DKIM erklärt
Was ist DKIM genau?
DKIM ist eine der drei Säulen der E-Mail-Authentifizierung, neben SPF und DMARC. Der Name steht für DomainKeys Identified Mail. Während SPF kontrolliert, welcher Server versenden darf, geht DKIM einen Schritt weiter: Es beweist, dass der Inhalt Ihrer Nachricht unterwegs nicht verändert wurde.
Das funktioniert mit einem Schlüsselpaar. Es gibt einen geheimen (privaten) Schlüssel, den nur Ihr versendender Server kennt, und einen öffentlichen Schlüssel, den Sie in Ihrem DNS veröffentlichen. Beim Versenden setzt der Server mit dem geheimen Schlüssel eine Signatur über die Nachricht. Der Empfänger holt Ihren öffentlichen Schlüssel und prüft damit, ob diese Signatur stimmt.
Sehen Sie es als ein Wachssiegel auf einem Brief. Nur Sie haben den Stempel (den geheimen Schlüssel), und jeder kann am Siegel sehen, ob der Brief unterwegs aufgebrochen wurde. Ist die Signatur gültig, weiß der Empfänger zwei Dinge: Die Nachricht kommt wirklich von Ihrer Domain, und der Inhalt ist nicht manipuliert.
Was tut DKIM für Sie?
DKIM liefert drei konkrete Vorteile.
- Echtheitsnachweis. Die Signatur bestätigt, dass die Nachricht von Ihrer Domain kommt.
- Schutz vor Manipulation. Wird der Inhalt unterwegs verändert, stimmt die Signatur nicht mehr und das fällt auf.
- Bessere Zustellbarkeit. Große Mailanbieter sehen gültige DKIM-Signaturen als Zeichen eines seriösen Absenders, was die Chance auf den Posteingang erhöht.
Seit 2024 spielt dies besonders: Große Mailanbieter verlangen von Massenversendern, dass ihre E-Mail korrekt authentifiziert ist, und DKIM ist davon ein fester Bestandteil. Merken Sie, dass Ihre Nachrichten trotzdem im Spam landen, lesen Sie warum Ihre Mail im Spam landet.
Wie richten Sie DKIM richtig ein?
DKIM einzurichten läuft auf zwei Dinge hinaus: Der versendende Server lässt Nachrichten signieren, und Sie veröffentlichen den zugehörigen öffentlichen Schlüssel in Ihrem DNS.
Die Schritte in groben Zügen:
- Erzeugen Sie ein Schlüsselpaar (das tut in der Regel Ihr E-Mail-Anbieter). Der geheime Schlüssel bleibt auf dem Server; den öffentlichen Schlüssel bekommen Sie mit.
- Veröffentlichen Sie den öffentlichen Schlüssel als DNS-Record vom Typ TXT, an einer Adresse mit einem sogenannten Selektor, zum Beispiel
selector1._domainkey.ihredomain.de. - Aktivieren Sie die Signierung auf dem versendenden Server, sodass jede ausgehende Nachricht eine Signatur mitbekommt.
- Testen Sie eine Probenachricht und prüfen Sie, ob die Signatur beim Empfänger gültig ist.
Worauf Sie achten müssen:
- Der Selektor muss übereinstimmen. Der Name, der in Ihrer Signatur steht, muss exakt mit dem DNS-Record übereinstimmen, den Sie veröffentlichen.
- Bewahren Sie den geheimen Schlüssel gut auf. Leakt der, kann jemand anderes gültige Signaturen in Ihrem Namen erstellen. Rotieren Sie dann den Schlüssel.
- Kopieren Sie den öffentlichen Schlüssel vollständig. Ein fehlendes Zeichen macht die Prüfung ungültig.
- Wählen Sie einen ausreichend starken Schlüssel (2048 Bit ist heute die Empfehlung gegenüber 1024 Bit).
Möchten Sie es selbst tun, folgen Sie dem separaten Leitfaden über das DKIM einrichten. Eine knappe Definition finden Sie in der Begriffserklärung über DKIM.
DKIM funktioniert am besten zusammen mit SPF und DMARC
DKIM beweist, dass Ihre Nachricht echt und unverändert ist, aber es sagt für sich allein nicht, welche Server versenden dürfen (das tut SPF), und es bestimmt nicht, was geschehen soll, wenn eine Prüfung fehlschlägt (das tut DMARC). Erst wenn die drei zusammen stehen, schließen Sie die Tür wirklich. Wie Sie sie aufeinander abstimmen, lesen Sie in dem Leitfaden über SPF, DKIM und DMARC gemeinsam einrichten.
Wie Mailflux das für Sie regelt
Bei Mailflux müssen Sie selbst keine Schlüssel erzeugen oder DNS-Records einfügen. Wir verwalten SPF, DKIM und DMARC für Ihre Domain und überwachen die IP-Reputation unserer versendenden Server, sodass Ihre ausgehende Mail sauber signiert ist und die richtigen Signale mitsendet. Jede Formel filtert zudem mit maschinellem Lernen gegen Spam, Phishing und Malware, mit standardmäßigem Antivirus, Antispam, Antimalware und automatischen Back-ups.
Sie bekommen professionelle E-Mail auf Ihrer eigenen Domain, gehostet in Europa und DSGVO-konform, mit optional Zwei-Faktor-Authentifizierung. Die Signaturen hinter den Kulissen übernehmen wir.
FAQ
Häufig gestellte Fragen
Was ist der Unterschied zwischen SPF und DKIM?
SPF kontrolliert, welche Server im Namen Ihrer Domain versenden dürfen; DKIM beweist mit einer digitalen Signatur, dass eine Nachricht wirklich von Ihnen kommt und unterwegs nicht verändert wurde. Sie ergänzen einander: SPF schaut auf den Absender, DKIM auf den Inhalt. Für vollständigen Schutz verwenden Sie beide, zusammen mit DMARC.
Was ist ein DKIM-Selektor?
Ein Selektor ist ein Label, das angibt, welcher öffentliche Schlüssel zu einer Signatur gehört, zum Beispiel selector1. So können Sie mehrere Schlüssel nebeneinander verwenden und sie sicher rotieren. Der Selektor in Ihrer ausgehenden Signatur muss exakt mit dem zugehörigen DNS-Record übereinstimmen, sonst schlägt die Prüfung fehl.
Muss ich meinen DKIM-Schlüssel ersetzen?
Es ist ratsam, Ihren Schlüssel hin und wieder zu rotieren, und sicher, wenn Sie vermuten, dass der geheime Schlüssel geleakt ist. Ein starker Schlüssel (2048 Bit) ist heute die Empfehlung. Bei einem verwalteten E-Mail-Dienst geschieht dieses Rotieren in der Regel automatisch, ohne dass Sie etwas dafür tun müssen.