DKIM

DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsstandard, mit dem ein empfangender Server bestätigen kann, dass eine Nachricht tatsächlich von Ihrer Domain gesendet wurde und unterwegs nicht verändert wurde. Ihr ausgehender Mailserver signiert jede Nachricht mit einem privaten Schlüssel, und Empfänger überprüfen diese Signatur anhand eines passenden öffentlichen Schlüssels, der im DNS Ihrer Domain veröffentlicht ist.

DKIM ist neben SPF und DMARC eine der drei Säulen der modernen E-Mail-Authentifizierung. Zusammen entscheiden sie darüber, ob Ihre E-Mail den Posteingang erreicht oder im Spam landet — und ob Angreifer Ihre Domain fälschen können. Diese Seite erklärt, was DKIM ist, wie es funktioniert und wie die einzelnen Teile zusammenpassen.

Wie DKIM funktioniert

DKIM funktioniert als Handshake nach dem Prinzip „signieren beim Senden, überprüfen beim Empfang”, der auf Public-Key-Kryptografie basiert. Wenn Ihr Mailserver eine Nachricht sendet, erzeugt er einen kryptografischen Hash ausgewählter Header (und in der Regel des Nachrichtentexts), verschlüsselt diesen Hash mit einem privaten Schlüssel, den nur Ihr Server besitzt, und hängt das Ergebnis als DKIM-Signature-Header an die E-Mail an.

Der passende öffentliche Schlüssel befindet sich im DNS Ihrer Domain als TXT-Record. Wenn ein empfangender Server die Nachricht annimmt, liest er den DKIM-Signature-Header, sucht den öffentlichen Schlüssel im DNS und überprüft damit die Signatur. Wenn die Signatur gültig ist, weiß der Empfänger zwei Dinge: Die Nachricht stammt wirklich von einem Server, der berechtigt ist, für Ihre Domain zu signieren, und der signierte Inhalt wurde unterwegs nicht manipuliert. Wenn etwas geändert wurde — oder der Schlüssel nicht passt — schlägt die DKIM-Überprüfung fehl.

Da der private Schlüssel Ihre Infrastruktur nie verlässt, kann ein Fälscher keine gültige DKIM-Signatur für Ihre Domain erzeugen.

Die Bestandteile von DKIM

DKIM besteht aus einigen aufeinander abgestimmten Teilen, von denen jeder seine eigene ausführliche Anleitung hat:

• Der DKIM-Record — der DNS-TXT-Record, der Ihren öffentlichen Schlüssel und Ihre DKIM-Einstellungen veröffentlicht, damit Empfänger Signaturen finden und überprüfen können.
• Der DKIM-Selector — ein kurzes Label, das Empfängern mitteilt, welchen Schlüssel sie nachschlagen sollen, sodass Sie mehrere Schlüssel (für verschiedene Anbieter oder Schlüsselrotationen) auf einer Domain betreiben können.
• Die DKIM-Signatur — der DKIM-Signature-Header, der jeder ausgehenden Nachricht aufgeprägt wird und die signierende Domain, den Selector und den kryptografischen Hash selbst enthält.

Zu verstehen, wie diese drei zusammenhängen, macht die restliche DKIM-Einrichtung und Fehlersuche deutlich einfacher.

So richten Sie DKIM ein

Die Einrichtung von DKIM ist ein kurzer, wiederholbarer Vorgang:

1. Erzeugen Sie ein Schlüsselpaar in der Konsole Ihres Mailanbieters — der private Schlüssel verbleibt beim Anbieter, und Sie erhalten den öffentlichen Schlüssel zur Veröffentlichung.
2. Veröffentlichen Sie den öffentlichen Schlüssel als TXT-Record im DNS unter selector._domainkey.yourdomain.com. Siehe wie man einen DKIM-Record erzeugt für die genauen Schritte.
3. Aktivieren Sie die Signierung bei Ihrem Anbieter, damit ausgehende E-Mails mit der DKIM-Signatur versehen werden.
4. Überprüfen Sie, dass Nachrichten signiert werden und die Prüfung bestehen, bevor Sie sich darauf verlassen.

In der Praxis werden DKIM-Schlüssel in der Konsole Ihres Mailanbieters erzeugt — Google Workspace, Microsoft 365 oder Ihr ESP — und nicht von Hand, sodass der Großteil der Arbeit darin besteht, den bereitgestellten Record ins DNS zu kopieren.

Ein veröffentlichter DKIM-Record sieht so aus:

selector1._domainkey.example.com  TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDqF...GfMA0=; t=s"

Hier ist selector1 der Selector, v=DKIM1 kennzeichnet ihn als DKIM-Record, k=rsa benennt den Schlüsseltyp, und p= enthält den base64-kodierten öffentlichen Schlüssel.

