SPF, DKIM & DMARC für Google Workspace.
Google Workspace zu authentifizieren bedeutet, nachzuweisen, dass die Gmail-Server, die als Ihre Domain versenden, tatsächlich zu Ihnen gehören. Es läuft auf drei DNS-Einträge plus einen Schalter in der Admin-Konsole hinaus: einen SPF-TXT-Eintrag, der Googles gemeinsames include hinzufügt, einen DKIM-Schlüssel, den Sie in der Konsole erzeugen und als TXT-Eintrag veröffentlichen (und anschließend mit „Start authentication" aktivieren), sowie einen DMARC-Richtlinieneintrag. Google Workspace ist einer der wenigen Absender, der zugleich Empfänger ist – deshalb entscheidet die korrekte Ausrichtung aller drei darüber, ob Ihre Mails in Gmail-Posteingängen landen, statt einen „via"-Hinweis zu erhalten oder im Spam zu verschwinden.
Warum Google Workspace authentifizieren?
Google-Workspace-Mail fließt bereits über Googles eigene Infrastruktur, doch solange Sie nicht authentifizieren, ist diese Mail Ihrer Domain nur schwach zuzuordnen – Gmail zeigt möglicherweise einen „via"-Hinweis, DMARC kann nicht bestehen, und Ihre From-Adresse gehört kryptografisch nicht Ihnen. Seit Februar 2024 verlangen Googles eigene Absenderrichtlinien, dass jeder Absender SPF oder DKIM besteht, und dass jeder Massenversender (grob 5.000+ Nachrichten pro Tag an Gmail) zusätzlich eine DMARC-Richtlinie von mindestens p=none mit Ausrichtung veröffentlicht. Yahoo übernahm dieselben Regeln im selben Monat, und Microsoft begann 2025 mit der Durchsetzung. Da Google die Mail hier an den eigenen Richtlinien misst, ist eine nicht authentifizierte Workspace-Domain der schnellste Weg in den Spam-Ordner oder zu einer glatten Ablehnung. SPF + DKIM + DMARC korrekt umzusetzen richtet beide Mechanismen an Ihrer Domain aus, entfernt den „via"-Hinweis, lässt DMARC bestehen und baut Versandreputation unter Ihrem eigenen Namen auf.
Die SPF-Realität bei Google Workspace
Google Workspace ist ein echter „include"-Anbieter: Sie fügen einen gemeinsamen Mechanismus, include:_spf.google.com, dem einzigen SPF-TXT-Eintrag auf Ihrer Root-Domain hinzu – der vollständige Eintrag lautet v=spf1 include:_spf.google.com ~all. Dies ist ein echtes gemeinsames include (jeder Workspace-Kunde nutzt dasselbe), anders als bei Anbietern mit CNAME-Delegation. Hier zählt es mehr als bei den meisten Absendern, weil Mail, die Sie über Google versenden, einen Envelope-Sender auf Ihrer eigenen Domain verwendet – SPF richtet sich also tatsächlich an Ihrer Organisationsdomain aus und trägt zu einem DMARC-Pass bei (nicht nur DKIM). Eine wichtige Aktualisierung: include:_spf.google.com ist inzwischen ein einzelner flacher SPF-Eintrag, der ausschließlich ip4:/ip6:-Mechanismen enthält – er verschachtelt nicht länger die alte Kette include:_netblocks.google.com / _netblocks2 / _netblocks3. Das bedeutet, er kostet nur einen einzigen DNS-Lookup vom RFC-7208-Limit von 10, nicht die drei bis vier, die ältere Anleitungen und manche zwischengespeicherten SPF-Checker noch melden. Google empfiehlt, mit ~all (Softfail) statt -all abzuschließen, weil Workspace-Nutzer oft auch legitim über andere Tools versenden; verschärfen Sie erst dann auf -all, wenn Sie sicher sind, dass jeder Absender gelistet ist. Und es darf genau einen SPF-TXT-Eintrag auf der Domain geben – wenn Sie auch SendGrid, Mailchimp, Microsoft 365 usw. nutzen, führen Sie jeden Mechanismus in dieser einen v=spf1-Zeile zusammen, statt einen zweiten SPF-Eintrag zu veröffentlichen (zwei SPF-Einträge ergeben einen PermError).
