DKIM, SPF und DMARC für Google Workspace: die vollständige Einrichtung

Eine neue Google-Workspace-Domain sendet E-Mails, die nicht in Ihrem Namen signiert sind. Solange DKIM nicht aktiviert ist, signiert Google mit einer eigenen Domain, und DMARC kann sich auf diese Signatur nicht stützen. Die Einrichtung kostet eine Viertelstunde Arbeit und bis zu zwei Tage Wartezeit. Dieser Leitfaden folgt Googles eigenem Verfahren, nachgelesen auf den Hilfeseiten am 14. November 2026.

Bevor Sie beginnen

Sie brauchen ein Super-Administrator-Konto und Zugriff auf das DNS Ihrer Domain. Eines überrascht: Nachdem Gmail für eine neue Organisation aktiviert wurde, verlangt Google 24 bis 72 Stunden Wartezeit, bevor sich ein DKIM-Schlüssel erzeugen lässt. Ein früherer Versuch endet mit der Fehlermeldung, der Eintrag sei nicht erstellt worden.

1. SPF

Veröffentlichen Sie einen einzigen TXT-Eintrag an der Domain selbst:

v=spf1 include:_spf.google.com ~all

Senden weitere Dienste in Ihrem Namen (ein Newsletter-Tool, ein Rechnungstool), gehört deren include: in denselben Eintrag: Eine Domain darf nur einen SPF-Eintrag haben. Der kostenlose SPF-Generator erstellt ihn und zählt die DNS-Abfragen, die auf zehn begrenzt sind.

2. Den DKIM-Schlüssel erzeugen

Öffnen Sie in der Google Admin-Konsole Menü → Apps → Google Workspace → Gmail und dann E-Mail authentifizieren (Authenticate email). Wählen Sie die Domain und klicken Sie auf Neuen Eintrag generieren (Generate New Record).

Schlüssellänge: 2048, wenn Ihr DNS-Anbieter das annimmt, sonst 1024. Google verlangt für die Zustellung an private Gmail-Konten mindestens 1024 Bit und empfiehlt 2048.
Selektor: Behalten Sie google, außer es gibt an der Domain bereits einen Schlüssel dieses Namens.

Die Konsole zeigt einen Hostnamen, google._domainkey, und einen Wert, der mit v=DKIM1; k=rsa; p= beginnt.

3. Den Schlüssel veröffentlichen

Legen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag mit diesem Hostnamen und diesem Wert an. Ein 2048-Bit-Schlüssel ist länger als 255 Zeichen, die Grenze einer einzelnen TXT-Zeichenfolge: Die meisten Anbieter teilen ihn für Sie auf, einige schneiden ihn ab. Ist der Schlüssel abgeschnitten, scheitern die Signaturen. Der DKIM-Check liest den veröffentlichten Schlüssel und nennt seine Länge.

Jede Domain und jede Alias-Domain braucht ihren eigenen Schlüssel.

4. Die Signatur starten

Gehen Sie zurück zu E-Mail authentifizieren und klicken Sie auf Authentifizierung starten (Start authentication). Nach der DNS-Änderung kann das bis zu 48 Stunden dauern. Wenn es funktioniert, meldet der Status, dass E-Mails mit DKIM authentifiziert werden.

Solange diese Schaltfläche nicht gedrückt wurde, wird nichts mit Ihrer Domain signiert, auch wenn der Eintrag veröffentlicht ist. Das ist das häufigste Versäumnis.

5. Eine echte Nachricht prüfen

Senden Sie eine Nachricht an eine Gmail-Adresse, die nicht Ihre ist (ein Test an sich selbst beweist nichts), öffnen Sie sie, wählen Sie Original anzeigen und suchen Sie im Header Authentication-Results nach dkim=pass mit Ihrer Domain. Oder fügen Sie die Header in den E-Mail-Header-Analyzer ein.

6. DMARC

Beginnen Sie mit dem Beobachten:

_dmarc  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.example"

Google verlangt von Massenversendern, also bei mehr als 5.000 Nachrichten pro Tag an Gmail-Konten, SPF, DKIM und DMARC; jeder Absender braucht SPF oder DKIM. Eine Richtlinie p=none erfüllt die Anforderung, verhindert aber keine Fälschung: Lesen Sie zwei Wochen lang die Berichte und folgen Sie dann Von p=none zu p=reject.

Was schiefgeht

Die Konsole meldet, dass nicht authentifiziert wird: Der Eintrag ist veröffentlicht, aber die Authentifizierung wurde nie gestartet, oder die DNS-Änderung hat sich noch nicht verbreitet.
Ein abgeschnittener Schlüssel: Der Anbieter hat den Wert bei 255 Zeichen gekappt. Veröffentlichen Sie ihn als mehrere Zeichenfolgen in Anführungszeichen oder nutzen Sie einen 1024-Bit-Schlüssel.
DKIM besteht, DMARC scheitert: Die Nachricht wurde von einem anderen Dienst mit Ihrer Adresse gesendet. Jeder Dienst muss mit Ihrer Domain signieren: siehe SPF, DKIM und DMARC erklärt.

Sind die Einträge veröffentlicht, liest die vollständige E-Mail-Authentifizierungsprüfung alle drei auf einmal.