Kann eine Domain zwei SPF-Records haben? Nein – eine Million Domains hat gerade den eigenen ausgehebelt (2026)

Q: Sind mehrere SPF-Records erlaubt?

Nein. RFC 7208 erlaubt genau einen v=spf1-Record pro Domain; zwei oder mehr verursachen einen dauerhaften Fehler, der SPF vollständig aushebelt. 1.013.416 Domains befinden sich mit Stand 2026-06-29 in diesem Zustand.

Q: Wie kombiniere ich zwei SPF-Records zu einem?

Ein Record, beginnend mit v=spf1, der jeden include:- und IP-Mechanismus aus allen enthält und mit einem einzigen -all oder ~all endet. Löschen Sie die überzähligen und überprüfen Sie dann Ihren Lookup-Zähler, ob er die Zusammenführung überstanden hat.

Veröffentlicht 2026-07-03

Zahlen mit Stand 2026-06-29 · Methodik v7. Aggregierter Zensus über 261 Millionen benotete Domains. Alle Zahlen sind aggregiert – niemals der Record eines einzelnen Unternehmens. Siehe wie wir benoten.

Nein – eine Domain darf genau einen SPF-Record veröffentlichen, und wer das falsch macht, schaltet SPF komplett ab: 1.013.416 Domains veröffentlichen derzeit zwei oder mehr, was gemäß RFC 7208 alle SPF-Records einer Domain ungültig macht. Nicht der neueste, nicht der älteste – jeder einzelne. Ein Empfänger, der mehrere v=spf1-Records findet, muss einen dauerhaften Fehler zurückgeben, was bedeutet: gar kein SPF-Schutz – bei einer Domain, die aus Sicht ihres Inhabers doppelt geschützt aussieht.

Warum ergeben zwei SPF-Records null?

Der Standard ist unmissverständlich: Die SPF-Policy einer Domain muss ein einzelner TXT-Record sein, der mit v=spf1 beginnt (RFC 7208 §3.2; das Fehlerergebnis ist in §4.5 vorgeschrieben). Findet eine Abfrage mehr als einen, kann der Empfänger nicht wissen, welcher maßgeblich ist – deshalb verbietet der Standard das Raten. Standardkonforme Empfänger müssen PermError zurückgeben: Die Auswertung schlägt dauerhaft fehl.

Und ein PermError ist nicht neutral. DMARC behandelt ihn als Fehlschlag auf dem SPF-Zweig – eine Domain, die ihren Record dupliziert hat, hat also ihren Schutz ausgehebelt und zugleich die Authentifizierung ihrer eigenen legitimen Mails beeinträchtigt. Es ist einer der ganz wenigen DNS-Fehler, bei denen das Hinzufügen von Schutz ihn entfernt (zwei DMARC-Records zu veröffentlichen richtet bei DMARC dasselbe an).

Rund 1 von 138 Domains, die SPF versuchen, hat sich das selbst angetan.

Wie kommt es dazu? Das Copy-Paste beim Onboarding

Fast niemand schreibt absichtlich einen zweiten SPF-Record. Es passiert an dem Tag, an dem Sie ein E-Mail-Tool hinzufügen:

Ihre Domain hat von Ihrem Mailbox-Anbieter bereits v=spf1 include:spf.protection.outlook.com -all.
Sie melden sich bei einer Newsletter-Plattform, einem CRM oder einem Rechnungstool an.
Dessen Einrichtungsanleitung sagt: „Fügen Sie diesen TXT-Record zu Ihrem DNS hinzu: v=spf1 include:newtool.example.com ~all.”
Sie tun genau das, was dort steht – Sie fügen ihn hinzu, neben den alten.

Nun existieren zwei Records, und beide sind ungültig. Die Anleitung sagte „hinzufügen”, und Hinzufügen ist genau das eine, was der Standard nicht erlaubt; der richtige Schritt – das neue include: in den bestehenden Record zusammenzuführen – wird von fast keinem Onboarding-Ablauf erwähnt.

Der Fehler ist im DNS-Panel unsichtbar: Beide Records sehen einzeln betrachtet wohlgeformt aus, und Mail kommt meist trotzdem an, weil Empfänger auf andere Signale zurückgreifen. Nichts warnt Sie, bis eine Spoofing-Mail durchkommt oder die Zustellbarkeit nachlässt.

So prüfen und beheben Sie es – zwei Minuten, kostenlos

Schlagen Sie die TXT-Records Ihrer Domain nach (dig TXT yourdomain.com, oder nutzen Sie unsere kostenlose Prüfung).
Zählen Sie die Records, die mit v=spf1 beginnen. Die einzige sichere Zahl ist 1.
Wenn Sie mehr haben: führen Sie sie zusammen – jeden include:- und ip4:/ip6:-Mechanismus in einen einzigen Record mit einem abschließenden Qualifier (siehe ~all vs. -all) – und löschen Sie den Rest.

Vorher:  v=spf1 include:spf.protection.outlook.com -all
         v=spf1 include:servers.mcsv.net ~all

Nachher: v=spf1 include:spf.protection.outlook.com include:servers.mcsv.net -all

Behalten Sie beim Zusammenführen das 10-Lookup-Limit im Auge – zu viele include:-Mechanismen brechen SPF auf andere Weise.

Häufig gestellte Fragen

Sind mehrere SPF-Records erlaubt? Nein. RFC 7208 erlaubt genau einen v=spf1-Record pro Domain; zwei oder mehr verursachen einen dauerhaften Fehler, der SPF vollständig aushebelt. 1.013.416 Domains befinden sich mit Stand 2026-06-29 in diesem Zustand.

Überschreibt der zweite SPF-Record den ersten? Keiner gewinnt. Ein Empfänger, der mehrere Records findet, muss die Auswertung fehlschlagen lassen, statt zu wählen – also hören alle auf einmal auf zu funktionieren.

Wie kombiniere ich zwei SPF-Records zu einem? Ein Record, beginnend mit v=spf1, der jeden include:- und IP-Mechanismus aus allen enthält und mit einem einzigen -all oder ~all endet. Löschen Sie die überzähligen und überprüfen Sie dann Ihren Lookup-Zähler, ob er die Zusammenführung überstanden hat.

Warum funktioniert meine E-Mail mit zwei SPF-Records trotzdem? Empfänger, die auf den Fehler stoßen, fahren meist ohne SPF fort, sodass Ihre Mail auf Reputation und DKIM reitet. Was Sie verloren haben, ist der Schutz – nichts weist einen Fälscher ab – und Ihren DMARC-Auswertungen fehlt der SPF-Zweig. Funktionierende Mail und funktionierendes SPF sind verschiedene Dinge.

Prüfen Sie, ob Ihre Domain eine der Million ist

Ein Blick von 30 Sekunden gibt Ihnen entweder Entwarnung oder eine Zusammenführung von zwei Minuten in die Hand.

Prüfen Sie Ihre Domain → · SPF beheben → · Der SPF-PermError-Report → · Das SPF-Reifegradmodell → · Nur aggregierte Daten. Daten in der EU gespeichert und verarbeitet.