Dkim

Was ist DKIM?

DKIM steht für DomainKeys Identified Mail und ist ein Verfahren zur Authentifizierung von E-Mails. Der sendende Mailserver versieht ausgewählte Nachrichtenbestandteile mit einer digitalen Signatur. Der empfangende Server prüft diese Signatur mithilfe eines öffentlichen Schlüssels im DNS und erkennt dadurch Manipulationen sowie unberechtigte Absender.

Wie funktioniert DKIM?

DKIM ergänzt ausgehende E-Mails um den Header DKIM-Signature. Der sendende Mailserver berechnet aus dem Nachrichteninhalt und ausgewählten Header-Feldern kryptografische Prüfwerte. Anschließend signiert der Server diese Werte mit einem privaten Schlüssel. Der private Schlüssel verbleibt im E-Mail-System und darf nicht öffentlich zugänglich sein.

Der empfangende Mailserver liest aus der Signatur die Absenderdomain und den sogenannten Selector aus. Aus beiden Angaben bildet der Server eine DNS-Adresse nach dem Schema selector._domainkey.example.de. Der dort veröffentlichte TXT-Eintrag enthält den öffentlichen Schlüssel, mit dem der Empfänger die Signatur kontrolliert.

d= bezeichnet die Domain, die für die Signatur verantwortlich ist.
s= enthält den Selector und verweist damit auf den passenden DNS-Eintrag.
h= nennt die signierten Header-Felder, etwa Absender, Betreff oder Datum.
bh= enthält den kryptografischen Prüfwert des Nachrichtentextes.
b= enthält die eigentliche digitale Signatur.

Eine erfolgreiche DKIM-Prüfung bestätigt zwei Punkte: Die signierten Bestandteile wurden nach dem Versand nicht unbemerkt verändert und der Absender verfügte über den privaten Schlüssel der angegebenen Domain. DKIM bestätigt jedoch nicht automatisch, dass der sichtbare Absender im Feld From mit der signierenden Domain übereinstimmt. Diese Zuordnung übernimmt DMARC.

DKIM-Eintrag im DNS

Ein DKIM-Eintrag wird normalerweise als TXT-Record im Domain Name System veröffentlicht. Ein vereinfachter Eintrag kann v=DKIM1; k=rsa; p=ÖFFENTLICHER_SCHLÜSSEL enthalten. v=DKIM1 kennzeichnet die verwendete Version, k=rsa das Schlüsselverfahren und p= den öffentlichen Schlüssel.

Der Selector erlaubt mehrere DKIM-Schlüssel innerhalb derselben Domain. Ein Unternehmen kann beispielsweise getrennte Schlüssel für das interne Mailsystem, einen Newsletter-Dienst und ein CRM verwenden. Dadurch lässt sich ein einzelner Schlüssel austauschen oder deaktivieren, ohne sämtliche Versandwege gleichzeitig umzustellen.

Bei einer Schlüsselrotation wird zunächst ein neuer Selector mit einem neuen öffentlichen Schlüssel veröffentlicht. Danach wird der Versand auf den neuen privaten Schlüssel umgestellt. Der bisherige DNS-Eintrag sollte erst entfernt werden, wenn keine mit dem alten Schlüssel signierten E-Mails mehr verarbeitet werden müssen.

Signaturprüfung richtig einordnen

Das Ergebnis dkim=pass bedeutet, dass die kryptografische Prüfung erfolgreich war. dkim=fail weist darauf hin, dass die Signatur nicht zum öffentlichen Schlüssel oder zum geprüften Nachrichteninhalt passt. Bei dkim=none war keine verwertbare DKIM-Signatur vorhanden. Die genaue Bezeichnung kann je nach empfangendem Mailserver variieren.

Eine fehlgeschlagene DKIM-Prüfung beweist nicht automatisch einen Angriff. Weiterleitungssysteme, Mailinglisten oder Sicherheitsgateways können Betreffzeilen, Nachrichtentexte oder andere signierte Bestandteile verändern. Jede Änderung an einem geschützten Bestandteil kann den berechneten Prüfwert ungültig machen. Prüfe deshalb im E-Mail-Header zuerst den Authentifizierungsbericht und anschließend, welche Komponente die Nachricht nach dem Signieren bearbeitet hat.

