DKIM-Eintrag erstellen: Schlüssel, DNS und Prüfung

Wenn Sie über eine eigene Domain senden, gehört ein DKIM-Eintrag in Ihre DNS-Konfiguration. Die korrekte Einrichtung unterstützt die Authentifizierung und Zustellbarkeit. Ohne DKIM fehlt Empfängern dieses Verfahren zur Prüfung signierter Nachrichteninhalte. Google, Yahoo und Microsoft haben Anforderungen für bestimmte Absendergruppen veröffentlicht; auch bei geringem Versandvolumen ist DKIM sinnvoll. Prüfen Sie die jeweils aktuellen Vorgaben.

Dieser Leitfaden führt durch Schlüsselgenerierung, DNS-Veröffentlichung, Aktivierung der Signierung und Prüfung. Im Mittelpunkt stehen die Schritte, die Syntax und typische Fehler. Ob Sie DKIM manuell oder über eine verwaltete Plattform einrichten: Die Grundlagen bleiben gleich.

Was ist ein DKIM-Eintrag?

Ein DKIM-Eintrag ist ein DNS-TXT-Eintrag mit dem öffentlichen Teil eines kryptografischen Schlüsselpaars. Der Mailserver signiert ausgehende Nachrichten mit dem privaten Schlüssel. Der Empfänger ruft den öffentlichen Schlüssel ab und prüft die Signatur. Dadurch bestätigt er die Verantwortung der Signaturdomain und die Integrität der signierten Header und des erfassten Nachrichtentextes. DKIM ist in RFC 6376 definiert und ein wichtiger Bestandteil moderner E-Mail-Authentifizierung.

DKIM-Einträge in 4 Schritten erstellen

Schritt 1: DKIM-Schlüsselpaar erzeugen

Vor dem DNS-Eintrag benötigen Sie ein Schlüsselpaar: Der private Schlüssel bleibt im signierenden System, der öffentliche wird im DNS veröffentlicht. Wie Sie die Schlüssel erzeugen, hängt von Ihrer Versandkonfiguration ab.

Bei einem gehosteten E-Mail-Dienst wie Google Workspace, Microsoft 365 oder Zoho stellt der Anbieter die Schlüssel und DNS-Angaben bereit. In Google Workspace öffnen Sie Admin-Konsole > Apps > Google Workspace > Gmail > E-Mail authentifizieren und wählen die Funktion zum Erzeugen eines neuen Eintrags. Die genaue Oberfläche kann sich ändern.

Bei einem eigenen Mailserver mit Postfix, Exim oder OpenDKIM können Sie das Paar auf der Kommandozeile erzeugen:

openssl genrsa -out dkim_private.pem 2048
openssl rsa -in dkim_private.pem -pubout -out dkim_public.pem

Verwenden Sie nach Möglichkeit 2048-Bit-Schlüssel. Ältere Anleitungen nennen 1024 Bit; diese Schlüssellänge bietet im Jahr 2026 weniger Sicherheitsreserve. 1024 Bit sind nicht pauschal bei allen Empfängern ungültig. Prüfen Sie deren Vorgaben und die Unterstützung Ihres DNS-Anbieters.

Wählen Sie außerdem einen Selektor, also eine Kennung für diesen Schlüssel. Selektoren ermöglichen Schlüsselrotation und getrennte Schlüssel für mehrere Dienste. Übliche Namen sind google, s1, mail2026 oder der Dienstname, etwa sendgrid.

Schritt 2: Öffentlichen Schlüssel im DNS veröffentlichen

Nun erstellen Sie den DKIM-Eintrag in der DNS-Zone Ihrer Domain. Melden Sie sich beim DNS-Anbieter, etwa Cloudflare, Route 53, GoDaddy oder Namecheap, an und legen Sie einen TXT-Eintrag an. Beachten Sie dessen Eingabeformat.

Host-/Namensfeld:

selector._domainkey.yourdomain.com

Ersetzen Sie selector durch die in Schritt 1 gewählte Kennung. Bei s1 und der Domain example.com lautet der vollständige Name:

s1._domainkey.example.com

Wertfeld:

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA2K4PavXoNY8eGK2u...truncated...base64encodedpublickey

Das Tag p= enthält den vollständigen öffentlichen Schlüssel als Base64-Zeichenkette. Entfernen Sie PEM-Markierungen wie -----BEGIN PUBLIC KEY----- sowie Zeilenumbrüche. Die Schlüsseldaten müssen ohne eingefügte Trennzeichen zusammenhängend sein.

Wichtig: Eine einzelne TXT-Zeichenkette ist auf 255 Oktette begrenzt. Ein üblicher 2048-Bit-RSA-Schlüssel benötigt mehrere solcher Teile. Manche Oberflächen teilen automatisch auf, andere verlangen manuell gesetzte Anführungszeichen. Teilen Sie dort in Abschnitte von höchstens 255 Zeichen, ohne mehrere getrennte TXT-Einträge anzulegen. Bei der DKIM-Auswertung werden die Teile eines Eintrags zusammengesetzt.

