Was ist DKIM?
DKIM (DomainKeys Identified Mail) signiert ausgehende E-Mails kryptografisch. Der sendende Server hängt einen DKIM-Signature-Header an, der mit einem privaten Schlüssel über ausgewählte Header und den Body berechnet wird. Der passende öffentliche Schlüssel liegt als TXT-Record im DNS der Absenderdomain. Empfänger holen ihn ab, prüfen die Signatur und wissen damit, dass die Mail unterwegs nicht verändert wurde und tatsächlich von einem Server stammt, der den Schlüssel der Domain besitzt.
Anders als SPF überlebt DKIM Weiterleitungen, weil die Signatur an der Mail hängt und nicht an der sendenden IP. Deshalb ist DKIM die stabilere der beiden Authentifizierungen und die Grundlage dafür, dass DMARC auch bei weitergeleiteten Mails besteht. Google, Yahoo und Microsoft verlangen DKIM für Massenversender seit 2024 ausdrücklich.
Selektoren: warum der Checker einen braucht
Ein DKIM-Record liegt nicht direkt unter der Domain, sondern unter einem Selektor: selektor._domainkey.beispiel.de. Der Selektor steht in jeder signierten Mail im Header (s=) und erlaubt mehrere Schlüssel pro Domain, zum Beispiel einen für Google Workspace und einen für das Newsletter-Tool. Ohne Selektor kann niemand den Record im DNS finden, denn DNS bietet keine Möglichkeit, alle Subdomains unter _domainkey aufzulisten.
Wenn du den Selektor nicht kennst, öffne eine Mail der Domain und schau in den Header DKIM-Signature nach dem Tag s=. Alternativ lässt du das Feld leer: Der Checker probiert dann die Selektoren der gängigen Anbieter durch, etwa google, selector1 und selector2 (Microsoft 365), k1 (Mailchimp), brevo, mailgun, pm (Postmark), zoho, ionos und strato. Das findet die meisten Setups, aber nicht alle. Ein individueller Selektor wie mail2024 wird nur mit Angabe gefunden.
So liest du das Ergebnis
Für jeden gefundenen Selektor zeigt der Checker den Record, den Schlüsseltyp, die Schlüssellänge und einen Status:
- gültig: Record vorhanden, Syntax korrekt, RSA mit mindestens 2048 Bit oder Ed25519.
- kurz: RSA mit 1024 Bit. Funktioniert noch, gilt aber als Übergangslösung. Bei der nächsten Rotation auf 2048 Bit wechseln.
- zu kurz: RSA unter 1024 Bit. Viele Empfänger ignorieren solche Signaturen, die Mail gilt dann als nicht signiert.
- widerrufen: Das Tag p= ist leer. Der Schlüssel wurde bewusst zurückgezogen, Mails mit diesem Selektor fallen durch.
- Testmodus: Das Tag t=y ist gesetzt. Empfänger sollen Fehler nicht bestrafen. Für den Produktivbetrieb entfernen.
- ungültig: Der Record hat kein p= oder der Schlüssel ist kein gültiges Base64.
Aufbau eines DKIM-Records
Der Record ist ein TXT-Record mit Tags, die durch Semikolon getrennt sind. Pflicht ist nur p= mit dem öffentlichen Schlüssel in Base64. v=DKIM1 und k=rsa sind die Standardwerte und dürfen entfallen, gehören aber der Lesbarkeit wegen dazu. Ein typischer Record für den Selektor google:
google._domainkey.beispiel.de. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0g5x...IDAQAB"Häufige Fehler
Diese Probleme sehen wir bei DKIM am häufigsten:
- Record nicht gefunden: Falscher Selektor, Tippfehler in _domainkey oder der Record wurde beim Hosterwechsel nicht mitgenommen.
- Schlüssel in Anführungszeichen zerrissen: Lange Schlüssel müssen in DNS in mehrere Strings zu je maximal 255 Zeichen aufgeteilt werden. Manche DNS-Oberflächen machen das nicht automatisch, dann ist p= abgeschnitten.
- CNAME auf den Anbieter läuft ins Leere: Microsoft 365 und viele Newsletter-Dienste arbeiten mit CNAME-Delegation. Löscht der Anbieter den Schlüssel, ist der Record weg, obwohl im eigenen DNS alles gleich aussieht.
- Alter Schlüssel nach Rotation: Der Anbieter hat einen neuen Selektor eingeführt, im DNS steht noch der alte. Mails werden nicht mehr signiert oder mit einem Schlüssel, den es nicht mehr gibt.
- 1024 Bit seit Jahren: Wer 2015 eingerichtet hat, sendet oft noch mit kurzem Schlüssel. Rotation auf 2048 Bit einplanen.
DKIM dauerhaft überwachen
DKIM-Records verschwinden leise: Ein Dienstleister rotiert den Schlüssel, eine Zone wird neu angelegt, ein CNAME zeigt ins Leere. Die Mails gehen weiter raus, landen aber zunehmend im Spam, und niemand merkt es, bis ein Kunde nachfragt. DomainWarn prüft die konfigurierten Selektoren aller Kundendomains regelmäßig und meldet, wenn ein Record fehlt, widerrufen wurde oder sich der Schlüssel ändert.
Häufige Fragen
- Wie finde ich den DKIM-Selektor meiner Domain?
- Im Header DKIM-Signature einer gesendeten Mail steht s=selektor. In Gmail über "Original anzeigen", in Outlook über die Nachrichtenoptionen. Alternativ das Feld leer lassen: Der Checker probiert gängige Selektoren automatisch durch.
- Reichen 1024 Bit für DKIM?
- Sie funktionieren noch, aber RFC 8301 empfiehlt mindestens 2048 Bit, und einige Empfänger stufen kürzere Schlüssel herab. Bei der nächsten Schlüsselrotation auf 2048 Bit umstellen.
- Kann eine Domain mehrere DKIM-Records haben?
- Ja, beliebig viele, jeder unter einem eigenen Selektor. Das ist der Normalfall, wenn mehrere Dienste im Namen der Domain senden. Jeder Dienst signiert mit seinem eigenen Selektor.