Was ist ein DKIM-Eintrag?

Ein DKIM-Eintrag ist ein DNS-TXT-Eintrag mit dem öffentlichen Schlüssel, der die DKIM-Signatur Ihrer ausgehenden E-Mails prüft und belegt, dass die Nachricht unterwegs nicht verändert wurde. Er liegt unter selector._domainkey.ihredomain.

Warum benötigt die Abfrage einen Selector?

Jeder Signaturschlüssel hat einen Selector (z. B. „google" oder „s1"), der Empfängern sagt, welchen _domainkey-Eintrag sie abrufen sollen. Geben Sie oben Ihren Selector ein, um den passenden öffentlichen Schlüssel nachzuschlagen.

Wo finde ich meinen DKIM-Selector?

Im s=-Feld des DKIM-Signature-Headers einer von Ihnen gesendeten Nachricht oder in den DNS-Einrichtungsanweisungen Ihres Mail-Anbieters. Gängige Selektoren sind „google", „default", „s1" und „k1".

Welche Schlüssellänge sollte DKIM haben?

Verwenden Sie mindestens einen 2048-Bit-RSA-Schlüssel; 1024 Bit ist schwach und wird ausgemustert. Einige Anbieter bieten auch Ed25519-Schlüssel.

Warum schlägt mein DKIM fehl?

Übliche Ursachen: Der veröffentlichte Schlüssel passt nicht zum Signaturschlüssel, der TXT-Eintrag wurde im DNS geteilt oder abgeschnitten, die Nachricht wurde unterwegs verändert, oder der falsche Selector wurde abgefragt.

DKIM-Eintrag Abfrage

Worum es geht

DKIM signiert ausgehende Mail mit einem privaten Schlüssel; Empfänger holen den öffentlichen Schlüssel von selector._domainkey.deinedomain.com, um zu überprüfen, dass die Nachricht autorisiert und unverändert war. Jeder Anbieter verwendet seinen eigenen Selektornamen.

So liest du dein Ergebnis

Ein gesunder Eintrag enthält p= gefolgt von einem langen Base64-Schlüssel. Ein leeres p= bedeutet, dass der Schlüssel widerrufen wurde. Keinen Eintrag zu finden bedeutet oft nur, dass du den falschen Selektor abgefragt hast — prüfe die Dokumentation deines Anbieters auf den genauen Selektornamen.

Häufige Probleme und wie du sie behebst

DKIM-Eintrag fehlt für den Selektor, mit dem der Anbieter signiert

Wie es sich zeigt: Empfänger zeigen dkim=fail oder dkim=none; DMARC-Berichte listen scheiternde Quellen auf, die eigentlich dein eigener Anbieter sind.

So behebst du es: Kopiere den genauen Eintrag (Selektor und Wert) aus der Admin-Konsole deines E-Mail-Anbieters ins DNS. Bei Microsoft 365 und einigen anderen musst du nach dem Veröffentlichen der CNAMEs zusätzlich in der Konsole auf "DKIM aktivieren" klicken.

Eintrag vom DNS-Anbieter abgeschnitten oder umformatiert

Wie es sich zeigt: Die DKIM-Verifizierung schlägt fehl, obwohl der Eintrag "existiert"; der Schlüssel im DNS unterscheidet sich geringfügig vom ausgegebenen.

So behebst du es: Füge den Wert erneut ein; bei Schlüsseln über 255 Zeichen stelle sicher, dass der Anbieter sie korrekt in mehrere in Anführungszeichen gesetzte Zeichenketten aufteilt. Prüfe mit einer Abfrage und vergleiche den vollständigen p=-Wert Zeichen für Zeichen.

Schlüssel nie rotiert

Wie es sich zeigt: Derselbe DKIM-Schlüssel signiert seit Jahren die Mail; eine Kompromittierung dieses Schlüssels würde Angreifern erlauben, auf unbestimmte Zeit in deinem Namen zu signieren.

So behebst du es: Rotiere Schlüssel regelmäßig (Anbieter mit gepaarten Selektoren wie selector1/selector2 automatisieren das). Veröffentliche den neuen Schlüssel, stelle die Signierung um, und widerrufe dann nach einer Übergangsphase den alten mit einem leeren p=.

Weiterführende Artikel

Häufig gestellte Fragen

Was ist ein DKIM-Eintrag?: Ein DKIM-Eintrag ist ein DNS-TXT-Eintrag mit dem öffentlichen Schlüssel, der die DKIM-Signatur Ihrer ausgehenden E-Mails prüft und belegt, dass die Nachricht unterwegs nicht verändert wurde. Er liegt unter selector._domainkey.ihredomain.
Warum benötigt die Abfrage einen Selector?: Jeder Signaturschlüssel hat einen Selector (z. B. „google" oder „s1"), der Empfängern sagt, welchen _domainkey-Eintrag sie abrufen sollen. Geben Sie oben Ihren Selector ein, um den passenden öffentlichen Schlüssel nachzuschlagen.
Wo finde ich meinen DKIM-Selector?: Im s=-Feld des DKIM-Signature-Headers einer von Ihnen gesendeten Nachricht oder in den DNS-Einrichtungsanweisungen Ihres Mail-Anbieters. Gängige Selektoren sind „google", „default", „s1" und „k1".
Welche Schlüssellänge sollte DKIM haben?: Verwenden Sie mindestens einen 2048-Bit-RSA-Schlüssel; 1024 Bit ist schwach und wird ausgemustert. Einige Anbieter bieten auch Ed25519-Schlüssel.
Warum schlägt mein DKIM fehl?: Übliche Ursachen: Der veröffentlichte Schlüssel passt nicht zum Signaturschlüssel, der TXT-Eintrag wurde im DNS geteilt oder abgeschnitten, die Nachricht wurde unterwegs verändert, oder der falsche Selector wurde abgefragt.

Warum es wichtig ist

DKIM arbeitet zusammen mit SPF, prüft aber etwas anderes: Nachrichtenintegrität und Authentizität mittels digitaler Signatur, nicht nur, welcher Server sie gesendet hat. Da DKIM-Schlüssel unter einem vom Mail-Anbieter gewählten Selector-Namen veröffentlicht werden (wie "google" oder "selector1"), musst du diesen Selector kennen oder erraten, um ihn abzufragen — dieses Tool enthält die gängigsten als Ausgangspunkt.

Beispiele

google._domainkey.example.com — der typische DKIM-Selector von Google Workspace
selector1._domainkey.example.com und selector2._domainkey.example.com — Microsoft 365 veröffentlicht zwei, zur Schlüsselrotation
Ein leerer DKIM-Eintrag (ein "p="-Tag ohne Wert) bedeutet, dass ein Schlüssel absichtlich widerrufen wurde — mit ihm erstellte Signaturen schlagen die Verifizierung nun fehl.

Verwandte Tools