Wie DKIM-Signierung und Verifizierung funktionieren
DKIM (DomainKeys Identified Mail) erlaubt Ihrem Mailserver, jede ausgehende Nachricht mit einem privaten Schlüssel zu signieren. Der passende öffentliche Schlüssel wird im DNS als TXT-Eintrag unter selector._domainkey.ihredomain.de veröffentlicht. Empfänger lesen den Selektor aus dem DKIM-Signature-Header, holen den öffentlichen Schlüssel und verifizieren, dass Nachrichtentext und die signierten Header unterwegs nicht verändert wurden.
Eine gültige Signatur beweist, dass die Nachricht tatsächlich von einem Server mit Ihrem privaten Schlüssel stammt. Damit DMARC über DKIM besteht, muss die d=-Domain in der Signatur zur Absender-Domain ausgerichtet sein. Genau diese Ausrichtung schützt Cold-E-Mail-Domains vor Spoofing, und deshalb verlangen Gmail und Microsoft DKIM von Massenversendern.
google._domainkey.yourdomain.com TXT
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...So finden Sie Ihren DKIM-Selektor
Der Selektor ist das Label vor _domainkey, und jeder Anbieter wählt seinen eigenen. Google Workspace nutzt standardmäßig google, Microsoft 365 verwendet selector1 und selector2, und die meisten Versandplattformen nutzen kurze Namen wie k1, s1 oder pm. Manche Anbieter veröffentlichen den Eintrag als CNAME, der auf ihr eigenes DNS zeigt, das ist unproblematisch, weil Resolver ihm folgen.
Im Zweifel senden Sie sich selbst eine Nachricht von der Domain, öffnen die Original-Header und lesen die DKIM-Signature-Zeile. Der Wert hinter s= ist der Selektor, der Wert hinter d= die signierende Domain. Tragen Sie diesen Selektor in den Checker ein, dann läuft eine direkte Abfrage statt eines Scans.
- Google Workspace: Selektor google, wird in der Admin-Konsole unter E-Mail authentifizieren erzeugt.
- Microsoft 365: selector1 und selector2, veröffentlicht als CNAMEs auf onmicrosoft.com.
- Versandplattformen zeigen den Selektor meist auf ihrer Seite zur Domain-Authentifizierung.
- Selektoren können rotieren, prüfen Sie erneut, nachdem Sie einen neuen Schlüssel aktiviert haben.
Schlüssellänge und warum 1024 Bit nicht mehr genügen
Der Checker schätzt die Schlüssellänge aus dem base64-kodierten öffentlichen Schlüssel. RSA-Schlüssel mit 2048 Bit sind die aktuelle Empfehlung und das, was Google Workspace und Microsoft 365 standardmäßig ausstellen. Ältere 1024-Bit-Schlüssel verifizieren zwar noch, gelten aber als schwach, und manche Anbieter signieren mit nichts Kürzerem mehr. Ed25519-Schlüssel sind eine moderne Alternative, kompakt und stark, werden aber noch nicht von jedem Empfänger verifiziert, halten Sie deshalb zusätzlich einen RSA-Selektor bereit.
Wenn Sie einen 1024-Bit-Schlüssel sehen, rotieren Sie ihn in den DKIM-Einstellungen Ihres Anbieters, veröffentlichen Sie den neuen Eintrag, warten Sie auf die DNS-Propagierung und stellen Sie dann die Signierung um. InboxOne richtet auf jedem erstellten Google-Workspace-Postfach automatisch DKIM mit 2048 Bit ein, damit das nie von Hand nötig ist.
DKIM-Flags und Tags, die die Authentifizierung still aushebeln
Ein Eintrag kann veröffentlicht sein und Ihnen trotzdem keinen Schutz bieten. Das Flag t=y versetzt den Schlüssel in den Testmodus und weist Empfänger an, Fehler zu ignorieren. Ein leeres p= widerruft den Schlüssel vollständig. Hashes mit h=sha1 einzuschränken oder Diensttypen mit einem s= zu setzen, das E-Mail ausschließt, führt bei großen Anbietern zu Verifizierungsfehlern. Jeden dieser Punkte markiert der Checker mit dem exakt zu ändernden Tag.
- Entfernen Sie t=y, sobald Sie bestätigt haben, dass Signaturen verifizieren.
- Lassen Sie p= nie leer, außer Sie wollen den Selektor tatsächlich stilllegen.
- Teilen Sie lange Schlüssel in mehrere Strings in Anführungszeichen, wenn Ihr DNS-Hoster die Stringlänge auf 255 Zeichen begrenzt.
- Fügen Sie beim Einfügen keine Zeilenumbrüche oder Leerzeichen innerhalb des base64-Schlüssels ein.
