So richten Sie DMARC für Google Workspace (Gmail) ein
von
Zuletzt aktualisiert: 8 Lesezeit: 8 Minuten
Wichtigste Erkenntnisse
- DMARC für Google Workspace teilt den empfangenden Servern mit, wie sie vorgehen sollen, wenn E-Mails von Ihrer Domain die SPF- oder DKIM-Prüfung nicht bestehen – sie sollen diese E-Mails unter Quarantäne stellen, ablehnen oder lediglich melden.
- Google Workspace übernimmt die Zustellung ausgehender E-Mails, richtet DMARC jedoch nicht für Sie ein; dabei handelt es sich um einen DNS-Eintrag, den Sie selbst bei Ihrem Domain-Host veröffentlichen müssen.
- DMARC setzt voraus, dass SPF und DKIM bereits eingerichtet sind. Es kann nicht funktionieren, wenn nicht mindestens eines davon übereinstimmt.
- Sie veröffentlichen DMARC als TXT-Eintrag, beginnend mit „p=none“ für Überwachungszwecke.
- Seit Inkrafttreten der Google-Regelungen für Massenversender aus dem Jahr 2024 müssen Domains, die täglich mehr als 5.000 E-Mails an Gmail versenden, über DMARC verfügen; dies ist nicht mehr optional.
- Wechseln Sie erst dann von „p=none“ über „p=quarantine“ zu „p=reject“, wenn durch Berichte bestätigt wurde, dass Ihre legitimen Absender die Prüfung bestanden haben.
DMARC für Google Workspace (Gmail) teilt den empfangenden Servern mit, wie sie vorgehen sollen, wenn E-Mails von Ihrer Domain die SPF- oder DKIM-Prüfung nicht bestehen – ob sie diese in Quarantäne stellen, ablehnen oder lediglich melden sollen. Google Workspace übernimmt die Zustellung ausgehender E-Mails und die Generierung von DKIM-Schlüsseln, veröffentlicht jedoch keinen DMARC-Eintrag für Sie. Dieser Teil besteht aus einem DNS-Eintrag, den Sie selbst einrichten, und er ist das Einzige, was zwischen Ihrer Domain und Spoofing-Angriffen steht.
Seit Inkrafttreten der Google-Anforderungen für Massenversender aus dem Jahr 2024 ist DMARC für Versender mit hohem Versandvolumen nicht mehr optional – jede Domain, die täglich 5.000 oder mehr Nachrichten an Gmail versendet, muss über einen gültigen DMARC-Eintrag verfügen, da sonst die Gefahr einer Ablehnung besteht.
Wenn Sie wissen möchten, wie Sie DMARC speziell für Gmail einrichten, ist der Vorgang derselbe: Gmail nutzt die E-Mail-Infrastruktur von Google, daher gelten die folgenden Einrichtungsschritte unabhängig davon, ob Sie einen privaten Google Workspace-Tarif nutzen oder E-Mails über Gmail for Business versenden. Dieser Leitfaden deckt alles ab, was Sie benötigen – die Voraussetzungen für SPF und DKIM, den genauen zu veröffentlichenden Eintrag, eine Erläuterung aller Tags sowie eine Schritt-für-Schritt-Anleitung von der Überwachung (p=none) bis zur vollständigen Durchsetzung (p=reject), einschließlich Eintragsbeispielen und den häufigsten Fehlern, die den E-Mail-Fluss unterbrechen können.
Was ist DMARC und warum wird es für Google Workspace benötigt?
DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist ein DNS-basierter Standard zur E-Mail-Authentifizierung, der SPF und DKIM miteinander verknüpft, den empfangenden Servern mitteilt, wie sie mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen, und Ihnen Berichte darüber sendet, wer Ihre Domain zum Versenden von E-Mails nutzt.
Das wird oft übersehen: Google Workspace sichert den Transport. Es verschlüsselt Verbindungen mit TLS, filtert eingehenden Spam und stellt Ihre ausgehenden E-Mails zuverlässig zu. DMARC hingegen ist eine Kontrolle auf Domain-Ebene Kontrollmechanismus, den nur der Domain-Inhaber einrichten kann. Google veröffentlicht keinen DMARC-Eintrag für Sie, und keine noch so umfangreiche Spam-Filterung seitens Google hindert einen Angreifer daran, Ihre Domain zu fälschen, um Phishing-E-Mails an andere Personen zu versenden. Genau diese Lücke schließt DMARC.
