Der umfassende Leitfaden für 2026 zur Verifizierung Ihrer E-Mails, zur Verhinderung von Manipulationen und zur Unterbindung von Domain-Identitätsbetrug. DKIM ist neben SPF und DMARC eines der drei wichtigsten Protokolle zur E-Mail-Authentifizierung. Es nutzt kryptografische Signaturen, um nachzuweisen, dass eine E-Mail von Ihrer Domain autorisiert wurde und dass ihr Inhalt während der Übertragung nicht verändert wurde. Dies hilft den empfangenden Mailservern dabei, legitime Nachrichten von gefälschten oder manipulierten E-Mails zu unterscheiden, wodurch sowohl die Sicherheit als auch die Zustellbarkeit von E-Mails verbessert werden. In diesem Leitfaden erfahren Sie, was DKIM ist, wie es funktioniert, wie Sie DKIM-Einträge veröffentlichen und validieren, wie Sie häufige Authentifizierungsprobleme beheben, Signaturschlüssel rotieren und wie DKIM im Zusammenspiel mit SPF und DMARC zum Schutz Ihrer Domain beiträgt. Schlüssel generieren, Datensätze veröffentlichen, Signieren aktivieren Selektoren, Signaturen und Ausrichtung korrigieren DKIM bei DMARC berücksichtigen Datensätze überprüfen, generieren und validieren DomainKeys Identified Mail (DKIM) ist ein E-Mail-Authentifizierungsprotokoll, das mithilfe von Public-Key-Kryptografie überprüft, ob eine E-Mail tatsächlich von Ihrer Domain stammt und nach dem Versand nicht verändert wurde. Anstatt sich ausschließlich auf die IP-Adresse des Absenderservers zu verlassen, versieht DKIM jede ausgehende E-Mail mit einer eindeutigen digitalen Signatur. Wenn ein empfangender Mailserver Ihre Nachricht erhält, ruft er Ihren öffentlichen Schlüssel aus dem DNS ab und verwendet ihn zur Überprüfung der Signatur. Stimmt die Signatur überein, besteht die Nachricht die DKIM-Authentifizierung. DKIM funktioniert mithilfe eines kryptografischen Schlüsselpaars: eines privaten Schlüssels und eines öffentlichen Schlüssels. Der private Schlüssel wird sicher auf Ihrem Postausgangsserver oder bei Ihrem E-Mail-Dienstanbieter gespeichert. Bei jedem Versand einer E-Mail generiert dieser private Schlüssel eine eindeutige digitale Signatur auf der Grundlage bestimmter Teile der Nachricht, wie beispielsweise des Textkörpers und ausgewählter Kopfzeilen. Die Signatur wird der E-Mail anschließend als „DKIM-Signature“-Kopfzeile hinzugefügt. Wenn die E-Mail beim Empfänger eintrifft, extrahiert dessen Mailserver die signierende Domäne und den Selektor aus dem Header, ruft den entsprechenden öffentlichen Schlüssel aus Ihren DNS-Einträgen ab und überprüft die Signatur. Wenn alles übereinstimmt, wird DKIM bestanden. Wurde die E-Mail nach der Signierung verändert oder kann die Signatur nicht verifiziert werden, schlägt die Authentifizierung fehl. Ein öffentlicher DKIM-Schlüssel wird als DNS-TXT-Eintrag veröffentlicht. Dieser Eintrag teilt den empfangenden Mail-Servern mit, wie sie die an Ihre E-Mails angehängte Signatur überprüfen können. Ein einfacher DKIM-Eintrag sieht folgendermaßen aus: Ein DKIM-Selektor gibt an, welcher öffentliche Schlüssel zur Validierung einer bestimmten E-Mail-Signatur verwendet werden soll. Anstatt einen einzigen DKIM-Schlüssel für eine gesamte Domain zu veröffentlichen, können Unternehmen mehrere Selektoren erstellen, die auf unterschiedliche Schlüssel verweisen. Auf diese Weise können verschiedene E-Mail-Anbieter, Anwendungen oder Abteilungen