DKIM vs DMARC
DKIM ist eine Authentifizierungsmethode - eine kryptografische Signatur, die belegt, dass eine Nachricht autorisiert und unverändert ist. DMARC ist eine Richtlinien- und Reporting-Schicht, die auf DKIM (und SPF) aufbaut: Sie prüft das Alignment mit der sichtbaren From-Domain und teilt Empfängern mit, was bei einem Fehlschlag zu tun ist. Sie sind keine Alternativen.
Dieser Leitfaden ist Teil unseres Leitfadens zur E-Mail-Authentifizierung. Verwandt: SPF vs DKIM und SPF vs DMARC.
DKIM ist eine Authentifizierungsmethode: eine kryptografische Signatur, die belegt, dass eine Nachricht von der sendenden Domain autorisiert wurde und während der Übertragung nicht verändert wurde. DMARC ist eine Richtlinien- und Reporting-Schicht, die die Ergebnisse von DKIM (und SPF) nutzt, prüft, ob sie mit der sichtbaren From-Domain übereinstimmen, und den Empfängern mitteilt, was zu tun ist, wenn eine Nachricht fehlschlägt. Sie sind keine Alternativen — DMARC baut auf DKIM auf.
Was DKIM leistet
DKIM (DomainKeys Identified Mail) ermöglicht es einem sendenden Server, jeder ausgehenden Nachricht eine kryptografische Signatur beizufügen. Der Server signiert ausgewählte Header und den Nachrichtentext mit einem privaten Schlüssel, und Empfänger überprüfen diese Signatur gegen einen im DNS der sendenden Domain veröffentlichten öffentlichen Schlüssel. Ist die Überprüfung erfolgreich, weiß der Empfänger zwei Dinge: Die Nachricht wurde von einer Domain autorisiert, die den Signierschlüssel kontrolliert, und der signierte Inhalt wurde zwischen Versand und Zustellung nicht verändert.
Diese Signatur reist in einem verborgenen Header namens DKIM-Signatur. Sie hält fest, welche Domain die Nachricht signiert hat, welcher Selektor auf den öffentlichen Schlüssel verweist und welche Header abgedeckt wurden. Entscheidend ist: DKIM allein beantwortet nur die Frage „Ist diese Signatur gültig?” Es entscheidet nicht, was ein Empfänger mit einer nicht signierten oder ungültigen Nachricht tun soll, und es meldet nichts an den Domain-Inhaber zurück. Es ist ein Überprüfungsmechanismus, kein Durchsetzungs- oder Überwachungssystem.
Was DMARC leistet
DMARC (Domain-based Message Authentication, Reporting and Conformance) setzt eine Ebene darüber an. Es signiert oder überprüft Nachrichten nicht selbst — stattdessen verarbeitet es die Pass/Fail-Ergebnisse von DKIM und SPF und ergänzt drei Dinge, die diesen fehlen.
Erstens Alignment. DMARC verlangt, dass ein bestandenes DKIM- (oder SPF-)Ergebnis derselben Domain angehört, die ein Mensch im From-Header sieht. Eine gültige Signatur von einer unbeteiligten Domain erfüllt DMARC nicht. Das schließt die Lücke, die es Angreifern erlaubt, die Authentifizierung zu bestehen und dennoch Ihre Marke zu fälschen.
Zweitens Richtlinie. Ein im DNS veröffentlichter DMARC-Record teilt den Empfängern mit, wie sie Nachrichten behandeln sollen, die das Alignment nicht bestehen: p=none (nur überwachen), p=quarantine (in den Spam senden) oder p=reject (direkt blockieren). Sie beginnen bei none, um zu beobachten, und verschärfen dann schrittweise bis zu reject.
Drittens aggregiertes Reporting. Empfänger senden XML-Reports zurück, die jede Quelle zeigen, die als Ihre Domain Post versendet — legitime wie betrügerische gleichermaßen. Sie können jeden veröffentlichten Record mit einem DMARC-Checker validieren, bevor Sie sich darauf verlassen.
DKIM vs DMARC im Überblick
| Aspekt | DKIM | DMARC |
|---|---|---|
| Zweck | Nachrichten kryptografisch signieren und überprüfen | Richtlinie durchsetzen und über Authentifizierungsergebnisse berichten |
| Was es prüft | Signaturgültigkeit und Nachrichtenintegrität | Ob DKIM/SPF bestehen und mit der From-Domain aligned sind |
| Wo es veröffentlicht wird | DNS-TXT-Record an einem Selektor, plus ein Header in jeder Nachricht | Ein einzelner DNS-TXT-Record unter _dmarc.yourdomain.com |
| Erzeugt Reports? | Nein | Ja — aggregierte (und optionale forensische) Reports |
| Kann allein wirken? | Überprüft, kann aber nicht durchsetzen oder berichten | Nein — es benötigt DKIM- und/oder SPF-Ergebnisse zur Auswertung |
Wie sie zusammenarbeiten
DMARC ersetzt DKIM niemals; es hängt davon ab. Wenn eine Nachricht eintrifft, prüft der Empfänger die DKIM-Signatur und das SPF-Ergebnis. DMARC stellt dann eine strengere Frage: Hat mindestens eines davon bestanden, und stimmt die bestehende Domain mit der From-Adresse überein, die der Empfänger sieht?