DKIM, SPF und DMARC im Zusammenspiel

DKIM funktioniert nicht isoliert. Es ergänzt SPF, das festlegt, welche Server E-Mails für Ihre Domain versenden dürfen. SPF prüft die IP-Adresse des verbindenden Servers gegen Ihre veröffentlichte Liste; DKIM prüft die kryptografische Signatur der Nachricht selbst. Die beiden schützen unterschiedliche Dinge — die Sendequelle gegenüber der Nachrichtenintegrität — und jedes kann unabhängig voneinander bestehen oder fehlschlagen.

DMARC ist die Richtlinienebene, die beide mit der Adresse verknüpft, die Empfänger tatsächlich sehen. DMARC verlangt, dass ein bestandenes SPF- oder DKIM-Ergebnis mit der sichtbaren From:-Domain übereinstimmt (Alignment), und teilt Empfängern dann mit, was zu tun ist, wenn keines übereinstimmt — zustellen, in Quarantäne stellen oder ablehnen. Dieses Alignment ist das, was Angreifer daran hindert, die Authentifizierung auf einer von ihnen kontrollierten Domain zu bestehen, während sie Ihre in der Absenderzeile fälschen.

Standard	Was es überprüft
SPF	Welche Server für Ihre Domain senden dürfen
DKIM	Die Nachricht wurde von Ihrer Domain signiert und nicht verändert
DMARC	SPF/DKIM stimmen mit der sichtbaren Absenderadresse überein, plus die Fehlerrichtlinie

Da das DMARC-Alignment von SPF abhängen kann, ist es wichtig, die SPF-Seite gültig zu halten. AutoSPF flacht Ihren SPF-Record automatisch ab und pflegt ihn, damit er innerhalb des 10-Lookup-Limits bleibt und weiterhin besteht — was dazu beiträgt, dass das DKIM- und DMARC-Alignment insgesamt gesund bleibt.

Häufige DKIM-Probleme

DKIM scheitert am häufigsten an einem fehlenden oder abgeschnittenen DNS-Record, einer Selector-Fehlübereinstimmung oder einer Nachricht, die unterwegs von einem Weiterleiter oder einer Mailingliste verändert wird. Wenn Ihre Signaturen nicht validiert werden, führt warum DKIM fehlschlägt durch die üblichen Ursachen und Lösungen. Um zu bestätigen, was eine Domain gerade veröffentlicht, nutzen Sie das kostenlose DKIM-Lookup-Tool — es ruft den Record für einen bestimmten Selector ab und zeigt, ob der Schlüssel vorhanden und wohlgeformt ist.

Häufig gestellte Fragen

Was ist DKIM?

DKIM (DomainKeys Identified Mail) ist eine E-Mail-Authentifizierungsmethode, die ausgehenden Nachrichten eine kryptografische Signatur hinzufügt. Ihr Mailserver signiert jede E-Mail mit einem privaten Schlüssel, und empfangende Server überprüfen diese Signatur anhand eines im DNS veröffentlichten öffentlichen Schlüssels. Eine gültige Signatur beweist, dass die Nachricht von Ihrer Domain stammt und unterwegs nicht verändert wurde.

Ist DKIM erforderlich?

DKIM ist zum Versenden von E-Mails nicht zwingend erforderlich, wird aber faktisch erwartet. Große Anbieter wie Google und Yahoo verlangen inzwischen eine Authentifizierung für Massenversender, und DMARC benötigt ein bestandenes, ausgerichtetes DKIM- (oder SPF-)Ergebnis, um Ihre Domain zu schützen. Ohne DKIM ist Ihre E-Mail weitaus wahrscheinlicher, dass sie als Spam gefiltert oder von Angreifern gefälscht wird.

Was ist der Unterschied zwischen DKIM, SPF und DMARC?

SPF legt fest, welche Server E-Mails für Ihre Domain senden dürfen, DKIM signiert jede Nachricht kryptografisch, um zu beweisen, dass sie unverändert von Ihnen stammt, und DMARC verknüpft beide mit der sichtbaren Absenderadresse und legt eine Richtlinie für Fehlschläge fest. SPF prüft die Sendequelle, DKIM prüft die Nachrichtenintegrität, und DMARC erzwingt das Alignment zwischen beiden.

Wie prüfe ich, ob DKIM korrekt eingerichtet ist?

Senden Sie eine Testnachricht an eine Adresse, die Sie kontrollieren, und prüfen Sie die Header auf dkim=pass, oder verwenden Sie ein DKIM-Lookup-Tool, um Ihren veröffentlichten Schlüssel per Selector abzufragen. Das Tool bestätigt, dass der Record existiert, wohlgeformt ist und einen gültigen öffentlichen Schlüssel zurückgibt. Unser kostenloses DKIM-Lookup-Tool prüft jede Domain und jeden Selector in Sekunden.