separate Signaturschlüssel verwenden, ohne sich gegenseitig zu beeinträchtigen. Beispielsweise könnte Ihre Marketingplattform E-Mails mit einem bestimmten Selektor signieren, während Microsoft 365 einen anderen verwendet. Ein typischer Selektor sieht wie folgt aus: Zur Einrichtung von DKIM müssen Sie ein Schlüsselpaar generieren, den öffentlichen Schlüssel im DNS veröffentlichen und Ihren E-Mail-Dienst so konfigurieren, dass ausgehende Nachrichten mit dem entsprechenden privaten Schlüssel signiert werden. Der genaue Ablauf variiert je nach E-Mail-Anbieter geringfügig, der allgemeine Arbeitsablauf bleibt jedoch derselbe. Der kostenlose DKIM-Record-Generator von PowerDMARC erstellt innerhalb von Sekunden ein öffentliches/privates Schlüsselpaar und hilft Ihnen so dabei, einen korrekten DKIM-Eintrag zu generieren, den Sie direkt in Ihrem DNS veröffentlichen können. Er unterstützt die empfohlenen 2048-Bit-Schlüssel und verhindert Formatierungsfehler, die häufig zu Fehlern bei der DKIM-Authentifizierung führen. Nachdem Sie Ihren DKIM-Eintrag veröffentlicht haben, müssen Sie im nächsten Schritt überprüfen, ob er wie erwartet funktioniert. Das bedeutet, dass Sie sicherstellen müssen, dass Ihr E-Mail-Dienst DKIM-Signaturen korrekt generiert und dass die empfangenden Mailserver diese erfolgreich validieren können. Sie können die Nachrichten-Header auch manuell in Gmail, Outlook oder Apple Mail überprüfen, um die Ergebnisse der DKIM-Authentifizierung einzusehen. Anstatt jedes Element manuell zu überprüfen, können Sie Ihre DKIM-Konfiguration in einem einzigen Durchgang überprüfen. Der kostenlose DKIM-Checker von PowerDMARC stellt sicher, dass Ihr DNS-Eintrag korrekt veröffentlicht ist, überprüft Ihren Selektor und Ihren öffentlichen Schlüssel, kontrolliert, ob Ihre E-Mails signiert werden, und weist auf Konfigurationsprobleme hin, die die Authentifizierung oder die Zustellbarkeit beeinträchtigen könnten. Selbst wenn DKIM konfiguriert ist, kann es aufgrund von DNS-Konfigurationsfehlern, abgelaufenen Schlüsseln, falschen Selektoren oder Änderungen an der Nachricht während der Übertragung zu Authentifizierungsfehlern kommen. Die meisten Probleme werden nicht durch das DKIM-Protokoll selbst verursacht, da viele davon auf Konfigurationsabweichungen oder Änderungen an der Infrastruktur zurückzuführen sind. Hier finden Sie einen kurzen Überblick über die häufigsten DKIM-Fehler und wo Sie diese beheben können: Sollte DKIM nach einem Wechsel des E-Mail-Anbieters oder einer Aktualisierung der DNS-Einstellungen plötzlich nicht mehr funktionieren, überprüfen Sie bitte, ob Sie den richtigen Selektor verwenden, ob Ihr öffentlicher Schlüssel erfolgreich übertragen wurde und ob Ihre E-Mail-Plattform ausgehende E-Mails tatsächlich signiert. Eine erfolgreiche DKIM-Signatur bedeutet nicht automatisch, dass eine E-Mail die DMARC-Prüfung besteht. DMARC erfordert eine Übereinstimmung, d. h., die Domain, mit der die E-Mail signiert wurde (die Zum Beispiel: Selbst wenn die DKIM-Signatur erfolgreich validiert wird, kann DMARC dennoch fehlschlagen, wenn die signierende Domain nicht mit der „From“-Domain übereinstimmt. DMARC unterstützt zwei Abgleichmodi: Viele Unternehmen nutzen E-Mail-Plattformen von Drittanbietern für Newsletter, Transaktions-E-Mails oder Marketingkampagnen. Wenn diese Dienste Nachrichten