So beheben Sie die Fehlermeldungen „DKIM-Signatur ist ungültig“ und „Body-Hash nicht verifiziert“

Wenn Sie die Fehlermeldung „DKIM-Signatur ist ungültig“ erhalten haben, liegt ein Problem mit Ihrer DKIM-Konfiguration vor, das behoben werden muss. Diese Fehler sind in der Regel auf einen fehlerhaften DKIM-DNS-Eintrag, Verzögerungen bei der DNS-Propagierung, Fehler bei der Auswertung der DKIM-Signatur oder Änderungen an der Nachricht nach deren Signierung zurückzuführen. 

Dieser Leitfaden führt Sie durch die einzelnen Ursachen und deren Behebung und enthält einen eigenen Abschnitt zum eng damit verbundenen Fehler „DKIM-Signatur-Body-Hash nicht verifiziert“, der auf ein spezifisches und sehr leicht zu behebendes Problem hinweist.

Über DKIM-Signaturen

DKIM fügt Ihren E-Mail-Headern eine kryptografische Signatur hinzu, und der empfangende Server gleicht diese Signatur mit einem in Ihrem DNS veröffentlichten öffentlichen Schlüssel ab. Stimmen beide nicht überein, erhalten Sie die Fehlermeldung „DKIM-Signatur ist ungültig“. Eine ausführliche Erklärung zur Funktionsweise des Protokolls finden Sie in unserem Leitfaden zum Thema Was ist DKIM?.

Da die meisten Nutzer, bei denen dieser Fehler auftritt, DKIM bereits eingerichtet haben und lediglich beheben müssen, was nicht mehr funktioniert, konzentriert sich der Rest dieser Seite eher auf die Fehlerdiagnose und Lösungen als auf die Grundlagen.

Wann kann DKIM mit der Fehlermeldung „Ihre DKIM-Signatur ist ungültig“ fehlschlagen?

Die Meldung „Ihre DKIM-Signatur ist ungültig“ wird angezeigt, wenn die DKIM-Authentifizierungsprüfung fehlschlägt. Hier sind die häufigsten Gründe dafür:

• Die DKIM-Signaturdomäne und die Absenderdomäne stimmen nicht überein.
• Der im DNS veröffentlichte öffentliche DKIM-Schlüssel ist nicht korrekt.
• Der Eintrag für den öffentlichen DKIM-Schlüssel wird im DNS überhaupt nicht veröffentlicht.
• Der Server kann die DNS-Zone der Absenderdomain für die Abfrage nicht erreichen – eine häufige Situation bei unzuverlässigen Hosting-Anbietern.
• Die Länge des DKIM-Schlüssels ist unzureichend. Moderne Anbieter erwarten 2048-Bit-Schlüssel, und ältere 1024-Bit-Schlüssel werden zunehmend als nicht vertrauenswürdig eingestuft, während sehr kurze Schlüssel gänzlich abgelehnt werden.
• Die Nachricht wurde während der automatischen Weiterleitung geändert.

Mit Ausnahme des letzten Punktes handelt es sich hierbei um technische Probleme, die Sie direkt beheben können. Bei der Weiterleitung verhält es sich anders, da Sie keinen Einfluss darauf haben, ob der Server eines Empfängers eine Compliance-Fußzeile hinzufügt oder die Nachricht anderweitig umschreibt. Was passiert also, wenn diese automatisch weitergeleiteten Nachrichten sowohl SPF- und DKIM-Prüfungund Ihre DMARC-Richtlinie auf „Ablehnen“ eingestellt ist?