Canonicalization schützt vor kleinen Änderungen

DKIM unterstützt die Canonicalization-Varianten simple und relaxed. Die Variante simple behandelt Formatänderungen strenger. relaxed vereinheitlicht unter anderem bestimmte Leerzeichen und reduziert dadurch Fehler durch technisch unbedeutende Anpassungen. Die Einstellung wird getrennt für Header und Nachrichtentext festgelegt, beispielsweise als c=relaxed/relaxed.

DKIM, SPF und DMARC

Der Unterschied zwischen DKIM, SPF und DMARC liegt in der geprüften Eigenschaft. SPF kontrolliert, ob ein versendender Server für eine Domain zugelassen ist. DKIM kontrolliert eine kryptografische Signatur. DMARC verbindet beide Verfahren mit der sichtbaren Absenderdomain und legt fest, wie Empfänger mit nicht authentifizierten Nachrichten umgehen sollen.

Verfahren	Prüfung	Zentrale Grenze
SPF	Berechtigung des sendenden Servers anhand der Envelope-From-Domain	Kann bei Weiterleitungen scheitern und schützt den Inhalt nicht
DKIM	Digitale Signatur ausgewählter Header und des Nachrichtentextes	Verhindert keinen Missbrauch einer anderen sichtbaren Absenderdomain
DMARC	Übereinstimmung der sichtbaren Absenderdomain mit SPF oder DKIM	Benötigt eine korrekte SPF- oder DKIM-Konfiguration

Für DMARC reicht es aus, wenn SPF oder DKIM erfolgreich ist und das jeweilige Verfahren mit der sichtbaren Absenderdomain übereinstimmt. Diese Übereinstimmung heißt Alignment. DKIM-Alignment liegt vor, wenn die Domain aus d= je nach DMARC-Modus exakt oder organisatorisch mit der Domain im sichtbaren Absenderfeld übereinstimmt.

Warum DKIM im Marketing zählt

DKIM ist kein direkter Google-Rankingfaktor. Das Verfahren beeinflusst SEO-Sichtbarkeit daher nicht unmittelbar. Für Online-Marketing-Prozesse ist DKIM trotzdem relevant, weil Newsletter, Lead-Nurturing, Bestellbestätigungen und Kontaktformular-Benachrichtigungen auf einer verlässlichen E-Mail-Zustellung beruhen. Eine technisch sauber authentifizierte Domain liefert Empfängern ein überprüfbares Vertrauenssignal.

Bei SEA kann eine fehlerhafte E-Mail-Authentifizierung die Verarbeitung eingehender Leads beeinträchtigen, wenn Formularbestätigungen oder Vertriebsbenachrichtigungen im Spamordner landen. Bei SEO und Content Marketing betrifft DKIM unter anderem den Versand von Download-Links, Webinar-Einladungen und redaktionellen Newslettern. GEO, also Generative Engine Optimization, hat keinen technischen Zusammenhang mit DKIM, kann aber ebenfalls auf E-Mail-Prozesse zur Verteilung und Weiterverwertung von Inhalten angewiesen sein.

DKIM prüfen und Fehler beheben

Messbar ist DKIM über den vollständigen Header einer empfangenen Testnachricht. Suche dort nach Authentication-Results und prüfe den DKIM-Status, die signierende Domain sowie den verwendeten Selector. Kontrolliere danach per DNS-Abfrage, ob unter selector._domainkey.domain genau der öffentliche Schlüssel veröffentlicht ist, der zum privaten Schlüssel des versendenden Systems gehört.

Prüfe, ob der Selector im Mailserver und im DNS identisch geschrieben ist.
Stelle sicher, dass der öffentliche Schlüssel vollständig im TXT-Eintrag enthalten ist.
Kontrolliere alle Versanddienste, die E-Mails im Namen deiner Domain verschicken.
Ersetze veraltete Schlüssel kontrolliert durch neue Selector-Einträge.
Prüfe nach Änderungen eine echte Testnachricht und nicht nur den DNS-Record.