mit ihrer eigenen Domain statt mit Ihrer signieren, wird DKIM zwar bestanden, DMARC jedoch aufgrund der Nichtübereinstimmung nicht. Die Konfiguration einer benutzerdefinierten DKIM-Signatur für jeden Anbieter trägt dazu bei, dass die Authentifizierung stets erfolgreich verläuft. Die Sicherheit von DKIM hängt weitgehend von dem kryptografischen Schlüssel ab, der zum Signieren Ihrer E-Mails verwendet wird. Während 1024-Bit-RSA-Schlüssel früher der Standard waren, werden in modernen Sicherheitsempfehlungen mittlerweile 2048-Bit-RSA-Schlüssel bevorzugt, die einen stärkeren Schutz vor Brute-Force-Angriffen bieten und den aktuellen Best Practices der Branche entsprechen. Eine regelmäßige Schlüsselrotation mindert die Auswirkungen eines kompromittierten privaten Schlüssels und hilft Unternehmen dabei, eine gute E-Mail-Sicherheitspraxis aufrechtzuerhalten. Durch die Verwendung von Selektoren verläuft dieser Übergang nahtlos, da während der Migrationsphase sowohl alte als auch neue Schlüssel nebeneinander bestehen können. Unternehmen, die mehrere Domains oder E-Mail-Anbieter verwalten, automatisieren diesen Prozess häufig, um den Betriebsaufwand zu reduzieren und das Risiko veralteter oder vergessener DKIM-Schlüssel zu vermeiden. SPF, DKIM und DMARC sind sich ergänzende Protokolle, die darauf ausgelegt sind, verschiedene Aspekte der E-Mail-Authentifizierung zu lösen. Anstatt sich für ein Protokoll zu entscheiden, sollten Unternehmen alle drei einsetzen. Zum Beispiel: Gemeinsam bieten sie einen deutlich stärkeren Schutz vor Spoofing-, Phishing- und Identitätsbetrugsangriffen, als es jedes einzelne Protokoll für sich allein leisten könnte. Die Verwaltung von DKIM über mehrere E-Mail-Anbieter hinweg wird mit zunehmender Größe von Unternehmen immer komplexer. Verschiedene Marketingplattformen, CRM-Systeme, Helpdesks und E-Mail-Dienste für Transaktionsnachrichten erfordern oft separate DKIM-Selektoren, eindeutige DNS-Einträge und eine regelmäßige Schlüsselrotation. Hosted DKIM vereinfacht diesen Prozess, indem es die DKIM-Verwaltung zentralisiert, den manuellen DNS-Wartungsaufwand reduziert und Unternehmen dabei unterstützt, eine einwandfreie Authentifizierung über alle Versandplattformen hinweg sicherzustellen. Wenn Sie DKIM über mehrere Domains oder E-Mail-Anbieter hinweg verwalten, kann die manuelle Schlüsselrotation schnell schwer zu handhaben werden. Mit dem Hosted DKIM von PowerDMARC können Sie nach einer einmaligen DNS-Einrichtung über ein zentrales Dashboard Selektoren verwalten, Signaturschlüssel rotieren und DKIM-Einträge aktualisieren. Dadurch werden manuelle Änderungen reduziert und gleichzeitig eine einheitliche Authentifizierung in Ihrer gesamten E-Mail-Infrastruktur gewährleistet. Die Befolgung einiger bewährter Verfahren im Betrieb kann sowohl die Zuverlässigkeit der Authentifizierung als auch die langfristige Wartbarkeit erheblich verbessern. Die regelmäßige Überwachung ist genauso wichtig wie die Ersteinrichtung. E-Mail-Anbieter ändern ihre Konfigurationen, DNS-Einträge entwickeln sich weiter und im Laufe der Zeit kommen neue Versanddienste hinzu. Regelmäßige Überprüfungen tragen dazu bei, dass DKIM Ihre Domain auch bei wachsender E-Mail-Infrastruktur weiterhin schützt. DKIM spielt eine entscheidende Rolle bei der modernen E-Mail-Authentifizierung, da es empfangenden