Früher war dies ein echtes Problem für Empfangsserver, die versuchten, legitime, aber nicht authentifizierte weitergeleitete E-Mails zu verarbeiten. Die derzeitige Übergangslösung ist die „Authenticated Received Chain“ (ARC), das es jedem Mailserver in der Kette ermöglicht, die von ihm beobachteten Authentifizierungsergebnisse aufzuzeichnen, sodass der Endempfänger weiterhin erkennen kann, dass die Nachricht vor der Weiterleitung authentifiziert wurde. ARC war jedoch schon immer eine experimentelle Übergangslösung, und die Branche wendet sich nun davon ab. In einem separaten IETF-Entwurf vom April 2026 wurde vorgeschlagen, ARC als historischen Standard neu einzustufen, da die daraus gewonnenen Erkenntnisse in DKIM2, einer neuen Version von DKIM, die derzeit bei der IETF entwickelt wird (draft-ietf-dkim-dkim2-spec) und die das Weiterleiten direkt im Kernprotokoll regelt, anstatt einen zweiten Mechanismus darüber zu stülpen. Anstatt von den Empfängern zu verlangen, den Angaben eines Vermittlers darüber zu vertrauen, was dieser gesehen hat, lässt DKIM2 jeden Schritt genau protokollieren, was er als reversibles Rezept geändert hat, sodass der Prüfer diese Änderungen rückgängig machen und die Signatur des ursprünglichen Absenders erneut überprüfen kann. Da dies noch standardisiert wird, bleibt ARC heute die praktische Lösung, aber es ist gut zu wissen, dass eine echte Lösung für das Weiterleitungsproblem in Vorbereitung ist.

So beheben Sie den Fehler „DKIM-Signatur ist ungültig“

Selbst wenn DKIM-Einträge vorhanden sind, kann es vorkommen, dass ein Fehler wegen einer ungültigen Signatur angezeigt wird. Hier finden Sie die entsprechenden Lösungen für die oben aufgeführten Ursachen.

Lösung 1: Fehlerhafte DKIM-DNS-Einträge beheben

Sobald Sie den DKIM-TXT-Eintrag erstellt und zu Ihrer DNS-Konfiguration hinzugefügt haben, lässt sich ein Fehler wegen einer ungültigen Signatur oft auf einen Fehler in diesem Eintrag zurückführen. So finden Sie ihn:

• Nutzen Sie die DKIM-Abfrage , um Ihren Eintrag zu überprüfen.

• Geben Sie Ihren Domainnamen und den Selektor ein oder lassen Sie das Feld für den Selektor leer, damit die Plattform diesen automatisch erkennt, und klicken Sie anschließend auf „Prüfen“.

• Das Tool analysiert Ihren DKIM-DNS-Eintrag und markiert etwaige Fehler in der Syntax Ihres Eintrags.

Um den Eintrag zu korrigieren, melden Sie sich bei cPanel oder der von Ihnen verwendeten DNS-Verwaltungskonsole an, öffnen Sie den „Erweiterten DNS-Zonen-Editor“ unter „Domains“, wählen Sie Ihre Domain aus, gehen Sie zu „DNS-Einträge bearbeiten“, korrigieren Sie den Wert des DKIM-Eintrags und speichern Sie die Änderungen.

Lösung 2: DNS-Propagierungsverzögerungen abwarten

Möglicherweise werden unmittelbar nach der Änderung Ihrer DNS-Einstellungen Fehler angezeigt. Das ist normal: Die DNS-Propagierung dauert bis zu 24 bis 48 Stunden, wobei die genaue Dauer vom im Eintrag festgelegten TTL-Wert abhängt. Warten Sie einige Tage, bis die Propagierung vollständig abgeschlossen ist, und verfolgen Sie den Status in der Zwischenzeit mit unserem DNS-Propagierungs-Checkerverfolgen.

