Google Workspace · SPF, DKIM und DMARC
DMARC für Google Workspace: erst signieren, dann blockieren.
Google empfiehlt, SPF und DKIM mindestens 48 Stunden vor DMARC einzurichten. Entscheidend ist danach nicht der TXT-Eintrag allein, sondern eine echte externe Testmail und mindestens eine repräsentative Woche DMARC-Berichte.
Geprüft: 19. Juli 2026 · Primärquellen am Seitenende
Google und alle Drittanbieter inventarisieren
Erfassen Sie neben Gmail auch Newsletter, CRM, Rechnungssoftware, Supportsysteme, Website-Formulare und Geräte. Jeder Dienst muss später SPF oder DKIM mit passender sichtbarer Absenderdomain bestehen.
SPF für alle legitimen Quellen prüfen
Veröffentlichen Sie genau einen SPF-Eintrag und erlauben Sie nur Systeme, die tatsächlich senden. Das gezeigte Google-Beispiel gilt nur, wenn Google Workspace Ihr einziger Absender ist. Ergänzen Sie Drittanbieter nach deren Dokumentation; ein zweiter SPF-Eintrag macht die Auswertung ungültig.
v=spf1 include:_spf.google.com ~allDKIM-Schlüssel in der Admin-Konsole erzeugen
Öffnen Sie Apps > Google Workspace > Gmail > E-Mail authentifizieren. Wählen Sie die Domain und erzeugen Sie einen neuen Eintrag. Google empfiehlt 2048 Bit, sofern Ihr DNS-Anbieter diese Länge unterstützt; der Standardselektor ist google.
google._domainkeyTXT-Eintrag veröffentlichen und Authentifizierung starten
Kopieren Sie Hostname und TXT-Wert exakt zum DNS-Host. Kehren Sie nach der DNS-Erkennung zur Admin-Konsole zurück und klicken Sie auf Authentifizierung starten. Der veröffentlichte Schlüssel allein aktiviert die Signatur nicht.
Mit einer externen Testmail prüfen
Senden Sie eine Nachricht an ein anderes Gmail- oder Workspace-Postfach und öffnen Sie dort das Original. Google weist ausdrücklich darauf hin, nicht an sich selbst zu testen. Im Authentication-Results-Header muss DKIM bestehen und zur sichtbaren Absenderdomain passen.
DMARC kontrolliert ausrollen
Warten Sie nach SPF und DKIM mindestens 48 Stunden, starten Sie DMARC mit p=none und prüfen Sie die Berichte täglich. Google nennt eine Woche als typische Ausgangsbasis. Wechseln Sie danach zuerst für einen kleinen Prozentsatz zu quarantine und erst später zu reject.
v=DMARC1; p=none; rua=mailto:dmarc@beispiel.chWichtig
DNS publiziert bedeutet noch nicht DKIM aktiv.
Nach dem TXT-Eintrag müssen Sie in der Google Admin-Konsole ausdrücklich die Authentifizierung starten. Prüfen Sie anschliessend eine extern empfangene Nachricht. Erst wenn Header und Berichte stimmen, sollte DMARC von p=none zu quarantine und später zu reject wechseln.
Wenn Sie den Schutz laufend überwachen wollen
Sehen Sie, wer wirklich in Ihrem Namen sendet.
DMARCTrust ist eine externe Plattform für DMARC-Berichte, Warnungen und Absender-Inventar. Die kostenlose Teststufe ist auf eine Domain begrenzt; bezahlte Business-Tarife starten bei $19 pro Monat für zwei Domains. Der MX-Audit-Score bleibt unabhängig.
Brauche ich für Google Workspace 2048-Bit-DKIM?
Google empfiehlt 2048 Bit, wenn Ihr DNS-Anbieter die Schlüssellänge unterstützt. Bei Anbietern mit einem zu kurzen TXT-Limit kann 1024 Bit nötig sein; übernehmen Sie die von Google erzeugten Werte exakt.
Warum kann ich keinen DKIM-Schlüssel erzeugen?
Google nennt nach dem Aktivieren von Gmail eine Wartezeit von 24 bis 72 Stunden, bevor ein DKIM-Schlüssel in der Admin-Konsole erzeugt werden kann.
Wie lange soll p=none laufen?
Google nennt mindestens eine Woche als typische Ausgangsbasis und empfiehlt eine tägliche Auswertung der Berichte. Seltene Monats- oder Kampagnenversender können eine längere Beobachtung erfordern.
Kann DMARC legitime Google-Workspace-Mails blockieren?
Ja, wenn SPF oder DKIM nicht zur sichtbaren Absenderdomain passt oder ein Drittanbieter fehlt. Deshalb empfiehlt Google zuerst p=none und danach einen kleinen Anteil mit quarantine.