Mailservern ermöglicht, zu überprüfen, ob Ihre E-Mails tatsächlich von Ihrer Domain stammen und während der Übertragung nicht verändert wurden. DKIM ist zwar eine unverzichtbare Schutzebene gegen Spoofing und Phishing, entfaltet seine volle Wirksamkeit jedoch erst, wenn es zusammen mit SPF eingesetzt und durch DMARC durchgesetzt wird. Ganz gleich, ob Sie DKIM zum ersten Mal konfigurieren, Fehler bei der Authentifizierung beheben oder mehrere E-Mail-Plattformen verwalten – die Pflege korrekter DKIM-Einträge sollte ein fortlaufender Prozess sein. Regelmäßige Validierung, Schlüsselrotation und Überwachung tragen dazu bei, dass Ihre E-Mail-Authentifizierung auch bei Weiterentwicklungen Ihrer Infrastruktur weiterhin effektiv bleibt. Nutzen Sie den kostenlosen DKIM-Checker von PowerDMARC, um Ihre Konfiguration zu überprüfen, erstellen Sie mit dem DKIM-Record-Generator neue DKIM-Einträge und vereinfachen Sie die laufende Schlüsselverwaltung mit Hosted DKIM, wenn Sie mehrere Domains oder E-Mail-Dienste absichern. Übernehmen Sie die Kontrolle über Ihre E-Mail-Authentifizierung mit den kostenlosen DKIM-Tools von PowerDMARC. Überprüfen Sie sofort Ihre Domain, generieren Sie ein neues Schlüsselpaar oder entdecken Sie die gesamte Plattform. Schützen Sie Ihre E-Mails vor Manipulationen und gewinnen Sie Vertrauen in Ihre Konfiguration. Keine Anmeldung erforderlich. Überprüfen Sie sofort den DKIM-Eintrag Ihrer Domain, validieren Sie Ihren Selektor und Ihren öffentlichen Schlüssel und erkennen Sie eventuelle Konfigurationsprobleme. Erstellen Sie innerhalb von Sekunden ein öffentlich-privates Schlüsselpaar und einen gültigen DKIM-Eintrag, ohne diesen manuell formatieren zu müssen. PowerDMARC hilft Ihnen dabei, ohne Rätselraten von der Transparenz zum umfassenden Schutz zu gelangen. Von der Generierung und Rotation von DKIM-Schlüsseln über die Durchsetzung von DMARC-Richtlinien bis hin zur Analyse detaillierter Berichte – die Plattform bietet Ihnen vollständige Kontrolle über Ihre E-Mail-Authentifizierung. Selbst wenn Sie mehrere Domains und Provider verwalten, vereinfacht PowerDMARC die Überwachung, Durchsetzung, Berichterstellung und die Verwaltung mehrerer Domains über ein zentrales Dashboard. Die Plattform wurde unter Berücksichtigung von Sicherheits- und Compliance-Anforderungen auf Unternehmensebene entwickelt und erfüllt die Standards SOC 2, ISO 27001 und DSGVO, sodass Ihre Daten auch bei einer Skalierung Ihrer E-Mail-Sicherheit geschützt bleiben. Kunden vertrauen auf PowerDMARC nicht nur wegen seiner Tiefe, sondern auch wegen seiner Klarheit. „PowerDMARC ist ein sehr leistungsstarkes und umfassendes Tool, das die tägliche Arbeit bei der Überwachung der E-Mail-Authentifizierung und der Sicherheitsfunktionen erheblich vereinfacht. Es bietet Transparenz und Übersichtlichkeit, die sonst nur schwer zu erreichen wären. Ich kann PowerDMARC jedem empfehlen, der seine E-Mail-Sicherheit verbessern möchte!“ Auch für globale Teams ist Barrierefreiheit wichtig. „PowerDMARC löst das Problem der komplexen Verwaltung mehrerer E-Mail-Sicherheitsprotokolle. Es geht nicht nur darum, auf eine ‚p=reject‘-Richtlinie umzustellen, sondern die Plattform bietet eine umfassende Lösung, da sie auch DKIM und DMARC hostet. Was mir an PowerDMARC am besten gefällt, ist die vollständige Unterstützung der japanischen Sprache, wodurch die Plattform im Vergleich zu anderen Tools wesentlich zugänglicher und einfacher zu verwalten ist.