Schritt für Schritt
- 1
„E-Mail authentifizieren" öffnen
Melden Sie sich unter admin.google.com als Super-Administrator an und gehen Sie dann zu Menü (☰) → Apps → Google Workspace → Gmail → E-Mail authentifizieren. Dies ist die DKIM-Seite; SPF und DMARC werden direkt bei Ihrem DNS-Anbieter hinzugefügt, nicht hier.
- 2
Die richtige Domain auswählen
Wenn Sie mehr als eine Domain verwalten, wählen Sie die Versanddomain aus dem Dropdown oben auf der Seite „E-Mail authentifizieren". Jede primäre Domain, sekundäre Domain und jeder Domain-Alias wird separat authentifiziert.
- 3
Den DKIM-Schlüssel generieren
Klicken Sie auf Neuen Eintrag generieren. Stellen Sie die Schlüssellänge auf 2048-Bit ein (Googles Empfehlung; greifen Sie nur dann auf 1024-Bit zurück, wenn Ihr DNS-Anbieter keinen langen TXT-Wert speichern kann) und belassen Sie das Selektor-Präfix beim Standard google. Klicken Sie auf Generieren.
- 4
Den DKIM-Eintrag kopieren
Google zeigt einen TXT-Eintrag an: Host/Name ist google._domainkey und der Wert beginnt mit v=DKIM1; k=rsa; p=… gefolgt von einem langen öffentlichen Schlüssel. Kopieren Sie beides. Lassen Sie diesen Tab geöffnet – Sie kommen zurück, um auf Authentifizierung starten zu klicken.
- 5
Den DKIM-TXT-Eintrag veröffentlichen
Fügen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag mit Host google._domainkey und dem von Google angegebenen Wert hinzu. Ein 2048-Bit-Schlüssel ist länger als das TXT-Limit von 255 Zeichen pro Zeichenkette, sodass manche Anbieter verlangen, ihn als mehrere in Anführungszeichen gesetzte Teilstücke in einem Eintrag zu belassen – die meisten Panels erledigen das automatisch; falls nicht, fügen Sie den aufgeteilten Wert genau wie angezeigt ein.
- 6
Den SPF-Eintrag hinzufügen oder zusammenführen
Fügen Sie auf der Root-Domain (Host @ oder leer) einen TXT-Eintrag mit v=spf1 include:_spf.google.com ~all hinzu. Wenn bereits ein SPF-Eintrag existiert, erstellen Sie keinen zweiten – führen Sie include:_spf.google.com neben etwaigen anderen Absendern in die bestehende v=spf1-Zeile ein.
- 7
Den DMARC-Eintrag veröffentlichen
Fügen Sie unter Host _dmarc einen TXT-Eintrag mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. Beginnen Sie mit p=none (reiner Überwachungsmodus), damit nichts beeinträchtigt wird, während Sie die Ausrichtung bestätigen; Sie verschärfen ihn später.
- 8
Auf „Authentifizierung starten" klicken
Warten Sie zurück auf der Seite „E-Mail authentifizieren", bis sich der DKIM-TXT verbreitet hat, und klicken Sie dann auf Authentifizierung starten. Das ist der Schritt, den viele übersehen – das Generieren des Schlüssels bewirkt nichts, bis Sie die Authentifizierung starten, woraufhin der Status „E-Mail wird für diese Domain authentifiziert" anzeigt.
- 9
Eine Testmail senden und die Header prüfen
Senden Sie eine Nachricht von einer Workspace-Adresse, öffnen Sie sie in einem anderen Gmail-Konto und verwenden Sie ⋮ → Original anzeigen. Bestätigen Sie SPF: PASS, DKIM: PASS mit „signed-by: yourdomain.com" (Selektor google) und DMARC: PASS – alles ausgerichtet an Ihrer Domain, nicht an google.com.
- 10
Für weitere Domains und Aliasse wiederholen
DKIM und der Schritt „Authentifizierung starten" müssen für jede sekundäre Domain und jeden Domain-Alias wiederholt werden, von denen Sie versenden. SPF- und DMARC-Einträge müssen auch auf jeder dieser Domains vorhanden sein, sonst wird deren Mail nicht authentifiziert.
