DKIM

DKIM (DomainKeys Identified Mail) ist ein Verfahren, mit dem eine Domain ausgehende E-Mails digital signiert, damit der Empfänger die Herkunft und die Unversehrtheit prüfen kann. Der sendende Dienst unterschreibt jede Mail mit einem privaten Schlüssel, den passenden öffentlichen Schlüssel findet der Empfänger im DNS deiner Domain. Das Ergebnis ist ein Baustein für die Zustellung, aber keine Garantie für das Postfach.

Kurz zusammengefasst:

• DKIM ist eine Signatur auf jeder einzelnen Mail.
• Der öffentliche Schlüssel steht als Eintrag im DNS deiner Domain.
• Jedes System, das in deinem Namen sendet, braucht eine eigene Einrichtung.
• Google empfiehlt 2.048 Bit, sofern dein DNS-Anbieter das unterstützt.
• Die Signatur belegt die Herkunft. Ob die Mail erwünscht ist, bewertet der Empfänger gesondert.

Wie die Signatur funktioniert

Stell dir einen versiegelten Brief vor. Beim Versand berechnet der Mailserver zwei Prüfwerte: einen über den Text der Mail und einen über ausgewählte Kopfzeilen, darunter die Absenderzeile. Daraus entsteht die Signatur, die als zusätzliche Kopfzeile mitreist. Der Empfänger holt den öffentlichen Schlüssel aus dem DNS und rechnet nach. Stimmt das Ergebnis, ist die Mail unterwegs nicht verändert worden, und die signierende Domain übernimmt die Verantwortung für sie.

Der Schlüssel liegt unter einem Namen nach dem Muster selektor._domainkey.beispiel.de. Den Selektor gibt der jeweilige Dienst vor, Google nutzt zum Beispiel standardmäßig „google“. So können mehrere Dienste nebeneinander signieren, ohne sich in die Quere zu kommen.

Was DKIM nicht leistet

Eine fehlgeschlagene Prüfung führt laut Standard nicht automatisch zur Ablehnung, der Empfänger entscheidet selbst, was daraus folgt. Umgekehrt macht eine gültige Signatur aus einer unerwünschten Mail keine erwünschte. Auch gegen gefälschte Absender hilft sie allein nur begrenzt, denn erst DMARC verlangt, dass die signierende Domain zur sichtbaren Absenderadresse passt. Für den Schutz vor Phishing unter deinem Namen zählt deshalb erst das Zusammenspiel.

Bei Weiterleitungen ist die Signatur robust, solange niemand den Inhalt ändert. Fügt ein Mailverteiler aber eine Fußzeile an oder ändert den Betreff, kann sie brechen.

Was das für deinen Betrieb bedeutet

Dein Angebot geht an einen Interessenten und wird nie beantwortet. Fehlt die Authentifizierung, ist das eine mögliche Ursache, und du merkst sie im Alltag kaum. Google verlangt von allen Absendern an private Gmail-Konten mindestens SPF oder DKIM, ab rund 5.000 Mails am Tag beide. Für einen kleinen Betrieb reicht also formal eines von beiden. Sinnvoll ist DKIM trotzdem, weil es die Mail selbst kennzeichnet und nicht nur den Server, von dem sie kommt.

Der Aufwand hängt selten am Eintrag, sondern an der Übersicht. Postfach, Kontaktformular, Rechnungssoftware und Newsletter können alle in deinem Namen senden, und jeder Dienst signiert für sich. Die Einrichtung läuft meist so:

• Der Dienst erzeugt ein Schlüsselpaar und behält den privaten Teil.
• Der öffentliche Teil kommt in den DNS. Manche Dienste wie Microsoft 365 geben dafür CNAME-Einträge vor.
• Im Dienst schaltest du die Signatur an.
• Du prüfst das Ergebnis mit einer Testmail.

Hängt es am Versand aus der Website, schaut unser WordPress Support sich das an.

Häufige Fragen

Wie prüfe ich, ob meine Mails signiert sind?

Schick eine Mail an ein Gmail-Konto und öffne dort „Original anzeigen“. Steht bei DKIM „PASS“, passt die Signatur. Wiederhole das für jedes System, das Mails verschickt.

Wo trage ich den DKIM-Schlüssel ein?

Dort, wo der DNS deiner Domain verwaltet wird. Das kann ein anderer Anbieter sein als der Mailanbieter. Die Werte liefert der Dienst, der die Mails verschickt.

Wie lang sollte der Schlüssel sein?

Der Standard verlangt mindestens 1.024 Bit und rät zu 2.048 Bit, Google empfiehlt ebenfalls 2.048 Bit. Kürzere Schlüssel nutzt du nur, wenn dein DNS-Anbieter längere nicht annimmt.

Wie lange dauert die Einrichtung?

Der Eintrag selbst ist schnell gesetzt. Bei Google kann es danach bis zu 48 Stunden dauern, bis die Authentifizierung funktioniert. Andere Anbieter nennen eigene Zeiten.

Landen meine Mails mit DKIM nicht mehr im Spam?

Das kann niemand zusagen. Ob eine Mail als Spam gilt, bewerten Empfänger zusätzlich über Inhalt, Beschwerden und den Ruf des Absenders.

Weißt du, wer alles in deinem Namen Mails verschickt?

Wir sehen uns gern gemeinsam mit dir an, welche Systeme bei dir senden und wie deine Einträge aussehen.