Gmail SPF-Eintrag einrichten: Ein praktischer Leitfaden für Google Workspace

Um SPF für Google Workspace einzurichten, veröffentlichen Sie einen DNS-TXT-Eintrag an Ihrer Root-Domain, der v=spf1 include:_spf.google.com ~all enthält. Der Mechanismus include:_spf.google.com autorisiert alle Google-Mailserver, in Ihrem Namen zu senden. Fügen Sie weitere include- oder ip4/ip6-Mechanismen für alle Drittanbieterdienste hinzu, die ebenfalls E-Mails von Ihrer Domain versenden, und bleiben Sie dabei innerhalb des in RFC 7208 definierten 10-DNS-Lookup-Limits.

Gemäß Googles Anforderungen für Massenversender vom Februar 2024 muss jede Domain, die täglich mehr als 5.000 Nachrichten an Gmail-Nutzer sendet, über eine SPF- oder DKIM-Authentifizierung sowie eine veröffentlichte DMARC-Richtlinie von mindestens p=none verfügen – was eine korrekte SPF-Konfiguration zu einer Compliance-Anforderung und nicht nur zu einer bewährten Praxis macht.

„Google-Workspace-Administratoren erben häufig SPF-Einträge, in denen bereits 8–9 Includes vorhanden sind. Das Hinzufügen von _spf.google.com bringt sie über das 10-Lookup-Limit, und plötzlich beginnt legitime Post zurückzukommen”, sagt Brad Slavin, General Manager von AutoSPF. „Die Lösung besteht nicht darin, Absender zu entfernen – sondern darin, den Eintrag zu verschlanken, sodass jeder Dienst innerhalb des RFC-7208-Limits autorisiert bleibt.”

Anleitungen zur Einrichtung für Google Workspace und Dutzende weiterer Plattformen finden Sie in unserem Leitfaden zur SPF-Eintrags-Einrichtung.

Das Sender Policy Framework (SPF) ist eine grundlegende E-Mail-Authentifizierungsmaßnahme, die Gmail und anderen Anbietern hilft zu überprüfen, welche Server im Namen Ihrer Domain E-Mails versenden dürfen. Für Google-Workspace-Organisationen verbessert ein korrekt veröffentlichter SPF-Eintrag die E-Mail-Zustellbarkeit, stärkt die Sicherheit und unterstützt den Datenschutz, indem er empfangenden Systemen Vertrauen signalisiert und Spoofing und Phishing abschreckt.

Auswirkungen auf Geschäft und Compliance

• Die E-Mail-Authentifizierung reduziert das Risiko der Identitätsvortäuschung und unterstützt rechtliche sowie Compliance-Verpflichtungen rund um Identitätsbestätigung und Zugriffskontrolle. Sie ergänzt DMARC und DKIM als Teil einer mehrschichtigen Sicherheitsstrategie.

• Starke Praktiken der Domain-Verwaltung – etwa die Sicherstellung, dass der SPF-Eintrag im DNS korrekt ist – schützen den Ruf Ihrer Marke und reduzieren die Belastung des Helpdesks durch Support und Fehlerbehebung.

• Administratoren können die Admin-Konsole von Google Workspace nutzen, um Dienste einzurichten und zu verwalten, die Konfiguration zu überprüfen und Berichte sowie Monitoring einzusetzen, um die Authentifizierungsausrichtung zu verfolgen und die Audit-Bereitschaft zu unterstützen.

Betriebliche Vorteile für Administratoren

• Weniger Fehlalarme und bessere Platzierung im Posteingang bei Gmail dank klarer Autorisierungssignale.

• Einfacheres Nutzermanagement, insbesondere während einer Datenmigration oder beim Bereitstellen von Apps, die E-Mails versenden, weil die Richtlinien zentral im DNS statt verteilt auf den Endpunkten liegen.

• Passt zu den Sicherheitseinstellungen für Geräteverwaltung und interne Apps und minimiert Schatten-IT-Risiken durch ungeprüfte Apps & Integrationen.

So funktioniert SPF: Mechanismen, Qualifizierer und DNS-TXT-Grundlagen

SPF wird über einen DNS-TXT-Eintrag an der Root-Domain definiert. Empfänger werten den SPF-Eintrag der MAIL-FROM-Domain aus, um Pass-/Fail-Ergebnisse zu bestimmen. Falls Ihnen einer der folgenden Mechanismen unbekannt ist, definiert sie unser Glossar der SPF-Begriffe.

