SPF, DKIM und DMARC für Google Workspace einrichten: Schritt für Schritt
Mail-Beglaubigung für Google Workspace: der SPF-Eintrag mit _spf.google.com, DKIM in der Admin-Konsole unter Gmail → E-Mail authentifizieren erzeugen und starten, der DMARC-Eintrag nach Googles Empfehlung — samt Wartezeiten und der 2048-Bit-Falle.
Google Workspace (Gmail mit eigener Domain) verlangt dieselben drei Einträge wie jeder Anbieter, legt aber keinen davon automatisch an. SPF und DMARC setzen Sie beim DNS-Anbieter Ihrer Domain; DKIM erzeugen Sie in der Admin-Konsole unter Menü → Apps → Google Workspace → Gmail → „E-Mail authentifizieren“, tragen den angezeigten TXT-Eintrag im DNS ein und klicken danach „Authentifizierung starten“. Google nennt dabei drei Wartezeiten: 24 bis 72 Stunden nach der Gmail-Aktivierung, bevor DKIM-Schlüssel erzeugt werden können; bis zu 48 Stunden, bis SPF wirkt; 48 Stunden nach SPF und DKIM, bevor DMARC gesetzt wird.
Schritt 1: SPF beim DNS-Anbieter
Beim Domain-Hoster (z. B. World4You, Strato, IONOS) einen TXT-Eintrag auf der Domain anlegen — Host @ bzw. leer — mit dem Wert, den Google für reinen Workspace-Versand empfiehlt:
ihre-domain.atv=spf1 include:_spf.google.com ~allSchritt 2: DKIM erzeugen, eintragen, starten
- In der Admin-Konsole (admin.google.com) über Menü → Apps → Google Workspace → Gmail → „E-Mail authentifizieren“.
- Domain auswählen und „Neuen Eintrag generieren“: Schlüssellänge 2048 Bit (empfohlen) oder 1024 Bit, falls der DNS-Anbieter lange TXT-Werte nicht annimmt; Präfix (Selektor) bleibt standardmäßig google.
- Den angezeigten TXT-Eintrag beim DNS-Anbieter anlegen — Hostname google._domainkey, Wert vollständig kopieren.
- Zurück in der Admin-Konsole „Authentifizierung starten“ klicken. Erst damit signiert Gmail Ihre Mails.
google._domainkey.ihre-domain.atv=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…Schritt 3: DMARC beim DNS-Anbieter
Google empfiehlt, DMARC erst 48 Stunden nach SPF und DKIM zu setzen, mit p=none zu beginnen und über quarantine zu reject zu gehen, gestuft über pct. Googles Beispiel enthält zusätzlich adkim=s und aspf=s (strenge Ausrichtung) — für den Einstieg reicht die relaxed-Voreinstellung:
_dmarc.ihre-domain.atv=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.atSchritt 4: Kontrolle
Eine Mail an ein privates Gmail-Postfach schicken und „Original anzeigen“ öffnen: spf=pass, dkim=pass mit Ihrer Domain und dmarc=pass ist das Ziel. Der DKIM-Status in der Admin-Konsole muss „Authentifizierung für E-Mails aktiviert“ zeigen. Wer regelmäßig größere Mengen versendet, meldet die Domain zusätzlich in den kostenlosen Google Postmaster Tools an — dort sieht man Reputation und Spam-Beschwerderate.
Häufige Fragen
Wie richte ich DMARC für Google Workspace ein?
Beim DNS-Anbieter einen TXT-Eintrag unter _dmarc.ihre-domain anlegen, z. B. v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain — laut Google erst 48 Stunden, nachdem SPF und DKIM stehen. Dann Berichte lesen und über quarantine auf reject verschärfen.
Gilt das auch für kostenlose @gmail.com-Adressen?
Nein — bei @gmail.com verwaltet Google die Beglaubigung selbst, da gibt es nichts einzurichten. Dieser Artikel gilt für eigene Domains in Google Workspace. Geschäftspost über eine @gmail.com-Adresse ist ohnehin ein Vertrauensproblem für sich.
Warum steht mein DKIM auf „Authentifizierung wird nicht gestartet“?
Meist ist der TXT-Eintrag noch nicht überall sichtbar (Google nennt bis zu 48 Stunden, praktisch meist schneller) — oder er wurde von der DNS-Maske gekürzt. Eintrag von außen prüfen, dann in der Admin-Konsole erneut „Authentifizierung starten“ klicken.
Warum kann ich noch keinen DKIM-Schlüssel erzeugen?
Google verlangt 24 bis 72 Stunden Wartezeit nach der Aktivierung von Gmail für die Domain, bevor die Admin-Konsole Schlüssel erzeugt. In der Zwischenzeit SPF setzen — das braucht keine Wartezeit.