DE
Kundenbereich
Anmelden

Beginn

Was bringt dich hierher?

Wissensdatenbank · E-Mail-Anleitungen

SPF, DKIM & DMARC für Google Workspace + cPanel (Vollständige Anleitung)

Zuletzt aktualisiert am 2025-10-31

SPF, DKIM & DMARC für Google Workspace + cPanel

Eine praxisnahe Anleitung zum Kopieren und Einfügen für Hybrid-Setups, bei denen Benutzer E-Mails versenden über Google Workspace und Websites/Skripte versenden über cPanel.

 
Inhalt
1) Überblick
2) SPF
3) DKIM (Google & cPanel)
4) DMARC
5) Empfohlene Einführungsphasen
6) Beispiele zum direkten Einfügen
7) Überprüfen & überwachen
8) Häufige Fehler & FAQ
 

1) Überblick

Funktion der einzelnen Einträge

SPF Legt fest, welche IPs/Server für Ihre Domain E-Mails versenden dürfen.

DKIM Kryptografische Signatur, die die Integrität der Nachricht und die Identität der Domain belegt.

DMARC Richtlinien- und Berichtsebene, die SPF/DKIM mit der sichtbaren Von: Domain verknüpft.

 

Grundprinzip: Alignment

DMARC wird bestanden, wenn entweder SPF oder DKIM besteht als auch die die authentifizierte Domain mit dem sichtbaren Von Domain verknüpft.

 

Wir empfehlen strict Alignment für den besten Schutz.

 

Ziel für Hybridbetrieb (Workspace + cPanel): Autorisieren Sie beide Systeme in SPF, aktivieren Sie DKIM für beide und stellen Sie DMARC anschließend vom Monitoring auf Durchsetzung um.
 

2) SPF (Sender Policy Framework)

Was Sie veröffentlichen müssen: ein SPF TXT-Record an der Wurzel (Host) @).

 

Direktive Bedeutung Warum
include:_spf.google.com Autorisiert die MTAs von Google Workspace Erforderlich für E-Mails von Benutzern, die über Gmail/Google versendet werden
ip4:XX.XX.XX.XX Autorisiert Ihre cPanel-IPv4-Adresse Erforderlich für PHP-/Exim-E-Mails von Ihrem Webserver
ip6:YYYY:...:ZZZZ (optional) Autorisiert Ihre cPanel-IPv6-Adresse Fügen Sie dies hinzu, wenn E-Mails über IPv6 versendet werden können
-all Hard Fail für alle anderen Verhindert Spoofing von nicht autorisierten IP-Adressen
 
SPF-Lookup-Limit: Sie haben maximal 10 DNS-Abfragen. Vermeiden Sie es, zu viele davon zu verschachteln include:s oder verschachtelte Anbieter.
 
 

3) DKIM (DomainKeys Identified Mail)

Veröffentlichen Sie pro versendendem System einen TXT-Eintrag. Jeder verwendet einen eindeutigen Selector (die Bezeichnung vor ._domainkey).

 

Google Workspace DKIM

  1. Google Admin-Konsole → Apps → Google Workspace → Gmail → E-Mail authentifizieren (DKIM)
  2. Schlüssel generieren: Selector google, 2048-Bit
  3. TXT-Eintrag veröffentlichen: google._domainkey.yourdomain.tld → v=DKIM1; k=rsa; p=…
  4. Klicken Sie auf Authentifizierung starten nachdem sich das DNS verbreitet hat

cPanel DKIM

  1. cPanel → E-Mail-Zustellbarkeit → DKIM aktivieren
  2. Es erstellt default._domainkey.yourdomain.tld → v=DKIM1; k=rsa; p=…
  3. Stellen Sie sicher, dass die DKIM- d= Domain mit Ihrer sichtbaren Von Domain für das DMARC-Alignment übereinstimmt
 
Warum halten wir die Selectors getrennt: Google und cPanel verwalten ihre eigenen Schlüssel und Schlüsselrotationen. Getrennte Selectors vermeiden Kollisionen und vereinfachen die Fehlersuche.
 
 
 

4) DMARC (Richtlinie & Berichte)

Veröffentlichen Sie einen TXT-Eintrag unter _dmarc.yourdomain.tld.

 

Tag Optionen Empfehlung Warum / Wann nicht gewählt
p none / quarantine / reject Start: none → dann quarantine → reject Direkt zu wechseln auf reject kann während der Einrichtung legitime E-Mails blockieren
sp wie p none zunächst; später reject Steuert Subdomains; setzen Sie die Richtlinie durch, sobald Sie sicher sind
adkim r (relaxed) / s (strict) s (strict) Relaxed erlaubt Abweichungen bei Subdomains; strict ist sauberer und sicherer
aspf r / s s Strikte Alignment-Prüfung reduziert Spoofing
rua mailto:… Aktivieren Tägliche aggregierte XML-Berichte zeigen alle Absender
ruf mailto:… Optional Forensische Berichte können sehr umfangreich sein; nur zur Fehlersuche aktivieren
fo 0, 1, d, s 1 Bericht bei jedem SPF-/DKIM-Fehler für bessere Transparenz
pct 0–100 In der Regel weglassen Nur verwenden, wenn die Durchsetzung schrittweise eingeführt wird

 

 

5) Empfohlene Einführungsphasen

  1. Phase 1 (Überwachung): p=none, sammeln Sie 2–3 Wochen lang Berichte
  2. Phase 2 (Vorsicht): p=quarantine, erwägen Sie sp=reject
  3. Phase 3 (Strikt): p=reject (und sp=reject) sobald alle legitimen Absender übereinstimmen
Bestehensbedingung: Wenn entweder SPF oder DKIM besteht als auch die mit der sichtbaren From-Domain übereinstimmt (Alignment), besteht DMARC die Prüfung.
 
