DKIM-Schlüsselgenerator: Schlüssel und DNS richtig einrichten

Wer einen DKIM-Schlüsselgenerator sucht, hat meist eines von zwei Problemen: Die Domain signiert noch keine Nachrichten, oder ihre Signaturen werden nicht erfolgreich geprüft. Beides kann die Zustellung beeinträchtigen. Fehlendes DKIM kann zusätzliche Filterprüfungen nach sich ziehen. Fehlerhaftes DKIM führt allerdings nicht zwangsläufig zu einem DMARC-Fehler, wenn ausgerichtetes SPF erfolgreich ist. Nachrichten zum Zurücksetzen von Passwörtern, Rechnungen und Vertriebs-E-Mails können sonst im Spam oder in der Quarantäne landen.

Die Einrichtung lässt sich überschaubar angehen. Ein DKIM-Schlüsselgenerator erzeugt einen privaten Schlüssel für das Versandsystem und den dazugehörigen öffentlichen Schlüssel für DNS. Empfangsserver prüfen damit die Signatur der signierten Daten unter den jeweiligen Kanonisierungsregeln. Das ist keine Bestätigung der persönlichen Identität des sichtbaren Absenders.

Wenn Sie Ihre Mailumgebung noch aufbauen, beginnen Sie mit unserem Überblick zu geschäftlichen E-Mail-Adressen. Für bestehende Domains erläutert dieser Leitfaden, welche Ausgabe ein DKIM-Schlüsselgenerator liefern sollte, welche Schlüssellänge sinnvoll ist, wie Selektoren funktionieren und worauf Sie beim Veröffentlichen achten müssen.

Was ein DKIM-Schlüsselgenerator tatsächlich macht

Ein DKIM-Schlüsselgenerator erstellt ein kryptografisches Schlüsselpaar. Der private Schlüssel bleibt im Versandsystem und signiert ausgehende Nachrichten. Der öffentliche Schlüssel wird unter einem Selektor im DNS veröffentlicht, damit Empfänger die DKIM-Signatur im Nachrichtenheader prüfen können.

Das ist kein undurchsichtiges Verfahren. Ein brauchbarer DKIM-Schlüsselgenerator erfüllt drei Aufgaben:

1. Er erzeugt einen privaten Schlüssel, den Ihr Versandsystem verwenden kann.
2. Er leitet den passenden öffentlichen Schlüssel ab.
3. Er bereitet diesen als DNS-TXT-Eintrag für selector._domainkey.example.com auf.

Die eigentliche Herausforderung liegt in der Konfiguration: Selektor, DNS-Hostname, Zeilenumbrüche und Versandsystem müssen zusammenpassen, damit die Signatur im Betrieb geprüft werden kann.

Nach RFC 6376 ermöglichen Selektoren mehrere veröffentlichte Schlüssel und einen geordneten Schlüsselwechsel. RFC 8301 verlangt für RSA mindestens 1024 Bit und empfiehlt 2048-Bit-Schlüssel. Rät ein DKIM-Schlüsselgenerator noch zu 512-Bit-Schlüsseln oder SHA-1, sollten Sie ein anderes Werkzeug wählen.

So sollte die Ausgabe aussehen

Ein geeigneter DKIM-Schlüsselgenerator liefert einen privaten Signaturschlüssel und einen DNS-tauglichen Eintrag für den öffentlichen Schlüssel. Dieser gehört zum Hostnamen des Selektors, nicht an die Domainwurzel. Das Tag p= enthält den öffentlichen Schlüssel.

Das folgende Beispiel zeigt den Aufbau.