Schritt 3: DKIM-Signierung am Mailserver aktivieren

Der DNS-Eintrag allein signiert keine Nachrichten. Das sendende System muss den privaten Schlüssel aktiv für ausgehende Post verwenden.

Google Workspace: Aktivieren Sie „Authentifizierung starten“ in der Verwaltung, in der Sie den Schlüssel erzeugt haben.

OpenDKIM mit Postfix/Exim: Bearbeiten Sie /etc/opendkim.conf:

Selector    s1
KeyFile     /etc/opendkim/keys/example.com/dkim_private.pem
Domain      example.com
Socket      inet:8891@localhost

Für Postfix tragen Sie den Milter in /etc/postfix/main.cf ein:

milter_default_action = accept
milter_protocol = 6
smtpd_milters = inet:localhost:8891
non_smtpd_milters = inet:localhost:8891

Starten Sie beide Dienste neu:

sudo systemctl restart opendkim
sudo systemctl restart postfix

Externe Versanddienste wie SendGrid, Mailgun und Amazon SES haben eigene Aktivierungsabläufe. Typischerweise stellen sie CNAME- oder TXT-Angaben bereit, die Sie veröffentlichen und anschließend im Dashboard prüfen lassen. Folgen Sie der aktuellen Anleitung des jeweiligen Dienstes.

Schritt 4: Eintrag prüfen

Verlassen Sie sich nicht auf Vermutungen. Prüfen Sie die Einrichtung.

Auf der Kommandozeile:

dig TXT s1._domainkey.example.com +short

Die Antwort sollte den öffentlichen Schlüssel enthalten. Ein leeres Ergebnis kann auf noch nicht aktualisierte Caches oder auf einen falschen Namen hinweisen. Als grober Wartezeitrahmen werden häufig bis zu 48 Stunden genannt, während manche Änderungen schon nach Minuten sichtbar sind. Entscheidend sind TTL, Anbieter und korrekte Veröffentlichung; warten Sie bei einem Konfigurationsfehler nicht einfach ab.

Mit einer Testnachricht: Senden Sie an eine Gmail-Adresse und prüfen Sie die vollständigen Header. Suchen Sie:

Authentication-Results: mx.google.com;
    dkim=pass header.i=@example.com header.s=s1

dkim=pass bestätigt diese Signaturprüfung für die Testnachricht. Prüfen Sie zusätzlich Alignment und weitere Versandwege. Bei dkim=fail oder dkim=neutral untersuchen Sie die Konfiguration und die folgenden häufigen Fehler.

Die Syntax des DKIM-Eintrags

Beim Erstellen eines DKIM-Eintrags hilft es, die einzelnen Tags zu verstehen. Hier ein zusammenhängendes Beispiel:

v=DKIM1; k=rsa; t=s; p=MIIBIjANBgkqhkiG9w0BAQE...

Häufige Fehler beim Erstellen von DKIM-Einträgen

Bei der ersten DKIM-Einrichtung treten häufig dieselben Fehler auf.

1. Zeilenumbrüche im öffentlichen Schlüssel. Ein häufiges Problem beim Kopieren aus PEM-Dateien. Eingefügte Umbrüche im DNS-Wert können den Schlüssel beschädigen. Entfernen Sie Zeilenumbrüche und Leerraum aus den Base64-Schlüsseldaten.

2. Falscher Selektor im DNS-Namen. Der Schlüssel wurde für s1 erzeugt, der Mailserver nutzt jedoch default. Der Empfänger fragt default._domainkey.example.com ab und findet keinen Schlüssel. DNS-Selektor und Signaturselektor müssen genau übereinstimmen.

3. Mehrere DKIM-Einträge unter demselben Selektor. Anders als SPF mit einem einzigen Eintrag pro Domain erlaubt DKIM mehrere Selektoren. Jeder braucht jedoch einen eindeutigen Schlüsselverweis. Zwei TXT-Einträge für s1._domainkey können die Prüfung unbrauchbar machen; verlassen Sie sich nicht darauf, dass der Empfänger den gewünschten auswählt.

4. Signierung nicht aktiviert. Der DNS-Eintrag veröffentlicht lediglich den öffentlichen Schlüssel. Das sendende System muss den privaten Schlüssel für ausgehende Nachrichten verwenden. Ohne Signierung bleibt der Eintrag ungenutzt.

5. 1024-Bit-Schlüssel verwenden. Sie können weiterhin technisch funktionieren, bieten aber weniger Reserve. Googles Absenderrichtlinien empfehlen nach Möglichkeit 2048 Bit. Erzeugen Sie für den Wechsel ein neues Paar unter neuem Selektor und aktualisieren Sie den Sender. Widerrufen Sie den alten Schlüssel durch leeres p= erst, wenn ältere signierte Nachrichten nicht mehr darauf angewiesen sind.

