SPF, DKIM & DMARC für Groove.
Groove ist ein Helpdesk mit geteiltem Postfach, und die E-Mails, die dabei versendet werden, richten sich direkt an Ihre Kundschaft — jede Antwort auf ein Support-Ticket geht unter Ihrer Domain hinaus. Das "White-Labeling" in Groove ist genau der Authentifizierungsschritt, der diese Antworten nachweislich zu Ihren macht. Statt eine gemeinsam genutzte SPF-Zeile einzufügen, generiert der moderne Ablauf von Groove CNAME-Einträge im Reiter der SMTP-Konfiguration jedes Postfachs — einen DKIM-Schlüssel auf dem Selektor groove._domainkey plus einen Return-Path-CNAME — sowie einen DMARC-TXT-Eintrag. Fügen Sie sie hinzu, lassen Sie die Prüfung "Test DNS" von Groove auf Grün wechseln, und Ihre Support-Mails sind als Ihre eigene Domain DKIM-signiert: DMARC besteht, Gmail lässt den Hinweis "via groovehq.com" weg, und Antworten rutschen nicht mehr in die Spam-Ordner Ihrer Kundschaft.
Warum Groove authentifizieren?
Groove zu authentifizieren ist keine bloße Fleißaufgabe — bei einem Helpdesk entscheidet es darüber, ob die Kundschaft Ihre Antwort sieht oder ob sie im Spam stirbt, dem denkbar schlechtesten Ort für eine Support-Antwort. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag — eine Schwelle, die ein gut ausgelastetes geteiltes Postfach allein mit Ticket-Antworten und Benachrichtigungen überschreitet), SPF, DKIM und DMARC mit Ausrichtung (Alignment) zu bestehen, und Microsoft begann 2025, dasselbe für Endkunden-Mail bei Outlook/Hotmail durchzusetzen. Solange Sie kein White-Labeling einrichten, versendet Groove über seine eigene Infrastruktur: Empfänger sehen einen Hinweis "via groovehq.com" oder "on behalf of", Ihre From-Adresse gehört Ihnen kryptografisch nicht, DMARC kann nicht bestehen, und Ihre Reputation wird mit der jedes anderen nicht authentifizierten Groove-Versenders in einen Topf geworfen. White-Labeling behebt das alles in einem Zug — DKIM richtet sich an Ihre Domain aus, der "via"-Zusatz verschwindet, DMARC besteht, und die Reputation, die Sie aufbauen, kommt Ihrer eigenen Domain zugute. Im Support, wo Vertrauen das ganze Produkt ist, ist genau diese Ausrichtung das, was die Kundschaft weiterlesen und antworten lässt, statt Sie als Spam zu melden.
Die SPF-Realität bei Groove
Groove ist technisch gesehen ein "include"-Anbieter — es gibt tatsächlich einen gemeinsam genutzten Mechanismus, include:smtp.groovehq.com —, aber er ist NICHT der Weg, über den DMARC besteht, und er ist auch nicht das, was die aktuelle Einrichtung von Groove empfiehlt. Dafür gibt es zwei Gründe. Erstens versendet Groove jede Nachricht mit einem Return-Path/Envelope auf seiner eigenen Bounce-Domain (Groove besitzt und verarbeitet die Bounces), sodass SPF stets gegen die Domain von Groove ausgewertet wird, niemals gegen Ihre From-Domain. include:smtp.groovehq.com lässt die reine SPF-Prüfung für die IPs von Groove bestehen, aber es RICHTET sich nicht an Ihrer organisatorischen Domain aus — und DMARC zählt SPF nur, wenn es ausgerichtet ist. Die eigene Zustellbarkeitsdokumentation von Groove sagt das unverblümt: Groove nutzt eine seiner eigenen Domains für den Return-Path und bietet keinen Mechanismus, mit dem SPF-Ausrichtung bestehen kann. Zweitens fragt der White-Labeling-Ablauf von Groove den Include gar nicht ab: Im Reiter der SMTP-Konfiguration des Postfachs erhalten Sie CNAME-Einträge — einen DKIM-Schlüssel auf dem Selektor groove._domainkey plus einen Return-Path-CNAME (und bei neueren Konten einen dritten CNAME) — sowie einen DMARC-TXT-Eintrag. DKIM, signiert als d=yourdomain.com, ist der Mechanismus, der sich ausrichtet und Ihr DMARC-Bestehen trägt. Groove weist ausdrücklich alle, die "zuvor DKIM- und SPF-Einträge für ihren SMTP-Versand eingerichtet haben", an, "auf die neuere, verbesserte CNAME-Version zu migrieren". Der Include existiert also weiterhin und alte Anleitungen zitieren nach wie vor v=spf1 include:smtp.groovehq.com ~all, doch in der modernen Einrichtung ist er optional: Er verbraucht einen Ihrer 10 SPF-Lookups und bringt keine DMARC-Ausrichtung. Eine Einschränkung zum Geltungsbereich — White-Labeling gilt nur für Postfächer, die über die eigenen SMTP-Server von Groove versenden; wenn Sie ein Postfach per OAuth über Gmail/Google Workspace oder Microsoft 365 verbunden haben, leitet Groove über diesen Anbieter weiter, und Sie authentifizieren die Domain stattdessen dort.
