SPF, CIDR und das unsichtbare Problem im Mailverkehr

Im E-Mail-Verkehr fungiert der SPF-Eintrag (Sender Policy Framework) als digitaler Türsteher. Er definiert, welche IP-Adressen berechtigt sind, im Namen einer Domain zu senden. Um große Infrastrukturen effizient abzubilden, nutzt man CIDR-Notationen, wie zum Beispiel: 65.55.238.129/26.

Doch genau hier verbirgt sich ein technischer Fallstrick, der selbst Schwergewichte wie Microsoft vor Herausforderungen stellt.

Das Problem: Wenn die Mathematik nicht aufgeht

Ein CIDR-Block ist mathematisch strikt definiert. Bei einem Suffix wie /26 muss die angegebene IP-Adresse zwingend die Netzwerk-Adresse (der Startpunkt des Bereichs) sein.

Im Fall von Microsofts Eintrag _spf-ssg-b.microsoft.com wurden jedoch fehlerhafte CIDR Bereiche definiert.

Die Folge: Während ältere oder weniger strikte SPF-Parser solche "Ungenauigkeiten" oft ignorieren, führen moderne, sicherheitsorientierte Implementierungen zu einem Abbruch der Prüfung. Das Resultat ist oft ein PermError - und die Mail wird abgelehnt.

.NET 8 als strenger Schiedsrichter

Mit der Einführung der neuen IPNetwork-Klasse in .NET 8 hat Microsoft ein Werkzeug geschaffen, das ihre eigenen fehlerhaften Einträge entlarvt. Versucht man, den besagten SPF-Eintrag zu parsen, wirft das System einen harten Fehler:

// Dieser Aufruf schlägt bei Microsofts SPF-Daten fehl:
var network = IPNetwork.Parse("65.55.238.129/26");

// Ergebnis:
// System.FormatException: An invalid IP network was specified.

Warum passiert das? Weil die IP ...129 ein Host im Netz ist. Die mathematisch korrekte Netzwerk-Adresse für diesen /26-Block müsste eigentlich 65.55.238.128/26 lauten. .NET 8 erzwingt diese Korrektheit, um Sicherheitsrisiken und Fehlkonfigurationen zu vermeiden.

Kleiner Fehler, große Wirkung

Dieser Eintrag zeigt: SPF-Konfiguration erfordert absolute Präzision. Ein einziger falsch berechneter CIDR-Bereich kann die Zustellbarkeit beeinträchtigen. Wenn der SPF-Parser des Empfängers abbricht, landet die E-Mail im Spam-Ordner oder wird direkt geblockt - selbst wenn der Absender absolut legitim ist.

Fazit: Vertrauen Sie nicht blind auf die Einträge großer Provider. Validieren Sie Ihre eigene SPF-Kette regelmäßig auf syntaktische Korrektheit.

Tools zur Überprüfung

Damit Ihnen solche Fehler erspart bleiben, helfen diese Werkzeuge bei der Analyse:

• Präzise CIDR-Analyse: cidr.xyz - Visualisiert sofort, ob eine IP eine Netzwerk- oder Host-Adresse ist.
• Zustellbarkeit testen: Mailtower Email Audit - Führt eine umfassende Analyse der von dir gesendeten E-Mails durch.