DMARC für Google Workspace einrichten: einfach und sicher starten

Vorher prüfen

Gib deine Domain im DMARC-Check ein. Du siehst, ob schon ein Eintrag existiert und welche Regel gilt. Liegt deine Domain bei STRATO, kann dort bereits eine Standardregel aktiv sein.

DMARC funktioniert nur, wenn SPF oder DKIM bestehen. Schick deshalb vorher aus Gmail eine Mail an den Mail-Test und schau auf Absender bestätigt und Mail unterschrieben. Was DMARC macht, erklärt Was ist DMARC?.

Schritt für Schritt

1. SPF und DKIM zuerst. Richte beides ein, falls noch nicht passiert: SPF-Eintrag für Google Workspace und DKIM in Google Workspace. Google empfiehlt, danach 48 Stunden zu warten, bevor du DMARC aktivierst.

2. Berichtspostfach anlegen. Leg in Google Workspace eine Gruppe oder ein eigenes Postfach für die Berichte an, zum Beispiel dmarc@deine-domain.de. Google rät von deiner persönlichen Adresse ab.

3. Drittversender prüfen. Verschickt ein Newsletter-Tool, Shop oder Kontaktformular Mails mit deiner Domain? Dann muss dieser Dienst SPF oder DKIM mit deiner Domain bestehen. Sonst fällt er später durch DMARC. Am schnellsten prüfst du das, indem du von jedem Dienst eine Mail an den Mail-Test schicken lässt.

4. Eintrag beim Domain-Anbieter anlegen. Der DMARC-Eintrag gehört in die DNS-Einstellungen deiner Domain:

• Host / Name: _dmarc (manche Anbieter wollen _dmarc.deine-domain.de)
• Typ: TXT
• Wert:

v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de

Die Klicks für deinen Hoster: DMARC bei IONOS, DMARC bei STRATO, DMARC bei ALL-INKL, Hetzner.

5. Schrittweise verschärfen. Google empfiehlt, p=none mindestens eine Woche laufen zu lassen und die Berichte in der Zeit täglich anzusehen. Wir raten zu ein paar Wochen, damit auch seltene Versender auftauchen. Zeigen die Berichte, dass alle echten Versender bestehen, stellst du um. Mit pct gilt die Regel zuerst nur für einen Teil der Mails. Google nennt für kleine Firmen einen Start mit etwa 10 Prozent:

v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@deine-domain.de

Läuft das ohne Probleme, erhöhst du pct bis 100 und gehst am Ende auf:

v=DMARC1; p=reject; rua=mailto:dmarc@deine-domain.de

Was bedeuten die Teile des Eintrags? Eine kurze Übersicht:

Teil	Bedeutung
v=DMARC1	Kennzeichnet den Eintrag als DMARC, muss vorne stehen
p=none	Regel: nichts blockieren, nur beobachten
p=quarantine	Mails, die durchfallen, landen im Spam
p=reject	Mails, die durchfallen, werden abgelehnt
pct=10	Regel gilt nur für 10 Prozent der durchgefallenen Mails
rua=mailto:…	Adresse für die Sammelberichte

Google beschreibt außerdem adkim und aspf. Damit stellst du ein, wie genau die Domains übereinstimmen müssen. Für den Start brauchst du beides nicht.

Sonderfall: Domain beim Hoster mit eigener Regel

Bei STRATO ist für Domains oft eine automatische DMARC-Regel aktiv. Willst du deinen eigenen Eintrag nutzen, musst du die STRATO-Regel vorher abschalten. Wie das geht, steht in DMARC bei STRATO einrichten.

Laufen über den Hoster noch Formular-Mails der Website, prüfe in den Berichten, ob sie bestehen. Oft fehlt für den Webserver die DKIM-Unterschrift mit deiner Domain. Dann reicht SPF, solange der Webserver im SPF-Eintrag steht.

Wichtig ist auch: Es darf nur einen _dmarc-Eintrag geben. Prüf vor dem Anlegen, ob schon einer existiert, und ändere ihn dann statt einen zweiten anzulegen.

Danach testen

Prüf den Eintrag im DMARC-Check. Dann schick eine Mail aus Gmail an den Mail-Test. Der Prüfpunkt Schutzregel zeigt, ob DMARC gefunden wird und ob deine Mail besteht. Alle Anbieter findest du unter Anleitungen pro Anbieter.

Typische Fehler und Lösungen

Problem	Ursache	Lösung
Kein DMARC gefunden	Host doppelt, etwa _dmarc.deine-domain.de.deine-domain.de	Nur _dmarc eintragen, wenn der Anbieter die Domain anhängt
Zwei Regeln gefunden	Alter Eintrag oder Hoster-Regel aktiv	Nur einen Eintrag behalten
Keine Berichte	Postfach fehlt oder liegt auf fremder Domain	Postfach anlegen; fremde Domain braucht einen Freigabe-Eintrag
Newsletter landet im Spam	Tool besteht weder SPF noch DKIM mit deiner Domain	DKIM im Tool einrichten, solange p=none lassen