Kurz gesagt
Google Workspace braucht neben dem MX-Eintrag drei TXT-Einträge. SPF legt fest, wer senden darf, DKIM signiert jede Mail, DMARC regelt den Umgang mit Fälschungen und schickt Ihnen Berichte.
- Reihenfolge: MX und SPF, dann DKIM, zuletzt DMARC
- nur ein SPF-Eintrag pro Domain, alle Absender darin
- DKIM in der Admin-Konsole starten, sobald der Schlüssel im DNS steht
- DMARC mit
p=nonebeginnen und nach Auswertung verschärfen
Was SPF, DKIM und DMARC tun
Alle drei sind TXT-Einträge im DNS Ihrer Domain. Sie setzen sie dort, wo Ihre DNS-Zone liegt, beim Domainanbieter oder Hoster. Empfangende Mailserver lesen sie bei jeder eingehenden Nachricht.
| Eintrag | Beantwortet | Liegt unter |
|---|---|---|
| SPF | Welche Server dürfen mit Ihrer Domain senden? | der Domain selbst |
| DKIM | Stammt die Mail von Ihrer Domain und ist sie unverändert? | google._domainkey |
| DMARC | Was passiert mit Mails, die SPF und DKIM nicht passend bestehen? | _dmarc |
Sind SPF, DKIM und DMARC Pflicht?
Seit Februar 2024 verlangen Google und Yahoo sie von Massenversendern, also von Absendern mit etwa 5.000 Mails oder mehr pro Tag an private Postfächer. Microsoft hat seit Mai 2025 für Outlook.com, Hotmail und Live dieselbe Grenze. Diese Absender müssen SPF und DKIM bestehen und eine DMARC-Richtlinie veröffentlichen.
Ein Betrieb mit 20 oder 50 Mitarbeitern liegt meist deutlich darunter. Trotzdem prüfen die großen Mailanbieter jede Nachricht auf diese Einträge. Fehlen sie, steigt das Risiko, im Spam zu landen, und Fremde können leichter Mails verschicken, die aussehen, als kämen sie von Ihnen.
Die Einträge für Google Workspace im Einzelnen
Die Reihenfolge zählt: erst MX und SPF, dann DKIM, zuletzt DMARC.
-
MX: Mails empfangen
Ein MX-Eintrag auf der Domain:
smtp.google.commit Priorität 1. Alte MX-Einträge des bisherigen Anbieters werden entfernt. -
SPF: Absender festlegen
Ein TXT-Eintrag auf der Domain mit
include:_spf.google.com, ergänzt um alle weiteren Dienste, die mit Ihrer Domain senden. -
DKIM: Mails signieren
In der Admin-Konsole unter Apps › Google Workspace › Gmail › E-Mails authentifizieren einen 2048-Bit-Schlüssel erzeugen, unter
google._domainkeyeintragen, dann „Authentifizierung starten“. -
DMARC: Richtlinie setzen
Ein TXT-Eintrag unter
_dmarc, zum Start nur beobachtend mitp=noneund einer Adresse für die Berichte.
| Typ | Host | Wert | Prio |
|---|---|---|---|
| MX | @ | smtp.google.com | 1 |
| TXT | @ | v=spf1 include:_spf.google.com ~all | |
| TXT | google._domainkey | Schlüssel aus der Admin-Konsole | |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de |
@ steht für die Domain selbst. Manche Oberflächen erwarten dort ein leeres Feld oder den Domainnamen. Die ältere Variante mit fünf MX-Einträgen (aspmx.l.google.com …) funktioniert weiterhin.
Ein SPF-Eintrag für alle Absender
Neben Gmail senden oft weitere Dienste mit Ihrer Domain: Newsletter-Tool, Kontaktformular der
Website, CRM, Buchhaltung oder Ticketsystem. Ihre Angaben gehören alle in denselben SPF-Eintrag,
etwa v=spf1 include:_spf.google.com include:… ~all. Dabei gilt eine Grenze von zehn
DNS-Abfragen. Jedes include zählt mit, auch die verschachtelten. Wird sie
überschritten, schlägt SPF fehl.
DMARC in drei Stufen
| Stufe | Wirkung | Wann |
|---|---|---|
p=none | beobachtet nur, Berichte an die rua-Adresse | zum Start |
p=quarantine | Fälschungen gehen in den Spam | wenn alle eigenen Dienste sauber sind |
p=reject | Fälschungen werden abgelehnt | nach einigen weiteren Wochen Auswertung |
Typische Fehler, und warum Mails dann im Spam landen
-
Zwei SPF-Einträge
Der alte Hoster hat einen SPF-Eintrag gesetzt, Google Workspace bekommt einen zweiten dazu. Gibt es mehr als einen, ist SPF ungültig, für alle Absender.
-
Vergessenes Kontaktformular
Die Website verschickt Anfragen als
info@ihre-domain.de, aber über den Webserver. Der steht in keinem SPF-Eintrag und signiert nicht, die Anfragen landen im Spam. -
DKIM erzeugt, aber nie gestartet
Der Schlüssel steht im DNS, in der Admin-Konsole wurde aber nie „Authentifizierung starten“ geklickt. Dann signiert Gmail nicht, obwohl alles eingerichtet aussieht.
-
DMARC zu früh auf reject
Wer ohne Auswertung direkt
p=rejectsetzt, sperrt auch eigene Mails aus Diensten, an die niemand gedacht hat: Rechnungen, Terminbestätigungen, Newsletter.
Häufige Fragen
Wie lautet der SPF-Eintrag für Google Workspace?
Ein TXT-Eintrag auf der Domain mit dem Inhalt v=spf1 include:_spf.google.com ~all. Versenden weitere Dienste mit Ihrer Domain, etwa ein Newsletter-Tool oder das Kontaktformular der Website, gehören deren Angaben in denselben Eintrag. Pro Domain darf es nur einen SPF-Eintrag geben.
Wo richte ich DKIM in Google Workspace ein?
In der Admin-Konsole unter Apps › Google Workspace › Gmail › E-Mails authentifizieren. Dort erzeugen Sie einen Schlüssel (möglichst 2048 Bit), tragen ihn als TXT-Eintrag unter google._domainkey ein und klicken nach der DNS-Übernahme auf „Authentifizierung starten“.
Brauche ich DMARC, wenn ich keine Newsletter verschicke?
Pflicht ist DMARC bei Google und Yahoo für Absender mit rund 5.000 Mails pro Tag und mehr. Für normale Geschäftspost ist es trotzdem sinnvoll: Empfänger bewerten authentifizierte Mails besser, und Sie sehen in den Berichten, wer in Ihrem Namen sendet.
Warum landen unsere Google-Workspace-Mails im Spam?
Häufige Ursachen sind ein fehlender oder doppelter SPF-Eintrag, DKIM, das nie gestartet wurde, oder Dienste wie Kontaktformular und CRM, die mit Ihrer Domain senden, ohne berechtigt zu sein. Auch Inhalt und Versandverhalten spielen mit. Wir prüfen zuerst die Einträge und die Kopfzeilen einer betroffenen Mail.
Was kostet die Einrichtung?
Beim Umzug zu Google Workspace sind SPF, DKIM und DMARC für eine Domain in der Grundpauschale enthalten, jede weitere Domain kostet 99 € zzgl. MwSt. Die DMARC-Auswertung gehört zur laufenden Betreuung. In der laufenden Betreuung pflegen wir die Einträge mit, wenn neue Dienste dazukommen. Mehr unter Preise.
Google Workspace und Gmail sind Marken von Google LLC. VEZOZA ist mit Google nicht verbunden.