 

6) Beispiele zum direkten Einfügen

6.1 SPF (fügen Sie die IP-Adressen Ihres Webservers hinzu)


v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all

 

 

Wenn Sie auch über IPv6 versenden:


v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX ip6:YYYY:YYYY::ZZZZ -all

 

6.2 DKIM (Google Workspace)

Host Geben Sie Wert
google._domainkey.yourdomain.tld TXT v=DKIM1; k=rsa; p=<Google 2048-bit public key>

 

6.3 DKIM (cPanel)

Host Geben Sie Wert
default._domainkey.yourdomain.tld TXT v=DKIM1; k=rsa; p=<cPanel 2048-bit public key>

 

6.4 DMARC (schrittweise)

Phase 1 – Überwachen


v=DMARC1; p=none; sp=none; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; ruf=mailto:dmarc-failures@yourdomain.tld; fo=1;

 

Phase 2 – Quarantäne


v=DMARC1; p=quarantine; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;

 

Phase 3 – Ablehnen


v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;

 

6.5 Spickzettel zur DNS-Oberfläche

Eintrag Host / Name Geben Sie Wert
SPF @ TXT v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all
DKIM (Google) google._domainkey TXT v=DKIM1; k=rsa; p=…
DKIM (cPanel) default._domainkey TXT v=DKIM1; k=rsa; p=…
DMARC _dmarc TXT v=DMARC1; p=none; …

 

6.6 Zonen-Snippets im BIND-Stil (optional)


@   3600 IN TXT "v=spf1 include:_spf.google.com ip4:XX.XX.XX.XX -all"
google._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=<GooglePublicKey>"
default._domainkey 3600 IN TXT "v=DKIM1; k=rsa; p=<cPanelPublicKey>"
_dmarc 3600 IN TXT "v=DMARC1; p=none; sp=none; adkim=s; aspf=s; rua=mailto:dmarc-reports@yourdomain.tld; fo=1;"

 

7) Überprüfen & Überwachen

Schnelle Prüfungen

  • SPF: MXToolbox SPF
  • DMARC: MXToolbox DMARC
  • Gmail: Senden Sie eine Testnachricht → Nachrichtenmenü → Original anzeigen → bestätigen SPF=PASS, DKIM=PASS, DMARC=PASS

 

Berichte auswerten

Aggregierte rua Berichte treffen täglich im XML-Format ein. Zum Auswerten eignen sich:

 

8) Häufige Fehler & FAQ

Vergessen Sie Ihren Webserver im SPF-Eintrag nicht. Wenn der Versand über PHP/Exim nicht autorisiert ist, kann DMARC fehlschlagen, selbst wenn die Google-Konfiguration einwandfrei ist.
Vermeiden Sie es, voreilig auf p=reject. Überwachen Sie zuerst, und setzen Sie die Richtlinie erst durch, wenn alle legitimen Quellen übereinstimmen.

What is “alignment” exactly?

Bei SPF: die Domain im MAIL FROM / Return-Path muss (strikt) mit der sichtbaren Von Domain übereinstimmen. Bei DKIM: Die d= Domain in der Signatur muss mit der sichtbaren Von Domain übereinstimmen. Wir empfehlen aspf=s als auch die adkim=s für mehr Klarheit und Sicherheit.

 

Sollte ich ruf (Forensic-)Berichte verwenden?

Optional. Sie können sehr umfangreich sein und Nachrichtenproben enthalten. Verwenden Sie sie bei der aktiven Fehlersuche und entfernen Sie sie anschließend oder behalten Sie sie nur eingeschränkt bei.

 

Die Weiterleitung beeinträchtigt SPF—schlägt DMARC dann fehl?

Die Weiterleitung beeinträchtigt SPF häufig, aber DKIM wird weiterhin bestanden, sofern die Signaturen erhalten bleiben, sodass DMARC trotzdem bestehen kann. Deshalb ist es entscheidend, DKIM überall zu aktivieren.

Support: Wenn Sie Kunde von IndicHosts.net sind, erstellen Sie ein Ticket. Wir prüfen Ihre DNS-Einträge sowie Ihre DKIM- und DMARC-Berichte und empfehlen Ihnen die passende Durchsetzungsstufe für Ihre Domain.

← Alle Knowledgebase Artikel

Tell us what you need

Compare available plans or describe your workload so we can discuss a suitable starting point.

Talk to us