Einzutragende Einträge
Google Workspace erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 include:_spf.google.com ~allRoot-SPF – behalten Sie nur einen SPF-Eintrag; führen Sie andere Absender in diese Zeile zusammen. include:_spf.google.com kostet jetzt 1 DNS-Lookup. |
| TXT | google._domainkey | v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A…(2048-bit public key from the Admin console)Beispielhaft – der eigentliche Schlüssel wird pro Domain unter Apps → Google Workspace → Gmail → E-Mail authentifizieren generiert. 2048-Bit-Schlüssel müssen möglicherweise als aufgeteilte, in Anführungszeichen gesetzte Zeichenketten veröffentlicht werden. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comEin DMARC-Eintrag pro Domain. Beginnen Sie mit p=none, verschärfen Sie dann auf quarantine/reject. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Google Workspace von diesem Budget verbraucht.
Google Workspace verbraucht 1 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
DKIM für Google Workspace wird in der Admin-Konsole erzeugt, nicht aus einem festen Wert kopiert. Gehen Sie zu Apps → Google Workspace → Gmail → E-Mail authentifizieren, wählen Sie die Domain, klicken Sie auf Neuen Eintrag generieren und wählen Sie 2048-Bit mit dem Standard-Selektor-Präfix google. Google zeigt daraufhin einen TXT-Eintrag, dessen Host google._domainkey.yourdomain.com lautet und dessen Wert v=DKIM1; k=rsa; p=<Ihr öffentlicher Schlüssel> ist. Diesen TXT-Eintrag veröffentlichen Sie bei Ihrem DNS-Anbieter – Google hält den passenden privaten Schlüssel und signiert damit ausgehende Mail. Zwei Dinge unterscheiden Workspace-DKIM von den meisten Anbietern. Erstens: Den Eintrag zu veröffentlichen genügt nicht – Sie müssen zur Seite „E-Mail authentifizieren" zurückkehren und auf Authentifizierung starten klicken, sonst beginnt Google nie tatsächlich mit dem Signieren mittels Ihres Schlüssels (das ist der mit Abstand häufigste Grund, warum ein korrekt veröffentlichter Eintrag trotzdem keinen DKIM-Pass zeigt). Zweitens: Ein öffentlicher 2048-Bit-Schlüssel überschreitet das Limit von 255 Zeichen für eine einzelne TXT-Zeichenkette, sodass viele DNS-Anbieter ihn als mehrere in Anführungszeichen gesetzte Teilstücke innerhalb eines Eintrags ablegen; die Admin-Konsole zeigt den Wert bereits formatiert, und die meisten Panels (GoDaddy, Cloudflare, Namecheap usw.) fügen ihn korrekt wieder zusammen – wenn Gmail den Schlüssel später als ungültig meldet, ist meist eine fehlerhafte Verkettung die Ursache. Der Selektor google kann problemlos beibehalten werden; ändern würden Sie ihn nur, wenn dieser Selektor bereits von einem anderen Dienst auf der Domain verwendet wird. Wechseln Sie nach Möglichkeit von jedem alten 1024-Bit-Schlüssel weg, und denken Sie daran, dass DKIM pro Domain und pro Alias aktiviert wird, nicht einmalig für das gesamte Konto.
DMARC
DMARC ist ein separater Richtlinieneintrag, den Sie selbst veröffentlichen – Google erstellt ihn nicht für Sie. Fügen Sie unter _dmarc.yourdomain.com einen TXT-Eintrag mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. p=none ist reiner Überwachungsmodus: Es ändert nichts an der Zustellung, weist Empfänger aber an, Ihnen aggregierte Berichte zuzusenden, damit Sie bestätigen können, dass Google-Workspace-Mail SPF und DKIM ausgerichtet an Ihrer Domain besteht. Da Workspace beide Mechanismen ausrichtet (SPF über Ihre eigene Envelope-Domain, DKIM über den google-Selektor auf Ihrer Domain), sollten Sie rasch saubere Passes sehen. Beobachten Sie die rua-Berichte ein bis zwei Wochen, stellen Sie sicher, dass jeder legitime Absender – Workspace plus etwaige Drittanbieter-Tools – authentifiziert, und verschärfen Sie die Richtlinie dann auf p=quarantine und schließlich p=reject. Behalten Sie genau einen _dmarc-Eintrag für die gesamte Domain, egal wie viele Absender Sie nutzen; fügen Sie niemals einen zweiten DMARC-Eintrag speziell für Google hinzu. Beachten Sie, dass Googles eigene Massenversender-Regel nur p=none als Untergrenze vorschreibt, aber p=reject ist das, was Ihre Domain tatsächlich vor Spoofing schützt.