Es ist auch nicht mehr optional. Gemäß Googles Anforderungen für Massenversender , die im Februar 2024 eingeführt wurden und weiter verschärft werden, muss jede Domain, die täglich 5.000 oder mehr Nachrichten an Gmail-Adressen versendet, einen DMARC-Eintrag veröffentlichen; andernfalls wird Google die E-Mails zurückweisen. Selbst unterhalb dieser Schwelle ist DMARC mittlerweile die Grundvoraussetzung für eine gute Zustellbarkeit.
Wenn Sie eine umfassende konzeptionelle Erklärung wünschen, lesen Sie unseren ausführlichen Leitfaden zum Thema Was ist DMARC.
Voraussetzungen: Richten Sie zunächst SPF und DKIM ein
DMARC authentifiziert E-Mails nicht eigenständig. Es baut auf SPF und DKIM auf und setzt deren Ergebnis durch. Damit DMARC den Test besteht, muss mindestens eines dieser Verfahren den Test bestehen und mit Ihrer Domain übereinstimmen. Bevor Sie also einen DMARC-Eintrag veröffentlichen, sollten Sie diese beiden Maßnahmen umsetzen. Nachfolgend finden Sie die Kurzfassungen; jede enthält einen Link zur vollständigen Anleitung.
SPF für Google Workspace (Schnelleinrichtung)
SPF ist ein einzelner TXT-Eintrag in Ihrer Root-Domain, der die Server auflistet, die E-Mails in Ihrem Namen versenden dürfen. Für Google Workspace lautet der erforderliche Eintrag:
v=spf1 include:_spf.google.com ~all
„v=spf1“ eröffnet den Eintrag, „include:_spf.google.com“ autorisiert die E-Mail-Server von Google, und „~all“ lässt alles andere mit einem Soft-Fail durch. Wenn Sie E-Mails über zusätzliche Dienste versenden, fügen Sie deren „include“-Einträge demselben Eintrag hinzu (erstellen Sie niemals einen zweiten SPF-Eintrag):
v=spf1 include:_spf.google.com include:servers.mcsv.net include:sendgrid.net ~all
Einen umfassenden Überblick über das „Flattening“, Lookups und Randfälle finden Sie in unserem vollständigen SPF-Eintrag für Google Workspace an.
DKIM für Google Workspace (Schnelleinrichtung)
DKIM fügt Ihren ausgehenden E-Mails eine kryptografische Signatur hinzu. Google Workspace generiert den Schlüssel für Sie; Sie veröffentlichen ihn im DNS:
- Gehen Sie in der Admin-Konsole zu „Apps“ → „Google Workspace“ → „Gmail“ → „E-Mail-Authentifizierung“.
- Wählen Sie Ihre Domain aus und klicken Sie auf „Neuen Eintrag generieren“ (2048 Bit werden empfohlen).
- Kopieren Sie den von Google generierten TXT-Eintrag. Dieser besteht aus einem Hostnamen wie „google._domainkey“ und einem langen Wert, der mit „v=DKIM1; k=rsa; p=…“ beginnt.
- Veröffentlichen Sie diesen TXT-Eintrag bei Ihrem DNS-Anbieter.
- Kehren Sie zur Admin-Konsole zurück und klicken Sie auf „Authentifizierung starten“.
Der Datensatz sieht folgendermaßen aus:
Host/Name: google._domainkey.yourdomain.com
Type: TXT
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...
Eine vollständige Anleitung finden Sie unter: So DKIM für Ihre Domain einrichten.
Note: Google Workspace handles DKIM signing (you generate the key in the Admin Console) and SPF is a DNS record you publish yourself, but Google does not create or publish a DMARC record for your domain. That part is entirely on you, and it's what the rest of this guide covers.
So richten Sie einen DMARC-Eintrag für Google Workspace ein
Sobald SPF und DKIM eingerichtet sind, sind Sie bereit für DMARC. Hier finden Sie den vollständigen Ablauf Schritt für Schritt.
