorisierten Absender hin, erlaubt aber weiterhin die Zustellung legitimer, aber falsch gerouteter E-Mails.

Welche Rolle spielen Softfails in der E-Mail-Sicherheit?

Der SPF-Softfail wird oft in der Überwachungs- oder Übergangsphase der SPF-Einrichtung verwendet. Er hilft Administratoren, nicht autorisierte Absender zu beobachten, bevor sie zu einem strikteren Durchsetzungsmodus wechseln (mit -all, das einen Hardfail auslöst).

Bleibt eine Domain jedoch dauerhaft im Softfail-Modus, entsteht ein Risiko. Angreifer können ihn ausnutzen, um gespoofte Nachrichten zu senden, die nur als „teilweise nicht autorisiert“ erscheinen.

Um den Schutz zu stärken, sollten Organisationen die SPF-Ergebnisse überwachen, alle legitimen Versandquellen validieren und schließlich von ~all auf -all umstellen.

SPF-Softfail und DMARCeye

DMARCeye macht es einfach, SPF-Softfail-Ergebnisse über alle Ihre Versandquellen hinweg zu identifizieren und einzuordnen.

Durch die Analyse aggregierter DMARC-Berichte zeigt DMARCeye, welche Server Softfail-Ergebnisse ausgelöst haben. So unterscheiden Sie zwischen falsch konfigurierten legitimen Absendern und echten Spoofing-Versuchen.

Diese Sichtbarkeit ermöglicht es Ihnen, Ihre SPF-Richtlinie sicher anzupassen, sich auf vollständiges Alignment zuzubewegen und sowohl die E-Mail-Sicherheit als auch die Zustellbarkeit zu verbessern.