SkyQon SkyQon
Demo anfragen
English Français Deutsch Nederlands
E-Mail-Authentifizierung · SPF

Zu viele DNS-Abfragen in SPF: warum Mail scheitert und wie Sie es beheben

Zuletzt geprüft am 11. November 2026 · Verfasst vom SkyQon-Engineering-Team

Die kurze Antwort

SPF erlaubt einem Empfänger höchstens 10 DNS-Abfragen, während er Ihren Eintrag prüft (RFC 7208, Abschnitt 4.6.4). Jeder include-, a-, mx-, ptr- und exists-Term zählt, ebenso redirect, auch die in den Einträgen Ihrer Anbieter. Bei 11 bricht die Prüfung mit einem PermError ab, SPF scheitert für jede Nachricht, und DMARC stützt sich dann allein auf DKIM.

Die Rechnung an einem Eintrag

Ein fiktives Unternehmen, example.com, versendet Mail über Microsoft 365 und einen Freshdesk-Helpdesk. Vor Jahren hat außerdem jemand SendGrid hinzugefügt. Der Eintrag hat fünf Terme und sieht harmlos aus:

v=spf1 mx include:spf.protection.outlook.com include:email.freshdesk.com include:sendgrid.net -all
TermWas der Empfänger abfragen mussAbfragen
mxDie Mailhosts der Domain.1
include:spf.protection.outlook.comMicrosoft 365. Sein Eintrag listet nur Adressen auf.1
include:email.freshdesk.comFreshdesk. Sein Eintrag bindet SendGrid (2) und vier regionale Freshdesk-Einträge (je 1) ein.7
include:sendgrid.netSendGrid. Sein Eintrag bindet einen weiteren eigenen Eintrag ein.2
-allAlles andere als Fail werten. Keine Abfrage.0
Summe, bei einem Limit von 1011: PermError

Zwei Änderungen bringen es auf 8. Die Adressen von SendGrid kommen bereits über den Eintrag von Freshdesk herein, daher kostet das separate include 2 Abfragen und fügt keine Adresse hinzu. Wenn Mail nur über Microsoft 365 hinausgeht, fügt auch der mx-Term nichts hinzu. 11 − 2 − 1 = 8, mit Platz für einen weiteren Anbieter.

Die Kosten der Anbieter wurden am 11. November 2026 gegen öffentliches DNS gemessen. Anbieter ändern ihre eigenen Einträge ohne Vorankündigung, deshalb liest die Prüfung sie live statt aus einer Liste.

Was ausfällt und wer es bemerkt

  • Der Empfänger stoppt bei der elften Abfrage. Das Ergebnis ist PermError, ein permanenter Fehler. Er liest den Rest Ihres Eintrags nicht, daher werden selbst Ihre Microsoft-365-Server nicht mehr erkannt. RFC 7208 §4.6.4
  • Die meisten Empfänger behandeln PermError wie ein Scheitern. Was sie damit tun, entscheiden sie selbst: Spam-Ordner, Ablehnung oder eine niedrigere Reputationsbewertung. Keiner von ihnen sagt es Ihnen. RFC 7208 §8.7
  • DMARC verliert seine SPF-Hälfte. DMARC besteht, wenn SPF oder DKIM besteht und zu Ihrer From-Domain passt. Ist SPF kaputt, scheitert jede Nachricht an DMARC, die nicht per DKIM für Ihre Domain signiert ist, und unter p=quarantine oder p=reject wird sie gefiltert oder abgelehnt. RFC 7489 §3.1
  • Es kann kaputtgehen, obwohl Sie nichts ändern. Die Abfragen im Eintrag eines Anbieters ändert der Anbieter. Ein Eintrag, der heute bei 9 liegt, erreicht 11 an dem Tag, an dem ein Anbieter eine Region hinzufügt.
  • Sie erfahren es als Letzte. Kein Empfänger schickt Ihnen eine E-Mail zu einem PermError. Ihre DMARC-Aggregatberichte zeigen ihn einen Tag später, wenn jemand sie liest.

Zählen Sie Ihren eigenen Eintrag

Die kostenlose SPF-Prüfung zeichnet Ihren include-Baum mit den Kosten jedes Zweigs, sodass Sie sehen, welcher Anbieter Ihre Abfragen aufbraucht.

Kostenlos, ohne Konto. Wir lesen nur öffentliches DNS und das, was Ihre Server jedem zeigen, der sich verbindet.