Lösung 3: Passen Sie die DKIM-Signaturdomäne an Ihre Absenderdomäne an

Öffnen Sie den DKIM-Signature-Header einer fehlerhaften Nachricht und überprüfen Sie den d= mit Ihrer sichtbaren Absenderadresse ab. Wenn diese nicht übereinstimmen, signiert Ihr Versanddienst mit seiner eigenen Domain statt mit Ihrer, was die Übereinstimmung beeinträchtigt und die Prüfung fehlschlagen lässt. Die Lösung besteht darin, diesen Dienst so zu konfigurieren, dass er mit Ihrer Domain signiert. Die meisten E-Mail-Plattformen verfügen genau hierfür über eine Einstellung „Benutzerdefiniertes DKIM“ oder „Domain authentifizieren“, und unser Leitfaden zum Einrichtung von DKIM beschreibt den Vorgang.

Lösung 4: Einen zu kurzen Schlüssel neu generieren

Falls Ihr Provider weiterhin mit einem 1024-Bit-Schlüssel (oder einem noch kürzeren) signiert, generieren Sie einen neuen Schlüssel mit 2048 Bit – dies ist der aktuelle Standard, den Google und andere große Provider erwarten. Sie können ein neues Schlüsselpaar in der Verwaltungskonsole Ihres ESP oder mit unserem DKIM-Generatorein neues Schlüsselpaar generieren, den neuen öffentlichen Schlüssel in Ihrem DNS veröffentlichen und mithilfe unseres DKIM-Eintrag-Abfrage-Tools überprüfen, ob er korrekt aufgelöst wird.

Lösung 5: Problem mit einem nicht erreichbaren DNS-Server beheben

Wenn der empfangende Server Ihren DNS-Server nicht erreichen kann, um den öffentlichen Schlüssel abzufragen, schlägt DKIM fehl – ganz gleich, wie gut alles andere konfiguriert ist. Prüfen Sie mit einem DNS-Propagation-Checker, ob Ihr Eintrag erreichbar ist. Sollte der DNS-Server Ihres Hosting-Anbieters langsam oder unzuverlässig sein, sollten Sie in Erwägung ziehen, das DNS-Hosting zu einem spezialisierten Anbieter wie Cloudflare oder Amazon Route 53 zu verlagern.

Lösung 6: Umgang mit Nachrichten, die während der automatischen Weiterleitung geändert wurden

Änderungen bei der Weiterleitung führen zu einem Verstoß gegen DKIM, und es gibt nicht immer eine Abhilfe auf Absenderseite. Wenn Sie den Weiterleitungsserver kontrollieren, aktivieren Sie die ARC-Signierung (und fügen Sie in Microsoft 365 seriöse Weiterleiter zu Ihrer Liste der vertrauenswürdigen ARC-Sealer in Defender hinzu), damit legitime weitergeleitete E-Mails nicht verworfen werden. Wenn Sie keinen Einfluss darauf haben, handelt es sich um ein erwartetes Verhalten und nicht um eine Fehlkonfiguration: Ihre DMARC-Gesamtberichte zeigen diese Fehler an, und der richtige Schritt besteht darin, sie in Ihrer Richtlinie zu berücksichtigen und die Überwachung fortzusetzen, anstatt jeden einzelnen Anbieter zu verfolgen.

Note: ARC is a temporary fix and not a permanent solution. DKIM2 is being designed to fix forwarding at the protocol level, so this whole category of failure should shrink as it rolls out. Keep any existing ARC setup running to support legacy gateways in the meantime, but there's little reason to invest heavily in new ARC engineering now.

Warum sehen Sie "DKIM-Signaturkörperhash nicht verifiziert"?

Der Fehler „DKIM-Signature Body Hash nicht verifiziert“ bedeutet, dass der vom empfangenden Server berechnete Body-Hash nicht mit dem Wert übereinstimmt, der im „bh=“-Tag des DKIM-Signature-Headers gespeichert ist. Einfach ausgedrückt: Der Textkörper der E-Mail, den der Empfänger überprüft hat, ist nicht identisch mit dem Textkörper, den Ihr Server signiert hat. Die Nachricht wurde zwischendurch verändert.

