DKIM – das Siegel, das deine E-Mails unterwegs schützt

DKIM signiert ausgehende E-Mails und macht Veränderungen unterwegs sichtbar. Wir zeigen den Aufbau des Schlüssels, das Selektor-Problem und jeden Befund im Einzelnen.

Früher wurden Briefe gesiegelt. Nicht, damit niemand sie liest, sondern damit man sieht, ob jemand sie geöffnet hat. DKIM ist dieses Siegel für E-Mails. Dein Mailserver rechnet beim Versand aus Absender, Betreff und Inhalt eine Signatur aus und hängt sie unsichtbar an die Nachricht. Der Empfänger holt sich den passenden öffentlichen Schlüssel aus deinem DNS und rechnet nach. Stimmt es, ist die Nachricht auf dem Weg unverändert geblieben – und sie stammt aus einem System, das deinen privaten Schlüssel kennt.

Der wichtige Unterschied zu SPF: SPF hängt am sendenden Server und bricht, sobald jemand deine Nachricht weiterleitet. Das Siegel wandert mit. Genau deshalb ist DKIM das robustere der beiden Verfahren – und der Grund, warum DMARC mit einem von beiden zufrieden ist.

Wie der Eintrag aussieht

Der öffentliche Schlüssel steht nicht auf der Domain selbst, sondern unter einer Unteradresse aus zwei Teilen: dem Selektor und der festen Kennung _domainkey.

selector1._domainkey.beispiel-gmbh.de.   TXT   "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAwT3n…"

Bei vielen Anbietern siehst du an dieser Stelle keinen TXT-Eintrag, sondern einen Verweis (CNAME) auf den Anbieter – IONOS macht das so, Microsoft 365 auch. Das ist kein Mangel, sondern bequem: Der Anbieter kann den Schlüssel austauschen, ohne dass du etwas anfassen musst.

Das Problem mit dem Selektor

Hier ist die ehrliche Grenze jedes Prüfwerkzeugs, auch unseres: Im DNS steht nirgends, welchen Selektor eine Domain benutzt. Man kann nicht nachschlagen, sondern nur bekannte Namen durchprobieren. Der Mail-Check kennt die Selektoren der gängigen Anbieter aus fünf Märkten – aber eben nicht jeden. Amazon SES etwa vergibt drei zufällige Namen; dort ist Raten sinnlos.

Deshalb heißt der Befund „Kein DKIM-Schlüssel gefunden" und nicht „kein DKIM eingerichtet". Der Unterschied ist groß. Zwei Wege führen zur sicheren Antwort:

• Den Selektor eintragen. Im Prüfformular gibt es dafür ein Feld. Wenn du weißt, wie euer Schlüssel heißt, ist die Prüfung eindeutig.
• Die Kopfzeilen einer echten E-Mail einfügen. In der Zeile DKIM-Signature steht s= – das ist der Selektor, zweifelsfrei. Die Kopfzeilen findest du in den meisten Mailprogrammen unter „Quelltext anzeigen" oder „Original anzeigen".

Schlüssellänge: 1024 oder 2048 Bit

Ein DKIM-Schlüssel ist ein Rechenschlüssel, und Rechenleistung wird billiger. Was 2010 als sicher galt, ist es heute nicht mehr.

Ein Wechsel ist harmlos: Man legt einen neuen Selektor mit neuem Schlüssel an, stellt den Versand darauf um und lässt den alten Eintrag noch ein paar Tage stehen, bis keine Nachricht mehr mit ihm unterwegs ist. Erst dann wird er zurückgezogen oder gelöscht.

So richtest du es ein

Diese Selektoren prüft der Mail-Check bei den jeweiligen Anbietern. Sie stammen aus unserer geprüften Anbieterliste, nicht aus dem Gedächtnis:

So schaltest du DKIM in Microsoft 365 ein – dem verbreitetsten Postfach-System in deutschen Unternehmen:

1. Im Microsoft Defender Portal anmelden und zu E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen → DKIM gehen.
2. Die eigene Domain in der Liste auswählen.
3. Microsoft zeigt dir zwei CNAME-Einträge mit selector1._domainkey und selector2._domainkey, jeweils mit einem Ziel bei onmicrosoft.com.
4. Diese beiden Einträge im DNS deiner Domain anlegen – also bei IONOS, STRATO oder wo die Domain verwaltet wird.
5. Zurück im Portal den Schalter Signieren von Nachrichten für diese Domain mit DKIM-Signaturen aktivieren. Meldet er einen Fehler, sind die Einträge noch nicht sichtbar: eine Stunde warten und erneut versuchen.
6. Eine Testnachricht an eine externe Adresse schicken und im Quelltext nach der Zeile DKIM-Signature sehen.
7. Danach die Domain im Mail-Check prüfen, diesmal mit selector1 im Selektorfeld.

Bei Google Workspace liegt derselbe Schalter unter Apps → Google Workspace → Gmail → E-Mail authentifizieren. Bei IONOS, STRATO und mailbox.org ist DKIM für Postfächer der eigenen Domain meist schon eingeschaltet – dort musst du nichts tun außer nachsehen.

Die Befunde im Einzelnen

Kein DKIM-Schlüssel gefunden

Gemessen: Keiner der bekannten Selektoren hat unter <selektor>._domainkey.deine-domain.de einen Schlüssel geliefert.

Das heißt nicht, dass kein DKIM eingerichtet ist. Es heißt, dass wir keinen gefunden haben. Benutzt dein Anbieter einen ungewöhnlichen Namen oder vergibt er zufällige Selektoren, ist das das erwartbare Ergebnis.

