# SPF, DKIM und DMARC einrichten: Anleitung für Google Workspace, Microsoft 365 und IONOS (2026)

> Drei DNS-Einträge entscheiden, ob Ihre E-Mails im Posteingang landen: SPF, DKIM und DMARC. Hier stehen die genauen Werte und Schritte für die drei Anbieter, auf denen die meisten Unternehmen in Deutschland arbeiten, Google Workspace, Microsoft 365 und IONOS, geprüft an der offiziellen Dokumentation im Oktober 2026. Dazu die Fehler, die wir am häufigsten sehen, und ein kostenloser Check, mit dem Sie alles kontrollieren.

Quelle: https://knkoutbound.com/de/blog/spf-dkim-dmarc-einrichten/  
Autor: Kenneth Kather, Founder & CEO, KNK Outbound  
Veröffentlicht: 2026-10-17

## Das Wichtigste in Kürze

- Jede Versand-Domain braucht genau einen SPF-Eintrag, einen im DNS veröffentlichten DKIM-Schlüssel und einen DMARC-Eintrag. Gmail, Yahoo und Microsoft erwarten inzwischen alle drei von jedem, der in Mengen versendet.
- Der SPF-Wert hängt vom Anbieter ab: include:_spf.google.com für Google Workspace, include:spf.protection.outlook.com für Microsoft 365 und include:_spf-eu.ionos.com für IONOS-Postfächer in Europa.
- DKIM schalten Sie im Admin-Bereich des Anbieters ein, nicht nur im DNS: Google nutzt einen TXT-Eintrag unter google._domainkey, Microsoft 365 zwei CNAME-Einträge unter selector1 und selector2 mit Werten, die das Defender-Portal anzeigt.
- Starten Sie DMARC mit p=none und einer Adresse für Berichte, werten Sie die Berichte einige Wochen aus und stellen Sie dann auf quarantine. Wer sofort auf reject geht, blockiert womöglich eigene, legitime E-Mails.

## Die kurze Antwort

Um SPF, DKIM und DMARC einzurichten, ergänzen Sie drei Dinge im DNS Ihrer Domain: einen SPF-Eintrag, der festlegt, wer für Sie senden darf, einen DKIM-Schlüssel, mit dem Empfänger Ihre Signatur prüfen, und einen DMARC-Eintrag, der sagt, was mit E-Mails passiert, die durchfallen. Die Werte hängen von Ihrem E-Mail-Anbieter ab. Für die drei Anbieter, auf denen die meisten deutschen Unternehmen arbeiten, sind es diese:

| Anbieter | SPF-Eintrag (TXT auf der Domain) | DKIM | Wo Sie DKIM einschalten |
| --- | --- | --- | --- |
| Google Workspace | v=spf1 include:_spf.google.com ~all | TXT unter google._domainkey | Admin-Konsole: Apps, Google Workspace, Gmail, E-Mails authentifizieren |
| Microsoft 365 | v=spf1 include:spf.protection.outlook.com -all | Zwei CNAMEs unter selector1._domainkey und selector2._domainkey | Defender-Portal: Email authentication settings, Reiter DKIM |
| IONOS-Postfächer (Europa) | v=spf1 include:_spf-eu.ionos.com ~all | Im IONOS-Kundenbereich prüfen | IONOS setzt SPF bei dort verwalteten Domains automatisch |

DMARC ist überall gleich: ein TXT-Eintrag unter _dmarc auf Ihrer Domain, zum Start mit v=DMARC1; p=none; rua=mailto:berichte@ihre-domain.de. Prüfen Sie danach mit unserem kostenlosen [E-Mail-Check](https://knkoutbound.com/de/e-mail-check/), ob alle drei Einträge live sind.

Die Werte haben wir im Oktober 2026 an der offiziellen Dokumentation von Google und Microsoft und am öffentlichen DNS von IONOS geprüft. Anbieter ändern Details mit der Zeit. Zeigt Ihre Admin-Konsole einen anderen Wert, nehmen Sie den.

## Vorab: drei Regeln

1. **Ein SPF-Eintrag pro Domain.** Bei zwei SPF-Einträgen schlägt die Prüfung jedes Mal fehl. Wenn Sie über mehrere Dienste versenden, gehören alle in einen Eintrag, zum Beispiel v=spf1 include:_spf.google.com include:server.beispiel.de ~all.
2. **Höchstens zehn DNS-Abfragen im SPF.** Jedes include, a und mx zählt, auch die verschachtelten in den includes. Über zehn liefert SPF einen dauerhaften Fehler.
3. **Cold E-Mails nie von der Hauptdomain senden.** Ansprache gehört auf eigene Versand-Domains mit eigenen Postfächern, die vorher aufgewärmt werden. Jede dieser Domains braucht ihr eigenes SPF, DKIM und DMARC. Wie das Setup aussieht, steht in unserem Leitfaden zur [Cold-E-Mail-Infrastruktur](https://knkoutbound.com/de/blog/cold-email-infrastructure-domains-inboxes/).

Alle DNS-Änderungen machen Sie dort, wo Ihre Domain verwaltet wird, meist bei Registrar oder Hoster, nicht in Google oder Microsoft.

## Schritt 1: SPF

**Google Workspace.** Legen Sie auf der Domain einen TXT-Eintrag mit v=spf1 include:_spf.google.com ~all an. Google empfiehlt ~all.

**Microsoft 365.** Legen Sie einen TXT-Eintrag mit v=spf1 include:spf.protection.outlook.com -all an. Microsoft empfiehlt -all, weil DMARC dann bei gleichzeitigem DKIM auf E-Mails reagieren kann, die an SPF scheitern. Senden Sie zusätzlich von einem eigenen Server, ergänzen Sie dessen Adresse mit ip4: im selben Eintrag.

**IONOS.** Liegen DNS und Postfächer Ihrer Domain bei IONOS, ist SPF standardmäßig eingerichtet. Wird das DNS woanders verwaltet, die Postfächer liegen aber bei IONOS in Europa, ergänzen Sie v=spf1 include:_spf-eu.ionos.com ~all. Dieser Eintrag enthält die europäischen Versandserver von IONOS, wir haben ihn im Oktober 2026 im öffentlichen DNS geprüft.

## Schritt 2: DKIM

**Google Workspace.** Gehen Sie in der Admin-Konsole auf Apps, Google Workspace, Gmail und dann auf E-Mails authentifizieren, und erzeugen Sie einen neuen Eintrag. Behalten Sie den Standard-Selektor google und wählen Sie einen 2048-Bit-Schlüssel, außer Ihr DNS-Anbieter kann nur 1024. Veröffentlichen Sie den Wert als TXT-Eintrag unter google._domainkey. Dann heißt es warten: Laut Google kann es bis zu 48 Stunden dauern, bis DKIM nach dem Eintragen funktioniert. Erst wenn der Eintrag live ist, klicken Sie auf Authentifizierung starten. Wenn Gmail gerade erst aktiviert wurde, kann der Schlüssel 24 bis 72 Stunden brauchen, bis er in der Konsole erscheint.

**Microsoft 365.** Öffnen Sie im Microsoft Defender-Portal Email & collaboration, Policies & rules, Threat policies, Email authentication settings und dort den Reiter DKIM. Wählen Sie Ihre Domain. Microsoft zeigt zwei CNAME-Einträge an: selector1._domainkey und selector2._domainkey, jeweils mit einem Ziel, das Microsoft für Ihren Mandanten erzeugt. Neuere Mandanten bekommen Ziele, die auf -v1.dkim.mail.microsoft enden, ältere zeigen auf Ihre onmicrosoft.com-Domain. Übernehmen Sie die Werte exakt so, wie das Portal sie anzeigt, legen Sie beide CNAMEs bei Ihrem DNS-Anbieter an und schalten Sie dann im Portal die DKIM-Signatur ein.

**IONOS.** Prüfen Sie im IONOS-Kundenbereich, ob für Ihre Domain DKIM-Einträge veröffentlicht sind, oder nutzen Sie einfach unseren Check. Er sucht DKIM unter den gängigen Selektoren und lässt Sie einen eigenen angeben.

## Schritt 3: DMARC

Legen Sie unter _dmarc auf Ihrer Domain einen TXT-Eintrag an:

    v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihre-domain.de

p=none heißt: beobachten, noch nicht blockieren. Die Berichte an die rua-Adresse zeigen, welche Dienste in Ihrem Namen senden und ob sie SPF und DKIM bestehen. Nach zwei bis vier Wochen ohne Überraschungen stellen Sie auf p=quarantine um, später auf p=reject, wenn Sie vollen Schutz gegen gefälschte Absender wollen.

Warum das jetzt zählt: Gmail und Yahoo verlangen SPF, DKIM und DMARC seit Februar 2024 von Massenversendern, Microsoft setzt ähnliche Regeln für Outlook.com seit Mai 2025 durch. Was diese Absenderregeln praktisch bedeuten, erklären wir in unserem Beitrag zu den [Absenderregeln 2026](https://knkoutbound.com/de/blog/email-sender-requirements-2026/).

## Schritt 4: Prüfen, ob alles funktioniert

Geben Sie Ihre Domain in unseren kostenlosen [E-Mail-Check](https://knkoutbound.com/de/e-mail-check/) ein. Er liest SPF, DKIM, DMARC, MX, MTA-STS und BIMI und sagt Ihnen für jeden Punkt, was fehlt oder falsch ist. DNS-Änderungen brauchen manchmal einige Stunden. Wenn direkt nach dem Eintragen noch etwas fehlt, prüfen Sie später noch einmal.