Schritt für Schritt beheben

  1. Auflisten, was wirklich Mail im Namen Ihrer Domain versendet

    Lesen Sie Ihre DMARC-Aggregatberichte oder fragen Sie jedes Team: Helpdesk, CRM, Rechnungsstellung, Newsletter. Ein include für einen Dienst, den niemand mehr nutzt, ist eine Abfrage, die Sie kostenlos zurückbekommen.

  2. Jeden Zweig zählen, nicht nur Ihre eigenen Terme

    Führen Sie die SPF-Prüfung aus. Sie folgt jedem include bis zum letzten Eintrag und zeigt, was jedes kostet. Beginnen Sie mit dem teuersten Zweig.

  3. Duplikate und tote Einträge entfernen

    Streichen Sie includes für Dienste, die Sie verlassen haben, includes, die der Eintrag eines anderen Anbieters bereits enthält, und mx- oder a-Terme für Hosts, die nie Mail versenden. Entfernen Sie ptr in jedem Fall: RFC 7208 stuft ihn als SHOULD NOT ein (§5.5).

  4. Massenmail auf eine Subdomain verlagern

    Versenden Sie Newsletter mit einem Return-Path auf einer Subdomain wie news.example.com, mit eigenem SPF-Eintrag. Dieser Name hat ein eigenes Budget von 10 Abfragen und passt unter der standardmäßigen Relaxed-Ausrichtung von DMARC trotzdem zu Mail von example.com.

  5. Ihre eigenen festen Server per Adresse auflisten

    Ein Server, den Sie selbst betreiben und der eine feste Adresse hat, kann als ip4: oder ip6: aufgeführt werden. Diese Terme kosten nichts. Kopieren Sie die Adressen eines Anbieters nicht auf diese Weise: Anbieter ändern sie, ohne es Ihnen zu sagen.

  6. Erneut prüfen und dann weiter beobachten

    Prüfen Sie noch einmal, nachdem sich die DNS-Änderung verbreitet hat. Lassen Sie SkyQon dann die Domain beobachten: Es alarmiert Sie bei 9 oder 10 Abfragen, bevor die Änderung eines Anbieters Sie über das Limit schiebt.

Häufige Fehler

Nur die sichtbaren includes zählen

Fünf Terme sehen sicher aus. Das Limit gilt für den ganzen Baum, und das eine include von Freshdesk kostet heute allein 7.

Im Ergebnis von SkyQon: Jedes include zeigt seine eigene Zwischensumme, und der teuerste Zweig ist markiert.

Glauben, ein wiederholtes include sei kostenlos

Binden zwei Anbieter denselben Eintrag ein, fragt der Empfänger ihn zweimal ab, und beide zählen. RFC 7208 kennt keine Deduplizierung.

Im Ergebnis von SkyQon: Ein wiederholtes include erscheint in jedem Zweig, der es nutzt, jedes Mal mit seinen Kosten.

Adressen von Anbietern in Ihren Eintrag kopieren

Das senkt die Zahl heute. Fügt der Anbieter einen Server hinzu, weiß Ihre Kopie davon nichts, und seine Mail scheitert an Ihrem SPF, ohne irgendwo einen Fehler zu zeigen. Ein gehosteter SPF-Dienst, der Ihren Eintrag umschreibt, hat dieselbe Schwäche in umgekehrter Richtung: Sein include steht in Ihrem Eintrag, und wenn dieser Dienst endet, endet auch Ihre Mail-Authentifizierung.

Im Ergebnis von SkyQon: ip4- und ip6-Terme kosten im Baum 0. Die Prüfung kann nicht erkennen, ob ein kopierter Bereich noch zum Anbieter gehört, deshalb raten wir vom Kopieren ab.

Für einen neuen Anbieter einen zweiten SPF-Eintrag hinzufügen

Zwei TXT-Einträge, die mit v=spf1 beginnen, sind für sich allein ein PermError, unabhängig von der Zahl (RFC 7208 §3.2). Fügen Sie das neue include dem einen Eintrag hinzu, den Sie haben.

Im Ergebnis von SkyQon: Ein Befund zu mehreren Einträgen, mit beiden Einträgen angezeigt.

Was SkyQon tut und was nicht

Was es findet

Ihren SPF-Eintrag und jeden Eintrag, den er einbindet, mit den Abfragen, die jeder Zweig kostet. Außerdem: mehr als ein SPF-Eintrag, ein im Eintrag verbliebener Vorlagen-Platzhalter wie <ip>, mehr als zwei leere Abfragen und ein all, das jedem das Versenden erlaubt.

