DKIM in Google Workspace einrichten: Schlüssel erzeugen und aktivieren
Bei Google Workspace ist DKIM für deine eigene Domain nicht automatisch aktiv, und genau das ist der häufigste Fehler. Du erzeugst den Schlüssel in der Admin-Konsole, trägst ihn als TXT-Eintrag bei deinem Domain-Anbieter ein und klickst erst danach auf Authentifizierung starten.
Vorher prüfen
Schick aus Gmail eine Mail an deine Adresse im Mail-Test. Der Prüfpunkt Mail unterschrieben zeigt, ob die Unterschrift zu deiner Domain gehört. Ohne Einrichtung fehlt sie dort.
Ohne Testmail geht es mit dem DKIM-Check. Er sucht automatisch nach dem Selektor google, den Workspace standardmäßig nutzt. Wie DKIM funktioniert, erklärt Was ist DKIM?.
Schritt für Schritt
Du brauchst ein Superadmin-Konto. Gmail muss für deine Domain seit 24 bis 72 Stunden aktiv sein, sonst lässt Google dich noch keinen Schlüssel erzeugen.
1. Bereich öffnen. In der Admin-Konsole öffnest du das Menü und klickst auf Apps > Google Workspace > Gmail > E-Mail authentifizieren.
2. Schlüssel erzeugen. Wähl im Menü Ausgewählte Domain deine Domain aus und klick auf Neuen Eintrag erstellen. Als Schlüssellänge nimmst du 2.048. Nur wenn dein Domain-Anbieter so lange Einträge nicht annimmt, nimmst du 1.024. Den Präfix lässt du auf google. Mit Erstellen speicherst du. Google bestätigt das mit „Einstellungen für die DKIM-Authentifizierung aktualisiert“.
Google zeigt dir jetzt zwei Werte: den Host google._domainkey und einen langen Wert, der mit v=DKIM1; k=rsa; p= beginnt. Lass das Fenster offen.
3. TXT-Eintrag beim Domain-Anbieter anlegen. Öffne in einem zweiten Tab die DNS-Einstellungen deiner Domain. Leg einen TXT-Eintrag an:
| Host / Name | Typ | Wert |
|---|---|---|
google._domainkey |
TXT | Wert aus der Admin-Konsole kopieren |
Die Klicks für deinen Hoster: DKIM bei IONOS, DKIM bei STRATO, DKIM bei ALL-INKL, Hetzner.
4. Authentifizierung starten. Erst jetzt, wenn der Eintrag gespeichert ist, gehst du zurück in die Admin-Konsole und klickst auf Authentifizierung starten. Klickst du vorher, findet Google den Schlüssel nicht.
Ein Hinweis zum Kopieren: Der Wert ist sehr lang. Markiere ihn komplett, ohne Zeilenumbrüche oder fehlende Zeichen am Ende. Schon ein abgeschnittenes Zeichen macht die Unterschrift ungültig.
5. Warten. Laut Google kann es bis zu 48 Stunden dauern, bis DKIM greift. So lange kann auch der Hinweis „Sie müssen die DNS-Einträge für diese Domain aktualisieren“ stehen bleiben. Ist alles fertig, zeigt die Admin-Konsole „E-Mail wird mit DKIM authentifiziert“.
Sonderfall: weitere Versender und alter Hoster
DKIM gilt pro Versender. Google unterschreibt nur Mails, die über Gmail rausgehen. Dein Newsletter-Tool oder dein Kontaktformular braucht eine eigene DKIM-Einrichtung mit eigenem Selektor. Die Werte bekommst du vom jeweiligen Dienst.
Hast du mehrere Domains in Google Workspace, wiederholst du die Schritte für jede einzelne. Jede Domain bekommt ihren eigenen Schlüssel und ihren eigenen TXT-Eintrag.
Liegt deine Domain bei einem Hoster wie IONOS oder STRATO, hat dieser oft eigene DKIM-Einträge für seinen Mailserver angelegt. Solange du über den Hoster keine Mails mehr verschickst, schaden sie nicht. Lösch sie nicht vorschnell, falls das Kontaktformular der Website noch darüber läuft.
Gibt es für deine Domain schon einen Schlüssel mit dem Präfix google, wählst du laut Google einen anderen Präfix. Hoster-Einträge heißen anders und kommen sich mit google nicht in die Quere.
Danach testen
Google rät: Test nicht an dich selbst schicken, sondern an eine fremde Adresse. Nimm dafür den Mail-Test. Ist Mail unterschrieben grün und nennt deine Domain, passt alles. Den Eintrag selbst prüfst du im DKIM-Check.
Danach kommt die Schutzregel: DMARC für Google Workspace. Kontrolliere auch den SPF-Eintrag für Google Workspace. Alle Anbieter findest du unter Anleitungen pro Anbieter.
Typische Fehler und Lösungen
| Problem | Ursache | Lösung |
|---|---|---|
| Schlüssel lässt sich nicht erzeugen | Gmail ist erst kurz aktiv | 24 bis 72 Stunden warten |
| Authentifizierung startet nicht | DNS-Eintrag fehlt noch oder ist noch nicht sichtbar | Eintrag prüfen, warten, erneut klicken |
| Eintrag wird abgelehnt oder abgeschnitten | Anbieter begrenzt die Länge von TXT-Einträgen | Laut Google den Wert in Stücke von höchstens 255 Zeichen teilen, jedes in Anführungszeichen, alle im selben Eintrag. Geht das nicht, 1.024 Bit wählen |
| Test zeigt keine DKIM-Zeile | Mail ist nicht signiert, Authentifizierung noch nicht gestartet | In der Admin-Konsole prüfen, ob „E-Mail wird mit DKIM authentifiziert“ angezeigt wird |
| Check findet nichts | Host doppelt, etwa google._domainkey.deine-domain.de.deine-domain.de |
Nur google._domainkey eintragen, wenn der Anbieter die Domain anhängt |
Häufige Fragen
Ist DKIM bei Google Workspace automatisch aktiv?
Nein, nicht für deine eigene Domain. Du musst den Schlüssel in der Admin-Konsole erzeugen, im DNS eintragen und die Authentifizierung starten. Bis dahin besteht deine Domain die DKIM-Prüfung nicht.
Was trage ich als Host für DKIM bei Google ein?
Den Präfix plus ._domainkey, standardmäßig also google._domainkey. Den Wert, der mit v=DKIM1 beginnt, kopierst du aus der Admin-Konsole. Er ist für jede Domain anders.
Warum kann ich noch keinen DKIM-Schlüssel erzeugen?
Google verlangt, dass Gmail für die Domain 24 bis 72 Stunden aktiv ist, bevor du den Schlüssel erzeugen kannst. Bei einem frisch eingerichteten Workspace musst du also etwas warten.
Wie prüfe ich, ob Google meine Mails signiert?
Schick eine Mail an eine fremde Adresse, nicht an dich selbst. Am einfachsten an die Adresse im Mail-Test von e-mail-check.de. Der Prüfpunkt Mail unterschrieben zeigt dann, ob die Unterschrift zu deiner Domain passt.