Was zu tun ist: Erst die Frage klären, ob wirklich nichts da ist. Nimm eine E-Mail, die euer System kürzlich verschickt hat, öffne den Quelltext und such nach DKIM-Signature. Steht dort ein s=, ist DKIM aktiv – trag diesen Namen ins Selektorfeld ein und prüf erneut. Findest du keine solche Zeile, ist DKIM tatsächlich aus: dann beim Postfach-Anbieter einschalten, wie oben beschrieben.

DKIM-Schlüssel zurückgezogen

Gemessen: Der Eintrag ist vorhanden, aber das Feld p= ist leer.

So legt man einen alten Selektor nach einem Schlüsselwechsel still: Der Eintrag bleibt stehen und sagt ausdrücklich „dieser Schlüssel gilt nicht mehr", statt einfach zu verschwinden. Solange andere Selektoren tragen, ist das kein Mangel.

Was zu tun ist: Nichts Dringendes. Ist der Wechsel abgeschlossen und liegt er ein paar Wochen zurück, kann der Eintrag ersatzlos gelöscht werden.

Alle gefundenen DKIM-Schlüssel sind zurückgezogen

Gemessen: Jeder auffindbare Selektor hat ein leeres p=. Es ist kein gültiger Schlüssel übrig.

Ausgehende Post wird damit nicht mehr wirksam signiert. Bei DMARC fällt sie durch, sobald SPF nicht greift – und SPF greift bei jeder Weiterleitung nicht.

Was zu tun ist: Beim Postfach-Anbieter einen neuen Schlüssel erzeugen und veröffentlichen lassen. Das ist meist ein Schalter, kein Projekt. Danach mit einer Testnachricht prüfen, ob die Zeile DKIM-Signature wieder auftaucht.

DKIM-Schlüssel zu kurz

Gemessen: Der veröffentlichte Schlüssel hat weniger als 1024 Bit.

Solche Schlüssel gelten als unsicher. Mehrere große Empfänger werten die Signatur gar nicht mehr aus – die Nachricht zählt dann, als wäre sie nie signiert worden.

Was zu tun ist: Neuen Schlüssel mit 2048 Bit erzeugen. Beim Anbieter ist das der Punkt „Schlüssel rotieren" oder „neuen Schlüssel erstellen"; den alten Eintrag ein paar Tage später zurückziehen.

DKIM-Schlüssel mit 1024 Bit

Gemessen: Der Schlüssel hat genau 1024 Bit.

Das wird heute noch überall akzeptiert. Es ist kein Notfall, aber auch nicht mehr der Stand der Dinge.

Was zu tun ist: Bei nächster Gelegenheit auf 2048 Bit wechseln – etwa beim nächsten Anbieterwechsel oder wenn ohnehin am DNS gearbeitet wird. Wer ein Verzeichnis seiner DNS-Einträge führt, setzt sich dafür eine Erinnerung.

DKIM im Testbetrieb (t=y)

Gemessen: Der Eintrag enthält das Kennzeichen t=y.

Der Testbetrieb sagt Empfängern ausdrücklich: Behandelt eine fehlgeschlagene Signatur folgenlos. Der Schutz wirkt damit nicht. Gedacht ist das für die ersten Tage nach der Einrichtung – gefunden wird es meist Jahre später.

Was zu tun ist: Prüfen, ob eure Nachrichten sauber signiert ankommen (Quelltext einer Testmail, Zeile Authentication-Results, dort dkim=pass). Wenn ja: t=y aus dem Eintrag entfernen.

DKIM-Schlüssel nicht lesbar

Gemessen: Unter dem Selektor steht etwas, das sich nicht als Schlüssel auswerten lässt.

Fast immer ein Kopierfehler: ein Zeilenumbruch mitten im Schlüssel, ein eingefügtes Leerzeichen, fehlende Anführungszeichen oder ein abgeschnittenes Ende, weil das Eingabefeld des Anbieters zu kurz war.

Was zu tun ist: Den Wert beim Anbieter noch einmal abholen und in einem Stück einsetzen – in einer Zeile, ohne Leerzeichen im Schlüsselteil. Manche Oberflächen verlangen den Wert ohne die äußeren Anführungszeichen; dann gehören sie auch nicht hinein.

Häufige Fragen

Wo finde ich den Selektor, wenn ich ihn nicht kenne?

In jeder E-Mail, die euer System verschickt hat. Quelltext öffnen, Zeile DKIM-Signature suchen, den Wert hinter s= ablesen. Das ist der schnellste Weg und er liefert eine sichere Antwort statt einer Vermutung.

Kann jemand mit dem öffentlichen Schlüssel E-Mails in meinem Namen signieren?

Nein. Der Eintrag im DNS enthält nur den öffentlichen Teil – damit kann man nachrechnen, aber nicht signieren. Der private Teil bleibt beim Anbieter und verlässt dessen System nicht.

Brauche ich für jeden Versanddienst einen eigenen Schlüssel?

Ja, und das ist der Normalfall. Jeder Dienst signiert mit seinem eigenen Selektor. Sie stehen nebeneinander im DNS und stören sich nicht – anders als bei SPF, wo alles in einen Eintrag muss.

Warum ist die Signatur gültig, aber DMARC fällt trotzdem durch?

Weil DMARC zusätzlich verlangt, dass die signierende Domain zum sichtbaren Absender passt. Signiert ein Newsletter-Dienst mit seiner eigenen Domain statt mit deiner, ist die Signatur technisch in Ordnung und DMARC trotzdem unzufrieden. Der Dienst muss dann auf deine Domain signieren – das ist die Einstellung, die dort meist „eigene Absenderdomain" oder „Domain-Authentifizierung" heißt.