DKIM für Gmail richten Sie in der Google-Admin-Konsole ein, nicht in Gmail selbst: Sie erzeugen dort einen Schlüssel für Ihre Domain, veröffentlichen ihn als TXT-Eintrag beim DNS-Anbieter und klicken danach auf „Authentifizierung starten“. Das funktioniert nur mit Google Workspace und einer eigenen Domain. Eine private @gmail.com-Adresse signiert Google selbst, dort gibt es nichts einzurichten. Diese Anleitung führt Sie durch alle Schritte, zeigt, wie Sie das Ergebnis prüfen, und erklärt die Fehler, an denen die meisten Einrichtungen scheitern.

Kurz gesagt

• DKIM richten Sie nur für eine eigene Domain in Google Workspace ein, als Super Admin unter Apps > Google Workspace > Gmail > E-Mail authentifizieren.
• Wählen Sie 2048 Bit als Schlüssellänge, sofern Ihr DNS-Anbieter das unterstützt, und behalten Sie den Selektor „google“ bei.
• Der TXT-Eintrag allein reicht nicht: Erst der Klick auf „Authentifizierung starten“ schaltet die Signatur ein. Bis alles greift, können bis zu 48 Stunden vergehen.
• Prüfen Sie das Ergebnis mit einer Testmail an ein anderes Gmail-Postfach und suchen Sie im Header nach „dkim=pass“.
• DKIM ist Pflicht für jeden, der an Gmail sendet, und zusammen mit SPF und DMARC die Grundlage, damit Ihre Mails im Posteingang landen.

Inhaltsverzeichnis

• Gmail-Adresse oder eigene Domain: Wer DKIM überhaupt einrichtet
• Was Sie vor dem Start brauchen
• DKIM in der Admin-Konsole einrichten: die Schritte
• So prüfen Sie, ob Gmail Ihre Mails signiert
• Typische Fehler und wie Sie sie beheben
• DKIM, SPF und DMARC im Zusammenspiel
• Unsere Sicht: Warum DKIM für Outreach erst der Anfang ist
• Workspace-Postfächer fertig eingerichtet
• Häufige Fragen
• Quellen

Gmail-Adresse oder eigene Domain: Wer DKIM überhaupt einrichtet

Die Suche nach „DKIM in Gmail einrichten“ hat zwei sehr unterschiedliche Ausgangslagen.

Sie nutzen eine private Adresse wie name@gmail.com. Dann signiert Google Ihre ausgehenden Nachrichten automatisch mit der Domain gmail.com. Sie haben keinen Zugriff auf diesen Schlüssel und müssen nichts tun. Für geschäftliche Kommunikation, und erst recht für Akquise per E-Mail, ist eine gmail.com-Adresse aber ohnehin die falsche Wahl: Ihre Absenderreputation hängt dann an einer Domain, die Ihnen nicht gehört.

Sie senden mit Gmail von Ihrer eigenen Domain, also etwa vertrieb@ihrefirma.de über Google Workspace. Genau für diesen Fall ist die Einrichtung gedacht. Google stellt in der Admin-Konsole einen Schlüssel für Ihre Domain bereit, und Sie sorgen dafür, dass Empfänger ihn im DNS finden.

Ein wichtiges Detail: Auch ohne eigene Einrichtung versieht Google Workspace ausgehende Mails mit einer DKIM-Signatur, allerdings unter einer technischen Google-Domain statt unter Ihrer eigenen. Diese Signatur passt nicht zur Absenderdomain im „Von“-Feld. Für DMARC zählt aber genau diese Übereinstimmung, das sogenannte Alignment. Warum das bei Weiterleitungen und im Kaltakquise-Alltag zum Problem wird, erklären wir ausführlich in unserem Beitrag zu DKIM Alignment als Zustellbarkeitsrisiko. Wer mit Workspace an Gmail sendet, sollte deshalb immer einen eigenen Domain-Schlüssel einrichten.

Was Sie vor dem Start brauchen

Bevor Sie loslegen, sollten drei Dinge geklärt sein:

1. Super-Admin-Zugang zur Google-Admin-Konsole unter admin.google.com. Normale Nutzerkonten sehen den Menüpunkt für die E-Mail-Authentifizierung nicht.
2. Zugriff auf die DNS-Verwaltung Ihrer Domain, also auf das Kundenkonto bei Ihrem Domain-Anbieter oder Hoster. Wenn eine Agentur oder die IT die Domain verwaltet, klären Sie das vorher, sonst steht die Einrichtung mitten im Prozess still.
3. Etwas Geduld nach der Aktivierung von Gmail. Laut Googles Anleitung zur DKIM-Einrichtung müssen Sie nach dem Einschalten von Gmail für Ihre Organisation 24 bis 72 Stunden warten, bevor Sie den DKIM-Schlüssel erzeugen können. Wer es früher versucht, bekommt unter Umständen eine Fehlermeldung.

