E-Mail-Sicherheit · E-Mail-Sicherheit
Was ist DKIM? Die digitale Signatur für E-Mails
Wie ein Siegel auf einem Brief zeigt DKIM, dass eine Mail wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde. Wie das technisch funktioniert und was beim Einrichten zu beachten ist.
Kurz beantwortet
DKIM, kurz für DomainKeys Identified Mail, versieht jede ausgehende E-Mail mit einer digitalen Signatur, die mit einem geheimen Schlüssel des Mailservers erstellt wird. Den passenden öffentlichen Schlüssel veröffentlicht die Domain in ihrem DNS. Der Empfänger prüft damit, ob die Mail tatsächlich von dieser Domain signiert wurde und unterwegs unverändert geblieben ist.
Das Prinzip: Schlüsselpaar und Signatur
DKIM arbeitet mit einem Schlüsselpaar. Der geheime Schlüssel liegt beim Mailserver, der die Mails verschickt. Mit ihm berechnet der Server für jede Mail eine Signatur über ausgewählte Kopfzeilen und den Inhalt und hängt sie als Kopfzeile DKIM-Signature an.
Der öffentliche Schlüssel steht im DNS der Domain. Der empfangende Server liest aus der Signatur, welche Domain signiert hat und unter welchem Namen der Schlüssel zu finden ist, ruft ihn ab und prüft die Signatur. Stimmt sie, ist belegt: Die Mail stammt von einem Server, der den geheimen Schlüssel dieser Domain besitzt, und sie wurde unterwegs nicht verändert.
Der Selektor
Eine Domain kann mehrere DKIM-Schlüssel haben, etwa einen für den Mailanbieter und einen für das Newsletter-Werkzeug. Unterschieden werden sie über einen Namen, den Selektor. Der Schlüssel steht im DNS unter selektor._domainkey.ihre-domain.de.
| Anbieter | Selektoren | Eintragsart |
|---|---|---|
| Microsoft 365 | selector1, selector2 | CNAME auf Microsoft |
| IONOS | s1-ionos, s2-ionos | CNAME auf IONOS |
| Google Workspace | google (Standard) | TXT mit Schlüssel |
Bei einem CNAME verweist die eigene Domain auf einen Schlüssel, den der Anbieter verwaltet. So kann der Anbieter Schlüssel austauschen, ohne dass Sie den DNS-Eintrag ändern müssen.
So richten Sie DKIM ein
Beim Mailanbieter aktivieren
In der Verwaltung des Anbieters die DKIM-Signatur für die Domain einschalten. Bei Microsoft 365 geschieht das im Defender-Portal unter den Richtlinien für E-Mail-Authentifizierung.
DNS-Einträge setzen
Die vom Anbieter genannten Einträge, meist CNAME oder TXT, im DNS der Domain anlegen.
Warten und bestätigen
Bis DNS-Änderungen überall bekannt sind, kann es dauern. Danach beim Anbieter die Aktivierung abschließen.
Weitere Absender
Für jeden weiteren Dienst, der in Ihrem Namen sendet, DKIM ebenfalls aktivieren, mit eigenem Selektor.
Prüfen
Eine Mail an ein fremdes Postfach schicken und in den Kopfzeilen nachsehen, ob dort
dkim=passsteht.
Stärken und Grenzen
DKIM übersteht Weiterleitungen meist, weil die Signatur an der Mail hängt und nicht am sendenden Server. Darin ist es SPF überlegen. Verändert ein Weiterleitungsdienst allerdings den Inhalt, etwa durch einen angehängten Hinweis, kann die Signatur ungültig werden.
Wie SPF sagt DKIM allein nichts darüber, was mit einer Mail ohne gültige Signatur passieren soll, und es prüft nicht, ob die signierende Domain zur sichtbaren Absenderadresse passt. Beides regelt DMARC, siehe Was ist DMARC?.
Aus der Praxis von KKM-Design
Häufige Fragen
Woran erkenne ich, ob meine Mails signiert sind?
In den Kopfzeilen einer empfangenen Mail, bei vielen Programmen über „Original anzeigen“ oder „Quelltext“. Dort steht im Abschnitt Authentication-Results das Ergebnis der Prüfung, etwa dkim=pass.
Muss ich DKIM-Schlüssel regelmäßig wechseln?
Ein regelmäßiger Wechsel gilt als gute Praxis. Bei Anbietern, die Schlüssel über einen CNAME selbst verwalten, übernimmt das der Anbieter.
Brauche ich DKIM, wenn ich SPF habe?
Ja. DKIM übersteht Weiterleitungen und belegt, dass die Mail unverändert ist. Für DMARC genügt es, wenn eine der beiden Prüfungen besteht und zur Absenderadresse passt, und DKIM ist dabei oft die verlässlichere.
Kay Strack · Webdesigner und Cloud Engineer · KKM-Design