Es lohnt sich, dies genau zu verstehen, da dieser Fall ärgerlicherweise häufig vorkommt und in der Regel bedeutet, dass Ihre DKIM-Konfiguration ansonsten korrekt ist. Die Überprüfung des Body-Hashs erfolgt vor der vollständigen Signaturprüfung. Wenn der Body-Hash also fehlschlägt, schlägt die gesamte DKIM-Auswertung fehl, und der Empfänger fährt gar nicht erst mit der Überprüfung der kryptografischen Signatur selbst fort.

Häufige Ursachen für Ausfälle des Body-Hash-Algorithmus

• Ein E-Mail-Gateway oder -Filter hat nach der DKIM-Signierung Inhalte hinzugefügt: Haftungsausschlüsse, rechtliche Fußzeilen, Tracking-Pixel, Abmeldeblöcke, Antiviren-Banner und Marketing-Fußzeilen, die von einem Outbound-Gateway eingefügt wurden, nachdem die Nachricht bereits signiert wurde, verändern den Textkörper und machen den Hash ungültig. Dies ist die häufigste Ursache.
• Eine Mailingliste oder ein Weiterleitungsserver hat den Textkörper verändert: Mailinglisten-Software fügt routinemäßig Fußzeilen zum Abmelden hinzu oder schreibt die Betreffzeile um, und Weiterleitungsserver können Kopfzeilen entfernen oder hinzufügen. Beides verändert den signierten Inhalt.
• Eine Diskrepanz bei der Zeichenkodierung oder den Zeilenenden: Wenn die Nachricht mit einer bestimmten Kodierung signiert wurde (zum Beispiel UTF-8 mit einer Byte-Order-Mark) und der empfangende Server diese anders interpretiert, oder wenn sich die Zeilenenden während der Übertragung zwischen CRLF und LF verschieben, stimmen die Inhalte auf Byte-Ebene nicht mehr überein, und der Hash-Vergleich schlägt fehl.
• Die DKIM-Signierung erfolgt zu früh im ausgehenden E-Mail-Fluss: Dies ist die Hauptursache für die meisten der oben genannten Probleme. Wenn Ihr System die Nachricht signiert, bevor eine nachgelagerte Komponente sie verändert, schlägt der Body-Hash jedes Mal fehl.
• Ein falscher oder verdrehter privater Schlüssel: Wenn der Signaturschlüssel nicht mehr mit dem im DNS veröffentlichten öffentlichen Schlüssel übereinstimmt, schlägt die Überprüfung fehl.

So diagnostizieren Sie einen Ausfall des Body-Hash-Moduls

Führen Sie die folgenden Schritte durch, um einzugrenzen, an welcher Stelle die Änderung vorgenommen wird:

1. Senden Sie dieselbe Testnachricht an Gmail, Outlook oder Hotmail sowie an ein internes Postfach. Achten Sie darauf, dass Inhalt, Links und Weiterleitung bei allen drei Adressen identisch sind.
2. Überprüfen Sie den Header „Authentication-Results“ bei jedem Empfänger. Wenn der Body-Hash bei allen drei Empfängern fehlschlägt, liegt das Problem auf Ihrer Senderseite. Wenn er nur bei einem Empfänger fehlschlägt (Outlook ist hier meist der Übeltäter), liegt das Problem eher an der MIME-Struktur oder der Zeichenkodierung als an Ihrer Signaturkonfiguration.
3. Überprüfen Sie die Reihenfolge Ihrer E-Mail-Verarbeitung und stellen Sie fest, ob die DKIM-Signierung vor oder nach einer Änderung der ausgehenden Inhalte erfolgt.
4. Überprüfen Sie den DKIM-DNS-Eintrag und stellen Sie mithilfe unseres Tools zur Abfrage von DKIM-Einträgen sicher, dass der Selektor und der öffentliche Schlüssel mit den Angaben in der fehlerhaften Signatur übereinstimmen.
5. Senden Sie eine Testnachricht im Klartext ohne Nachverfolgung, Fußzeile oder Anhänge. Wenn diese Nachricht dort durchkommt, wo Ihre normale E-Mail scheitert, haben Sie die Ursache durch Ausschlussverfahren ermittelt.

