E-Mail-Authentifizierung

Was ist DKIM? DomainKeys Identified Mail erklärt

DKIM signiert ausgehende E-Mails kryptografisch. Empfänger prüfen die Signatur mit einem öffentlichen Schlüssel aus dem DNS und erkennen so Fälschungen und Veränderungen.

So funktioniert DKIM

Der sendende Mailserver berechnet für jede Mail eine Signatur über ausgewählte Header und den Inhalt und fügt sie als Header „DKIM-Signature“ ein. Darin stehen unter anderem die signierende Domain (d=) und der Selektor (s=).

Der öffentliche Schlüssel liegt als TXT-Eintrag unter <selector>._domainkey.<domain>. Der Empfänger ruft ihn ab und prüft die Signatur. Passt sie, ist belegt, dass die Mail von einem Server mit dem privaten Schlüssel stammt und unterwegs nicht verändert wurde.

Selektoren sind frei wählbar, damit mehrere Dienste eigene Schlüssel nutzen können (z. B. „selector1“ bei Microsoft 365, „google“ bei Google Workspace). Weil sich Selektoren nicht aus dem DNS auflisten lassen, probiert der Domain Trust Check rund 150 gängige Namen durch; den eigenen findest du im DKIM-Signature-Header einer gesendeten Mail (s=…).

Beispiel

selector1._domainkey.example.com.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA…"

RSA-Schlüssel sollten 2048 Bit lang sein. Lange Schlüssel werden im DNS auf mehrere Zeichenketten zu je 255 Zeichen aufgeteilt.

Typische Fehler

Der Testmodus „t=y“ bleibt nach der Einführung dauerhaft gesetzt.
Nach einem Anbieterwechsel signiert niemand mehr, oder der alte Schlüssel bleibt veröffentlicht.
Der Schlüssel wurde beim Kopieren abgeschnitten oder mit Leerzeichen verfälscht.
Ein Dienstleister signiert mit seiner eigenen Domain statt mit deiner – dann fehlt das DMARC-Alignment.

So bewertet der Domain Trust Check DKIM

Kriterium „DKIM“ (Gewicht 5 von 5): Sucht öffentliche DKIM-Schlüssel unter <selector>._domainkey in rund 150 gängigen Selektoren (eigener Selektor optional) und prüft auf Testmodus (t=y) sowie widerrufene Schlüssel.

Standard: RFC 6376