DKIM, SPF und DMARC: die gemeinsame Authentifizierung

DKIM ist ein Teil eines dreigliedrigen Authentifizierungssystems.

SPF prüft, ob die sendende IP-Adresse für die geprüfte Domain autorisiert ist. Bei Weiterleitung kann SPF scheitern, weil sich die sendende IP ändert. Beginnen Sie bei Bedarf mit der Anleitung zur SPF-Einrichtung und lesen Sie SPF für E-Mail für das Limit von 10 DNS-auslösenden Termen und weitere Grenzen.

DKIM kann Weiterleitung überstehen, weil die Signatur an Nachrichteninhalte statt an die sendende IP gebunden ist. Das gilt nur, solange die signierten Daten ausreichend unverändert bleiben. Damit ergänzt DKIM SPF.

DMARC verbindet beide Verfahren mit der sichtbaren From-Domain. Besteht keines mit passendem Alignment, kann die veröffentlichte Richtlinie Beobachtung, Quarantäne oder Ablehnung vorsehen; die endgültige Behandlung bestimmt der Empfänger. Mindestens SPF oder DKIM muss bestehen und zur From-Domain passen.

Ein mögliches Ziel ist vollständiges Alignment: SPF und DKIM bestehen ausgerichtet, anschließend wird DMARC nach Prüfung legitimer Versandwege auf p=reject gesetzt. Das unterstützt den Schutz vor Domainmissbrauch, garantiert aber keine gute Domainreputation oder Posteingangsplatzierung.

Für Unternehmen gehört diese Konfiguration zu den Grundlagen eines sicheren E-Mail-Betriebs, ersetzt jedoch keine weiteren Schutzmaßnahmen.

Wie TrekMail die DKIM-Einrichtung unterstützen kann

Bei einer einzelnen Domain lässt sich DKIM gut manuell einrichten. Über viele Domains hinweg werden Schlüsselrotation, Selektoren und die Erkennung von Konfigurationsfehlern aufwendiger. Geeignete Automatisierung und klare Zuständigkeiten helfen dabei.

TrekMail beschreibt eine geführte SPF/DKIM/DMARC-Einrichtung mit DNS-Werten und Statusprüfungen für angeschlossene Domains. Welche Schlüssel das System erzeugt oder verwaltet, hängt vom Versandweg ab. Bei externem SMTP gelten die Angaben des jeweiligen Anbieters. Validierungen können Fehler aufzeigen, verhindern aber nicht jeden Zustellvorfall.

• Nano ($0): BYO SMTP, etwa Amazon SES oder Mailgun. Für DKIM folgen Sie dem tatsächlichen SMTP-Anbieter. Beschrieben wird eine Nutzung ohne erforderliche Kreditkarte; aktuelle Bedingungen prüfen.
• Starter ($3.50 pro Monat): Beschrieben mit verwaltetem SMTP und DKIM-Unterstützung. Umfang und automatische Rotation prüfen. 14-tägige kostenlose Testphase laut Angebot, Karte erforderlich.
• Pro ($10 pro Monat): Beschrieben für mehrere Versanddomains; unabhängige DKIM-Selektoren und deren Verwaltung prüfen. 14-tägige Testphase laut Angebot.
• Agency ($23.25 pro Monat): Beschrieben für die Verwaltung von 100+ Kundendomains über ein Dashboard. Aktuelle Limits, Rotation und Überwachung prüfen. 14-tägige Testphase laut Angebot.

Es geht nicht nur um Komfort. DKIM-Fehler können unbemerkt bleiben, bis Authentifizierung oder Zustellung auffällig werden. Automatische Prüfungen können sie früher erkennen, decken aber nicht jeden Fehler ab.

Fazit

Für einen korrekten DKIM-Eintrag benötigen Sie ein geeignetes Schlüsselpaar, möglichst mit 2048 Bit, den DNS-TXT-Eintrag unter dem richtigen Selektor, aktive Signierung und eine Prüfung. Die eigentliche Eingabe für eine Domain kann etwa zehn Minuten dauern; DNS-Aktualisierung und Fehlersuche kommen gegebenenfalls hinzu.

Ergänzen Sie DKIM anschließend um SPF und DMARC. Das verbessert die Authentifizierung und kann Domainmissbrauch begrenzen, schützt die Domain aber nicht vollständig gegen alle Risiken.

Wenn Sie DNS nicht allein manuell verwalten möchten, können Sie TrekMail kostenlos ausprobieren und die geführte Einrichtung prüfen. Kontrollieren Sie dennoch die Werte für Ihren tatsächlichen Sender.