Die drei Einträge arbeiten zusammen: SPF legt fest, welche Server mit Ihrer Domain versenden dürfen. DKIM versieht jede Mail mit einer Signatur, deren öffentlicher Schlüssel im DNS steht. DMARC sagt dem Empfänger, was mit Mails passieren soll, die weder über SPF noch über DKIM zu Ihrer Domain passen. Die Grundlagen erklären wir in der allgemeinen Anleitung zu SPF, DKIM und DMARC.
Gmail und Yahoo verlangen seit Februar 2024 von Massenversendern (ab etwa 5.000 Mails pro Tag) SPF, DKIM und DMARC, Microsoft stellt seit Mai 2025 für Outlook.com und Hotmail ähnliche Anforderungen. Auch bei kleinem Volumen gilt: Ohne saubere Authentifizierung landen Mails schneller im Spam – gerade bei GMX, WEB.DE und T-Online.
Vorab: Die Einträge setzen Sie bei Ihrem DNS-Anbieter
Google Workspace verwaltet kein DNS für Ihre Domain (außer Sie haben die Domain direkt bei Google gekauft). Die Admin-Konsole erzeugt nur die Werte – eingetragen werden sie dort, wo die Nameserver Ihrer Domain hinzeigen. In Deutschland ist das typischerweise der Webhoster, bei dem auch die Website liegt:
- IONOS, STRATO, ALL-INKL: Die DNS-Verwaltung finden Sie in unseren Anleitungen für IONOS, STRATO und ALL-INKL. Die Bedienschritte dort gelten auch für Google-Einträge.
- Cloudflare oder anderer DNS-Dienst: Zeigen die Nameserver dorthin, gelten nur die Einträge dort, nicht die beim Registrar.
Welche Einträge gerade tatsächlich veröffentlicht sind, zeigt unser kostenloser Domain-Check – er kennt auch den Google-Selektor google.
Einrichtung Schritt für Schritt
MX-Eintrag prüfen
Damit Mails an Ihre Domain bei Google ankommen, braucht die Domain den MX-Eintrag von Google. Für neue Einrichtungen nennt Google einen einzigen Wert:
| Typ | Name | Wert | Priorität |
|---|---|---|---|
| MX | (leer bzw. @) | smtp.google.com | 1 |
Ältere Workspace-Domains nutzen noch fünf Einträge, die mit aspmx beginnen (etwa aspmx.l.google.com). Laut Google werden diese weiterhin unterstützt – Sie müssen nicht umstellen.
Warum prüfen: Beim Umzug zu Google bleiben oft die alten MX-Einträge des Hosters stehen. Dann landet ein Teil der eingehenden Mails im alten Hoster-Postfach, das niemand mehr liest. Entfernen Sie alle MX-Einträge, die nicht zu Google gehören.
SPF-Eintrag anlegen oder ergänzen
Versenden Sie ausschließlich über Google Workspace, empfiehlt Google genau diesen TXT-Eintrag auf der Domain selbst (Name leer bzw. @):
v=spf1 include:_spf.google.com ~all
Häufig verschickt aber noch etwas anderes mit Ihrer Domain: das Kontaktformular der Website über den Mailserver des Hosters, ein Shop-System, ein Rechnungsprogramm. Dann gehören alle in einen Eintrag:
| Hoster | SPF mit Google und Hoster |
|---|---|
| IONOS | v=spf1 include:_spf.google.com include:_spf-eu.ionos.com ~all |
| STRATO | v=spf1 include:_spf.google.com include:_spf.strato.com ~all |
| ALL-INKL | v=spf1 include:_spf.google.com include:spf.kasserver.com ~all |
Läuft über den Hoster gar kein Versand mehr, nehmen Sie dessen include heraus. Google empfiehlt ~all am Ende, nicht -all.
Warum nur ein Eintrag: Pro Domain ist genau ein SPF-Eintrag erlaubt, und er darf höchstens 10 DNS-Abfragen auslösen. _spf.google.com kostet derzeit nur eine Abfrage, weil Google darin die IP-Bereiche direkt auflistet. Viele Newsletter-Dienste wie Brevo brauchen gar kein SPF-include auf Ihrer Domain, weil sie DMARC über DKIM bestehen.
DKIM-Schlüssel in der Admin-Konsole erzeugen
Melden Sie sich mit einem Super-Admin-Konto in der Google Admin-Konsole (admin.google.com) an und öffnen Sie Menü → Apps → Google Workspace → Gmail → E-Mail authentifizieren.
- Unter Ausgewählte Domain Ihre Domain wählen.
- Neuen Eintrag erstellen klicken.