Eine Nachricht besteht DMARC, wenn DKIM die Nachricht authentifiziert und die Signierdomain mit der From-Domain aligned ist (SPF kann das Alignment auf dieselbe Weise erfüllen). Bestehen sowohl DKIM als auch SPF das Alignment nicht, wendet DMARC Ihre veröffentlichte Richtlinie an — quarantine oder reject.
Deshalb ergänzen sich beide. DKIM allein belegt, dass eine Nachricht echt und unverändert ist, tut aber nichts, wenn einer Nachricht die Signatur fehlt oder sie gefälscht ist. DMARC allein hat keinen kryptografischen Beweis zum Auswerten — es kann nur die Ergebnisse durchsetzen und darüber berichten, die DKIM und SPF ihm liefern. Gemeinsam liefert DKIM das vertrauenswürdige Signal, und DMARC verwandelt dieses Signal in Durchsetzung und Sichtbarkeit.
Brauchen Sie beide?
Ja. Sie lösen unterschiedliche Hälften desselben Problems, und keines ist für sich allein vollständig.
DKIM ohne DMARC hinterlässt echte Lücken. Eine gültige Signatur belegt, dass eine Nachricht nicht manipuliert wurde, aber nichts zwingt Empfänger, nicht signierte Post abzulehnen, und nichts sagt Ihnen, wer in Ihrem Namen sendet. Angreifer können Ihre From-Adresse weiterhin ganz ohne Signatur fälschen, und Sie würden es nie mitbekommen.
DMARC ohne DKIM (oder SPF) hat nichts durchzusetzen. DMARC wertet Authentifizierungsergebnisse aus — wenn keine zugrunde liegende Methode ein bestehendes, aligned-es Ergebnis liefert, kann DMARC nur jede Nachricht fehlschlagen lassen, was legitime Post kaputtmacht. Sie brauchen mindestens eine Authentifizierungsmethode, die es speist, und DKIM ist die robusteste, weil seine Signatur die Weiterleitung besser übersteht als SPF.
Die praktische Antwort für jede E-Mail sendende Domain lautet: Setzen Sie SPF und DKIM als Authentifizierungsschicht ein und legen Sie dann DMARC darüber, um zu alignen, durchzusetzen und zu überwachen.
Häufig gestellte Fragen
Was ist der Unterschied zwischen DKIM und DMARC?
DKIM ist eine Authentifizierungsmethode, die jeder Nachricht eine kryptografische Signatur beifügt, sodass Empfänger überprüfen können, dass sie autorisiert und unverändert war. DMARC ist eine Richtlinien- und Reporting-Schicht, die die DKIM- und SPF-Ergebnisse liest, prüft, dass sie mit der sichtbaren From-Domain aligned sind, und den Empfängern vorgibt, wie sie mit Fehlschlägen umgehen sollen. Das eine überprüft; das andere setzt durch und berichtet.
Ist DMARC besser als DKIM?
Keines ist besser — sie erledigen unterschiedliche Aufgaben und hängen voneinander ab. DKIM liefert den kryptografischen Beweis, dass eine Nachricht echt und unverändert ist. DMARC nutzt diesen Beweis, ergänzt Alignment mit der From-Domain, setzt eine Richtlinie durch und sendet Reports zurück. Ohne DKIM hat DMARC nichts auszuwerten; ohne DMARC kann DKIM nichts durchsetzen oder überwachen.
Kann ich DMARC ohne DKIM verwenden?
Technisch kann DMARC allein über SPF bestehen, es funktioniert also auch ohne DKIM. Aber das ist fragil: SPF bricht bei der Weiterleitung von Post, während eine DKIM-Signatur die Weiterleitung übersteht. Sich für das Alignment nur auf SPF zu verlassen, bedeutet, dass legitime weitergeleitete Post DMARC verfehlen kann. Für zuverlässige Durchsetzung veröffentlichen Sie sowohl SPF als auch DKIM, bevor Sie Ihre DMARC-Richtlinie verschärfen.
Erfordert DKIM DMARC?
Nein — DKIM arbeitet unabhängig und signiert und überprüft Nachrichten ohne jeden DMARC-Record. Aber DKIM allein kann Empfänger nicht zwingen, auf Fehlschläge zu reagieren, oder Ihnen sagen, wer Ihre Domain fälscht. DMARC darüberzulegen verwandelt DKIMs Überprüfungsergebnisse in eine durchsetzbare Richtlinie und gibt Ihnen das Reporting, das nötig ist, um jede Quelle zu sehen, die als Ihre Domain sendet.