Interessant. Ich habe mir den betroffenen Code angesehen: lcsam reicht die eintreffende E-Mail komplett (also inkl. aller Header) an spamd weiter. Allerdings enthält die Mail vom Postfix zu diesem Zeitpunkt offenbar noch keinen "Return-Path:"-Header (mit dem Envelope-From).
Wir haben lcsam nun so angepasst, dass er den Envelope-From selber als Return-Path: an den spamd übergibt. In unseren Tests hat der SPF-Check somit geklappt.
Die Änderung ist bei GitHub bereits eingecheckt, in der kommenden Version 2.9.1 ist das dann auch berücksichtigt.
Viele Grüße
-Klaus Keppler