Zwei Wege zur Einrichtung
CNAME-White-Labeling (empfohlen)
- Groove generiert DKIM- + Return-Path-CNAMEs (Selektor groove._domainkey), die Mail als Ihre Domain signieren
- DKIM richtet sich aus, sodass DMARC besteht, obwohl SPF es nicht kann — Groove besitzt den Return-Path
- Fügt Ihrem Root-SPF null DNS-Lookups hinzu; es gibt nichts zusammenzuführen
- Groove hält und rotiert die Schlüssel hinter den CNAMEs, sodass Sie nie einen Schlüssel erneut einfügen
SPF-Include + DKIM-Eintrag (veraltet)
- Sie fügen v=spf1 include:smtp.groovehq.com ~all selbst zu Ihrem Root-SPF hinzu
- Kostet einen Ihrer 10 SPF-Lookups und richtet sich trotzdem nicht aus (der Return-Path gehört Groove)
- Groove weist mittlerweile alle mit dieser Methode an, auf die CNAME-Version zu migrieren
- Nur relevant für alte Postfächer, die noch nicht auf White-Labeling umgestellt sind
Schritt für Schritt
- 1
Bestätigen, dass das Postfach die SMTP-Server von Groove nutzt
Gehen Sie zu Einstellungen → Kanäle → E-Mail, wählen Sie das Postfach aus und klicken Sie zum Bearbeiten auf das Stiftsymbol. White-Labeling existiert nur für Postfächer, die über die eigenen SMTP-Server von Groove versenden (die Option 'empfohlen'). Wenn dieses Postfach über Gmail/Google Workspace oder Microsoft 365 verbunden ist, leitet Groove über diesen Anbieter weiter — hören Sie hier auf und authentifizieren Sie die Domain stattdessen in Google/M365.
- 2
Den Reiter SMTP-Konfiguration öffnen
Öffnen Sie in der Bearbeitungsansicht des Postfachs den Reiter SMTP-Konfiguration. Sie sehen die CNAME-Einträge — einen DKIM-Schlüssel auf dem Selektor groove._domainkey plus einen Return-Path-CNAME (manche Konten zeigen 2 CNAMEs, neuere zeigen 3) — und einen DMARC-TXT-Eintrag. Kopieren Sie sie exakt: Die Hosts und Ziele sind für dieses Postfach eindeutig und lassen sich nicht erraten.
- 3
Den DKIM-CNAME hinzufügen
Erstellen Sie bei Ihrem DNS-Host einen CNAME mit dem Host groove._domainkey, der auf das von Groove angezeigte Ziel verweist. Behalten Sie den Typ als CNAME bei — stellen Sie ihn nicht auf TXT um. Dies ist der Eintrag, der Mail als d=yourdomain.com signiert, also derjenige, der sich ausrichtet und Ihr DMARC-Bestehen trägt; ihn wegzulassen bedeutet, dass DMARC überhaupt nicht bestehen kann.
- 4
Den/die Return-Path-CNAME(s) hinzufügen
Fügen Sie den zweiten CNAME hinzu, den Groove auflistet (den Return-Path-/Bounce-Host, der SPF für die Versand-IPs von Groove erfüllt), und den dritten, falls Ihr Konto einen anzeigt. Kopieren Sie jedes Host-/Ziel-Paar wortwörtlich aus dem SMTP-Reiter. Auch dies sind an Groove delegierte CNAMEs — lassen Sie den Typ unverändert.
