SPF-Fehler 101: Wie man das 10-Lookup-Limit überwindet

TL;DR

Das Problem: SPF hat ein festes Limit von 10 DNS-Lookups. Wird dieses Limit überschritten, scheitern legitime E-Mails an der Authentifizierung.

Warum das passiert: Jeder E-Mail-Dienst (Google, Microsoft, Salesforce usw.) fügt eigene Lookups hinzu. Moderne Unternehmen erreichen das Limit schnell.

Gescheiterte Lösungen:

• Flattening (manuelle IP-Listen) – funktioniert nicht mehr, wenn Anbieter IPs wechseln
• Mehrere SPF-Records – verstößt gegen Standards
• Ignorieren – führt zu Zustellungsproblemen

Die echte Lösung: Dynamic SPF überwacht IP-Änderungen der Anbieter automatisch und hält Sie unter 10 Lookups – ohne manuellen Aufwand.

Fazit: Klassische SPF-Umgehungen scheitern. Dynamic SPF löst das Lookup-Limit dauerhaft.

SPF wirkt täuschend einfach – bis es schwierig wird. Das Protokoll beschränkt DNS-Evaluierungen pro Prüfung auf 10 Lookups. Wird dieses Limit erreicht (oft durch verschachtelte include:-Ketten aus mehreren SaaS-Plattformen), beenden Empfänger die Auswertung und geben einen permanenten SPF-Fehler zurück. Danach folgen sporadische Fehler, die DMARC-Ausrichtung bricht und die Zustellbarkeit leidet.

Überprüfen Sie jetzt Ihre DNS mit dem kostenlosen SPF-Checker von Red Sift.kostenlosen SPF-Checker von Red Sift.

Moderne IT-Umgebungen wachsen organisch: Marketingautomatisierung, Produktbenachrichtigungen, Support-Desks, Abrechnung, dazu regionale Relays. Jeder Dienst fügt SPF-Includes hinzu. Nach ein paar Übernahmen haben Sie das Limit unbemerkt überschritten. Ergebnis: E-Mails, die „manchmal“ ohne erkennbaren Grund fehlschlagen – ein Albtraum bei der Fehlersuche.

Nicht jeder Mechanismus im SPF-Record kostet ein Lookup – das ist der Grund, warum viele vom Limit überrascht werden. Das zählt:

• Zählt für die 10: include, a, mx, ptr, exists und der redirect-Modifikator
• Zählt nicht: ip4, ip6 und all, da diese direkt aus dem Record gelesen werden, ohne DNS-Abfrage

Besonders bei mx und ptr ist Vorsicht geboten. Sie können mehr als einen Lookup verursachen, da der Empfänger jeden zurückgegebenen Eintrag auflöst – nicht nur den ersten. Um Luft zu schaffen, wird oft eine lange Include-Kette gegen veröffentlichte ip4-Bereiche getauscht – was aber auch das ist, was beim Wechsel der Anbieter-IPs Probleme bereitet. Dieses Risiko nimmt Dynamic SPF ab.

1. Tiefe reduzieren. Tief verschachtelte Includes von Drittanbietern durch veröffentlichte Netzbereiche oder dedizierte Sub-Includes ersetzen, soweit vom Anbieter unterstützt.
2. Für die Ausrichtung DKIM bevorzugen. DKIM-Ausrichtung erfüllt DMARC, selbst wenn SPF wegen Weiterleitungen scheitert.
3. Sender konsolidieren. Nicht mehr genutzte Dienste abschalten; wenig genutzte Systeme über einen einzigen Relay bündeln.
4. Richtlinienänderungen stufenweise einführen. DMARC zunächst mit p=none veröffentlichen, Alignment beheben, überwachen und dann auf „quarantine“ und „reject“ verschärfen.

Bonusschritt: Das 10-Lookup-Limit mit Red Sift OnDMARC überwinden. Unser Dynamic SPF bietet dauerhafte Abhilfe durch Konsolidierung der Records und verzichtet auf Macros.

Hinweis: Nicht jeder Absender benötigt einen SPF include. Vergewissern Sie sich, dass der Return-Path in Ihrer Root-Domain liegt, bevor Sie den Mechanismus hinzufügen. SPF prüft den Return-Path. Nutzt der Absender eine Subdomain oder eine andere Domain, ist die Aufnahme des Mechanismus in Ihrer Root-Domain überflüssig.

• DMARC-Berichte zeigen, welche IPs/Dienste scheitern, damit Sie sicher aufräumen können.
• Live-Checks durchführen vor/nach DNS-Änderungen, um böse Überraschungen durch verzögerte Propagation zu vermeiden.

Red Sift OnDMARC enthält Dynamic SPF-Technologie, die die 10-DNS-Lookup-Einschränkung eliminiert, ohne E-Mail-Zustellbarkeit oder Sicherheit zu gefährden.[1]

Statt traditioneller SPF-Records, die auf Domains Dritter verweisen (wodurch Lookups verbraucht werden), pflegt Dynamic SPF einen einzelnen, „flachen“ Record, den Red Sift automatisch in Echtzeit aktualisiert. Die Plattform überwacht kontinuierlich alle autorisierten E-Mail-Dienste auf IP-Änderungen und passt den SPF-Record sofort an, wenn Anbieter ihre Infrastruktur wechseln.

1. Automatisches Monitoring: Red Sift überwacht in Echtzeit die IP-Adressen all Ihrer E-Mail-Sende-Dienste (Google Workspace, Microsoft 365, Salesforce, HubSpot usw.).
2. Intelligentes Flattening: Die Plattform wandelt Domain-bezogene SPF-Includes in IP-Adressen um. So werden Lookups drastisch reduziert, ohne die Abdeckung zu verlieren.
3. Proaktive Aktualisierungen: Wenn ein Anbieter Sende-IPs ändert, erkennt Red Sift das sofort und aktualisiert Ihren SPF-Record meist innerhalb weniger Minuten automatisch.
4. Kein manueller Aufwand: Im Gegensatz zu traditionellem SPF-Flattening, das ständige Überwachung und manuelle Anpassungen erfordert, läuft Dynamic SPF automatisch im Hintergrund.

Organisationen können beliebig viele E-Mail-Dienste einbinden, ohne sich um das 10-Lookup-Limit sorgen zu müssen. Dynamic SPF hält einen optimierten SPF-Record, der unter dem Limit bleibt und legitime E-Mails zuverlässig authentifiziert. Kein Abwägen mehr zwischen E-Mail-Anbietern oder dem Risiko eines SPF-Fehlers, wenn das Unternehmen wächst und neue Tools dazukommen.

Dieser automatisierte Ansatz nimmt IT- und Security-Teams die Last, Vendor-IP-Änderungen manuell überwachen oder komplexe SPF-Konfigurationen pflegen zu müssen.

• Nutzen Sie Red Sift Investigate für schnelle SPF/DMARC-Validierung über alle Domains hinweg.
• Steigen Sie auf OnDMARC um, um Absender automatisch zu entdecken und SPF-Records kompakt zu halten, wenn Teams neue Tools ergänzen. Das zahlt sich aus: stabiles Alignment, weniger False Positives und zuverlässige Postfachzustellung.