Haben Sie mehrere Domains in Workspace, etwa eine Hauptdomain und zusätzliche Versanddomains für Outreach, dann brauchen Sie für jede Domain einen eigenen Schlüssel. Ein Schlüssel für die Hauptdomain deckt keine weiteren Domains ab.

DKIM in der Admin-Konsole einrichten: die Schritte

Die Einrichtung besteht aus drei Teilen: Schlüssel erzeugen, DNS-Eintrag veröffentlichen, Signatur starten. Halten Sie diese Reihenfolge ein.

Schritt 1: Den DKIM-Schlüssel erzeugen

1. Melden Sie sich als Super Admin in der Google-Admin-Konsole an.
2. Öffnen Sie Menü > Apps > Google Workspace > Gmail.
3. Klicken Sie auf „E-Mail authentifizieren“.
4. Wählen Sie oben die Domain, für die Sie DKIM einrichten möchten.
5. Klicken Sie auf „Neuen Eintrag generieren“.
6. Wählen Sie die Schlüssellänge. Google empfiehlt 2048 Bit, wenn Ihr Domain-Anbieter das unterstützt, sonst 1024 Bit. Längere Schlüssel sind sicherer.
7. Lassen Sie den Präfixselektor auf dem Standardwert „google“, sofern Sie keinen Grund für einen anderen haben, etwa weil der Selektor auf dieser Domain schon von einem anderen Dienst belegt ist.
8. Klicken Sie auf „Generieren“.

Google zeigt Ihnen anschließend zwei Werte: den DNS-Hostnamen (bei Standardeinstellungen google._domainkey) und den TXT-Wert, der mit v=DKIM1; k=rsa; p= beginnt, gefolgt von einer langen Zeichenkette. Das ist Ihr öffentlicher Schlüssel.

Lassen Sie dieses Fenster offen, bis der Eintrag beim DNS-Anbieter gespeichert ist. So können Sie den Wert notfalls erneut kopieren, ohne zu suchen. Welche Schlüssellänge in welchem Fall die richtige ist, vertiefen wir im Vergleich DKIM 2048 vs. 1024 Bit.

Schritt 2: Den TXT-Eintrag beim DNS-Anbieter veröffentlichen

Wechseln Sie in die DNS-Verwaltung Ihrer Domain und legen Sie einen neuen Eintrag an:

Haben Sie einen eigenen Selektor gewählt, lautet der Host entsprechend selektor._domainkey. Für Subdomains fragen Sie im Zweifel bei Ihrem Domain-Anbieter nach, wie der Eintrag dort anzulegen ist, denn die Oberflächen unterscheiden sich.

Ein Stolperstein bei 2048-Bit-Schlüsseln: Manche DNS-Oberflächen begrenzen die Länge eines einzelnen TXT-Feldes. Dann muss der Wert in mehrere Zeichenketten aufgeteilt werden, die zusammen einen Eintrag ergeben, nicht in mehrere separate TXT-Einträge. Bietet Ihr Anbieter das nicht an, ist 1024 Bit die vorgesehene Alternative. Der Unterschied zwischen TXT- und CNAME-basierten Einträgen, wie sie andere Versanddienste nutzen, steht in unserem englischsprachigen Leitfaden DKIM für Admins einrichten.

Schritt 3: Die Signatur starten

Zurück in der Admin-Konsole klicken Sie unter „E-Mail authentifizieren“ auf „Authentifizierung starten“. Wenn alles funktioniert, wechselt der Status auf „E-Mails werden mit DKIM authentifiziert“.

Das ist der Schritt, der am häufigsten vergessen wird. Der veröffentlichte DNS-Eintrag allein bewirkt nichts: Er macht den Schlüssel nur auffindbar. Erst der Klick weist Google an, Ihre ausgehenden Mails tatsächlich mit dem Domain-Schlüssel zu signieren.

Nach dem Hinzufügen des Schlüssels kann es laut Google bis zu 48 Stunden dauern, bis DKIM greift, weil sich DNS-Änderungen erst verbreiten müssen. Eine DNS-Warnung in der Konsole dürfen Sie in dieser Zeit ignorieren, wenn Sie den Eintrag korrekt angelegt haben.

So prüfen Sie, ob Gmail Ihre Mails signiert

Verlassen Sie sich nicht auf den Status in der Konsole allein, sondern prüfen Sie eine echte Nachricht.