Schritt 1: Erstellen Sie Ihren DMARC-Eintrag
Ein DMARC-Eintrag ist ein einzelner TXT-Eintrag, der aus Tags besteht. Ein einfacher Einstiegseintrag sieht wie folgt aus:
v=DMARC1; p=none; rua=mailto:[email protected];
Sie können dies visuell mit unserem DMARC-Generatorvisuell erstellen, der die Syntax für Sie zusammenstellt. Hier erfahren Sie, welche Funktion die einzelnen Tags haben:
- v: dient zur Festlegung der Protokollversion, die immer DMARC1 ist. Dies ist ein obligatorisches Tag.
- p: dient zur Festlegung des DMARC-Richtlinienmodus und ist ebenfalls ein obligatorisches Tag.
- rua: wird verwendet, um die Sammeladresse für die Berichterstellung anzugeben. Dies ist ein optionales Tag, dessen Verwendung jedoch zur Überwachung der Authentifizierungsergebnisse dringend empfohlen wird.
Note: The one tag people misread is p. p=none, which is the starting point, not the end state, as it only monitors and reports, it doesn't protect anything yet. The goal is to reach p=reject without breaking mail flow.
Schritt 2: Den Eintrag im DNS veröffentlichen
DMARC wird in Ihrem DNS eingerichtet, und zwar bei Ihrem Domain-Registrar oder DNS-Host, und nicht in der Google Admin-Konsole. DMARC ist ein DNS-Eintrag, keine Google Workspace-Einstellung. Fügen Sie in Ihrem DNS-Panel Folgendes hinzu:
| # | Feld | Wert |
|---|---|---|
| 1. | Typ | TXT |
| 2. | Host/Name | _dmarc (viele Control Panels fügen automatisch Ihre Domain hinzu → _dmarc.IhreDomain.com) |
| 3. | Wert | v=DMARC1; p=keine; rua=mailto:[email protected] |
| 4. | TTL | 3600 oder Standardwert beibehalten |
Lass es einfach so. Die DNS-Verbreitung kann bis zu 48 Stunden dauern, ist aber in der Regel viel schneller – oft schon innerhalb einer Stunde.
Schritt 3: Überprüfen Sie Ihren DMARC-Eintrag
Überprüfen Sie nach der Veröffentlichung mit unserem DMARC-Record-Checker. Bei erfolgreicher Überprüfung wird Ihr Eintrag angezeigt und die Gültigkeit der Syntax bestätigt. Beispielsweise werden die erkannte Richtlinie „p=none“, eine gültige RUA-Meldungsadresse und das Fehlen von Syntaxfehlern angezeigt. Falls der Checker den Eintrag nicht finden kann, warten Sie etwas länger, bis die DNS-Änderungen übernommen wurden, oder überprüfen Sie das Feld „Host/Name“ noch einmal.
Schritt 4: Berichte überprüfen, bevor Maßnahmen ergriffen werden
Wenn „p=none“ aktiviert ist, senden Google und andere empfangende Server aggregierte (RUA-)Berichte an die in Ihrem RUA-Tag angegebene Adresse. Diese zeigen alle Absender an, die E-Mails unter Ihrer Domain versenden, sowie an, ob die jeweiligen Absender die SPF- und DKIM-Überprüfung bestehen oder nicht.
Was Sie suchen: seriöse Quellen, bei denen es Probleme gibt. Eine Marketingplattform, ein CRM, ein Helpdesk-Tool oder ein Rechnungsdienst, den Sie tatsächlich nutzen, könnte Probleme mit der Abstimmung haben, weil dessen SPF oder DKIM noch nicht unter Ihrer Domain eingerichtet ist. Beheben Sie diese Probleme, bevor Sie die Regeln durchsetzen, da sonst durch die Umstellung auf Quarantäne oder Ablehnung auch Ihre eigenen E-Mails blockiert werden.
Da das DMARC-XML im Rohformat schwer zu lesen ist, können Sie unseren Anleitung zum Lesen von DMARC-Berichten zur Interpretation nutzen. Es empfiehlt sich, ein Überwachungsfenster von mindestens 2 bis 4 Wochen einzuplanen, damit Sie Ihren gesamten Versandzyklus erfassen können.
Schritt 5: Weiter zur Durchsetzung (p = Quarantäne, anschließend p = Ablehnung)
Sobald Ihre Berichte zeigen, dass alle legitimen Absender die Prüfung bestehen, verschärfen Sie die Richtlinien schrittweise:
- p=none → p=quarantine: Fehlerhafte E-Mails landen im Spam-Ordner statt im Posteingang. Sehen Sie sich die Berichte noch einmal an.
