SPF, DKIM und DMARC für Google Workspace: Schritt für Schritt
Dies ist die praktische, Schritt-für-Schritt-Version — wer zuerst verstehen möchte, was SPF, DKIM und DMARC eigentlich tun, liest diese Leitfäden. Dieser hier behandelt nur die Google-Workspace-spezifischen Einträge und Klicks.
SPF für Google Workspace
Fügen Sie einen einzelnen TXT-Eintrag an der Wurzel Ihrer Domain hinzu:
v=spf1 include:_spf.google.com ~all
Versenden Sie auch über andere Dienste (ein CRM, ein Helpdesk, ein Marketing-Tool), fügen Sie deren includes demselben Eintrag hinzu — eine Domain kann nur einen SPF-Eintrag haben, ein zweiter erweitert nichts, sondern bricht die Validierung.
DKIM für Google Workspace
- Gehen Sie in der Admin-Konsole zu Apps → Google Workspace → Gmail → E-Mail authentifizieren
- Erzeugen Sie einen neuen Eintrag — wählen Sie, falls angeboten, einen 2048-Bit-Schlüssel; das ist die stärkere Option, und Google unterstützt sie
- Google gibt Ihnen einen TXT-Eintrag: einen Hostnamen (den Selector, etwa google._domainkey) und einen langen Wert
- Fügen Sie genau diesen TXT-Eintrag zu Ihrem DNS hinzu
- Klicken Sie zurück in der Admin-Konsole auf „Authentifizierung starten“ — allein das Hinzufügen des DNS-Eintrags schaltet die DKIM-Signierung nicht ein
DMARC für Google Workspace
DMARC wird innerhalb von Google Workspace überhaupt nicht konfiguriert — es ist ein gewöhnlicher DNS-TXT-Eintrag unter _dmarc.ihredomain.de. Beginnen Sie mit p=none, um zu überwachen, ohne die Zustellung zu beeinflussen; unser DMARC-Leitfaden erklärt die Wahl der rua-Adressen und den Übergang zu einer strengeren Richtlinie.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Alle drei überprüfen
Sobald die Einträge veröffentlicht und die DKIM-Authentifizierung gestartet ist, bestätigt eine E-Mail-Sicherheitsprüfung, dass SPF, DKIM und DMARC korrekt auflösen und übereinstimmen.
Fehler, die diese Einrichtung zerstören
- Ein verbliebener SPF-Eintrag eines früheren E-Mail-Anbieters, der zwei SPF-TXT-Einträge statt eines zusammengeführten erzeugt
- Der DKIM-TXT-Eintrag wird hinzugefügt, aber „Authentifizierung starten“ in der Admin-Konsole nie angeklickt — Google signiert ausgehende Mail erst, wenn das geschieht
- Der DKIM-Status wird sofort nach dem Hinzufügen des Eintrags geprüft, bevor DNS propagiert ist — Googles eigene Prüfung kann aus Gründen fehlschlagen, die nichts mit einem falschen Eintrag zu tun haben
Ihre Einrichtung überprüfen
Sehen Sie die Theorie in der Praxis — führen Sie E-Mail-Sicherheitsprüfung für Ihre eigene Domain aus.