So beheben Sie Fehler bei Body-Hash-Abfragen

• Signieren Sie die Nachricht zuletzt, nach jeder Änderung des Inhalts: Dies ist die gängigste und effektivste Lösung. Ändern Sie die Reihenfolge von „Verfassen, DKIM-Signatur, Haftungsausschluss hinzufügen, senden“ zu „Verfassen, Haftungsausschluss hinzufügen, DKIM-Signatur, senden“, damit Sie genau die Nachricht signieren, die der Empfänger erhalten wird.
• Konfigurieren Sie die ausgehenden Gateways so, dass sie den Nachrichtentext nicht verändern: Oder stellen Sie sie so ein, dass sie die Nachricht nach Abschluss der Änderungen erneut mit DKIM signieren.
• Standardisieren Sie Ihre Kodierung auf UTF-8 ohne Byte-Order-Mark und sorgen Sie dafür, dass die CRLF-Zeilenenden über den gesamten Übertragungsweg hinweg konsistent bleiben. Dies ist vor allem für Exchange- und Microsoft 365-Umgebungen von Bedeutung.
• Verwenden Sie die lockere Kanonisierung (c=relaxed/relaxed): Dies toleriert geringfügige Unterschiede bei Leerzeichen und Formatierungen, die bei einer strengen „einfachen“ Kanonisierung sonst zum Scheitern einer Signatur führen würden. Es rettet zwar keine Signatur, wenn ein ganzer Haftungsausschluss oder eine Fußzeile hinzugefügt wird, beseitigt jedoch Fehler, die durch geringfügige Formatierungsänderungen verursacht werden.

Fehler beim Body-Hash in Outlook und Microsoft 365

Ein immer wiederkehrendes Muster, das auch in den Support-Foren von Microsoft selbst häufig anzutreffen ist, sind E-Mails, die die DKIM-Prüfung bei Gmail und Yahoo bestehen, bei Outlook oder Hotmail jedoch fehlschlagen. Dies tritt in der Regel bei E-Mails auf, die Anhänge oder eingebettete Bilder enthalten, und deutet eher darauf hin, wie das System von Microsoft mit der MIME-Struktur und der Zeichenkodierung umgeht, als auf ein Problem mit Ihrer Signaturkonfiguration.

Am einfachsten lässt sich dies überprüfen, indem man den „Authentication-Results“-Header derselben Nachricht bei beiden Empfängern vergleicht. Die Ergebnisse „pass“ und „fail“ sehen wie folgt aus:

Keine

# Bei Gmail (bestanden)

Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=selector1;
spf=pass; dmarc=pass

# In Outlook (schlägt bei derselben Nachricht fehl)

Authentication-Results: protection.outlook.com;
dkim=fail (body hash did not verify)
header.d=yourdomain.com header.s=selector1;
spf=pass; dmarc=fail (p=none)

Wenn Sie einen DKIM-Fehler feststellen, können Sie die Ursache am schnellsten nachvollziehen, indem Sie die Authentifizierungs-Header der Nachricht selbst lesen, anstatt über die Ursache zu spekulieren.

So lesen Sie den „Authentication-Results“-Header

Öffnen Sie in Gmail die Nachricht, klicken Sie auf das Menü mit den drei Punkten und wählen Sie „Original anzeigen“. Suchen Sie den Header „Authentication-Results“ und achten Sie auf das Ergebnis „dkim=“. Dort steht entweder „pass“, „fail“ oder „neutral“, und in der Regel folgt darauf eine Begründungszeichenfolge wie „body hash did not verify“, „signature did not verify“ oder „key too short“. Anhand dieser Begründungszeichenfolge können Sie erkennen, um welche Art von Problem es sich handelt und welche der oben genannten Lösungen daher zutrifft.