1. Senden Sie eine Mail von Ihrer Workspace-Adresse an ein anderes Gmail- oder Workspace-Postfach, nicht an sich selbst.
2. Öffnen Sie die Nachricht beim Empfänger und wählen Sie über das Drei-Punkte-Menü „Original anzeigen“.
3. Suchen Sie im Header die Zeile „Authentication-Results“. Dort sollte dkim=pass stehen, und zwar mit header.d=ihrefirma.de, nicht mit einer Google-Domain.

Es geht auch ohne Header: Laut Gmail-Hilfe zur Prüfung authentifizierter Nachrichten zeigt Gmail in den Nachrichtendetails „Signiert von“ mit der Absenderdomain an, wenn die Nachricht authentifiziert ist. Ein Fragezeichen neben dem Absendernamen bedeutet dagegen, dass die Nachricht nicht authentifiziert wurde.

Zusätzlich können Sie den veröffentlichten Wert auf der Kommandozeile abfragen, etwa mit dig TXT google._domainkey.ihrefirma.de, und ihn Zeichen für Zeichen mit dem Wert aus der Admin-Konsole vergleichen. Stimmen beide nicht überein, liegt der Fehler im DNS.

Typische Fehler und wie Sie sie beheben

Die meisten Probleme mit DKIM in Google Workspace haben eine von wenigen Ursachen:

Zwei Punkte aus Googles Hilfe zur DKIM-Fehlerbehebung verdienen besondere Aufmerksamkeit. Erstens: Gmail wertet nur die ersten fünf DKIM-Signaturen einer Nachricht aus. Steht die Signatur Ihrer Domain nicht darunter, scheitert DKIM, und damit unter Umständen auch DMARC. Das betrifft vor allem Mails, die mehrere Systeme durchlaufen und dabei jeweils signiert werden. Zweitens: Weitergeleitete Mails fallen bei DKIM durch, wenn unterwegs der Inhalt verändert wird. Prüfen Sie deshalb jedes System zwischen Gmail und dem Internet, das Disclaimer, Signaturen oder Tracking ergänzt.

Ein weiterer Hinweis aus der Gmail-Hilfe: Das DKIM-Längen-Tag l= sollte in Signaturen nicht verwendet werden, weil es Nachrichten anfällig für Spoofing macht. Bei Googles eigener Signatur müssen Sie daran nichts tun, wohl aber bei Drittsystemen, die in Ihrem Namen signieren.

DKIM, SPF und DMARC im Zusammenspiel

DKIM ist eines von drei Verfahren, die gemeinsam belegen, dass eine Mail wirklich von Ihrer Domain stammt:

• SPF legt fest, welche Server für Ihre Domain senden dürfen.
• DKIM signiert jede Nachricht kryptografisch, sodass Empfänger erkennen, ob sie unterwegs verändert wurde.
• DMARC verlangt, dass SPF oder DKIM bestehen und zur sichtbaren Absenderdomain passen, und sagt Empfängern, was bei einem Fehlschlag passieren soll.

Seit Februar 2024 sind diese Verfahren keine Kür mehr. Nach den Gmail-Richtlinien für E-Mail-Absender müssen alle Absender an Gmail-Konten SPF oder DKIM einrichten. Wer mehr als 5.000 Nachrichten pro Tag an Gmail sendet, braucht SPF, DKIM und DMARC. Für den Versand an private Gmail-Konten verlangt Google zudem einen DKIM-Schlüssel mit mindestens 1024 Bit und empfiehlt 2048 Bit. Wie Google die 5.000er-Grenze zählt und wer als Massenabsender gilt, erläutern die häufigen Fragen zu den Absenderrichtlinien.

Die sinnvolle Reihenfolge: zuerst SPF prüfen oder anlegen, dann DKIM einrichten und starten, danach etwa 48 Stunden warten und erst dann einen DMARC-Eintrag unter _dmarc.ihrefirma.de mit v=DMARC1; p=none; veröffentlichen. Mit p=none sammeln Sie zunächst Berichte, ohne Mails zu blockieren, und verschärfen die Richtlinie, wenn alle legitimen Versandwege sauber authentifiziert sind. Zeigen die Berichte Fehler, hilft unser Leitfaden DMARC-Fehler beheben bei der Ursachensuche.

Unsere Sicht: Warum DKIM für Outreach erst der Anfang ist

Wir sehen jeden Tag Postfächer, bei denen DKIM sauber eingerichtet ist und die Mails trotzdem im Spam landen. Das liegt nicht an DKIM. Die Signatur beweist, dass eine Mail von Ihrer Domain stammt. Ob ein Empfänger diese Domain für vertrauenswürdig hält, entscheidet ihre Reputation.

