DKIM2 erklärt: Was sich ändert und wie der Stand der Dinge ist

DKIM2 is an active IETF working group draft, not a deployed standard. As of August 2026, there are three working group documents and no RFC. Nothing is required of senders today.

Was ist DKIM2?

DKIM2 ist der vorgeschlagene Nachfolger von DKIM (DKIM1) und wird derzeit in der DKIM-Arbeitsgruppe der IETF entwickelt. Es soll die Weiterleitung von E-Mails überbrücken, den Missbrauch durch Replay-Angriffe verhindern und die Rückmeldungsmechanismen im gesamten E-Mail-Ökosystem vereinheitlichen.

Im Gegensatz zur ursprünglichen DKIM-Spezifikation (RFC 6376), bei der eine Nachricht nur einmal am Ursprung signiert wird, basiert DKIM2 auf einem Modell mit verketteten Signaturen pro Hop. Jeder Server, der die Nachricht verarbeitet, fügt seine eigene kryptografische Signatur hinzu und erstellt so eine überprüfbare Aufzeichnung des Weges, den die E-Mail zurückgelegt hat, sowie aller dabei vorgenommenen Änderungen. Diese Nachverfolgbarkeitskette erschwert es böswilligen Akteuren strukturell, Authentifizierungslücken auszunutzen.

Stand der DKIM2-Standardisierung: Die IETF-Entwürfe

DKIM2 ist weder ein RFC, noch wird es derzeit von E-Mail-Anbietern eingesetzt. Es durchläuft derzeit als Reihe von Arbeitsgruppendokumenten den Prozess der Internet Engineering Task Force (IETF). Das bedeutet, dass die Kernarchitektur zwar Gestalt annimmt, die Entwürfe sich jedoch noch erheblich ändern, ersetzt werden oder auslaufen können.

Stand August 2026 sind folgende Entwürfe der aktiven IETF-Arbeitsgruppen:

Diese Dokumente wurden von Ingenieuren von Yahoo, Google, Fastmail und GreenArrow Email verfasst. Dieses Maß an Engagement seitens großer E-Mail-Anbieter und Infrastrukturanbieter ist der deutlichste Hinweis darauf, dass das Protokoll entwickelt wird, um echte betriebliche Probleme in großem Maßstab zu lösen.

Warum DKIM ersetzt werden muss

Problem bei der Änderung von Zwischenprodukten

Wenn eine E-Mail über einen Zwischenstation wie eine Mailingliste oder einen Weiterleitungsdienst geleitet wird, werden der Inhalt oder die Kopfzeilen der Nachricht häufig verändert. Selbst eine legitime Änderung, wie das Anfügen einer Fußzeile oder das Ändern der Betreffzeile, führt dazu, dass der vom ursprünglichen Absender erstellte kryptografische Hash nicht mehr übereinstimmt. Der empfangende Server erkennt eine veränderte Nachricht, die DKIM-Prüfung schlägt fehl, und die E-Mail läuft Gefahr, als Spam markiert zu werden.

Rufschädigung durch Replay-Angriffe

Ein DKIM-Replay-Angriff findet statt, wenn ein Angreifer eine E-Mail abfängt, die von einer seriösen Domain ordnungsgemäß signiert wurde, und diese an Millionen neuer Empfänger weiterleitet. Da die DKIM-Signatur des ursprünglichen Absenders gültig ist und sich der Inhalt nicht geändert hat, authentifiziert der empfangende Server die Nachricht. Der Spammer missbraucht im Grunde den guten Ruf des Absenders, um Spamfilter zu umgehen, was dem ursprünglichen Domaininhaber erheblichen Reputationsschaden zufügt.

DKIM-Replay-Angriffe – So funktionieren sie

Um einen Replay-Angriff durchzuführen, richtet sich ein Spammer zunächst ein Konto bei einem Dienst ein, der im Namen einer seriösen Domain Transaktions-E-Mails versendet (beispielsweise eine Willkommens-E-Mail oder einen Link zum Zurücksetzen des Passworts). Wenn der Spammer diese legitime E-Mail an seinen eigenen Posteingang auslöst, erhält er eine Nachricht, die mit dem DKIM-Schlüssel des Dienstes einwandfrei signiert ist.

Der Spammer extrahiert daraufhin die Roh-E-Mail einschließlich ihres gültigen DKIM-Signature-Headers und nutzt seine eigene Infrastruktur, um genau diese Nachricht an eine riesige Liste gekaufter E-Mail-Adressen zu versenden. Die empfangenden Mailserver überprüfen die Signatur, stellen fest, dass sie mit dem öffentlichen Schlüssel der seriösen Domain übereinstimmt, und leiten den Spam in den Posteingang weiter. Der ursprüngliche Absender muss die Schuld und den Reputationsverlust für den Spam-Angriff auf sich nehmen.

Fehlendes standardisiertes Feedback

DKIM1 bietet einen Mechanismus zur Überprüfung einer Signatur, es fehlt jedoch eine standardisierte Methode, mit der empfangende Server Authentifizierungsfehler oder forensische Details an den Absender zurückmelden können. Dies erschwert es Administratoren, Fehler bei Signaturen zu beheben oder die Ursache von Änderungen zu ermitteln.

Das Problem der Rückstreuung

Eine Rückstreuung tritt auf, wenn ein empfangender Server eine gefälschte E-Mail zurückweist und eine Rückmeldebenachrichtigung (Non-Delivery Report) an die gefälschte Absenderadresse sendet. Da die gefälschte Adresse einem unschuldigen Domaininhaber gehört, wird dessen Posteingang mit Rückmeldungen für E-Mails überflutet, die er nie versendet hat.

Was sich bei DKIM2 ändert

Standardisierte Kopfzeilen-Signierung

DKIM2 führt einen strengeren und standardisierten Ansatz für die Signierung von Headern ein. Indem festgelegt wird, welche Header in die Signatur aufgenommen werden müssen und wie diese strukturiert sein müssen, werden Unklarheiten reduziert, die häufig zu Validierungsfehlern führen.

Prävention von Rückstreuung

Durch die strukturelle Einbindung der Absender- und Empfängerinformationen des Umschlags in die Signaturkette liefert DKIM2 den empfangenden Servern einen kryptografischen Nachweis über den beabsichtigten Zustellungsweg. Dadurch können Empfänger gefälschte Nachrichten sicher verwerfen, ohne unberechtigte Bounce-Meldungen an unschuldige Domains zu generieren.

Vereinfachte Fehlerbehandlung

DKIM2 enthält festgelegte Mechanismen zur Meldung von Fehlern und Änderungen. Wenn eine Signatur ungültig wird, ermöglicht die verkettete Struktur dem Empfänger, genau zu ermitteln, an welcher Stelle im Zustellungsweg die Nachricht verändert wurde, was die Fehlerbehebung für Administratoren vereinfacht.

Bekämpfung von DKIM-Replay-Angriffen

Um Replay-Angriffe zu verhindern, verlangt DKIM2, dass jeder Knoten auf dem Zustellungsweg eine eigene Signatur hinzufügt; diese Signaturen binden die Nachricht an ihre spezifischen Empfänger im Envelope (mf= und rt=-Tags). Wenn ein Spammer eine signierte Nachricht abfängt und versucht, sie an neue Adressen weiterzuleiten, stimmen die Empfängerinformationen nicht mehr mit der kryptografischen Bindung überein, und der empfangende Server weist den Replay-Versuch zurück.

Algorithmische Geschicklichkeit

Der Standard aktualisiert die kryptografischen Grundlagen der E-Mail-Authentifizierung. Der aktuelle Entwurf der Best Practices (draft-ietf-dkim-dkim2-bcp) definiert die Unterstützung robuster Algorithmen, darunter SHA256, RSA-SHA256 und Ed25519-SHA256, und stellt so sicher, dass das Protokoll auch gegenüber modernen rechnerischen Bedrohungen sicher bleibt.

Minimierung von Krypto-Berechnungen

Zwar erfordert DKIM2 mehr Signaturen pro Nachricht, doch ist die Spezifikation darauf ausgelegt, den Validierungsprozess zu optimieren. Die verkettete Struktur ermöglicht es den Prüfern, Signaturen effizient zu verarbeiten, ohne die Serverressourcen zu überlasten.

DKIM2 vs. DKIM vs. ARC

Da DKIM2 die durch die Weiterleitung von E-Mails verursachten Probleme behebt, überschneidet es sich direkt mit der „Authenticated Received Chain“ (ARC). ARC ist die derzeitige Branchenlösung für das Weiterleitungsproblem und wurde entwickelt, um die Authentifizierungsergebnisse zu erhalten, während eine Nachricht verschiedene Zwischenstationen durchläuft.

Die häufigste Frage zu den neuen Entwürfen lautet: Ersetzt DKIM2 ARC? Die Antwort lautet: Ja. ARC basiert auf subjektivem Vertrauen zwischen Weiterleitungsknoten; damit ARC funktioniert, müssen empfangende Server Listen vertrauenswürdiger Weiterleiter führen. DKIM2 löst das Problem kryptografisch und macht damit das subjektive Vertrauen überflüssig, was ARC letztendlich überflüssig macht, sobald DKIM2 flächendeckend eingeführt ist.

Was sollten Absender heute in Bezug auf DKIM2 tun?

Sie sollten Ihre E-Mail-Infrastruktur in der Produktionsumgebung nicht auf der Grundlage dieser Entwürfe neu gestalten. DKIM2 befindet sich noch in der aktiven Entwurfsphase; es gibt noch keinen veröffentlichten Zeitplan für die Einführung, und die großen E-Mail-Anbieter setzen es noch nicht durch.

Stattdessen sollten Sie sich darauf konzentrieren, Ihre derzeitigen Maßnahmen zur E-Mail-Authentifizierung zu optimieren. Unternehmen, die sich jetzt ein solides Fundament schaffen, werden reibungslos in die nächste Ära übergehen. Nutzen Sie einen DKIM-Record-Checker, um Ihre aktuelle Konfiguration zu überprüfen, und stellen Sie sicher, dass Ihre SPF-, DKIM-, DMARC- und ARC-Einstellungen streng und korrekt sind.

Verfolgen Sie die Fortschritte der Arbeitsgruppe, planen Sie jedoch die Einführung von DKIM2 erst dann als Pilotprojekt, wenn eine echte Unterstützung durch E-Mail-Anbieter vorliegt. Wenn Sie für Ihre aktuelle Konfiguration neue Schlüssel generieren müssen, verwenden Sie einen DKIM-Record-Generator.

Bringen Sie Ihr DKIM in Ordnung, bevor DKIM2 eingeführt wird

Die Vorbereitung auf die Zukunft der E-Mail-Sicherheit beginnt damit, die heutigen Standards zu beherrschen. Indem Sie die vollständige Durchsetzung von DMARC erreichen und sicherstellen, dass Ihre aktuellen DKIM-Signaturen den Transport unbeschadet überstehen, schützen Sie den Ruf Ihrer Domain und gewährleisten eine hohe Zustellbarkeit.

Häufig gestellte Fragen

Was ist DKIM2?

DKIM2 ist der vorgeschlagene Nachfolger von DKIM, der derzeit in der IETF entwickelt wird. Er soll die Weiterleitung von E-Mails überbrücken, Replay-Angriffe verhindern und eine überprüfbare Nachverfolgungskette schaffen, indem jeder Server, der eine E-Mail verarbeitet, diese signieren muss.

Ist DKIM2 bereits verfügbar?

Nein. DKIM2 ist derzeit ein aktiver Arbeitsgruppenentwurf innerhalb der IETF und kein implementierter Standard. Er wird derzeit von den großen E-Mail-Anbietern weder unterstützt noch durchgesetzt.

Wann wird DKIM2 veröffentlicht?

Es gibt keinen veröffentlichten Zeitplan für die endgültige Veröffentlichung. Die Spezifikation muss den IETF-Entwurfsprozess durchlaufen, um als RFC anerkannt zu werden, bevor Anbieter damit beginnen können, sie einzuführen.

Wird DKIM2 DKIM ersetzen?

Ja, DKIM2 soll den aktuellen DKIM-Standard vollständig ersetzen und dabei die bekannten Schwachstellen in Bezug auf Weiterleitungs- und Replay-Angriffe grundlegend beheben.

Ersetzt DKIM2 ARC?

Ja. Während ARC eine Möglichkeit bietet, Zwischenstellen zu vertrauen, die E-Mails weiterleiten, löst DKIM2 das Weiterleitungsproblem auf kryptografische Weise, sodass ARC bei flächendeckender Einführung überflüssig wird.

Muss ich jetzt irgendetwas in Bezug auf DKIM2 unternehmen?

Nein, Absender müssen ihre Infrastruktur derzeit nicht ändern. Die beste Vorbereitung besteht darin, sicherzustellen, dass Ihre aktuellen SPF-, DKIM- und DMARC-Konfigurationen vollständig optimiert sind und konsequent durchgesetzt werden.

Zusammenfassung

DKIM2 stellt einen bedeutenden strukturellen Wandel in der E-Mail-Authentifizierung dar und führt den Übergang von einer Signatur mit einem einzigen Ursprung zu einer überprüfbaren, hop-bezogenen Nachverfolgungskette. Da es die grundlegenden Schwachstellen im Umgang von DKIM1 mit Weiterleitungs- und Replay-Angriffen behebt, verspricht es ein wesentlich widerstandsfähigeres Ökosystem. Allerdings handelt es sich weiterhin um einen aktiven IETF-Entwurf. Derzeit besteht die effektivste Strategie für Domain-Inhaber darin, den Fortschritt zu beobachten und gleichzeitig die aktuellen DMARC-Standards konsequent durchzusetzen.

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• Was ist APRF? Der neue Standard für Feedback zur E-Mail-Zustellbarkeit im Detail – 4. September 2026
• Anleitung zur Einrichtung von DKIM, DMARC und SPF bei Network Solutions – 2. September 2026
• Leitfaden zur E-Mail-Authentifizierung bei Simply.com: SPF, DKIM und DMARC – 1. September 2026