Während Sie den Header lesen, dienen die DKIM-Signature-Tags als nützliche Anhaltspunkte:

v= DKIM-Version (z. B. v=1)

aa = Signaturalgorithmus (z. B. a=rsa-sha256)

d= Signaturdomäne (vergleichen Sie diese mit Ihrer Absenderadresse, um die Übereinstimmung zu überprüfen)

s= Selektor, der zum Auffinden des öffentlichen Schlüssels im DNS verwendet wird

h= die in der Signatur enthaltenen Kopfzeilen

bh= der Body-Hash (der Wert, der bei einem Fehler „Body-Hash nicht verifiziert“ fehlschlägt)

b= die kryptografische Signatur selbst

Ein Vergleich des d=-Werts mit Ihrer sichtbaren „Von“-Domain bestätigt die Übereinstimmung, der s=-Selektor gibt an, welchen DNS-Eintrag Sie überprüfen müssen, und eine bh=-Abweichung bestätigt, dass der Textkörper nach der Signierung verändert wurde.

Sollte sich herausstellen, dass es sich um einen Absender handelt, den Sie nicht erkennen, prüfen Sie, ob dieser zu Ihren autorisierten Absendern gehört, und vergleichen Sie ihn mit Ihren DMARC-Fehlerberichten , um festzustellen, welche Art von E-Mails sie versendet, und prüfen Sie, ob die IP-Adresse auf einer Blacklist steht. 

Wenn es sich um einen legitimen Absender handelt, richten Sie DMARC korrekt ein, um ihn zu autorisieren. Ist dies nicht der Fall, ist das ein Anzeichen für Spoofing, auf das man reagieren sollte.

Ich habe den Fehler „DKIM-Signatur ist ungültig“ behoben. Wie geht es nun weiter?

So können Sie Ihre DKIM-Konfiguration ab hier verbessern:

1. Registrieren Sie sich bei unserem Hosted DKIM an, um Ihre DKIM-Authentifizierungsergebnisse im Zeitverlauf zu überwachen.
2. Aktivieren Sie SPF und DMARC, um die Sicherheit zu erhöhen und eine genauere Authentifizierung zu gewährleisten.
3. Wechseln Sie Ihre DKIM-Schlüssel regelmäßig aus, um einen besseren Schutz zu gewährleisten.

Ich kann den Fehler immer noch nicht beheben

Sollte der Fehler „DKIM-Signatur ungültig“ weiterhin auftreten, wenden Sie sich bitte an Ihren E-Mail-Anbieter, um weitere Unterstützung zu erhalten, oder kontaktieren Sie uns , um fachkundige Beratung zu allen Fragen rund um die E-Mail-Authentifizierung zu erhalten.

Häufig gestellte Fragen

Was bedeutet „DKIM-Signatur-Body-Hash nicht verifiziert“? 

Das bedeutet, dass der vom empfangenden Server berechnete Body-Hash nicht mit dem „bh=“-Wert übereinstimmt, den Ihr Server beim Signieren der Nachricht aufgezeichnet hat. In der Praxis wurde der E-Mail-Text nach dem Signieren verändert, meist durch einen Haftungsausschluss, eine Fußzeile, ein Tracking-Pixel oder eine Gateway-Änderung, die später im Versandprozess hinzugefügt wurden.

Warum schlägt der DKIM-Body-Hash nur in Outlook fehl, während er in Gmail erfolgreich ist? 

Wenn eine Nachricht bei Gmail erfolgreich zugestellt wird, bei Outlook oder Hotmail jedoch fehlschlägt, liegt die Ursache in der Regel in der Art und Weise, wie das Microsoft-System die MIME-Struktur und die Zeichenkodierung verarbeitet, und nicht in Ihrer Signaturkonfiguration. Dies tritt am häufigsten bei Nachrichten mit Anhängen oder eingebetteten Bildern auf. Vergleichen Sie den Rohtext bei beiden Empfängern, vereinheitlichen Sie Ihre Übertragungskodierung und verwenden Sie eine lockere Kanonisierung.

