SPF, DKIM und DMARC für Google Workspace einrichten

Was das bedeutet

Wenn du Google Workspace nutzt, sendet Gmail deine E-Mails, aber deine Domain muss beweisen, dass sie Google vertraut. Dafür sorgen drei DNS-Einträge:

• SPF sagt, dass die Server von Google für deine Domain senden dürfen.
• DKIM fügt jeder E-Mail eine digitale Signatur hinzu, erstellt mit einem Schlüssel, den nur Google für deine Domain besitzt.
• DMARC sagt den Empfängern, was sie tun sollen, wenn eine E-Mail beide Prüfungen nicht besteht, und schickt dir Berichte.

DKIM ist bei vielen Workspace-Domains nicht standardmäßig aktiviert: Bis du es einschaltest, signiert Google mit einer allgemeinen Google-Domain, die für dein DMARC nicht zählt.

Warum das wichtig ist

Gmail, Yahoo und Outlook erwarten von Absendern SPF und DKIM und von Massenversendern zusätzlich DMARC. Fehlende Teile bedeuten mehr E-Mails im Spam und ein leichteres Spiel für alle, die deine Adresse fälschen.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die Zeilen SPF, DKIM und DMARC sollten alle bestanden sein, und DKIM sollte deine eigene Domain zeigen (d=yourdomain.com).
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine SPF- und DMARC-Einträge zu lesen, ohne etwas zu senden.

So behebst du es

1. SPF

1. Melde dich bei deinem DNS-Anbieter an (dort, wo du die Domain gekauft hast).
2. Such nach einem vorhandenen TXT-Eintrag, der mit v=spf1 beginnt. Du darfst nur einen haben.
3. Gibt es keinen, füge einen TXT-Eintrag auf @ hinzu:

v=spf1 include:_spf.google.com ~all

Hast du schon einen für andere Tools, füge include:_spf.google.com darin ein, statt eine zweite Zeile anzulegen.

2. DKIM

1. Öffne die Google Admin-Konsole und geh zu Apps, Google Workspace, Gmail, E-Mails authentifizieren.
2. Wähle deine Domain und klick auf Neuen Eintrag generieren. Wähle einen 2048-Bit-Schlüssel, wenn dein DNS-Anbieter lange Werte akzeptiert.
3. Kopiere den Eintrag: Der Name ist google._domainkey, und der Wert beginnt mit v=DKIM1; k=rsa; p=.
4. Füge ihn bei deinem DNS-Anbieter als TXT-Eintrag hinzu.
5. Warte, bis er sichtbar ist (zwischen ein paar Minuten und 48 Stunden), komm dann zurück und klick auf Authentifizierung starten.

3. DMARC

Füge einen TXT-Eintrag mit dem Namen _dmarc hinzu. Beginne im Überwachungsmodus:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Die rua-Adresse empfängt tägliche Berichte von Gmail, Yahoo, Microsoft und anderen. Sobald jede legitime Quelle besteht, wechsle zu p=quarantine und dann zu p=reject.

4. Andere Tools, die für dich senden

Google Workspace deckt nur E-Mails ab, die aus Gmail gesendet werden. Dein Newsletter-Tool, dein Shop, dein CRM oder das Formular deiner Website brauchen jeweils ein eigenes SPF-Include und eigene DKIM-Einträge, sonst scheitert DMARC für sie.

Prüfe, ob es behoben ist

• Starte den Domain-Scanner noch einmal: ein SPF-Eintrag, ein DMARC-Eintrag.
• Sende eine neue Test-E-Mail von deinem Gmail-Konto: SPF, DKIM und DMARC sollten alle bestehen, mit einer DKIM-Signatur deiner Domain.
• Mit der DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard kannst du die täglichen Berichte lesen und jede Quelle erkennen, die noch scheitert, bevor du deine Richtlinie verschärfst.

Offizielle Hilfe: SPF, DKIM und DMARC für Google Workspace.