DMARC für Google Workspace einrichten

1. Prüfen Sie jeden Dienst, der Ihre E-Mails versendet

Denken Sie an Newsletter, Rechnungen und Website-Formulare. Richten Sie SPF und DKIM für jeden Absender ein und warten Sie dann mindestens 48 Stunden, bevor Sie DMARC hinzufügen.

SPF für Google Workspace einrichten

DKIM für Ihre geschäftliche E-Mail einrichten

Öffnen Sie in Google Admin Apps → Google Workspace → Gmail → E-Mail authentifizieren und wählen Sie Ihre Domain aus. Wird kein DKIM-Eintrag angezeigt, wählen Sie „Neuen Eintrag generieren“. Veröffentlichen Sie den angezeigten DNS-Eintrag, bevor Sie die Authentifizierung starten; behalten Sie jeden funktionierenden Schlüssel bei. DKIM-Anleitung von Google

2. Veröffentlichen Sie eine Überwachungsrichtlinie

Verwenden Sie die Domain nach dem @ in Ihrer ausgehenden Absenderadresse. Richten Sie dort ein eigenes Postfach oder eine Gruppe für die Sammelberichte ein. Bitten Sie Ihren Administrator, den DMARC-Eintrag dieser Domain und jede von der übergeordneten Domain geerbte Richtlinie zu prüfen. Sichern Sie die bestehenden Einstellungen; dieses Einstiegsbeispiel darf einen bereits vorhandenen Schutz nicht schwächen.

Nur wenn keine DMARC-Richtlinie gilt: Fügen Sie einen TXT-Eintrag unter _dmarc hinzu. Manche Anbieter verlangen den vollständigen Namen _dmarc.example.com; andere hängen die Domain automatisch an.

v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com

Ersetzen Sie die Beispieladresse durch das von Ihnen erstellte Berichtspostfach. Die Richtlinie p=none fordert eine Überwachung an, keine Ablehnung gefälschter E-Mails. Lassen Sie Ihre MX- und anderen DNS-Einträge unverändert. DMARC-Einrichtungsleitfaden von Google

3. Überprüfen Sie Veröffentlichung und tatsächliche Zustellung

Bitten Sie Ihren Administrator, den veröffentlichten TXT-Wert zu prüfen. Ersetzen Sie in diesem rein lesenden Befehl example.com durch Ihre Domain:

dig +short TXT _dmarc.example.com

Senden Sie von jedem legitimen Absender eine Testnachricht an ein separates Postfach, das Sie kontrollieren. Prüfen Sie in den Original-Headern der empfangenen Nachricht, ob dmarc=pass erscheint. DMARC erfordert ein bestandenes SPF oder DKIM, das zur sichtbaren Absenderdomain (From) passt; ein DNS-Eintrag allein beweist das nicht. Authentifizierungsprobleme mit Google beheben

4. Verschärfen Sie die Richtlinie nach Auswertung der Berichte

Prüfen Sie die Berichte mindestens eine Woche lang täglich, für alle Ihre Versanddienste. Beheben Sie Fehler legitimer Absender, bevor Sie schrittweise zu quarantine und dann zu reject wechseln. Überwachen Sie weiterhin die Zustellung und stellen Sie die vorherige Richtlinie wieder her, wenn eine Änderung gültige E-Mails stört. Schrittweise Einführung nach Google