Was ist DKIM?
DKIM steht für DomainKeys Identified Mail und ist in RFC 6376 von 2011 festgelegt. Es funktioniert wie ein Siegel auf einem Brief:
- Unterschreiben: Dein Mailserver berechnet aus wichtigen Teilen der Mail — Absender, Betreff, Datum, Text — eine Signatur mit einem privaten Schlüssel.
- Mitschicken: Die Signatur steht als Kopfzeile DKIM-Signature in der Mail. Du siehst sie im Postfach nicht.
- Prüfen: Der Empfänger holt den öffentlichen Schlüssel aus deinem DNS und prüft, ob die Signatur passt.
Passt sie, steht fest: Die Mail wurde unterwegs nicht verändert, und die signierende Domain übernimmt Verantwortung für sie. Was DKIM nicht tut: verschlüsseln oder sagen, ob der Inhalt seriös ist.
Selektor, Domain und Schlüssel
In der Signatur stehen zwei wichtige Angaben: d= nennt die signierende Domain, s= den Selektor. Der Selektor ist ein frei wählbarer Name. Er sagt dem Empfänger, wo der Schlüssel liegt: unter selektor._domainkey.deinefirma.de.
Dank Selektoren kann eine Domain mehrere Schlüssel gleichzeitig haben — einen für Google Workspace (Selektor „google“), einen für das Newsletter-Tool, einen für den Shop. Microsoft 365 nutzt zwei Selektoren im Wechsel, damit sich Schlüssel austauschen lassen.
Frage
Empfehlung
Schlüssellänge
2048 Bit, mindestens 1024
Schlüsselwechsel
alle sechs Monate
Signaturverfahren
RSA mit SHA-256, nie SHA-1
RFC 8301 schreibt mindestens 1024 Bit vor und empfiehlt 2048. Google verlangt für Mails an Gmail mindestens 1024 Bit und empfiehlt 2048. Den Wechsel alle sechs Monate empfehlen der Branchenverband M3AAWG und das BSI in seiner Richtlinie TR-03182.
Was Gmail, Yahoo und Outlook verlangen
Seit Februar 2024 brauchen alle Absender an Gmail und Yahoo mindestens SPF oder DKIM. Wer mehr als 5.000 Mails am Tag verschickt, braucht beides plus DMARC. Microsoft verlangt das für Outlook.com seit Mai 2025 ebenfalls von Massenversendern. Google empfiehlt beides schon jetzt allen und rechnet damit, dass es Pflicht wird.
Häufige Fehler
Fehler 1 · Signiert, aber mit der falschen Domain
Das Newsletter-Tool oder Microsoft 365 signiert ab Werk mit seiner eigenen Domain. DKIM besteht dann zwar, passt aber nicht zu deinem sichtbaren Absender — für DMARC zählt es nicht. Laut Microsoft hilft DKIM bei DMARC nur, wenn die signierende Domain zur Absenderdomain passt. Also: im Tool die eigene Domain authentifizieren.
Fehler 2 · Ein alter 1024-Bit-Schlüssel für immer
Einmal eingerichtet, nie wieder angefasst. Microsoft 365 legt per PowerShell standardmäßig 1024 Bit an. Stell auf 2048 Bit um und plane den Wechsel ein. Manche DNS-Anbieter brauchen für lange Schlüssel einen geteilten TXT-Eintrag.
Fehler 3 · Mails unterwegs verändern
Systeme, die nach dem Signieren „[EXTERN]“ in den Betreff schreiben oder einen Disclaimer anhängen, zerstören die Signatur. Signiert wird immer als letzter Schritt vor dem Versand.
So richtest du DKIM ein
- Google Workspace: Admin-Konsole → Apps → Google Workspace → Gmail → E-Mail authentifizieren, Schlüssel mit 2048 Bit erzeugen, TXT-Eintrag im DNS anlegen, Signieren starten. Bis zu 48 Stunden Geduld.
- Microsoft 365: zwei CNAME-Einträge (selector1 und selector2) im DNS anlegen und DKIM im Defender-Portal einschalten.
- Newsletter-Tool: in Mailchimp, Brevo, CleverReach oder HubSpot die eigene Domain authentifizieren und die angezeigten Einträge übernehmen.
- Prüfen: Mail an ein anderes Gmail-Konto schicken, „Original anzeigen“ — dort sollte DKIM: PASS mit deiner Domain stehen.
- DMARC dazu: Erst DMARC macht aus der Signatur eine Regel.
Häufige Fragen
Wie finde ich heraus, ob meine Domain DKIM nutzt?
Öffne eine von dir versendete Mail in Gmail und wähle „Original anzeigen“. Dort steht, ob DKIM bestanden hat und mit welcher Domain signiert wurde. Den Selektor findest du in der Kopfzeile DKIM-Signature hinter s=.
Brauche ich DKIM, wenn ich nur wenige Mails verschicke?
Gmail und Yahoo verlangen von allen Absendern mindestens SPF oder DKIM, ab 5.000 Mails pro Tag beides. Sinnvoll ist DKIM für jede Domain, weil es Weiterleitungen übersteht und DMARC verlässlich macht.
Welche Schlüssellänge ist richtig?
2048 Bit. RFC 8301 schreibt mindestens 1024 Bit vor und empfiehlt 2048, Google ebenso. Nur wenn dein DNS-Anbieter keine langen Einträge kann, ist 1024 Bit eine Notlösung.
Kann ich mehrere DKIM-Einträge für eine Domain haben?
Ja. Jeder Dienst bekommt einen eigenen Selektor, zum Beispiel einer für Google Workspace und einer für das Newsletter-Tool. Die Einträge stören sich nicht.
Warum besteht DKIM, aber DMARC schlägt trotzdem fehl?
Weil mit einer anderen Domain signiert wurde als der im Von-Feld, oft der des Newsletter-Tools. DMARC verlangt, dass die Domains zusammenpassen. Die Lösung ist, im Tool die eigene Domain zu authentifizieren.
