Schritt-für-Schritt-Anleitung, um Clean Mailbox in Google Workspace als eingehendes Gateway zu deklarieren und durch SPF verursachte Zustellprobleme zu vermeiden.
Die Google Admin-Konsole ändert sich regelmäßig: Die unten beschriebenen Menüs, Bezeichnungen und Positionen können von dem abweichen, was Sie heute sehen. Diese Anleitung wird als Hilfestellung bereitgestellt; sie ersetzt nicht den offiziellen Support von Google, der allein dafür zuständig ist, seine Kunden bei der Administration ihrer Google-Workspace-Domain zu unterstützen. Die aktuelle Referenz finden Sie in der offiziellen Google-Anleitung zum eingehenden Gateway (auf Englisch).
Wenn Gmail eine von Clean Mailbox weitergeleitete E-Mail empfängt, sieht es standardmäßig die IP-Adresse unserer Server statt der IP-Adresse des ursprünglichen Absenders. Setzt die Absenderdomain einen strengen SPF-Eintrag durch (-all), kann Gmail die E-Mail als nicht authentifiziert behandeln — denn die IP von Clean Mailbox ist im SPF-Eintrag des Absenders nicht aufgeführt.
Google Workspace bietet dafür genau die passende Einstellung Eingehendes Gateway: Sobald Ihre Clean-Mailbox-Server deklariert sind, kann Gmail die echte IP-Adresse des ursprünglichen Absenders wiederherstellen (durch Auswertung der Received: from-Header der Nachricht) und SPF dagegen prüfen, statt SPF gegen die IP des Gateways zu prüfen.
Diese Anleitung richtet sich an den Domain-Administrator (oder Ihren IT-Dienstleister) und beschreibt eine Konfiguration, die Sie nur einmal durchführen müssen, nachdem Sie Ihre MX-Einträge auf Clean Mailbox umgestellt haben.
Diese Anleitung gilt für Domains, deren Postfächer bei Google Workspace gehostet und eingangsseitig durch Clean Mailbox geschützt werden. Anders als manche andere E-Mail-Systeme setzt Gmail die DMARC-Richtlinie der Absenderdomain bei Nachrichten, die über ein deklariertes eingehendes Gateway empfangen werden, nicht durch; stattdessen stützt es sich für die eigene Spam-Bewertung auf die ihm verfügbaren Authentifizierungsinformationen.
Clean Mailbox leitet Ihre eingehenden E-Mails von den folgenden Adressen weiter. Sie benötigen sie für Schritt 2 unten.
| Typ | Adressen |
|---|---|
| IPv4 |
213.32.76.196/3251.178.81.41/3245.63.114.93/32163.172.164.47/32 |
| IPv6 |
2001:41d0:404:200::4d8f/1282001:41d0:302:1000::500/1282001:19f0:6801:10c:5400:ff:fe58:b68/1282001:bc8:710:a30:dc00:ff:fe8a:301/128 |
Diese Liste kann sich mit der Weiterentwicklung der Infrastruktur von Clean Mailbox ändern. Prüfen Sie vor der Umsetzung dieser Konfiguration die aktuelle Liste in Ihrem Kundenportal. Beachten Sie außerdem, dass Google Workspace in dieser Einstellung nur öffentliche IP-Adressen akzeptiert: Private Adressbereiche werden abgelehnt.
Öffnen Sie in der Google Admin-Konsole das Menü und gehen Sie zu Apps → Google Workspace → Gmail. Klicken Sie dann auf Spam, Phishing und Schadsoftware. Für diese Seite ist ein Konto mit Gmail-Administratorrechten erforderlich.
Wählen Sie im linken Bereich die oberste Organisationseinheit aus (es sei denn, die Konfiguration soll nur für eine bestimmte Organisationseinheit gelten), scrollen Sie dann nach unten zur Einstellung Eingehendes Gateway und klicken Sie auf Bearbeiten.
Klicken Sie im sich öffnenden Bereich auf Hinzufügen und geben Sie dann eine der oben aufgeführten IPv4-Adressen von Clean Mailbox ein (jeweils eine, im Format x.x.x.x/32). Wiederholen Sie dies für jede Adresse.
Wenn Ihr E-Mail-Verkehr auch über IPv6 läuft, können Sie versuchen, die IPv6-Bereiche auf dieselbe Weise hinzuzufügen; lehnt das Feld sie ab, kontaktieren Sie uns — IPv4 allein genügt für die große Mehrheit der Konfigurationen.
Klicken Sie anschließend auf Speichern, um die Adressliste zu bestätigen.
Auf derselben Konfigurationsseite für das eingehende Gateway verdienen drei Optionen Ihre Aufmerksamkeit:
Received: from-Header der Nachricht aus, um die erste öffentliche IP-Adresse zu finden, die nicht auf der Gateway-Liste steht, und prüft SPF gegen diese ursprüngliche IP statt gegen die von Clean Mailbox. Genau das verhindert die oben beschriebenen fälschlichen SPF-Ablehnungen.Ist ein Received: from-Header fehlerhaft, kann Gmail die ursprüngliche IP-Adresse nicht bestimmen und prüft nur den vorherigen Hop. Außerdem gibt es eine erweiterte Option zur Spam-Markierung mit regulären Ausdrücken, mit der Gmail angewiesen werden kann, dem eigenen Spam-Score eines Gateways zu vertrauen, statt eine eigene Bewertung durchzuführen; die meisten Kunden brauchen sie nicht, da Clean Mailbox Spam bereits im Vorfeld filtert, aber kontaktieren Sie uns, wenn Sie sie nutzen möchten.
Klicken Sie unten auf der Seite auf Speichern. Änderungen können bis zu 24 Stunden bis zur Anwendung brauchen, meist geht es aber schneller; den Verlauf können Sie im Audit-Protokoll der Admin-Konsole verfolgen.
Sobald die Konfiguration gespeichert und die TTL Ihrer MX-Einträge abgelaufen ist, senden Sie eine Test-E-Mail von einer externen Domain mit strengem SPF-Eintrag und prüfen Sie in der empfangenen Nachricht (über das Gmail-Menü Original anzeigen), dass die SPF-/Authentication-Results-Auswertung auf der ursprünglichen IP-Adresse des Absenders basiert und nicht auf der von Clean Mailbox.
Nein: Laut Googles eigener Dokumentation wird die DMARC-Richtlinie der sendenden Domain bei Nachrichten, die über ein deklariertes eingehendes Gateway empfangen werden, nicht durchgesetzt. Gmail stützt sich für die eigene Spam-Bewertung auf die ihm verfügbaren Authentifizierungsinformationen.
Nein, das hätte keine Wirkung: Erscheint dieselbe IP-Adresse sowohl in der Liste des eingehenden Gateways als auch in einer Zulassungsliste, hat der Eintrag in der Gateway-Liste Vorrang. Um einem bestimmten Absender die Umgehung des Spamfilters zu ermöglichen, tragen Sie die echte ursprüngliche IP dieses Absenders (anhand der Header ermittelt) in die Zulassungsliste ein, nicht die IP des Gateways.
Unser Support hilft Ihnen, die freizugebenden IP-Adressen zu bestätigen oder ein Zustellproblem zu diagnostizieren. Für die Administration Ihrer Google-Workspace-Domain selbst wenden Sie sich bitte an den Google-Support oder Ihren IT-Dienstleister.
Fragen zum Test, zur Einrichtung, zu den Preisen oder zu einer Partnerschaft? Wir sind für Sie da — und antworten schnell.