DKIM einrichten: Anleitung, DNS-Eintrag und Beispiele

DKIM versieht Ihre ausgehenden E-Mails mit einer kryptografischen Signatur. Der Empfänger kann damit prüfen, ob die Nachricht wirklich von Ihrer Domain autorisiert ist und unterwegs nicht verändert wurde. Diese Anleitung erklärt, wie DKIM funktioniert, wie der DNS-Eintrag aufgebaut wird und wie Sie DKIM Schritt für Schritt korrekt einrichten: Einer der Bausteine für einen funktionierenden DMARC-Schutz.

Beratungstermin vereinbaren
Inhalte

Was ist DKIM?

DKIM (DomainKeys Identified Mail) ist ein Standard zur E-Mail-Authentifizierung, der jede ausgehende Nachricht mit einer kryptografischen Signatur versieht. Der sendende Server signiert die E-Mail mit einem privaten Schlüssel; der passende öffentliche Schlüssel liegt als Eintrag im DNS Ihrer Domain. Der Empfänger prüft die Signatur gegen diesen Schlüssel und stellt so fest, ob die Nachricht von Ihrer Domain autorisiert wurde und unterwegs unverändert blieb. DKIM ist in RFC 6376 beschrieben.

Anders als SPF, das nur den sendenden Server prüft, sichert DKIM den Inhalt der Nachricht ab – und übersteht Weiterleitungen, weil die Signatur mit der E-Mail mitreist.

Wie funktioniert DKIM?

DKIM arbeitet mit einem Schlüsselpaar:

  • Privater Schlüssel: liegt bei dem System, das sendet, also beispielsweise Ihr Mailserver oder der Dienst, der in Ihrem Namen E-Mails sendet, und signiert jede ausgehende Nachricht. Der private Schlüssel verlässt den Dienst nie.
  • Öffentlicher Schlüssel: wird als DNS-Eintrag unter einem Selector veröffentlicht. Der Empfänger findet ihn über die 
    DKIM-Signature
    im Nachrichtenkopf und kann damit die Signatur verifizieren.
Der Selector erlaubt mehrere Schlüssel parallel (z.B. je Dienst oder für die Schlüsselrotation). Der DNS-Name folgt dem Muster 
< selector>._domainkey.< ihredomain.de>
.
Für DMARC ist zusätzlich die Ausrichtung (Alignment) wichtig: Die Signatur-Domain (
d=
in der DKIM-Signatur) sollte zu Ihrer sichtbaren Absender-Domain passen, denn sonst besteht die Nachricht DKIM zwar technisch, aber DMARC nicht.

DKIM Schritt für Schritt einrichten

  1. Aktivieren Sie DKIM für jeden sendenden Dienst. Sie brauchen für jeden Dienst, der über Ihre Domain sendet (Mailserver, M365/Google Workspace, CRM/Newsletter, ERP …) eine eigene DKIM-Konfiguration. Der Anbieter stellt dazu Selector und Schlüssel (bzw. einen CNAME) bereit.
  2. Öffentlichen Schlüssel im DNS veröffentlichen. Legen Sie den vom Anbieter genannten Eintrag unter 
    < selector>._domainkey.ihredomain.de
    als TXT-Record oder (häufig) als CNAME auf dem Schlüssel an, den der Anbieter verwaltet.
  3. Aktivieren und testen Sie die Signierung. Prüfen Sie, ob alle ausgehenden Nachrichten eine gültige 
    DKIM-Signature
    tragen und somit die Prüfung besteht.
  4. Auf die Ausrichtung achten. Wo es möglich ist, konfigurieren Sie den Dienst so, dass 
    d=
    zu Ihrer Absender-Domain passt (eigene [Sub-]Domain) Voraussetzung für den DMARC-Erfolg.

Der DKIM-DNS-Eintrag im Detail

Ein DKIM-TXT-Eintrag sieht im Kern so aus: 
				
					selector1._domainkey.ihredomain.de.  IN  TXT  "v=DKIM1; k=rsa; p=<öffentlicher-Schlüssel>"

Viele Anbieter arbeiten stattdessen mit einem CNAME, damit die Schlüsselrotation bei ihnen liegt:

				
					selector._domainkey.ihredomain.de.  IN  CNAME  selector.dienstleister.example.
Die wichtigsten Felder im TXT-Record:

Feld

v
k
p

Bedeutung

Version immer 
DKIM1
Schlüsseltyp – überlicherweise 
rsa

der öffentliche Schlüssel (Base64)

Empfehlung: 2048-bit-Schlüssel (mindestens 1024) und regelmäßige Schlüsselrotation über wechselnde Selectors.

Häufige Fehler

  • DKIM nur für den Hauptmailserver aktiviert: andere sendende Dienste bleiben unsigniert und scheitern später an DMARC.
  • Falscher/vertippter Selector: der öffentliche Schlüssel wird nicht gefunden.
  • Schlüssel zu kurz: 1024 Bit gelten als schwach; 2048 Bit verwenden.
  • Fehlende Ausrichtung: 
    d=
    passt nicht zur Absender-Domain, DMARC scheitert trotz gültiger Signatur.
  • Langer Schlüssel im TXT-Record falsch aufgeteilt: bei 2048 Bit auf korrektes Handling langer Records achten.

DKIM, SPF und DMARC im Zusammenspiel

DKIM ist einer von drei Bausteinen. SPF legt fest, welche Server senden dürfen; DMARC verbindet SPF und DKIM zu einer durchsetzbaren Richtlinie und liefert Reports. Die Unterschiede erklärt SPF vs. DKIM vs. DMARC.

Häufige Fragen (FAQ)

Was ist DKIM?

DKIM (DomainKeys Identified Mail) ist ein Verfahren, das ausgehende E-Mails kryptografisch signiert. Der Empfänger prüft die Signatur gegen einen öffentlichen Schlüssel im DNS und erkennt so, ob die Nachricht von Ihrer Domain autorisiert und unverändert ist.
Für jeden sendenden Dienst DKIM aktivieren, den bereitgestellten Schlüssel/Selector als DNS-Eintrag (TXT oder CNAME) unter 
< selector>._domainkey.ihredomain.de
veröffentlichen, Signierung aktivieren und die Prüfung testen.
Der Selector ist ein Namensbestandteil, über den der Empfänger den richtigen öffentlichen Schlüssel im DNS findet. Er erlaubt mehrere Schlüssel parallel z. B. je Dienst oder für die Schlüsselrotation.
Ja. SPF und DKIM prüfen Unterschiedliches (Server vs. Nachricht). Erst zusammen – und mit einer durchgesetzten DMARC-Richtlinie entsteht wirksamer Schutz. DKIM übersteht zudem Weiterleitungen, die SPF brechen.

Weiterführende Inhalte

Was ist DMARC?

DMARC-Report verstehen

SPF-Record erstellen & erklärt

DMARC einrichten

SPF vs. DKIM vs. DMARC

E-Mail-Security

LEMARIT DMARC Analyzer

Close
Suchen