- p=Quarantäne → p=Ablehnen: Fehlerhafte E-Mails werden sofort blockiert. Hier setzt der eigentliche Schutz vor Spoofing ein.
Für eine noch sicherere Einführung verwenden Sie die t (t=y)-Tag, um Ihre Richtlinie zu testen, bevor Sie die maximale Durchsetzung aktivieren. Erfahren Sie mehr über die Auswahl und Anpassung Ihrer Durchsetzungsstufe in unserer DMARC-Richtlinien-Leitfaden Leitfaden.
Beispiele für DMARC-Einträge in Google Workspace
Drei Vorlagen, die Sie für Ihre aktuelle Phase direkt übernehmen können. Ersetzen Sie die E-Mail-Adressen durch Ihre eigenen.
Grundlegende Überwachung (Erste Schritte)
v=DMARC1; p=none; rua=mailto:[email protected];
Quarantäne mit Berichterstellung
v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=r; aspf=r;
Vollständige Durchsetzung
v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s;
Note: the strict alignment here (adkim=s, aspf=s) requires the domain in the DKIM signature or SPF to match your sending domain exactly, with no subdomains. Relaxed (r) allows subdomains to align. Example mail from mail.yourdomain.com still aligns with yourdomain.com. Use relaxed while you're stabilizing, and only switch to strict once you're certain every legitimate sender uses your exact domain.
Häufige Fehler bei DMARC in Google Workspace
DMARC veröffentlichen, ohne dass SPF oder DKIM eingerichtet sind
DMARC kann nichts durchsetzen, wenn weder SPF noch DKIM die Überprüfung bestehen und übereinstimmen. Wenn Sie DMARC zuerst einrichten – insbesondere bei den Einstellungen „Quarantäne“ oder „Ablehnen“ –, kann es passieren, dass Ihre eigenen E-Mails nicht mehr zugestellt werden. Stellen Sie immer zuerst sicher, dass SPF und DKIM funktionieren, und fügen Sie DMARC erst danach hinzu.
Auf p=none auf unbestimmte Zeit bleiben
„p=none“ dient lediglich der Überwachung; es blockiert nichts. Viele Domains veröffentlichen diese Einstellung, sehen, dass Berichte eingehen, und unternehmen keine weiteren Schritte. Spoofer bleiben davon unberührt, bis Sie „p=reject“ einstellen. Betrachten Sie „none“ als vorübergehende Überwachungsphase und nicht als Endziel.
Fehlende Absender von Drittanbietern in SPF/DKIM
Marketing-Tools, CRM-Systeme, Ticketingsysteme und Rechnungsstellungsdienste versenden alle E-Mails „in Ihrem Namen“. Wenn sie nicht in Ihrer SPF-Include-Liste autorisiert sind oder nicht mit einem passenden DKIM-Schlüssel signiert sind, werden sie den DMARC-Test nicht bestehen, und ihre E-Mails werden blockiert, sobald Sie die Richtlinie durchsetzen. Nutzen Sie Ihre Überwachungsberichte, um alle betroffenen Absender zu identifizieren, bevor Sie die Richtlinie verschärfen.
Verwendung eines falschen DNS-Hostnamens
Der häufigste Syntaxfehler besteht darin, dass „_dmarc“ in das Feld „value“ des Eintrags statt in das Feld „host/name“ eingegeben wird oder dass der führende Unterstrich ganz vergessen wird. Das Feld „host/name“ muss „_dmarc“ lauten (was zu „_dmarc.yourdomain.com“ aufgelöst wird); der Wert ist die Zeichenfolge „v=DMARC1; …“.
Mehrere DMARC-Einträge für eine Domain
Eine Domain darf genau einen DMARC-Eintrag enthalten. Zwei oder mehr _dmarc-TXT-Einträge führen dazu, dass Empfänger DMARC vollständig ignorieren, wodurch Ihr Schutz außer Kraft gesetzt wird. Wenn Sie den Eintrag aktualisieren möchten, bearbeiten Sie den bestehenden Eintrag, anstatt einen zweiten hinzuzufügen.