“ Wenn Sie also bereit sind, die Manipulation von E-Mails zu unterbinden, die Zustellbarkeit zu verbessern und einen vollständigen Überblick darüber zu erhalten, wie die E-Mails Ihrer Domain signiert werden, bietet Ihnen PowerDMARC die Tools und die Unterstützung, um dies erfolgreich umzusetzen. Nein. DKIM verschlüsselt E-Mails nicht und schützt deren Inhalt auch nicht vor dem Auslesen. Es überprüft lediglich, ob die Nachricht nach ihrer Signierung nicht verändert wurde. Ja. SPF und DKIM lösen unterschiedliche Probleme. SPF authentifiziert den sendenden Server, während DKIM die Nachricht selbst authentifiziert. Die Verwendung beider Verfahren bietet einen besseren Schutz und verbessert die DMARC-Konformität. Ja. DKIM funktioniert unabhängig von DMARC, aber DMARC sorgt für die Durchsetzung der Authentifizierungsrichtlinien und deren Abstimmung. Der Einsatz von DKIM ohne DMARC gewährleistet zwar die Authentifizierung, gibt den empfangenden Servern jedoch keine Anweisungen, wie sie mit fehlgeschlagenen Nachrichten umgehen sollen. Die meisten Organisationen wechseln ihre DKIM-Schlüssel alle 6 bis 12 Monate oder unmittelbar nach einem vermuteten Sicherheitsverstoß. In Umgebungen mit hohen Sicherheitsanforderungen können die Schlüssel häufiger gewechselt werden. Ja. Organisationen veröffentlichen in der Regel mehrere DKIM-Selektoren für verschiedene E-Mail-Anbieter oder im Rahmen der Schlüsselrotation. Jeder Selektor verweist auf einen separaten öffentlichen Schlüssel, wodurch mehrere Signaturkonfigurationen sicher nebeneinander bestehen können.
DKIM-Leitfaden: Was es ist, wie es funktioniert und wie man es einrichtet
Wichtigste Erkenntnisse
DKIM erklärt
Inhaltsverzeichnis
Was ist DKIM?
Wie DKIM funktioniert
Erläuterung der DKIM-Record-Syntax
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCA...
DKIM-Selektoren erklärt
selector1._domainkey.example.com
So richten Sie DKIM ein
Anbieter-spezifische Einrichtungsanleitungen
Möchten Sie einen DKIM-Eintrag erstellen?
So überprüfen und validieren Sie DKIM
Eine gründliche DKIM-Validierung sollte Folgendes bestätigen:
Alles in einem einzigen Durchlauf überprüfen
Häufige DKIM-Fehler und wie man sie behebt
Fehler Was gibt’s Neues? Anleitung zur Fehlerbehebung Kein DKIM-Datensatz gefunden Der empfangende Server konnte Ihren öffentlichen Schlüssel im DNS nicht finden. Kein DKIM-Datensatz gefunden Selektor nicht gefunden In der E-Mail wird auf einen Selektor verwiesen, der im DNS nicht existiert. So finden Sie einen DKIM-Selektor Die DKIM-Signatur ist ungültig Die E-Mail wurde nach dem Signieren verändert oder die Signatur ist fehlerhaft. Fehler: DKIM-Signatur ist ungültig DKIM-PermError Ein DNS- oder Konfigurationsproblem verhindert die Überprüfung. So beheben Sie einen DKIM-PermError DKIM: keine Die E-Mail war überhaupt nicht unterschrieben. DKIM: keine – Nachricht nicht signiert DKIM-Abgleich fehlgeschlagen Die Signaturdomäne stimmt nicht mit der angezeigten Absenderadresse überein. Anpassung an DKIM RFC 5322 vornehmen DKIM- und DMARC-Abstimmung
d= Der Wert (in der DKIM-Signatur) muss mit der in der sichtbaren „Von:“-Adresse angegebenen Domain übereinstimmen oder eine zugelassene Subdomain dieser Domain sein.