Veröffentliche niemals den privaten DKIM-Schlüssel im DNS, in einem Ticketsystem oder in einer öffentlich erreichbaren Konfigurationsdatei. Wer den privaten Schlüssel besitzt, kann gültige Signaturen für die betroffene Domain erzeugen. Bei einem vermuteten Schlüsselverlust muss ein neuer Selector eingerichtet und der bisherige Schlüssel deaktiviert werden.

Ein gültiger DNS-Eintrag allein beweist noch keinen funktionierenden Versand. Der Mailserver muss ausgehende Nachrichten tatsächlich mit dem zugehörigen privaten Schlüssel signieren. Ebenso kann eine korrekt signierte E-Mail an DMARC scheitern, wenn die Domain aus der DKIM-Signatur nicht zur sichtbaren Absenderdomain passt. Prüfe deshalb immer DNS-Eintrag, E-Mail-Header und DMARC-Alignment gemeinsam.

Technische E-Mail-Prozesse sind nur ein Teil einer belastbaren Website- und Marketing-Infrastruktur. Ein kostenloser SEO-Check ergänzt die Prüfung um technische Website-Faktoren, Metadaten und weitere Grundlagen der organischen Auffindbarkeit.

Häufige Fragen zu DKIM

Braucht jede Domain einen DKIM-Eintrag?

Eine Domain benötigt einen DKIM-Eintrag, wenn ein Mailserver Nachrichten mit dieser Domain signieren soll. Domains ohne E-Mail-Versand brauchen normalerweise keinen eigenen Schlüssel. Jeder externe Versanddienst kann jedoch einen separaten Selector erfordern.

Wie lange dauert es, bis ein neuer DKIM-Eintrag funktioniert?

Ein DKIM-Eintrag ist nutzbar, sobald der TXT-Record über das DNS erreichbar ist. Abhängig von DNS-Anbieter, TTL und Zwischenspeichern kann die Verteilung einige Minuten bis mehrere Stunden dauern. Eine Testnachricht zeigt, ob der empfangende Server den neuen Schlüssel bereits findet.

Kann eine Domain mehrere DKIM-Einträge haben?

Ja, eine Domain kann mehrere DKIM-Einträge besitzen. Jeder Eintrag verwendet einen eigenen Selector. Das ist sinnvoll, wenn Newsletter-Dienst, CRM, Shopsystem und interner Mailserver getrennte Schlüssel einsetzen.

Warum schlägt DKIM trotz korrektem DNS-Eintrag fehl?

Ein korrekter DNS-Eintrag reicht nicht aus, wenn der Mailserver mit einem anderen privaten Schlüssel signiert oder ein falscher Selector eingetragen ist. Auch nachträgliche Veränderungen an signierten Headern oder am Nachrichtentext können die Prüfung ungültig machen. Der vollständige E-Mail-Header grenzt die Ursache ein.

Verschlüsselt DKIM den Inhalt einer E-Mail?

Nein, DKIM verschlüsselt weder Nachrichtentext noch Anhänge. DKIM signiert ausgewählte Bestandteile, damit der Empfänger Veränderungen erkennen kann. Für eine vertrauliche Übertragung oder Ende-zu-Ende-Verschlüsselung sind andere Verfahren erforderlich.

Verhindert DKIM, dass E-Mails im Spamordner landen?

DKIM allein garantiert keine Zustellung im Posteingang. Die erfolgreiche Authentifizierung liefert jedoch ein positives technisches Signal. Absenderreputation, Beschwerden, Versandvolumen, Inhalte, SPF und DMARC beeinflussen die Zustellung zusätzlich.

Wenn du technische Grundlagen und organische Auffindbarkeit gemeinsam prüfen lassen möchtest, kannst du einen kostenlosen und unverbindlichen Potenzialcheck anfragen.

Kostenloser Potenzialcheck

Sie haben noch Fragen?

Kontaktieren Sie uns