- Schlüssellänge 2.048 wählen, wenn Ihr DNS-Anbieter das unterstützt, sonst 1.024.
- Das Präfix (den Selektor) auf
googlelassen und Erstellen klicken.
Die Konsole zeigt jetzt den DNS-Hostnamen und einen langen TXT-Wert, der mit v=DKIM1 beginnt. Klicken Sie noch nicht auf „Authentifizierung starten“.
Gerade erst eingerichtet? Laut Google sollten Sie nach dem Aktivieren von Gmail 24 bis 72 Stunden warten, bevor Sie den Schlüssel erzeugen. Vorher kann eine Fehlermeldung erscheinen, dass der DKIM-Eintrag nicht erstellt wurde.
DKIM-Eintrag im DNS speichern
Legen Sie bei Ihrem DNS-Anbieter einen neuen TXT-Eintrag an:
| Typ | Name | Wert | Hinweis |
|---|---|---|---|
| TXT | google._domainkey | v=DKIM1; k=rsa; p=MIIBIjAN… | Wert komplett aus der Konsole kopieren |
Im Feld Name tragen Sie bei den meisten Anbietern nur google._domainkey ein, nicht google._domainkey.ihre-domain.de – sonst entsteht ein doppelter Domainname.
Achtung bei langen Schlüsseln: Ein einzelner Textblock in einem TXT-Eintrag darf höchstens 255 Zeichen haben, ein 2.048-Bit-Schlüssel ist länger. Gute DNS-Verwaltungen teilen den Wert automatisch auf. Wird der Wert beim Speichern abgeschnitten oder abgelehnt, erzeugen Sie in der Konsole einen 1.024-Bit-Schlüssel. Bei ALL-INKL fasst das Feld laut Anbieter bis zu 512 Zeichen, das reicht für 2.048 Bit.
„Authentifizierung starten“ klicken
Warten Sie, bis der Eintrag im DNS sichtbar ist – oft nach Minuten, laut Google bis zu 48 Stunden. Öffnen Sie dann erneut E-Mail authentifizieren, wählen Sie die Domain und klicken Sie auf Authentifizierung starten. Der Status wechselt auf „E-Mail wird mit DKIM authentifiziert“.
Die Warnung „Sie müssen die DNS-Einträge für diese Domain aktualisieren“ kann laut Google bis zu 48 Stunden stehen bleiben, auch wenn der Schlüssel korrekt eingetragen ist.
Warum dieser Schritt so wichtig ist: Bis Sie ihn ausführen, signiert Google Ihre Mails nur mit einer Standardsignatur auf einer Google-Domain (gappssmtp.com). Diese passt nicht zu Ihrer Absenderdomain, DMARC kann sich dann nur auf SPF stützen – und SPF bricht bei jeder Weiterleitung. Der DNS-Eintrag allein reicht nicht; erst der Klick schaltet die Signatur mit Ihrer Domain ein.
DMARC unter _dmarc anlegen
Google Workspace legt keinen DMARC-Eintrag an. Erstellen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag mit dem Namen _dmarc. Ein sinnvoller Start:
v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de
Gibt es schon einen DMARC-Eintrag (manche Hoster legen p=none als Standard an), bearbeiten Sie diesen, statt einen zweiten anzulegen. Werten Sie die Berichte einige Wochen aus. Erscheinen darin nur noch Ihre eigenen, korrekt authentifizierten Versender, stellen Sie auf p=quarantine und später auf p=reject um.
Tipp: Legen Sie für die Berichte in Workspace eine Gruppe oder einen Alias an, nicht das Postfach einer Person. Die täglichen XML-Berichte von Google, Microsoft und anderen füllen sonst den Posteingang.
Testen
Google empfiehlt, eine Testmail an ein Gmail-Postfach außerhalb Ihrer Organisation zu schicken und dort über Original anzeigen die Zeile „Authentication-Results“ zu prüfen. Dort sollten spf=pass, dkim=pass und dmarc=pass stehen, und bei DKIM sollte header.d= Ihre eigene Domain zeigen.
Schneller geht es mit unserem kostenlosen E-Mail-Spam-Test: Mail aus Workspace an die Testadresse schicken, und der Bericht zeigt SPF, DKIM, DMARC mit Domain-Abgleich, Absender-Server und Sperrlisten. Die DNS-Einträge allein prüft der SPF-, DKIM- und DMARC-Check.
Typische Fehler mit Google Workspace
- DKIM nie gestartet: Der TXT-Eintrag steht im DNS, aber in der Konsole wurde nie „Authentifizierung starten“ geklickt. Mails tragen dann nur die Google-Standardsignatur, und DMARC hängt allein an SPF.
