Was ist DKIM? DomainKeys Identified Mail erklärt

So funktioniert DKIM

Ihr Mailserver signiert jede ausgehende Nachricht mit einem privaten Schlüssel. Die Signatur wird als DKIM-Signature-Header hinzugefügt. Der empfangende Server holt den öffentlichen Schlüssel Ihrer Domain aus dem DNS (veröffentlicht als TXT-Eintrag) und überprüft, ob die Signatur passt.

1. Ihr Mailserver erzeugt ein Schlüsselpaar aus öffentlichem und privatem Schlüssel
2. Der öffentliche Schlüssel wird als TXT-Eintrag unter einem Selector veröffentlicht, z. B. selector1._domainkey.ihredomain.de
3. Jede ausgehende E-Mail wird mit dem privaten Schlüssel signiert und erhält einen DKIM-Signature-Header
4. Der empfangende Server holt Ihren öffentlichen Schlüssel per DNS anhand des im Header genannten Selectors
5. Er berechnet die Signatur neu und vergleicht — stimmt sie, ist die E-Mail authentisch und unverändert

DKIM-DNS-Eintrag

Der Eintrag liegt unter einem selectorspezifischen Hostnamen, nicht auf der Root-Domain:

selector1._domainkey.yourdomain.com.  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGS..."

Tags eines DKIM-Eintrags

Was ist ein „Selector“?

Der Selector erlaubt es einer Domain, mehrere DKIM-Schlüssel gleichzeitig zu veröffentlichen — nützlich beim Schlüsseltausch oder bei mehreren Mailanbietern. Jeder Anbieter nennt Ihnen den zu verwendenden Selector (häufige Beispiele: google, selector1, k1, mandrill).

DKIM einrichten

1. Aktivieren Sie die DKIM-Signierung bei Ihrem E-Mail-Anbieter (Google Workspace, Microsoft 365, SendGrid usw.) — dort wird das Schlüsselpaar für Sie erzeugt
2. Kopieren Sie den TXT-Eintrag und den Selector-Hostnamen, die Sie erhalten
3. Fügen Sie den TXT-Eintrag Ihrem DNS hinzu
4. Warten Sie die Propagierung ab und überprüfen Sie es dann beim Anbieter oder per DKIM-Abfrage

Warum Sie SPF, DKIM und DMARC gemeinsam brauchen

Jedes deckt eine andere Lücke ab:

• SPF legt fest, welche Server senden dürfen — bricht aber, wenn E-Mails weitergeleitet werden
• DKIM belegt, dass der Nachrichteninhalt nicht manipuliert wurde — übersteht Weiterleitungen, sagt aber allein nicht, wer senden darf
• DMARC verbindet beides, sagt Empfängern, was zu tun ist, wenn beide fehlschlagen, und liefert Ihnen über Berichte Einblick

Häufige Probleme

• Signatur bricht nach Weiterleitung durch Mailinglisten — manche Listensoftware verändert Text oder Betreff und macht die Signatur damit ungültig. Das ist erwartbar und genau der Grund, warum die DMARC-Ausrichtung SPF ODER DKIM genügen lässt, nicht beides.
• Schlüssel zu lang für eine einzelne TXT-Zeichenkette — 2048-Bit-Schlüssel müssen häufig auf mehrere Zeichenketten innerhalb desselben TXT-Eintrags verteilt werden; die meisten DNS-Anbieter übernehmen das automatisch.
• Falscher Selector — stimmt der Selector in Ihrem DNS nicht mit dem überein, mit dem Ihr Mailanbieter signiert, schlägt die Überprüfung stillschweigend fehl.

Ihre DKIM-Einrichtung prüfen

Nutzen Sie die E-Mail-Sicherheitsprüfung, um SPF, DKIM und DMARC gemeinsam zu überprüfen: