Was ist DKIM (DomainKeys Identified Mail)?

DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsprotokoll, mit dem empfangende Server überprüfen können, ob eine Nachricht tatsächlich von der Domain gesendet wurde, von der sie angeblich stammt, und ob der Inhalt während der Übertragung nicht verändert wurde. Dabei wird jeder ausgehenden E-Mail eine kryptografische Signatur angefügt, die der empfangende Server anhand eines öffentlichen Schlüssels überprüft, der im DNS Ihrer Domain veröffentlicht ist. 

In diesem Leitfaden wird erläutert, wie ein DKIM-Eintrag aussieht, wie der Signatur- und Verifizierungsprozess Schritt für Schritt abläuft, wie man einen tatsächlichen DKIM-Signature-Header auswertet und wie man die am häufigsten auftretenden Fehler behebt.

Was ist ein DKIM-Eintrag?

Ein DKIM-Eintrag ist eine Reihe von Anweisungen, die als TXT-Eintrag im DNS Ihrer Domain veröffentlicht werden. Er enthält den öffentlichen Schlüssel, der dem privaten Schlüssel entspricht, den Ihr Mailserver zum Signieren ausgehender E-Mails verwendet. Wenn ein empfangender Server eine Signatur überprüfen möchte, ruft er diesen Eintrag ab, holt den öffentlichen Schlüssel ab und verwendet ihn, um zu bestätigen, dass die Nachricht nicht verändert wurde und tatsächlich von Ihrer Domain stammt.

DKIM entstand ursprünglich im Jahr 2004 aus der Zusammenführung von „DomainKeys“ von Yahoo und „Identified Internet Mail“ von Cisco und hat sich seitdem zu einem der am weitesten verbreiteten Standards für die E-Mail-Authentifizierung entwickelt.

Format und Namenskonvention für DKIM-Einträge

Ein DKIM-Eintrag wird nicht unter Ihrer Root-Domain veröffentlicht. Er befindet sich unter einer bestimmten Subdomain, die sich aus einem Selektor und dem festen Label „_domainkey“ zusammensetzt. Die Namenskonvention lautet:

[selector]._domainkey.[domain]

Ein Eintrag, der mit dem Selektor „google“ für „yourdomain.com“ signiert ist, würde also unter folgender Adresse veröffentlicht werden:

google._domainkey.yourdomain.com

Der Wert dieses TXT-Eintrags sieht wie folgt aus:

v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

Jedes Tag hat eine bestimmte Funktion:

Mit unserem DKIM-Generator einen gültigen Datensatz erstellen und mit unserem DKIM-Prüftool überprüfen.

Was ist ein DKIM-Selektor?

Ein DKIM-Selektor ist eine eindeutige Kennung, die dem empfangenden Server mitteilt, welches Schlüsselpaar zum Signieren einer bestimmten Nachricht verwendet wurde. Es handelt sich um die alphanumerische Zeichenfolge, die im „s=“-Tag des DKIM-Signature-Headers definiert ist, und sie ermöglicht es einer Domain, mehrere Schlüssel gleichzeitig zu verwalten (beispielsweise einen Selektor für Ihre E-Mail-Plattform und einen anderen für einen Marketingdienst). Jeder Anbieter, über den Sie E-Mails versenden, sollte einen eigenen, unterscheidbaren Selektor verwenden.

Google Workspace verwendet beispielsweise „google“ als Standard-Selektor, sodass die vollständige DNS-Abfrage für eine von Google signierte Nachricht „google._domainkey.yourdomain.com“ lauten würde. Wenn Ihr Eintragsname „s1._domainkey.yourdomain.com“ lautet, ist „s1“ Ihr Selektor.

Erfahren Sie mehr über Selektoren und wie Sie diese finden können – in unserem ausführlichen DKIM-Selektor-Leitfaden Anleitung. 

DKIM-Eintrag vs. DKIM-Signatur: Was ist der Unterschied?

Diese beiden Begriffe werden ständig verwechselt, daher lohnt es sich, dies klar zu stellen. Der DKIM-Eintrag ist der statische TXT-Eintrag in Ihrem DNS, der den öffentlichen Schlüssel enthält; Sie veröffentlichen ihn einmal, und er bleibt dort bestehen. Die DKIM-Signatur ist der DKIM-Signature-Header, der jeder einzelnen E-Mail beim Versand hinzugefügt und mit Ihrem privaten Schlüssel generiert wird. Das eine ist ein fester DNS-Eintrag, das andere wird für jede Nachricht neu erstellt. Der Eintrag dient zur Verifizierung der Signatur. Weiter unten werden wir den Signatur-Header Feld für Feld genauer aufschlüsseln.

Mehr über Letzteres erfahren Sie in unserem umfassenden Leitfaden zu DKIM-Signaturen. 

Wie funktioniert DKIM?

Die DKIM-Authentifizierung erfolgt in vier Schritten, von der Generierung der Schlüssel bis hin zur abschließenden Entscheidung über „bestanden“ oder „nicht bestanden“ auf der Empfängerseite.

Schritt 1: Erzeugung eines Schlüsselpaars

Ihr E-Mail-Anbieter oder Sie selbst generieren ein kryptografisches Schlüsselpaar: einen privater Schlüssel , der auf dem sendenden Mailserver geheim bleibt, und einen öffentlicher Schlüssel , der als der oben beschriebene DKIM-Eintrag im DNS veröffentlicht wird. Beide sind mathematisch miteinander verknüpft, sodass alles, was mit dem privaten Schlüssel signiert wurde, nur mit dem dazugehörigen öffentlichen Schlüssel verifiziert werden kann.

Schritt 2: Signieren der ausgehenden E-Mail

Wenn Sie eine Nachricht versenden, berechnet der sendende Server (der Mail Transfer Agent) mithilfe des privaten Schlüssels einen Hash bestimmter Teile der E-Mail (die im h=Tag der Signatur aufgeführten Header sowie den Nachrichtentext) und fügt das Ergebnis als DKIM-Signature-Header an die ausgehende Nachricht an.

Schritt 3: DNS-Abfrage durch den empfangenden Server

Der empfangende Server liest den DKIM-Signature-Header, extrahiert den Selektor (s=) und die signierende Domäne (d=) und fragt das DNS nach dem öffentlichen Schlüssel unter [Selektor]._domainkey.[Domäne] ab – genau gemäß der im obigen Abschnitt „DKIM-Eintrag“ beschriebenen Namenskonvention. An dieser Stelle treffen die nachrichtenbezogene Signatur und der statische DNS-Eintrag aufeinander.

Schritt 4: Überprüfung

Anhand des abgerufenen öffentlichen Schlüssels überprüft der empfangende Server die Signatur und berechnet den Hash-Wert aus der tatsächlich empfangenen Nachricht eigenständig neu. Anschließend vergleicht er beide Werte miteinander. Stimmen sie überein, ist die DKIM-Prüfung erfolgreich: Die Nachricht ist intakt und von der signierenden Domain autorisiert. Stimmen sie nicht überein, schlägt die DKIM-Prüfung fehl, und die Nachricht wird je nach DMARC-Richtlinie der Domain möglicherweise markiert, unter Quarantäne gestellt oder abgelehnt. 

Sie können Ihre eigene Konfiguration jederzeit mit unserem kostenlosen DKIM-Checker überprüfen, auf den oben verwiesen wird.

Inhalt eines DKIM-Signature-Headers 

So sieht ein tatsächlicher „DKIM-Signature“-Header in einer empfangenen E-Mail aus:

DKIM-Signature: v=1; a=rsa-sha256; d=yourdomain.com; s=google;
c=relaxed/relaxed; h=from:to:subject:date:message-id;
bh=abc123...; b=xyz789...

Jedes Feld enthält einen Teil der Informationen, die der Empfänger benötigt, um die Nachricht zu überprüfen:

Die beiden Felder, die die eigentliche Arbeit leisten, sind „bh“ (der Body-Hash) und „b“ (die kryptografische Signatur). Das Feld „d=“ ist für DMARC am wichtigsten: Wenn es nicht mit der sichtbaren „From“-Domäne übereinstimmt, kann DKIM zwar bestehen, DMARC aber dennoch fehlschlagen.

Was bedeutet „Kanonisierung“? (locker vs. streng)

Das c=Tag legt fest, inwieweit die Signatur geringfügige Formatierungsänderungen toleriert, die während der Übertragung entstanden sind. 

Entspannter Modus (die übliche, empfohlene Einstellung) toleriert kleine Abweichungen bei Leerzeichen und der Groß-/Kleinschreibung in den Kopfzeilen, die beim Durchlaufen der Server fast unvermeidlich sind. 

Der strenge Modus (auch als „einfach“ bezeichnet) verlangt eine Byte-für-Byte-Übereinstimmung und bricht bei der geringsten Änderung ab. Dies ist von Bedeutung, da Mailinglisten und Weiterleitungsserver häufig winzige Änderungen vornehmen (eine hinzugefügte Fußzeile, eine umgeschriebene Zeile), die die strenge Kanonisierung unterbrechen würden, bei der lockeren Kanonisierung jedoch bestehen bleiben. Der Wert sieht wie folgt aus: c=relaxed/relaxed, wobei der erste Teil für die Kopfzeilen und der zweite für den Textkörper gilt.

Warum ist DKIM wichtig?

Überprüft die Integrität der E-Mail (verhindert Manipulationen)

Die Signatur ist ein Manipulationsschutz. Wird eine Nachricht während der Übertragung abgefangen und verändert, stimmt der vom Empfänger neu berechnete Hash nicht mit dem signierten Hash überein, die Überprüfung schlägt fehl und die E-Mail wird abgelehnt oder markiert. Das ist die Kernaufgabe von DKIM: zu gewährleisten, dass der empfangene Inhalt tatsächlich dem gesendeten Inhalt entspricht.

Schützt die Reputation des Absenders und die Zustellbarkeit

Ordnungsgemäß signierte E-Mails schaffen Vertrauen bei den E-Mail-Anbietern. Eine verifizierte und konsistent authentifizierte Absenderdomain sorgt für eine bessere Reputation bei den Internetdienstanbietern (ISPs), was bedeutet, dass Ihre legitimen Nachrichten mit größerer Wahrscheinlichkeit im Posteingang statt im Spam-Ordner landen – ein direkter Vorteil sowohl für Marketing- als auch für Transaktions-E-Mails.

Übersteht das Weiterleiten von E-Mails (im Gegensatz zu SPF)

Dies ist der mit Abstand wichtigste praktische Unterschied zwischen den beiden Protokollen, und er kann leicht übersehen werden. Denn eine DKIM-Signatur wird mit der Nachricht mit, bleibt sie auch nach dem Weiterleiten der E-Mail weiterhin gültig. SPF hingegen vergleicht die IP-Adresse des sendenden Servers mit dem SPF-Eintrag der ursprünglichen Domain. Wenn eine Nachricht weitergeleitet wird, ist die IP-Adresse des weiterleitenden Servers nicht in dieser Liste enthalten, sodass die SPF-Prüfung fehlschlägt. Aus diesem Grund ist DKIM das zuverlässigere der beiden Protokolle, um die DMARC-Konformität bei weitergeleiteten und indirekten E-Mail-Flüssen aufrechtzuerhalten.

Von Google, Yahoo und Microsoft für Massenversender vorgeschrieben

DKIM ist für Absender mit hohem Versandvolumen nicht mehr optional. Gemäß den Anforderungen von Google und Yahoo , die im Februar 2024 in Kraft traten, sowie den entsprechenden Regeln von Microsoft, die ab Mai 2025 gelten, muss sich jede Domain, die täglich etwa 5.000 oder mehr Nachrichten an diese Anbieter versendet, mittels DKIM (neben SPF und DMARC) authentifizieren, da sonst die Gefahr besteht, dass E-Mails abgelehnt oder als Spam gefiltert werden. Selbst unterhalb dieser Schwelle ist DKIM mittlerweile die Grundvoraussetzung für eine gute Zustellbarkeit.

DKIM vs. SPF vs. DMARC: Wie sie zusammenwirken

DKIM ist einer von drei E-Mail-Authentifizierungsstandards, die dafür konzipiert sind, gemeinsam und nicht isoliert voneinander eingesetzt zu werden. Und so teilen sie sich die Aufgaben auf:

Einfach ausgedrückt: SPF überprüft den Absenderserver, DKIM überprüft die Integrität der Nachricht und DMARC verknüpft beides mit der Domain, die Ihre Empfänger tatsächlich im „Von“-Feld sehen, und fügt dann eine Richtlinie hinzu, die den Empfängern mitteilt, was zu tun ist, wenn eine Überprüfung fehlschlägt. DKIM und SPF übernehmen die Authentifizierung; DMARC sorgt für die Abstimmung und Durchsetzung. Sie benötigen alle drei.

Häufige DKIM-Fehler und wie man sie behebt

Keine der führenden Seiten zum Thema „Was ist DKIM?“ geht darauf ein, was tatsächlich schiefgeht. Hier sind die vier häufigsten Fehler und wie man sie behebt. 

DKIM-Signatur nicht gefunden

Was das bedeutet: Dieser Fehler weist darauf hin, dass der empfangende Server keine DKIM-Signatur gefunden hat. In der Regel bedeutet dies, dass DKIM für den von Ihnen verwendeten Versanddienst nicht konfiguriert ist oder dass der DNS-Eintrag nie veröffentlicht wurde. 

So beheben Sie das Problem: Aktivieren Sie die DKIM-Signatur bei jedem Dienst, der E-Mails unter Ihrer Domain versendet, und stellen Sie sicher, dass der Eintrag im DNS vorhanden ist.

DKIM-Signaturprüfung fehlgeschlagen

Was das bedeutet: Eine Signatur war vorhanden, konnte jedoch nicht verifiziert werden, was bedeutet, dass der Textkörper oder die signierten Kopfzeilen nach der Signierung verändert wurden. Die häufigste Ursache ist, dass eine Mailingliste oder ein Weiterleitungsserver eine Fußzeile hinzugefügt, den Betreff umgeschrieben oder Kopfzeilen entfernt hat. 

So beheben Sie das Problem: Eine lockere Kanonisierung mindert dieses Problem, und ARC (Authenticated Received Chain) wurde speziell entwickelt, um Authentifizierungsergebnisse über Weiterleitungsschritte hinweg zu erhalten. ARC wird jedoch bald nicht mehr unterstützt, und DKIM2 wird, sobald es eingeführt ist, Probleme bei der Weiterleitung erheblich reduzieren. 

Öffentlicher Schlüssel im DNS nicht gefunden

Was das bedeutet: Der Empfänger hat den öffentlichen Schlüssel abgefragt, aber keine Ergebnisse erhalten. Dies ist in der Regel auf eine Nichtübereinstimmung des Selektors oder der Domäne zwischen dem DKIM-Signature-Header und dem tatsächlichen DNS-Eintragsnamen, eine Verzögerung bei der DNS-Propagierung nach einer kürzlich vorgenommenen Änderung oder einen einfachen Tippfehler im Eintragsnamen zurückzuführen, meist ein fehlender Unterstrich in „_domainkey“.

So beheben Sie das Problem: Führen Sie Ihre Domain durch ein DKIM-Prüftool, um alle Fehler zu überprüfen und nacheinander zu beheben. 

Schlüssel zu kurz / Schwacher Schlüssel

Was das bedeutet: Viele ältere E-Mail-Plattformen und Hosting-Panels generieren standardmäßig immer noch 1024-Bit-Schlüssel. RFC 8301 betrachtet 1024 Bit als absolutes Minimum, empfiehlt jedoch mindestens 2048 Bit für die Signierung, und das NIST stuft 1024-Bit-RSA als nur noch für Altanwendungen geeignet ein. Große E-Mail-Anbieter wie Google akzeptieren zwar weiterhin 1024 Bit als Mindestanforderung, empfehlen jedoch 2048 Bit. Daher ist ein 1024-Bit-Schlüssel heute zwar kein völliger Fehlschlag, liegt aber einfach unter dem aktuellen Standard, und seine Sicherheitsreserve schrumpft zunehmend.

So beheben Sie das Problem: Verwenden Sie standardmäßig einen 2048-Bit-RSA-Schlüssel mit „rsa-sha256“. Zwei Dinge, auf die Sie beim Upgrade achten sollten: Ein 2048-Bit-öffentlicher Schlüssel ist zu lang für eine einzelne 255-Byte-DNS-TXT-Zeichenkette, daher muss er in mehrere in Anführungszeichen gesetzte Zeichenketten innerhalb desselben Eintrags aufgeteilt werden, und Sie sollten die Schlüssel alle 6 bis 12 Monate austauschen. 

DKIM-Best Practices

• Verwenden Sie 2048-Bit-Schlüssel statt 1024-Bit-Schlüssel: Längere Schlüssel sind sicherer und werden von großen Anbietern zunehmend verlangt.
• Schlüssel mindestens einmal im Jahr austauschen: Veröffentlichen Sie den neuen Schlüssel im DNS, bevor Sie den alten deaktivieren, damit während des Wechsels keine Lücke bei der Verifizierung entsteht.
• Alle ausgehenden E-Mail-Quellen signieren: Jeder Drittanbieter-Dienst (CRM, E-Mail-Marketing-Plattform, Helpdesk) benötigt eine eigene DKIM-Signatur, die unter einem eigenen Selektor konfiguriert ist.
• Überwachen Sie die Erfolgs- und Fehlerquoten: Überprüfen Sie Ihre DMARC-Gesamtberichte, damit Sie einen fehlerhaften Selektor oder einen nicht signierten Absender erkennen, bevor dies die Zustellbarkeit beeinträchtigt.

Einschränkungen von DKIM

DKIM ist unverzichtbar, reicht aber allein nicht aus. Im Folgenden sind einige konkrete Einschränkungen aufgeführt:

DKIM allein verhindert keine Fälschung der Absenderadresse

DKIM authentifiziert die Domain im „d=“-Tag der Signatur und bestätigt, dass die Nachricht nicht verändert wurde, überprüft jedoch nicht, ob „d=“ mit der „Von“-Adresse übereinstimmt, die der Empfänger sieht. Diese Übereinstimmungsprüfung ist die Aufgabe von DMARC. Und wenn ein Angreifer Zugriff auf ein legitimes Konto oder einen legitimen Server erlangt, kann er eine gültig signierte E-Mail versenden.

DKIM ist auf eine korrekte DNS-Veröffentlichung angewiesen

Ein falsch konfigurierter Eintrag, eine Verzögerung bei der Weitergabe oder ein falscher Selektor führen dazu, dass DKIM selbst bei legitimen E-Mails fehlschlägt.

DKIM setzt von sich aus keine Richtlinien durch

DKIM liefert lediglich ein „Bestanden“- oder „Nicht bestanden“-Ergebnis und gibt den Empfängern keine Anweisung, wie sie im Falle eines Fehlers vorgehen sollen. Erst in Kombination mit DMARC, das die Ergebnisse von DKIM (und/oder SPF) nutzt, um eine Quarantäne- oder Ablehnungsrichtlinie anzuwenden, wird die Authentifizierung zu einem tatsächlichen Schutz.

Die Schlüsselverwaltung erhöht die Komplexität des Betriebs

Die Verwaltung von Schlüsseln über mehrere Versanddienste hinweg, deren sichere Rotation und die Abstimmung mit allen Drittanbietern erfordern ständige Aufmerksamkeit und regelmäßige Überwachung. Dies manuell für mehrere Domains durchzuführen, ist nicht nur zeitaufwendig, sondern auch ressourcenintensiv.

Aktivieren Sie DKIM mit PowerDMARC

Mit PowerDMARC können Domain-Inhaber neben SPF und DMARC auch DKIM einrichten. Dank der praktischen Überwachungs- und Berichtsfunktionen können Sie die Authentifizierungsergebnisse nachverfolgen und Fehler sofort erkennen, sobald sie auftreten – ganz ohne manuelles Eingreifen. 

Die Plattform unterstützt mehrere Domains und hohe E-Mail-Volumen und ist mit gehostetes DKIM mit den anderen Authentifizierungsprotokollen, um einen umfassenden Schutz vor E-Mail-Betrug zu gewährleisten. Sie können DKIM und DMARC innerhalb weniger Minuten konfigurieren, anstatt sich manuell mit DNS herumschlagen zu müssen.

Mit dem Hosted-DKIM-Dienst von PowerDMARC profitieren Sie von folgenden Vorteilen:

• Einmalige CNAME-Einrichtung, danach keine DNS-Änderungen mehr: Verbinden Sie Ihre Domain einmalig und verwalten Sie anschließend alle Selektor- und Schlüsseländerungen über ein einziges Cloud-Dashboard, anstatt bei jeder Aktualisierung die DNS-Einstellungen anzupassen.
• Schlüsselrotation ohne DNS-Zugriff: Planen und führen Sie die Schlüsselrotation sofort über das Dashboard durch – ohne Verzögerungen bei der Übertragung oder manuelle Änderungen an Einträgen. So entstehen keine Ausfallzeiten und es besteht kein Risiko für Syntaxfehler.
• Volle Flexibilität bei der Schlüssellänge: Wählen Sie Schlüssel mit 1024, 2048 oder 4096 Bit und erhöhen Sie die Schlüsselstärke, ohne die Authentifizierung zu unterbrechen.
• Ein spezielles DKIM-Analytics-Dashboard: Verfolgen Sie das E-Mail-Aufkommen, die DKIM-Bestätigungsraten und die Leistung pro Selektor in Echtzeit, um schnell einen Überblick zu erhalten und Probleme zu beheben.
• Multi-Domain- und MSP-fähige Verwaltung: Verwalten Sie DKIM für Hunderte von Domains und Subdomains von einem zentralen Ort aus – mit einer Multi-Tenant-Ansicht, die speziell für Unternehmen und Dienstleister entwickelt wurde.
• Ein umfassender Authentifizierungs-Stack auf einer einzigen Plattform: DKIM ergänzt DMARC, SPF, MTA-STS und BIMI und lässt sich in Anbieter wie Google Workspace und Microsoft 365 integrieren.

Häufig gestellte Fragen

1. Wofür steht die Abkürzung DKIM?

DKIM steht für „DomainKeys Identified Mail“. Es handelt sich um ein E-Mail-Authentifizierungsprotokoll, das mithilfe einer kryptografischen Signatur überprüft, ob eine Nachricht tatsächlich von der angegebenen Domain stammt und während der Übertragung nicht verändert wurde.

2. Was ist DKIM, einfach ausgedrückt?

Man kann sich DKIM als eine manipulationssichere Versiegelung Ihrer E-Mail vorstellen. Ihr Server signiert jede Nachricht mit einem privaten Schlüssel, und der empfangende Server gleicht diese Signatur mit einem öffentlichen Schlüssel in Ihrem DNS ab. Ist die Signatur intakt, ist die E-Mail echt und unverändert.

3. Wie richte ich DKIM für meine Domain ein?

Um DKIM einzurichten, müssen Sie ein Schlüsselpaar generieren (über Ihren E-Mail-Anbieter oder unseren DKIM-Generator), Ihren Versandserver so konfigurieren, dass ausgehende E-Mails mit dem privaten Schlüssel signiert werden, und den öffentlichen Schlüssel als TXT-Eintrag unter selector._domainkey.yourdomain.com veröffentlichen. Unsere vollständige Anleitung zur Einrichtung von DKIM Anleitung mit einer Schritt-für-Schritt-Anleitung einsehen.

4. Reicht DKIM allein aus?

Nein. DKIM überprüft zwar die Integrität der Nachricht, kontrolliert jedoch weder die sichtbare Absenderadresse noch setzt es eine Richtlinie durch. Für einen umfassenden Schutz vor Spoofing müssen Sie DKIM mit SPF und DMARC kombinieren.

5. Was ist der Unterschied zwischen DKIM und SPF?

SPF legt fest, welche Server E-Mails für Ihre Domain versenden dürfen (Überprüfung des Pfads), während DKIM sicherstellt, dass der Inhalt der Nachricht nicht verändert wurde und von der Domain signiert wurde (Überprüfung der Integrität und Herkunft). DKIM-Signaturen bleiben bei der Weiterleitung oft erhalten, während SPF bei der Weiterleitung von E-Mails in der Regel nicht mehr funktioniert.

6. Wie kann ich überprüfen, ob DKIM korrekt eingerichtet ist?

Um zu überprüfen, ob Ihr DKIM-Eintrag korrekt eingerichtet ist, nutzen Sie den kostenlosen DKIM-Checker von PowerDMARC. Geben Sie einfach Ihre Domain und Ihren Selektor ein, und das Tool fragt das DNS ab, um zu bestätigen, dass Ihr Eintrag veröffentlicht, korrekt formatiert und abrufbar ist.

7. Was passiert, wenn DKIM fehlschlägt?

Ein DKIM-Fehler bedeutet, dass die Nachricht entweder manipuliert oder nicht ordnungsgemäß signiert wurde. Empfänger können sie als Spam kennzeichnen, und wenn eine DMARC-Richtlinie gilt und auch die SPF-Prüfung nicht bestanden wird, wird die Nachricht möglicherweise in Quarantäne verschoben oder direkt abgelehnt.

8. Wie oft sollten DKIM-Schlüssel ausgetauscht werden?

DKIM-Schlüssel sollten mindestens einmal im Jahr ausgetauscht werden. Veröffentlichen Sie den neuen Schlüssel immer zuerst im DNS, bevor Sie den alten deaktivieren, damit keine Lücke entsteht, in der E-Mails nicht verifiziert werden können.

9. Kann DKIM Phishing verhindern?

DKIM allein kann Phishing nicht verhindern. DKIM erschwert zwar die Fälschung Ihrer E-Mails und verhindert die Manipulation von Inhalten, verhindert jedoch nicht die Fälschung der sichtbaren Absenderadresse; dies kann nur durch eine DMARC-Ausrichtung erreicht werden. DKIM ist eine notwendige Komponente einer Anti-Phishing-Lösung, aber nicht die gesamte Lösung.

10. Hat DKIM Auswirkungen auf die Zustellbarkeit von E-Mails?

DKIM wirkt sich positiv auf die Zustellbarkeit Ihrer E-Mails aus. Eine ordnungsgemäß signierte E-Mail stärkt Ihre Absenderreputation bei Internetdienstanbietern (ISPs) und verbessert so die Zustellung in den Posteingang. Da Google, Yahoo und Microsoft mittlerweile DKIM für Massenversender vorschreiben, kann das Fehlen dieser Signatur dazu führen, dass Ihre E-Mails im Spam-Ordner landen oder ganz abgelehnt werden.