SPF-Mechanismen: Die Bausteine

Zu den gängigen Mechanismen gehören:

• a und mx: Autorisieren die A- oder MX-Hosts der Domain zum Senden.
• ip4 und ip6: Erlauben explizite IP-Bereiche.
• include: Delegiert an den SPF-Eintrag einer anderen Domain (zum Beispiel den von Google).
• exists und ptr: Erweiterte/veraltete Optionen; sparsam verwenden.
• all: Ein Auffangmechanismus, der zuletzt stehen sollte.

Qualifizierer und Richtlinien-Semantik

• + (pass) ist impliziert, wenn es weggelassen wird.
• ~ (softfail) signalisiert „nicht autorisiert, aber annehmen und kennzeichnen”.
• - (fail) weist nicht autorisierte Quellen direkt ab.
• ? (neutral) trifft keine Aussage.

Die meisten Organisationen beginnen mit ~all, um Störungen zu reduzieren, und verschärfen dann auf -all, sobald die Absenderzuordnung abgeschlossen ist. Für einen tieferen Einblick in die verschiedenen Arten von SPF-Einträgen lesen Sie unseren vollständigen Leitfaden.

DNS-TXT-Grundlagen für Administratoren

• Platzieren Sie den SPF-Eintrag im DNS als einzelne TXT-Zeichenfolge, die mit v=spf1 beginnt.
• Beachten Sie das Limit von 10 DNS-Lookups über include, a, mx, ptr und exists hinweg.
• Halten Sie den Eintrag pro Zeichenfolge unter 255 Zeichen (verwenden Sie bei Bedarf in Anführungszeichen gesetzte Aufteilungen).
• Koordinieren Sie Änderungen im Änderungskalender der Admin-Konsole, damit Administratoren wissen, wann Mailpfade angepasst werden.
• Nutzen Sie Berichte und Monitoring-Tools, um Änderungen zu validieren und Fehler proaktiv zu beheben.

Ordnen Sie Ihre Absender zu: Google, Drittanbieter-Plattformen und Netzwerkquellen

Bevor Sie SPF einrichten, inventarisieren Sie alle Systeme, die unter Verwendung Ihrer Domain senden. Dies ist ein zentraler Bestandteil der Domain-Verwaltung und reduziert Abweichungen, wenn sich Apps & Integrationen weiterentwickeln.

Erstanbieter: Google und Ihr Netzwerk

• Gmail- und Google-Workspace-Dienste: Autorisieren Sie mit include:_spf.google.com.

Google-Dienste, die über Apps Script oder einen Cloud-Anwendungs-Workflow senden, authentifizieren sich bei korrekter Weiterleitung ebenfalls über die SPF-Infrastruktur von Google.

• Ihr Netzwerk-Ausgang: Wenn Geräte oder Relays direkt senden, fügen Sie ip4/ip6-Mechanismen hinzu. Dokumentieren Sie die Verantwortlichkeit für die Geräteverwaltung, damit Nutzermanagement und IT wissen, wer diese IPs pflegt.

Drittanbieter-Apps & Integrationen

Viele Drittanbieter-Apps versenden Systemmails, Warnungen oder Benachrichtigungen in Ihrem Namen. Beispiele sind 15Five, 4me, Adaptive Insights, Adobe Acrobat Sign, Aha!, Amazon Business, Dienste auf Amazon Web Services, AppDynamics, Asana, Atlassian Cloud, Automox, BambooHR, Betterworks und viele mehr. Für jede davon gilt:

• Klären Sie, ob sie ein SPF-include bereitstellen (bevorzugt) oder dedizierte IPs erfordern.
• Verwalten Sie in der Marketplace-Administration die Marketplace-Apps und behalten Sie von Administratoren installierte Apps, App-Zugriffsanfragen und den Status verifizierter Drittanbieter-Apps im Blick.
• Nutzen Sie OAuth-2.0- und SSO-Praktiken – SAML, SAML-basiertes SSO, integrierte SAML-Apps oder eine benutzerdefinierte SAML-App über einen Drittanbieter-IdP –, um den Zugriff zu autorisieren und die App-Zugriffssteuerung zu kontrollieren. Pflegen Sie SAML-Zertifikate, richten Sie die SSO-Einstellungen aus und überwachen Sie den SSO-Anmeldevorgang.
• Konfigurieren Sie Drittanbieter-Apps mit einer App-Zulassungsliste, überprüfen Sie den App-Zugriff regelmäßig und aktivieren Sie, wo unterstützt, den automatischen Token-Entzug, um den Datenzugriff verantwortungsvoll zu verwalten.