Wie stelle ich die DKIM-Signierung her, nachdem Haftungsausschlüsse hinzugefügt wurden? 

Ordnen Sie Ihren ausgehenden E-Mail-Fluss so um, dass die Signierung der letzte Schritt ist, bei dem der Inhalt verändert wird. Anstatt zuerst zu signieren und dann einen Haftungsausschluss anzuhängen, fügen Sie den Haftungsausschluss zuerst an und signieren Sie anschließend. Dies erreichen Sie, indem Sie Ihren DKIM-Signierer nach den Inhaltsfiltern und den Diensten für Haftungsausschluss oder Signatur ausführen, sodass er die endgültige Nachricht signiert, die der Empfänger tatsächlich erhält.

Was ist der Unterschied zwischen „Body-Hash konnte nicht verifiziert werden“ und „Signatur konnte nicht verifiziert werden“? 

„Body hash did not verify“ bedeutet, dass sich der Nachrichtentext nach der Signierung geändert hat; die Fehlerbehebung betrifft also den Text oder den E-Mail-Fluss. „Signature did not verify“ ist allgemeiner gehalten und deutet häufig auf eine Änderung im signierten Header, eine Schlüsselinkongruenz oder ein DNS- bzw. Schlüsselproblem hin. Die Begründungszeichenfolge im „Authentication-Results“-Header gibt Aufschluss darüber, um welchen Fall es sich handelt.

Filtert DKIM E-Mails? 

DKIM filtert E-Mails nicht direkt. Es liefert ein „Bestanden“- oder „Nicht bestanden“-Signal, das empfangende Server bei ihren eigenen Entscheidungen zur Spam-Bewertung berücksichtigen. E-Mails von einer vertrauenswürdigen Domain, die die DKIM-Prüfung bestehen, erhalten möglicherweise eine niedrigere Spam-Bewertung, während ein DKIM-Fehler dazu beitragen kann, dass eine Nachricht als Spam markiert oder unter Quarantäne gestellt wird.

Kann ich DKIM-Fehler ignorieren, wenn DMARC auf „p=none“ eingestellt ist? 

Bei „p=none“ werden fehlerhafte E-Mails weiterhin zugestellt, sodass ein DKIM-Fehler nicht sofort zu einer Blockierung führt. Dies zu ignorieren, würde jedoch den Zweck einer schrittweisen Einführung der Durchsetzung zunichte machen und dazu führen, dass Sie Ihren eigenen Authentifizierungsdaten nicht mehr vertrauen können. Es ist besser, Fehler bereits bei „p=none“ zu beheben, damit Sie später sicher zu „p=quarantine“ und „p=reject“ übergehen können.

Wie oft sollte ich DKIM-Schlüssel rotieren? 

Es ist gängige Praxis, Schlüssel alle sechs Monate bis zu einem Jahr zu rotieren. Eine regelmäßige Rotation begrenzt den Schaden, falls ein privater Schlüssel jemals offengelegt werden sollte. Wichtig ist dabei, im Rahmen der Rotation den veröffentlichten öffentlichen Schlüssel im DNS zu aktualisieren, da ein rotierter Schlüssel, der nicht im DNS berücksichtigt wird, selbst zu Signaturfehlern führt.

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• SPF-Flattening: Was ist das und wozu braucht man es? – 28. Juli 2026
• DMARC für Office 365 – Einrichtungsanleitung (2026) – 21. Juli 2026
• So beheben Sie die Fehlermeldungen „DKIM-Signatur ist ungültig“ und „Body-Hash nicht verifiziert“ – 16. Juli 2026