Was Sie bekommen

Die Zahl im Vergleich zum Limit von 10, den Zweig, den Sie zuerst kürzen sollten, Ihren Eintrag in einem Feld zum Kopieren und bei einer überwachten Domain einen Alarm bei 9 oder 10 Abfragen und einen weiteren über 10.

Was es nicht ist

Wir hosten Ihren SPF-Eintrag nicht und schreiben ihn nicht um. Ihr SPF bleibt Ihres: kein SkyQon-include darin und nichts, das aufhört zu funktionieren, wenn Sie uns verlassen.

SPF-Abfragen: häufige Fragen

Welche SPF-Terme zählen zum Limit von 10 Abfragen?
include, a, mx, ptr und exists sowie der Modifikator redirect. ip4, ip6, all und exp kosten nichts. Der Qualifier und ein CIDR-Suffix ändern nichts: ~include, +a und a/24 kosten jeweils 1.
Zählen die Abfragen innerhalb eines include?
Ja. Der Empfänger folgt jedem include nach unten, und jeder Abfrage-Term in jedem Eintrag, den er erreicht, zählt zum selben Budget von 10. So kann ein einziges include 7 kosten.
Gilt das Limit pro Eintrag oder pro Nachricht?
Pro SPF-Prüfung: eine Auswertung Ihres Eintrags für eine Nachricht, mit allem, was er nachlädt. Eine Subdomain mit eigenem Eintrag beginnt wieder bei 0.
Was ist eine leere Abfrage (Void Lookup)?
Eine Abfrage, die keine Antwort liefert oder eine Antwort, dass der Name nicht existiert. RFC 7208 sagt, dass Empfänger höchstens zwei pro Prüfung zulassen sollten; mehr ist ein PermError. Ein include, das auf einen gelöschten Eintrag eines Anbieters zeigt, ist die übliche Ursache.
Kostet der mx-Term mehr als eine Abfrage?
Er kostet 1 beim Limit von 10. Die Adressabfragen für die Mailhosts, die er liefert, zählen nicht zu den 10, aber es dürfen nicht mehr als 10 davon sein, sonst liefert der mx-Term selbst PermError.
Erbt eine Subdomain meinen SPF-Eintrag?
Nein. SPF wird gegen die exakte Domain im Envelope-Absender oder gegen den HELO-Namen des Servers geprüft. Eine Subdomain, die Mail versendet, braucht einen eigenen Eintrag. Eine, die nie Mail versendet, sollte v=spf1 -all veröffentlichen, damit niemand sonst sie nutzen kann.
Warum flacht SkyQon meinen SPF-Eintrag nicht ab?
Flattening ersetzt includes durch die aktuellen Adressen des Anbieters. Die Zahl sinkt, bis der Anbieter eine Adresse ändert, und dann scheitert Mail ohne Vorwarnung. Gehostetes oder dynamisches SPF vermeidet das, indem es das include des Hosting-Unternehmens in Ihren Eintrag setzt, sodass Ihre Mail-Authentifizierung von diesem Unternehmen abhängt. Wir zählen, erklären und alarmieren stattdessen, und der Eintrag bleibt Ihrer.
Wie oft zählt SkyQon neu?
Bei einer überwachten Domain zählt jeder Scan den ganzen Baum neu. Der Free-Plan beobachtet bis zu 5 Domains und alarmiert Sie bei 9 oder 10 Abfragen und erneut über 10. Die Prüfung auf dieser Seite ist eine einmalige Zählung, die Sie jederzeit ausführen können.
Meine Zahl weicht von einem anderen Tool ab. Welche stimmt?
Tools unterscheiden sich an zwei Stellen: ob ein wiederholtes include jedes Mal gezählt wird (RFC 7208 zählt jede Auswertung, und wir auch) und was passiert, wenn ein Zweig nicht gelesen werden kann. Antwortet ein DNS-Server nicht, markieren wir die Zahl als unvollständig, statt zu raten.
Behebt die SPF-Korrektur auch DMARC?
Nur die SPF-Hälfte. DMARC besteht, wenn SPF oder DKIM besteht und zu Ihrer From-Domain passt. DKIM-Signaturen mit Ihrer eigenen Domain sorgen dafür, dass Mail DMARC auch an einem Tag besteht, an dem SPF scheitert, also richten Sie beides ein.

Quellen

Verwandte Seiten

Erfahren Sie es bei 9, nicht nach 11.

Fügen Sie Ihre Domain dem Free-Plan hinzu. SkyQon zählt Ihren SPF-Baum bei jedem Scan neu und alarmiert Sie, bevor die Änderung eines Anbieters Sie über das Limit schiebt.

Meine Domain kostenlos beobachten SPF-Prüfung öffnen