- 5
Host-Bezeichnungen und den Cloudflare-Proxy korrigieren
Wenn Ihr Registrar Ihre Domain automatisch anhängt, geben Sie nur die Bezeichnung ein (groove._domainkey, nicht groove._domainkey.yourdomain.com), um Verdopplungen zu vermeiden. Google Domains benötigt zusätzlich einen abschließenden Punkt am CNAME-Ziel. Stellen Sie bei Cloudflare jeden Groove-CNAME auf 'DNS only' (graue Wolke) — ein per orangefarbener Wolke proxyter CNAME löst nicht auf, und Test DNS bleibt Invalid.
- 6
Den DMARC-TXT-Eintrag veröffentlichen
Fügen Sie einen TXT-Eintrag am Host _dmarc hinzu: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Der Ablauf von Groove bietet ebenfalls einen DMARC-Eintrag an — nutzen Sie ihn, aber nur, wenn Sie nicht bereits einen haben, denn eine Domain darf genau einen _dmarc-Eintrag haben. p=none ist reiner Überwachungsmodus, sodass sich nichts ändert, während Sie die Ausrichtung bestätigen.
- 7
Auf Test DNS klicken
Klicken Sie zurück im Reiter SMTP-Konfiguration auf die Schaltfläche Test DNS unter der CNAME-Auflistung. Sie springt von Invalid auf Valid, sobald die Einträge auflösen — die Propagierung dauert meist Minuten, kann aber 48–72 Stunden in Anspruch nehmen. Sobald Valid angezeigt wird, aktiviert Groove das White-Labeling und beginnt, mit dem Selektor groove zu signieren.
- 8
Eine echte Antwort senden und die Header lesen
Senden Sie einen Test (oder eine echte Ticket-Antwort) an eine Gmail-Adresse, öffnen Sie sie und wählen Sie ⋮ → Original anzeigen. Sie möchten DKIM: PASS mit d=yourdomain.com und Selektor groove (nicht groovehq.com) sowie DMARC: PASS sehen. SPF zeigt möglicherweise die Domain von Groove an — das ist zu erwarten; DKIM ist hier das, was sich ausrichtet.
- 9
Die Einträge belassen
Groove führt die Verifizierung täglich um Mitternacht Pazifikzeit erneut aus und deaktiviert White-Labeling automatisch, wenn ein Eintrag nicht mehr auflöst. Entfernen oder 'bereinigen' Sie die CNAMEs später nicht, und wiederholen Sie diese gesamte Einrichtung für jedes Postfach, aus dem Sie versenden — jedes Postfach hat seinen eigenen Reiter SMTP-Konfiguration und seine eigenen Einträge.
Einzutragende Einträge
Groove erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| CNAME | groove._domainkey | groove.dkim.u1234567.groovehq.comDKIM-Schlüssel — von Groove verwaltet. Beispielhaftes Ziel: Kopieren Sie den exakten Wert aus Ihrem Reiter SMTP-Konfiguration. Dies ist der Eintrag, der als Ihre Domain signiert und Ihr DMARC-Bestehen trägt. |
| CNAME | em | u1234567.groovehq.comReturn-Path-/Bounce-CNAME, den Groove neben dem DKIM-Eintrag auflistet (neuere Konten zeigen zusätzlich einen dritten CNAME). Beispielhafter Host und Ziel — kopieren Sie das exakte Paar aus dem SMTP-Reiter. Erfüllt SPF für die Versand-IPs von Groove, richtet sich aber nicht an Ihrer From-Domain aus. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comIhre DMARC-Richtlinie — der Ablauf von Groove liefert diese als '1 TXT record'. Einer pro Domain; überspringen Sie ihn, wenn Sie bereits _dmarc veröffentlichen. Beginnen Sie mit p=none und verschärfen Sie dann. |
| TXT | @ | v=spf1 include:smtp.groovehq.com ~allVeralteter/optionaler Root-SPF-Include. Autorisiert die IPs von Groove, richtet sich aber NICHT an Ihrer From-Domain aus (Groove besitzt den Return-Path), sodass er DMARC nicht allein bestehen kann — das tut der DKIM-CNAME. Kostet 1 SPF-Lookup; der moderne CNAME-Ablauf benötigt ihn nicht. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Groove von diesem Budget verbraucht.
