Defaults.Exposed › Berichte

SPF +all: Die Domains, die das gesamte Internet in ihrem Namen senden lassen (2026)

Veröffentlicht 2026-07-03

Zahlen mit Stand 2026-06-29 · Methodik v7. Aggregierte Erhebung über 261 Millionen bewertete Domains. Alle Zahlen sind aggregiert — niemals der Eintrag eines einzelnen Unternehmens. Siehe wie wir bewerten.

36.014 Domains beenden ihren SPF-Eintrag mit +all — eine veröffentlichte, maschinenlesbare Erklärung, dass jeder Server im Internet berechtigt ist, in ihrem Namen E-Mails zu versenden. Es ist die seltenste SPF-Fehlkonfiguration (0,03% der Veröffentlicher) und die selbstzerstörerischste: Ein fehlender Eintrag überlässt Empfänger ihren eigenen Heuristiken, doch +all teilt ihnen ausdrücklich mit, dass der Fälscher legitim sei.

Was bedeutet +all in einem SPF-Eintrag?

Der abschließende all-Mechanismus trägt einen Qualifier — das Urteil über Absender, die nicht auf Ihrer Liste stehen. -all weist sie ab, ~all zweifelt an ihnen — und +all genehmigt sie. Ein Empfänger, der eine gefälschte Nachricht gegen einen +all-Eintrag prüft, liefert einen sauberen SPF-Pass zurück. Das ist der Schaden in einem Satz: Ihr Schutz bürgt für den Fälscher. Und weil ein SPF-Pass den SPF-Zweig von DMARC erfüllen kann, kann der Pass einer Fälschung ausgerechnet durch das System hindurchhelfen, das sie stoppen sollte.

Die Landkarte: wo sich die Willkommensmatten häufen

+all ist überall, aber dünn gesät — doch die Rate variiert je nach Endung deutlich. Zählungen aus der Erhebung; Rate = +all-Einträge pro 10.000 SPF-Veröffentlicher dieser TLD:

Der Benelux-französische Cluster sticht heraus: Ein SPF-Veröffentlicher unter .be trägt mit etwa 9-mal höherer Wahrscheinlichkeit ein +all als einer unter .com (22,5 gegenüber 2,4 pro 10.000). Ein derart konzentriertes Muster bedeutet selten Tausende voneinander unabhängiger Fehler — die plausibelste Erklärung ist eine gemeinsame Quelle: ein regionales Hosting-Panel, eine Registrar-Vorlage oder ein Anleitungsartikel, die +all auslieferten und über Jahre kopiert wurden. Derselbe Fingerabdruck taucht eine Stufe tiefer auf der Schweregrad-Leiter auf: 22,6% der SPF-Einträge unter .za enden mit dem neutralen ?all, ein nationaler Ausreißer, der in dieselbe Richtung weist.

Wie landet man überhaupt bei +all?

Drei Wege, alle harmlos:

• Die Debugging-Sitzung, die nie endete. +all lässt jedes SPF-Problem verschwinden — Mails fließen, Fehler hören auf. Jemand setzte es, um einen Launch freizumachen, und der Eintrag überlebte den Vorfall.
• Falsch gelesene Syntax. + sieht so aus, als würde es „meine Liste erlauben“ bedeuten, wenn man die Qualifier-Tabelle nie gesehen hat. Die Absicht war -all; das Zeichen kehrte sie um.
• Die geerbte Vorlage. Wie die Landkarte nahelegt, kommen manche Einträge bereits vorkonfiguriert kaputt aus einem Panel oder Leitfaden.

Die Ein-Zeichen-Lösung

Ändern Sie +all zu -all — oder ~all mit erzwingendem DMARC dahinter. Ein Zeichen in einem TXT-Eintrag, kostenlos, und es wird wirksam, sobald das DNS aktualisiert ist — üblicherweise innerhalb einer Stunde. Es gibt keine schnellere Sicherheitsverbesserung, die für eine Domain verfügbar wäre.

Häufig gestellte Fragen

Was bedeutet +all in einem SPF-Eintrag? Es berechtigt jeden Server im Internet, in Ihrem Namen E-Mails zu versenden — das Gegenteil des Zwecks von SPF. 36.014 Domains veröffentlichen es mit Stand 2026-06-29.

Ist +all schlimmer, als gar keinen SPF-Eintrag zu haben? In der einen Hinsicht, die zählt, ja: Kein Eintrag lässt Empfänger raten, während +all eine Fälschung in einen sauberen SPF-Pass verwandeln kann — einen Pass, der ihr sogar durch DMARC hindurchhelfen kann. Manche Filter behandeln +all selbst zudem als Spam-Signal, sodass es auch Ihrer legitimen Mail schaden kann.

Wie prüfe ich meine Domain auf +all? Lesen Sie Ihre TXT-Einträge (dig TXT ihredomain.com) oder führen Sie den kostenlosen Check durch — ein permissiver Qualifier wird sofort markiert.

Warum sollte eine Vorlage überhaupt +all als Standard setzen? Am plausibelsten, weil sie keine Support-Tickets erzeugt — jede Zustellung „funktioniert“, auch die betrügerischen. Die regionale Häufung in unseren Daten passt zu Vorlagen-Standardwerten und nicht zu Tausenden individueller Entscheidungen, auch wenn die Erhebung die Einträge sieht, nicht ihre Urheber.

Prüfen Sie Ihre Endung

Die meisten Inhaber mit ausgelegter Willkommensmatte haben keine Ahnung, dass sie da ist. Die eigene Fußmatte zu lesen dauert eine halbe Minute, und sie umzuschreiben kostet ein Zeichen.

Prüfen Sie Ihre Domain → · SPF beheben → · ~all gegen -all → · Die Ruhmeshalle der Fehlkonfigurationen → · Nur aggregierte Daten. Daten werden in der EU gespeichert und verarbeitet.