## Die Fehler, die wir am häufigsten sehen

- **Zwei SPF-Einträge** nach einem Anbieterwechsel, ein alter und ein neuer. Fassen Sie beide zusammen.
- **Zu viele includes** nach Jahren voller neuer Tools. Entfernen Sie Dienste, die Sie nicht mehr nutzen.
- **DKIM veröffentlicht, aber nie eingeschaltet**, besonders bei Google Workspace, wo der Klick auf Authentifizierung starten leicht vergessen wird.
- **DMARC sofort auf reject**, bevor jemand einen Bericht gelesen hat, und plötzlich kommen die Rechnungen aus dem Buchhaltungstool nicht mehr an.
- **Cold E-Mails von der Hauptdomain.** Selbst mit perfekten Einträgen kann eine aggressive Kampagne die Domain beschädigen, an der Ihr ganzes Unternehmen hängt.

Saubere Einträge sind die Eintrittskarte, nicht das ganze Spiel. Ob Sie im Posteingang landen, hängt auch vom Aufwärmen, vom Volumen, von der Listenqualität und vom Text ab. Unser [Leitfaden zur Zustellbarkeit von Cold E-Mails](https://knkoutbound.com/de/blog/cold-email-deliverability-guide/) geht den Rest durch. Und in Deutschland gelten Werbe-E-Mails ohne vorherige Einwilligung nach dem UWG auch im B2B als unzumutbare Belästigung, egal was im DNS steht. Das ist keine Rechtsberatung.

## Wo KNK ins Spiel kommt

Bei unseren Kunden fassen wir die Hauptdomain nie an. Wir richten eigene Versand-Domains mit SPF, DKIM und DMARC ein, wärmen die Postfächer auf und überwachen sie laufend. Danach übernehmen wir die Ansprache, bearbeiten jede Antwort und buchen die Termine, ab 3.300 Euro im Monat, alles inklusive ([Cold-E-Mail-Agentur](https://knkoutbound.com/de/cold-email-agentur/), [Preise](https://knkoutbound.com/de/preise/)).

## Häufige Fragen

### Wie richte ich SPF, DKIM und DMARC für Google Workspace ein?

Legen Sie auf Ihrer Domain einen TXT-Eintrag v=spf1 include:_spf.google.com ~all an. Erzeugen Sie in der Admin-Konsole unter Apps, Google Workspace, Gmail, E-Mails authentifizieren einen 2048-Bit-DKIM-Schlüssel, veröffentlichen Sie ihn als TXT-Eintrag unter google._domainkey und klicken Sie auf Authentifizierung starten, sobald der Eintrag live ist. Ergänzen Sie dann einen DMARC-Eintrag unter _dmarc, zum Start mit v=DMARC1; p=none und einer Adresse für Berichte.

### Wie lautet der SPF-Eintrag für Microsoft 365?

Für eine Domain, die nur über Microsoft 365 sendet, empfiehlt Microsoft v=spf1 include:spf.protection.outlook.com -all als TXT-Eintrag auf der Domain. Senden weitere Dienste oder Server für die Domain, gehören sie in denselben, einzigen Eintrag, und die Summe muss unter zehn DNS-Abfragen bleiben.

### Warum landen meine E-Mails im Spam, obwohl SPF, DKIM und DMARC eingerichtet sind?

Die Authentifizierung beweist nur, wer Sie sind. Ob Sie im Posteingang landen, hängt danach von Reputation und Verhalten ab: neue Domains ohne Aufwärmen, zu viele E-Mails pro Tag, hohe Bounce- oder Beschwerdequoten und Formulierungen oder Links, die nach Massenversand aussehen. Prüfen Sie zuerst die Einträge mit einem kostenlosen Tool, dann Volumen, Listenqualität und Text.

### Darf eine Domain zwei SPF-Einträge haben?

Nein. Eine Domain darf nur einen SPF-Eintrag haben, bei zweien schlägt die SPF-Prüfung jedes Mal fehl. Wenn Sie über mehrere Dienste versenden, fassen Sie alle in einem Eintrag mit mehreren include-Angaben zusammen und bleiben unter zehn DNS-Abfragen.

### Mit welcher DMARC-Richtlinie sollte ich starten?

Starten Sie mit p=none und einer rua-Adresse für Berichte. So sehen Sie, welche Dienste in Ihrem Namen senden, ohne etwas zu blockieren. Nach zwei bis vier Wochen sauberer Berichte stellen Sie auf p=quarantine um, später auf p=reject, wenn Sie vollen Schutz gegen gefälschte Absender wollen.

## Über KNK Outbound

KNK Outbound baut und betreibt Outbound-Systeme für B2B-Unternehmen in DACH und den USA: Cold E-Mail, LinkedIn, Content und Anzeigen, komplett für den Kunden erledigt, inklusive Antwortbearbeitung. Ab 3.300 € im Monat, alles inklusive (Tools, Daten, Domains, Postfächer), drei Monate Startphase, danach monatlich. Preise: https://knkoutbound.com/de/preise/ · Gespräch buchen: https://knkoutbound.com/de/book-a-call/ · Agenten-Zugang (MCP): https://knkoutbound.com/mcp