Die empfohlene Einrichtung von Groove fügt 0 Lookups hinzu — alle 10 bleiben frei für die Absender, die tatsächlich ein include benötigen.
DKIM
DKIM ist das Herzstück der Groove-Authentifizierung, denn es ist der einzige Mechanismus, der sich an Ihrer Domain ausrichten kann — SPF kann das nicht, da Groove von seiner eigenen Return-Path-/Bounce-Domain versendet. Groove nutzt CNAME-basiertes DKIM auf dem Selektor groove._domainkey (von Groove verwaltet), sodass Sie keinen öffentlichen Schlüssel einfügen: Sie fügen einen CNAME mit dem Host groove._domainkey hinzu, der auf das von Groove angezeigte Ziel verweist, und Groove hält den privaten Schlüssel. Da es sich um einen an Groove delegierten CNAME und nicht um einen statischen TXT-Eintrag handelt, kann Groove den hinter diesem Selektor veröffentlichten Schlüssel rotieren, ohne dass Sie jemals DNS erneut bearbeiten müssen. Den Wert finden Sie in der App: Einstellungen → Kanäle → E-Mail → Postfach auswählen → Stift (Bearbeiten) → Reiter SMTP-Konfiguration. Ältere Konten listen 2 CNAMEs plus einen DMARC-TXT auf; neuere listen 3 CNAMEs auf. Fügen Sie jeden als CNAME hinzu (niemals TXT) und geben Sie nur die Bezeichnung groove._domainkey ein, falls Ihr Host die Domain anhängt; Google Domains erwartet einen abschließenden Punkt am Ziel, und bei Cloudflare stellen Sie den Eintrag auf DNS-only (graue Wolke). Klicken Sie dann auf Test DNS. Sobald dort Valid steht, signiert Groove ausgehende Support-Mails als d=yourdomain.com, und DKIM beginnt sich auszurichten — was Ihnen tatsächlich ein DMARC-Bestehen einbringt.
DMARC
DMARC ist ein separater Richtlinien-TXT-Eintrag auf Ihrer Domain. Der White-Labeling-Ablauf von Groove bietet praktischerweise einen an — den "1 TXT record", den er neben den CNAMEs auflistet — aber veröffentlichen Sie ihn nur, wenn Sie nicht bereits einen _dmarc-Eintrag haben, denn eine Domain darf genau einen haben. Fügen Sie ihn unter _dmarc.yourdomain.com hinzu, beginnend mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. p=none ist reiner Überwachungsmodus: Es ändert nichts an der Zustellung, während Sie die aggregierten (rua) Berichte beobachten, um zu bestätigen, dass Groove — und jeder andere Versender auf Ihrer Domain — authentifiziert. Der Groove-spezifische Punkt, den Sie verinnerlichen sollten: Da Groove den Return-Path besitzt, hängt Ihr DMARC-Bestehen vollständig an DKIM (dem CNAME groove._domainkey). Stellen Sie also sicher, dass dieser Eintrag Valid anzeigt und dass "Show original" DKIM d=yourdomain.com meldet, bevor Sie verschärfen. Sobald die Ausrichtung ein bis zwei Wochen lang konsistent ist, setzen Sie die Richtlinie auf p=quarantine und anschließend p=reject. Behalten Sie unabhängig davon, wie viele Versender Sie betreiben — Groove, Google Workspace, ein Marketing-Tool — nur einen _dmarc-Eintrag für die gesamte Domain; sie alle berichten an denselben Eintrag.
Prüfen, ob es wirklich funktioniert hat
Groove bietet Ihnen zwei Verifizierungsebenen, und Sie sollten keiner davon allein vertrauen. In der App: Die Schaltfläche Test DNS unter der CNAME-Auflistung im Reiter SMTP-Konfiguration springt von Invalid auf Valid, sobald die Einträge auflösen (die Propagierung dauert meist Minuten, kann aber 48–72 Stunden laufen). Groove führt die Verifizierung außerdem automatisch jeden Tag um Mitternacht Pazifikzeit erneut aus — und deaktiviert White-Labeling stillschweigend, wenn ein Eintrag später nicht mehr auflöst; wenn Mail also plötzlich wieder "via groovehq.com" anzeigt, hat sich mit ziemlicher Sicherheit ein CNAME geändert. Bleiben Sie nicht beim grünen Abzeichen stehen: Senden Sie eine echte Antwort (oder einen Test) an ein Gmail-Konto, öffnen Sie sie und wählen Sie ⋮ → Original anzeigen. Bestätigen Sie DKIM: PASS mit d=yourdomain.com und Selektor groove (nicht groovehq.com) sowie DMARC: PASS — SPF zeigt möglicherweise weiterhin die Domain von Groove an, was zu erwarten ist, denn DKIM ist hier das, was sich ausrichtet. Lassen Sie dann Ihre Domain durch den Domain-Health-Check von Qualisend laufen, um zu bestätigen, dass der DKIM-CNAME, der/die Return-Path-CNAME(s) und der DMARC-Eintrag alle sauber auflösen, und werfen Sie, sobald aggregierte Berichte eintreffen, einen davon in den DMARC-Report-Analyzer, um zu sehen, wie Groove als ausgerichtete, bestehende Quelle auftaucht.