Laut einem Egress-Bericht aus dem Jahr 2025 verzeichneten 94 % der Organisationen in den letzten 12 Monaten E-Mail-Sicherheitsvorfälle – viele davon zurückzuführen auf falsch konfigurierte oder fehlende SPF-Einträge für Drittanbieter-Absender, die hinzugefügt wurden, ohne das DNS zu aktualisieren.

Checkliste zur Integrations-Governance

• Ordnen Sie benutzerdefinierte Attribute und das Nutzerschema zu, um die korrekte Absenderidentität in Benachrichtigungen sicherzustellen.
• Stellen Sie sicher, dass private Web-Apps oder interne Apps keine externen E-Mails versenden, sofern dies nicht ausdrücklich autorisiert ist.
• Dokumentieren Sie Richtlinien in Schulungsunterlagen für eine konsistente Administration sowie schnelleren Support und schnellere Fehlerbehebung.

DNS-Host finden und darauf zugreifen: Voraussetzungen und Berechtigungen

Ihr SPF-Eintrag befindet sich im DNS. Stellen Sie sicher, dass Sie wissen, wo die Zone Ihrer Domain gehostet wird und wer die Rechte hat, sie zu ändern.

DNS-Anbieter und zuständige Zone identifizieren

• Prüfen Sie das Dashboard Ihres Registrars oder Hosting-Anbieters oder fragen Sie die NS-Einträge ab, um herauszufinden, wo das DNS verwaltet wird. Viele Organisationen nutzen Cloud-DNS-Dienste wie die auf Amazon Web Services angebotenen.
• Prüfen Sie den Bedarf für Subdomains gesondert (marketing.example.com vs. example.com) und sorgen Sie für eine konsistente Domain-Verwaltung über die Geschäftsbereiche hinweg.
• Wenn Anbieter Subdomains oder CNAMEs bereitstellen, koordinieren Sie dies, um eine Fragmentierung des SPF zu vermeiden.

Rollen, Zugriff und Änderungskontrolle bestätigen

• Stellen Sie sicher, dass ein Super-Administrator und benannte Administratoren Zugriffsberechtigungen sowohl für das DNS-Portal als auch für die Admin-Konsole haben.
• Richten Sie die Eigentümerschaft für Abrechnung und Abonnements so aus, dass Änderungen bei Verlängerungen nicht ins Stocken geraten.
• Verwenden Sie eine Umsetzungsübersicht und ein Änderungsticket, planen Sie ein Wartungsfenster und sehen Sie eine Überwachung der Propagierung vor.

Prozesshygiene und Beobachtbarkeit

• Protokollieren Sie jede DNS-Änderung; erfassen Sie die SPF-Eintragswerte vor und nach der Änderung.
• Nutzen Sie Berichte und Monitoring, um die Authentifizierungsergebnisse in Gmail nach der Änderung zu überprüfen.
• Validieren Sie gegebenenfalls die Auswirkungen auf die Datensynchronisation, falls Integrationen MAIL FROM umschreiben oder über andere Gateways routen.

Den Basis-Eintrag für Google Workspace erstellen

Der sicherste Ausgangspunkt für die meisten Google-Workspace-Mandanten ist die Veröffentlichung von Googles Include und Softfail. Wenn Sie damit noch nicht vertraut sind, deckt unser Leitfaden dazu, wie man einen SPF-Eintrag erstellt, die Grundlagen ab. Dies autorisiert Gmail und die zentralen Google-Absender und ermöglicht es Ihnen gleichzeitig, Nachzügler zu identifizieren:

v=spf1 include:_spf.google.com ~all

Sobald Sie alle Drittanbieter-Absender zugeordnet und deren SPF-Includes bestätigt haben, fügen Sie sie dem Eintrag hinzu. Wenn Sie das 10-Lookup-Limit überschreiten, ziehen Sie SPF-Flattening in Betracht, um verschachtelte Includes in IP-Adressen aufzulösen – oder nutzen Sie AutoSPF, um das Flattening zu automatisieren und Ihren Eintrag ohne manuelle DNS-Verwaltung konform zu halten.