Wie PowerDMARC DMARC für Google Workspace vereinfacht
Manuelles DMARC funktioniert zwar, doch gerade bei den fortlaufenden Aufgaben – wie dem Auswerten von XML-Rohberichten, dem Erkennen fehlerhafter Absender und dem sicheren Übergang von „none“ zu „reject“ – kommen die meisten Domains ins Stocken.
PowerDMARC wandelt diese XML-Berichte in übersichtliche Dashboards um, stellt Ihnen gehostetes DMARC zur Verfügung, sodass Sie Ihre Richtlinie aktualisieren können, ohne jedes Mal Änderungen am DNS vornehmen zu müssen, begleitet Sie durch den automatisierten Durchsetzungsprozess und sendet Echtzeit-Benachrichtigungen, sobald eine neue Quelle beginnt, E-Mails unter Ihrer Domain zu versenden – so erreichen Sie schneller einen vollständigen „p=reject“-Schutz, ohne dass legitime E-Mails blockiert werden.
Häufig gestellte Fragen
1. Ist DMARC in Google Workspace integriert?
Nein. Google Workspace kümmert sich um die Transportsicherheit, die Spam-Filterung und die Generierung von DKIM-Schlüsseln, erstellt oder veröffentlicht jedoch keinen DMARC-Eintrag für Sie. DMARC ist ein DNS-Eintrag, den der Domaininhaber separat veröffentlichen muss.
2. Wie füge ich einen DMARC-Eintrag in Google Workspace hinzu?
Sie fügen ihn nicht in der Admin-Konsole hinzu, sondern veröffentlichen ihn als TXT-Eintrag bei Ihrem DNS-Anbieter mit dem Hostnamen _dmarc und einem Wert wie v=DMARC1; p=none; rua=mailto:[email protected].
3. Wie lautet der korrekte DMARC-Eintrag für Google Workspace?
Beginnen Sie mit „v=DMARC1; p=none; rua=mailto:[email protected]“ zur Überwachung, gehen Sie dann zu „p=quarantine“ über und schließlich zu „p=reject“, sobald Ihre legitimen Absender die Überprüfung bestehen.
4. Benötige ich SPF und DKIM, bevor ich DMARC einrichte?
Ja. DMARC setzt die Ergebnisse von SPF und DKIM durch, daher muss mindestens eines davon eingerichtet und korrekt konfiguriert sein, bevor DMARC den Test bestehen kann. Es wird empfohlen, beide vor der Implementierung von DMARC einzurichten.
5. Was bedeutet „p=none“ in einem DMARC-Eintrag?
„p=none“ ist der Überwachungsmodus. Die Empfänger melden fehlgeschlagene E-Mails, ergreifen jedoch keine Maßnahmen dagegen. Dies ist der sichere Ausgangspunkt, bietet jedoch keinen Schutz, bis Sie in den Quarantänemodus wechseln oder die E-Mails ablehnen.
6. Wie lange dauert es, bis ein DMARC-Eintrag wirksam wird?
Der Eintrag kann bereits nach wenigen Minuten weitergegeben werden, allerdings können DNS-Änderungen bis zu 48 Stunden dauern. Die zusammengefassten Berichte treffen in der Regel innerhalb von ein bis zwei Tagen ein.
7. Warum bestehen meine Google Workspace-E-Mails die DMARC-Prüfung immer noch nicht?
In der Regel liegt dies daran, dass ein legitimer Absender (häufig ein Drittanbieter) nicht in Ihrem SPF-Eintrag autorisiert ist oder nicht mit korrekt konfiguriertem DKIM signiert. Sie können Ihre Gesamtberichte überprüfen, um die fehlerhafte Quelle zu identifizieren und die Konfiguration zu korrigieren.
8. Ist DMARC gemäß den Richtlinien für Massenversender von Google erforderlich?
Ja. Gemäß den Anforderungen von Google für Massenversender müssen Domains, die täglich 5.000 oder mehr Nachrichten an Gmail senden, über einen gültigen DMARC-Eintrag verfügen, da ihre E-Mails andernfalls möglicherweise abgelehnt werden. Hier finden Sie unsere Leitfaden zur Einhaltung der Vorgaben von Google und Yahoo Leitfaden zur Einhaltung der Vorschriften von Google und Yahoo einsehen.
Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC
Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.
Neueste Beiträge von Ahona Rudra (alle anzeigen)