Häufige Stolperfallen
- DNS-Einrichtung
DKIM trägt hier DMARC, nicht SPF. Groove besitzt die Return-Path-/Bounce-Domain, sodass SPF gegen die Domain von Groove besteht, sich aber nicht an Ihrer ausrichtet. include:smtp.groovehq.com hinzuzufügen bringt DMARC nicht zum Bestehen — das tut der DKIM-CNAME groove._domainkey. Lassen Sie ihn nicht weg im Glauben, der SPF-Include decke Sie ab.
- DNS-Einrichtung
White-Labeling gilt nur für Groove-SMTP-Postfächer. Wenn ein Postfach über Gmail/Google Workspace oder Microsoft 365 verbunden ist, versendet Groove über diesen Anbieter — diese CNAMEs gelten dann nicht, und Sie authentifizieren die Domain stattdessen in Google/M365.
- DNS-Einrichtung
Groove verifiziert täglich um Mitternacht Pazifikzeit erneut und deaktiviert White-Labeling stillschweigend, wenn ein Eintrag kaputtgeht. Wenn Mail wieder auf 'via groovehq.com' umschlägt, wurde ein CNAME geändert oder entfernt (eine Registrar-Änderung, ein Umschalten des Cloudflare-Proxys) — fügen Sie ihn erneut hinzu und klicken Sie auf Test DNS.
- DNS-Einrichtung
Der Eintragssatz gilt pro Postfach. Jedes verbundene Postfach hat seinen eigenen Reiter SMTP-Konfiguration und seine eigenen CNAMEs — authentifizieren Sie jedes Postfach, aus dem Sie versenden, nicht nur das erste, das Sie eingerichtet haben.
- DNS-Einrichtung
Verdopplung im Host-Feld und die Google-Domains-Eigenheit: Geben Sie nur groove._domainkey ein, nicht groove._domainkey.yourdomain.com; Google Domains verlangt zusätzlich einen abschließenden Punkt am CNAME-Ziel.
- DNS-Einrichtung
Der Cloudflare-Proxy unterbricht die CNAME-Auflösung. Stellen Sie jeden Groove-CNAME auf 'DNS only' (graue Wolke) — ein per orangefarbener Wolke proxyter CNAME löst nicht zum Groove-Host auf, und Test DNS bleibt Invalid.
- DNS-Einrichtung
Stapeln Sie keinen überflüssigen include:smtp.groovehq.com, wenn Sie den CNAME-Ablauf nutzen. Er verbraucht einen Ihrer 10 SPF-Lookups und bringt keine Ausrichtung; Groove selbst weist veraltete SPF/DKIM-Nutzer an, auf die CNAMEs zu migrieren.
- Bricht die Authentifizierung
Nur ein DMARC-Eintrag pro Domain. Groove bietet in seinem Ablauf einen DMARC-TXT an — überspringen Sie ihn, wenn Sie bereits _dmarc veröffentlichen, denn zwei DMARC-Einträge sind ungültig und keiner davon greift.
Erstellen Sie Ihren SPF-Eintrag
Groove benötigt kein SPF-include: auf Ihrer Root-Domain — nutzen Sie den Generator, um für Ihre übrigen Absender einen sauberen Eintrag zusammenzustellen, und halten Sie ihn auf einer einzigen Zeile.
Sending sources
Search for each platform you send email through and tick it.
Search for your email platform above, or .
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
No senders yet, so every message would hit the ~all policy. Add the platforms you send through in step 1.
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listGroove SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.