Für Vertriebsteams, Agenturen und Gründer, die Kaltakquise per E-Mail betreiben, heißt das: DKIM, SPF und DMARC sind die Eintrittskarte, die Zustellbarkeit entsteht danach. Neue Versanddomains brauchen ein schrittweises Warm-up, das Versandvolumen muss auf mehrere Postfächer verteilt werden, und Bounces durch unbestätigte Adressen kosten Reputation, die man mühsam wieder aufbauen muss.

Genau dafür haben wir PlusVibe gebaut: ein privates Warm-up-Netzwerk statt eines offenen Pools, isolierte Versandinfrastruktur, Inbox-Rotation, E-Mail-Verifizierung vor dem Versand und eine Deliverability-Überwachung, die Probleme sichtbar macht, bevor eine Kampagne Schaden nimmt. Und wer die DNS-Arbeit für viele Domains nicht selbst erledigen will, bekommt bei uns die Einrichtung als Service.

Unser Rat: Richten Sie DKIM einmal richtig ein, für jede Versanddomain, mit eigenem Schlüssel und geprüftem Header. Dann haben Sie die Grundlage, auf der sich Reichweite wirklich aufbauen lässt.

Yaro

Workspace-Postfächer fertig eingerichtet

Wenn Sie Outreach über mehrere Domains und Postfächer betreiben, wird die DNS-Pflege schnell zur Daueraufgabe: für jede Domain SPF, DKIM und DMARC, für jedes Postfach Warm-up und Überwachung. PlusVibe nimmt Ihnen diesen Teil ab. Google-Workspace-Postfächer bekommen Sie bei uns für 4 USD pro Monat und Postfach, Microsoft-365-Postfächer für 4,5 USD pro Monat und Postfach.

Mit dem Done-for-you Email Setup übernehmen wir die Einrichtung Ihrer Versandinfrastruktur komplett, inklusive der Authentifizierung. Alle Tarife vom Personal-Plan bis zum Agency-Plan, dazu die kostenlose Testphase, finden Sie auf unserer Seite mit Preisen und Tarifen. Was beim Versand über Workspace darüber hinaus zählt, etwa Limits pro Postfach, steht in unserem Beitrag Outreach mit Google Workspace, und wie Sie neue Domains sicher starten, im Leitfaden E-Mail-Warmup für neue Domains.

Häufige Fragen

Kann ich DKIM für meine private Gmail-Adresse einrichten?

Nein, und das ist auch nicht nötig. Google signiert Mails von @gmail.com-Adressen automatisch mit der Domain gmail.com, Sie haben auf diesen Schlüssel keinen Zugriff. Eine eigene DKIM-Einrichtung gibt es nur für eigene Domains in Google Workspace.

Wie lange dauert es, bis DKIM in Google Workspace funktioniert?

Nach dem Veröffentlichen des TXT-Eintrags und dem Klick auf „Authentifizierung starten“ kann es bis zu 48 Stunden dauern. Wurde Gmail für Ihre Organisation gerade erst aktiviert, kommen vorher 24 bis 72 Stunden hinzu, bis Sie überhaupt einen Schlüssel erzeugen können.

Brauche ich für jede Domain einen eigenen DKIM-Schlüssel?

Ja. Google verlangt für jede Domain in Workspace einen eigenen Schlüssel mit eigenem TXT-Eintrag. Das gilt auch für zusätzliche Versanddomains, die Sie nur für Outreach nutzen.

Sollte ich 1024 oder 2048 Bit wählen?

Wählen Sie 2048 Bit, wenn Ihr DNS-Anbieter Einträge dieser Länge unterstützt, so empfiehlt es Google. 1024 Bit ist die Mindestlänge für den Versand an Gmail und die Alternative, wenn Ihr Anbieter lange TXT-Werte nicht speichern kann.

Reicht DKIM, damit meine Mails nicht im Spam landen?

DKIM ist eine Grundvoraussetzung, aber Gmail bewertet zusätzlich SPF, DMARC, Ihre Domainreputation und das Verhalten der Empfänger. Was über die Authentifizierung hinaus zählt, zeigen wir in unserem Leitfaden Spam-Ordner vermeiden.

Quellen

• Google Workspace-Hilfe: DKIM einrichten
• Google Workspace-Hilfe: DKIM-Probleme beheben
• Gmail-Hilfe: Prüfen, ob eine Gmail-Nachricht authentifiziert ist
• Gmail-Hilfe: Richtlinien für E-Mail-Absender
• Gmail-Hilfe: Häufig gestellte Fragen zu den Richtlinien für E-Mail-Absender

Empfehlungen

• Outreach mit Google Workspace: DNS, Limits und Zustellbarkeit
• Postmaster Tools Setup: 6 DNS-Schritte, bevor Gmail Daten anzeigt
• DMARC-Fehler beheben: Ursachen finden und sauber lösen
• E-Mail-Warmup: Postfach und neue Domain sicher aufwärmen