Modus Beschreibung Entspannt (adkim=r) Subdomains gelten als abgeglichen. Streng (adkim=s) Die Domänen müssen exakt übereinstimmen. DKIM-Schlüssellängen
Schlüssel-Länge Empfehlung 1024-Bit-RSA Veraltete Technologie. Wird von vielen Anbietern noch unterstützt, aber nach und nach ausgemustert. 2048-Bit-RSA Für die meisten Organisationen empfohlen. Ed25519 Neuere Algorithmen, die bei geringerer Schlüssellänge eine höhere Sicherheit bieten, wurden unterstützt. DKIM-Schlüsselrotation
Ein typischer Rotationsprozess umfasst:
DKIM vs. SPF vs. DMARC
Protokoll Hauptzweck SPF Überprüft, ob der sendende Server berechtigt ist, E-Mails für eine Domain zu versenden. DKIM Stellt sicher, dass die E-Mail nach ihrer Signierung nicht verändert wurde. DMARC Stimmt SPF und DKIM mit der sichtbaren Absenderadresse ab und gibt den Empfängern Anweisungen zum Umgang mit Fehlern.
Gehostetes DKIM
Ohne eine zentralisierte Verwaltung verliert man leicht den Überblick über:
DKIM für alle Absender zentralisieren
DKIM-Best Practices
Stärken Sie Ihre E-Mail-Authentifizierung mit DKIM
Kostenlose Tools von PowerDMARC
DKIM-Datensatz-Prüfer
Hauptmerkmale:
DKIM-Datensatz-Generator
Hauptmerkmale:
Sichern Sie Ihre E-Mails. Setzen Sie DKIM und DMARC zuverlässig durch.
Häufig gestellte Fragen
Verschlüsselt DKIM E-Mails?
Brauche ich DKIM, wenn ich bereits SPF verwende?
Kann DKIM auch ohne DMARC funktionieren?
Wie oft sollten DKIM-Schlüssel ausgetauscht werden?
Kann ich mehrere DKIM-Einträge haben?
Was ist DKIM?
So funktioniert DKIM
Syntax des DKIM-Eintrags
DKIM-Selektoren
So richten Sie DKIM ein
DKIM prüfen und validieren
Häufige DKIM-Fehler
DKIM- und DMARC-Abstimmung
DKIM-Schlüssellängen
DKIM-Schlüsselrotation
DKIM vs. SPF vs. DMARC
Gehostetes DKIM
DKIM-Best-Practices
Häufig gestellte Fragen
Microsoft 365
Amazon SES
SendGrid
Mailchimp
HubSpot
Salesforce
Mailgun
Zoho
Shopify
Cloudflare
GoDaddy
cPanel
Namecheap
Brevo
Squarespace
Poststempel
ActiveCampaign
MailerLite
2048-Bit-RSA-Schlüssel verwenden
Bietet einen stärkeren kryptografischen Schutz.
Wechseln Sie die Schlüssel regelmäßig aus
Verringert das Risiko, dass Signaturschlüssel kompromittiert werden.
Verwenden Sie für jeden Anbieter separate Selektoren
Vereinfacht die Verwaltung und Fehlerbehebung.
Nicht verwendete Selektoren entfernen
Reduziert die Angriffsfläche.
DKIM nach DNS-Änderungen validieren
Stellt sicher, dass die Signaturen weiterhin korrekt überprüft werden.
Überprüfen Sie regelmäßig die Authentifizierung
Erkennt Fehler, bevor sie sich auf die Zustellbarkeit auswirken.
Die E-Mail-Infrastruktur regelmäßig überprüfen
Erkennt veraltete Provider und veraltete DNS-Einträge.
SOC 2
ISO 27001
DSGVO