- Zweiter SPF-Eintrag: Zum Hoster-SPF kommt ein zweiter TXT-Eintrag mit
v=spf1 include:_spf.google.com ~allhinzu. Ergebnis: SPF schlägt für beide fehl. Zusammenführen statt doppeln. - Kontaktformular vergessen: Nach dem Umzug zu Google wird das Hoster-
includeentfernt, die Website verschickt ihre Formularmails aber weiter über den Hoster. Die landen dann im Spam oder werden beip=rejectabgewiesen. Entweder dasincludebehalten oder das Formular per SMTP über Workspace senden lassen. - Abgeschnittener Schlüssel: Die DNS-Maske kürzt den 2.048-Bit-Wert stillschweigend. DKIM schlägt dann mit „bad signature“ oder „no key“ fehl. Nach dem Speichern den Eintrag mit dem Domain-Check abfragen.
- Alte MX-Einträge: Neben
smtp.google.comstehen noch MX-Einträge des Hosters. Ein Teil der eingehenden Post landet im alten Postfach. - Zu frühes
p=reject: Wer verschärft, bevor alle Versender (Formular, Rechnungen, Newsletter) DKIM mit Ihrer Domain signieren, sperrt eigene Mails aus.
Newsletter über Google Workspace verschicken?
Workspace ist für die tägliche Korrespondenz gebaut, nicht für Newsletter. Google nennt pro Nutzer ein Limit von 2.000 Mails am Tag und höchstens 3.000 externen Empfängern pro Tag, in der Testphase nur 500. Ist ein Limit erreicht, kann das Konto bis zu 24 Stunden lang nichts mehr senden – auch keine normalen Geschäftsmails.
Hinzu kommt: Ein Newsletter braucht einen One-Click-Abmeldelink, Bounce-Verarbeitung und Statistiken. Für den Versand an Listen ist ein spezialisierter Dienst die bessere Wahl. Er versendet mit eigener DKIM-Signatur für Ihre Domain und trennt die Reputation der Newsletter von der Ihrer Geschäftspost. Einen Überblick gibt unser Vergleich der E-Mail-Marketing-Software, die Einrichtung eines Anbieters zeigen wir am Beispiel Brevo.
Signiert Google schon mit Ihrer Domain? Schicken Sie eine Mail aus Workspace an unsere Testadresse – der Bericht zeigt SPF, DKIM und DMARC samt Domain-Abgleich.
E-Mail-Test startenWie es weitergeht
Mit sauberer Authentifizierung ist die technische Grundlage gelegt. Ob Ihre Mails im Posteingang landen, entscheiden danach vor allem Reputation, Inhalt und Beschwerderate. Einen Blick aus Gmail-Sicht geben die Google Postmaster Tools, sobald Sie genug Mails an Gmail-Nutzer schicken. Kommen Mails bei deutschen Anbietern nicht an, hilft Mails kommen nicht an: GMX, WEB.DE und T-Online. Nutzen Sie Microsoft statt Google, lesen Sie unsere Anleitung für Microsoft 365.
Häufige Fragen
- Richtet Google Workspace SPF, DKIM und DMARC automatisch ein?
- Nein, außer Sie haben die Domain direkt bei Google gekauft. Die Admin-Konsole erzeugt den DKIM-Schlüssel, alle drei Einträge tragen Sie aber selbst bei Ihrem DNS-Anbieter ein. DKIM müssen Sie danach in der Konsole zusätzlich mit „Authentifizierung starten“ aktivieren.
- Welcher SPF-Eintrag ist für Google Workspace richtig?
- Wenn nur Google mit Ihrer Domain versendet: v=spf1 include:_spf.google.com ~all. Versendet zusätzlich der Hoster, etwa für das Kontaktformular, ergänzen Sie dessen include im selben Eintrag. Pro Domain darf es nur einen SPF-Eintrag geben.
- Wie lautet der DKIM-Selektor von Google Workspace?
- Standardmäßig google, der DNS-Name ist also google._domainkey. Sie können in der Admin-Konsole ein anderes Präfix wählen, etwa wenn der Name schon belegt ist.
- 2.048 oder 1.024 Bit für den DKIM-Schlüssel?
- Google empfiehlt 2.048 Bit, weil der Schlüssel sicherer ist. Nur wenn Ihr DNS-Anbieter so lange TXT-Werte nicht speichern kann, weichen Sie auf 1.024 Bit aus.
- Wie viele Mails darf ich mit Google Workspace pro Tag verschicken?
- Laut Google bis zu 2.000 Mails pro Nutzer und Tag, an höchstens 3.000 externe Empfänger; in der Testphase sind es 500. Für Newsletter ist ein spezialisierter Versanddienst besser geeignet.