Prüfen, ob es wirklich funktioniert hat
Verlassen Sie sich nicht allein auf den Status in der Admin-Konsole – er kann hinterherhinken und noch „bis zu 48 Stunden" anzeigen, obwohl das DNS längst live ist. Bestätigen Sie es an einer echten Nachricht: Senden Sie von einer Workspace-Adresse an ein anderes Postfach, öffnen Sie die Nachricht in Gmail und wählen Sie ⋮ → Original anzeigen. Sie möchten SPF: PASS, DKIM: PASS und DMARC: PASS sehen, wobei die DKIM-signed-by- und die SPF-Domain beide yourdomain.com (Selektor google) zeigen und nicht google.com. Google stellt außerdem ein eigenes Diagnosewerkzeug bereit, das Admin Toolbox CheckMX-Tool (toolbox.googleapps.com/apps/checkmx), das fehlende oder fehlerhafte SPF-/DKIM-/DMARC- und MX-Einträge markiert. Sie können die Rohdaten stichprobenartig mit dig TXT google._domainkey.yourdomain.com und dig TXT _dmarc.yourdomain.com prüfen. Lassen Sie die Domain schließlich durch den Domain-Gesundheitscheck von Qualisend laufen, um zu bestätigen, dass jeder Eintrag auflöst und SPF unter dem 10-Lookup-Limit bleibt, und sobald DMARC-Aggregatberichte eintreffen, geben Sie einen in die DMARC-Berichtsanalyse – Google sollte als ausgerichtete, vollständig bestehende Quelle erscheinen.
Häufige Stolperfallen
- Bricht die Authentifizierung
Das Generieren des DKIM-Schlüssels bewirkt nichts, bis Sie auf der Seite „E-Mail authentifizieren" auf Authentifizierung starten klicken. Ein veröffentlichter google._domainkey-Eintrag, bei dem das Signieren nie gestartet wurde, ist der häufigste Grund, warum DKIM eine Prüfung immer noch nicht besteht.
- Bricht die Authentifizierung
2048-Bit-DKIM-Schlüssel sind länger als eine einzelne 255-Zeichen-TXT-Zeichenkette, also werden sie als mehrere in Anführungszeichen gesetzte Teilstücke gespeichert. Wenn Gmail den Schlüssel nach dem Veröffentlichen als ungültig meldet, ist fast immer eine verstümmelte Verkettung (oder das Verwerfen der Aufteilung durch Ihr Panel) die Ursache.
- Bricht die Authentifizierung
Die Admin-Konsole zeigt möglicherweise weiterhin „nicht authentifiziert" oder „bis zu 48 Stunden" an, selbst wenn Ihr DNS korrekt ist – der Status wird verzögert erneut geprüft. Vertrauen Sie „Original anzeigen" / Admin Toolbox mehr als dem Banner der Konsole.
- Abdeckung
DKIM muss für jede sekundäre Domain und jeden Domain-Alias separat eingerichtet werden, und jede dieser Domains benötigt auch eigene SPF- und DMARC-Einträge. Das Authentifizieren der primären Domain deckt die anderen nicht ab.
- Bricht die Authentifizierung
Behalten Sie genau einen SPF-TXT-Eintrag auf der Root. Wenn Sie auch über SendGrid, Mailchimp, Microsoft 365 usw. versenden, führen Sie include:_spf.google.com in die einzelne v=spf1-Zeile zusammen – zwei SPF-Einträge ergeben einen PermError.
- DNS-Einrichtung
include:_spf.google.com ist jetzt ein einzelner flacher Eintrag (1 Lookup), aber ältere Anleitungen und manche zwischengespeicherten SPF-Checker zählen ihn noch als 3–4 – überdimensionieren Sie nicht und flatten Sie nicht panisch auf Basis veralteter Zahlen.
- Abdeckung
Verwenden Sie ~all, nicht -all. Google empfiehlt Softfail, weil Workspace-Nutzer häufig legitim über andere Dienste versenden; ein verfrühtes -all kann Mail hart abweisen, die Sie zu listen vergessen haben.
- Abdeckung
Mail, die über ein Drittanbieter-Relay, ein externes SMTP via Gmail „Als anderer Nutzer senden" oder eine Marketing-Plattform versendet wird, ist nicht von Google DKIM-signiert – diese Pfade brauchen ihre eigene Authentifizierung und richten sich nicht schon deshalb aus, weil Workspace-DKIM aktiv ist.
Erstellen Sie Ihren SPF-Eintrag
Google Workspace ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listGoogle Workspace SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.