SPF-Eintrag für Microsoft 365 richtig setzen

Vorher prüfen

Bevor du etwas änderst, schau nach, was schon da ist. Gib deine Domain im SPF-Check ein. Du siehst sofort, ob es einen SPF-Eintrag gibt, ob Microsoft 365 darin steht und wie viele Abfragen er verbraucht.

Noch genauer ist der Mail-Test: Schick aus Outlook eine Mail an deine Testadresse. Der Prüfpunkt Absender bestätigt zeigt dir, ob SPF für genau diese Mail passt. Was SPF überhaupt macht, erklärt dir die Seite Was ist ein SPF-Eintrag?.

Schritt für Schritt

1. Den richtigen Ort finden. Microsoft 365 verschickt deine Mails, aber deine Domain liegt meistens woanders: bei IONOS, STRATO, ALL-INKL oder einem anderen Hoster. Genau dort, in den DNS-Einstellungen deiner Domain, setzt du den SPF-Eintrag. Laut Microsoft gibt es in Microsoft 365 selbst keine Einstellung dafür.

Eine Ausnahme gibt es beim Hinzufügen der Domain: Unterstützt dein Anbieter Domain Connect, kann Microsoft 365 die nötigen DNS-Einträge dort automatisch anlegen lassen. Microsoft nennt dafür unter anderem IONOS, Cloudflare und Plesk. Prüf danach trotzdem, ob es nur einen SPF-Eintrag gibt.

Je nach Hoster findest du die passenden Klicks hier:

• SPF-Eintrag bei IONOS setzen
• SPF-Eintrag bei STRATO setzen
• SPF-Eintrag bei ALL-INKL setzen
• SPF, DKIM und DMARC bei Hetzner

2. Vorhandenen Eintrag suchen. Öffne die DNS-Einstellungen und such nach einem TXT-Eintrag, der mit v=spf1 beginnt. Viele Hoster legen so einen Eintrag automatisch an. Den änderst du, statt einen zweiten anzulegen.

3. Microsoft 365 eintragen. Laufen alle Mails nur über Microsoft 365, sieht der Eintrag so aus:

v=spf1 include:spf.protection.outlook.com -all

Als Host oder Name trägst du je nach Oberfläche @ ein oder lässt das Feld leer. Beides meint die Domain selbst, also deine-domain.de.

4. Speichern und warten. DNS-Änderungen brauchen etwas Zeit, bis sie überall ankommen. Microsoft empfiehlt für SPF-Einträge eine TTL von mindestens 3600 Sekunden (eine Stunde).

Sonderfall: weitere Versender

Fast jede Firma verschickt nicht nur über Outlook. Die Website schickt Formular-Mails, ein Newsletter-Tool verschickt Kampagnen, die Buchhaltung Rechnungen. Jeder dieser Versender muss im selben SPF-Eintrag stehen.

So sieht ein Eintrag mit eigenem Server und Microsoft 365 aus (Beispiel-IP):

v=spf1 ip4:203.0.113.10 include:spf.protection.outlook.com ~all

Die Angabe für dein Newsletter-Tool findest du in dessen Hilfe, meist als include:…. Sie kommt vor das ~all.

Warum hier ~all statt -all? Microsoft empfiehlt -all, Google dagegen ~all, ebenso der Branchenverband M3AAWG. Unsere Linie: Verschickt nur Microsoft 365 und laufen DKIM und DMARC, nimm -all. Sobald weitere Dienste dazukommen, startest du mit ~all. Fehlt ein Versender, landet dessen Mail dann eher im Spam statt abgelehnt zu werden. Die eigentliche Schutzwirkung übernimmt DMARC. Auf -all wechselst du, wenn die DMARC-Berichte zeigen, dass alle Versender bestehen.

Ein typischer Fall aus der Praxis: Die Website liegt bei IONOS, die Postfächer bei Microsoft 365, das Kontaktformular verschickt über den IONOS-Server. Dann müssen sowohl Microsoft als auch IONOS im Eintrag stehen. Fehlt IONOS, landen die Formular-Anfragen im Spam, obwohl Outlook-Mails sauber ankommen. Welche Angabe dein Hoster braucht, steht in dessen Anleitung, etwa SPF bei IONOS.

Microsoft empfiehlt außerdem, Massen-Mails über eine eigene Subdomain zu schicken, zum Beispiel news.deine-domain.de. Die Subdomain braucht dann einen eigenen SPF-Eintrag. Vorteil: Probleme mit dem Newsletter schaden nicht dem Ruf deiner normalen Geschäftsmails.

Danach testen

Prüf den neuen Eintrag direkt im SPF-Check. Danach schickst du eine echte Mail über den Mail-Test. Steht Absender bestätigt auf Grün, passt SPF.

SPF ist nur ein Teil. Damit deine Mails zuverlässig ankommen, brauchst du auch die digitale Unterschrift und eine Schutzregel:

• DKIM in Microsoft 365 einrichten
• DMARC für Microsoft 365 einrichten

Alle Anbieter im Überblick findest du unter Anleitungen pro Anbieter.

Typische Fehler und Lösungen

Problem	Ursache	Lösung
SPF meldet „permerror“	Zwei TXT-Einträge mit v=spf1	Alles in einen Eintrag zusammenführen, den zweiten löschen
SPF meldet „permerror“ trotz einem Eintrag	Mehr als 10 DNS-Abfragen	Versender auf eine Subdomain auslagern oder unnötige Einträge entfernen
Formular-Mails landen im Spam	Webserver fehlt im SPF	IP oder include des Webservers ergänzen
Eintrag wird nicht erkannt	Tippfehler	Kein Punkt am Ende, Doppelpunkt statt Gleichheitszeichen, kein Leerzeichen nach include:

Zur 10er-Grenze: Jedes include, a, mx, exists und redirect zählt als Abfrage, auch verschachtelte. Reine ip4- und ip6-Angaben zählen nicht. Microsoft rät davon ab, den eigenen Eintrag durch feste IP-Adressen zu ersetzen, weil sich die Microsoft-Server häufig ändern.