Host: tm2026._domainkey.example.com
Type: TXT
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

Mit OpenSSL können Sie das Schlüsselpaar lokal erzeugen, statt einem webbasierten DKIM-Schlüsselgenerator einen privaten Schlüssel anzuvertrauen. Achtung: Der letzte Befehl zeigt auch private Schlüsselbestandteile an. Geben Sie diese Ausgabe nicht weiter und speichern Sie sie nicht in öffentlichen Protokollen.

openssl genrsa -out dkim-private.pem 2048
openssl rsa -in dkim-private.pem -pubout -out dkim-public.pem
openssl rsa -in dkim-private.pem -text -noout

Wandeln Sie anschließend nur den öffentlichen Schlüssel in den einzeiligen Wert um, den viele DNS-Oberflächen erwarten:

awk 'NF {sub(/\r/, ""); printf "%s",$0;}' dkim-public.pem \
| sed 's/-----BEGIN PUBLIC KEY-----//; s/-----END PUBLIC KEY-----//g'

Lange TXT-Werte dürfen in mehrere Zeichenketten mit Anführungszeichen aufgeteilt werden, sofern sie zu einem einzigen TXT-Ressourceneintrag gehören. Zusätzliche Leerzeichen innerhalb des Schlüssels können ihn dagegen unbrauchbar machen.

Zur Einordnung: Der Selektor bezeichnet den Schlüssel, ist aber nicht selbst der Schlüssel. Steht in der Signatur s=tm2026, fragt der Empfänger tm2026._domainkey.yourdomain.com ab. Fehlt dort ein nutzbarer Eintrag, kann DKIM nicht erfolgreich geprüft werden.

Selektor und Schlüssellänge richtig wählen

Ein geeigneter DKIM-Schlüsselgenerator erstellt einen 2048-Bit-RSA-Schlüssel; SHA-256 wird anschließend vom signierenden System als Hashverfahren verwendet, nicht vom Generator ausgewählt. Sinnvolle Selektornamen erleichtern den Schlüsselwechsel. Behandeln Sie sie wie Versionskennungen.

Wählen Sie Namen, die Einsatzzeitraum oder Versandsystem erkennen lassen. Zum Beispiel:

• tm2026
• app1q1
• marketing2026

Weniger geeignet sind:

• default ohne geplanten Wechsel
• test im Produktivbetrieb
• dkim für sämtliche Versandsysteme

RFC 8301 nennt 1024 Bit als Minimum und empfiehlt 2048 Bit. Google verlangt für Massenversender unter anderem DKIM und SPF; bei direktem Versand an private Gmail-Konten muss mindestens SPF oder DKIM zur From-Domain ausgerichtet sein. Weitere Einzelheiten stehen in Googles FAQ zu den Absenderrichtlinien.

Entscheidend ist daher nicht nur, ob ein DKIM-Schlüsselgenerator irgendeinen Schlüssel erzeugt. Achten Sie auf 2048-Bit-Schlüssel, nachvollziehbare Selektornamen und einen praktikablen Schlüsselwechsel.

DNS veröffentlichen und Signierung geordnet aktivieren

Ein DKIM-Schlüsselgenerator erledigt nur einen Teil der Einrichtung. Der TXT-Eintrag muss unter genau dem Selektor-Hostnamen stehen, den das Versandsystem nutzt. Prüfen Sie die Verfügbarkeit unter Berücksichtigung von DNS-Caches, bevor Sie die neue Signierung aktivieren.

Häufige Fehler sind:

1. Der TXT-Eintrag wird unter @ statt unter selector._domainkey veröffentlicht.
2. Die vollständige PEM-Hülle wird statt des Base64-Schlüssels ins DNS kopiert.
3. Die Signierung beginnt, bevor der DNS-Eintrag verfügbar ist.
4. Die Mailplattform verwendet einen anderen Selektor.

Bei der Domain-Einrichtung in TrekMail zeigt der DNS-Ablauf die benötigten Einträge. Die Anleitung Domain hinzufügen erläutert auch den DKIM-TXT-Wert. Verwenden Sie bei eigenem SMTP die Schlüssel und Selektoren des tatsächlich sendenden Anbieters. Prüfen Sie nach dem Speichern die Einträge mit der integrierten Verifizierung; bei Unklarheiten hilft die DNS-Statusprüfung.

Bei Weiterleitungen kann SPF fehlschlagen, während DKIM weiterhin besteht, sofern die signierten Inhalte unter den Kanonisierungsregeln erhalten bleiben. DMARC kann dann bestehen, wenn auch die DKIM-Domain ausgerichtet ist. DKIM pass allein reicht dafür nicht aus. Den Weiterleitungsfall erläutert Domain-E-Mails an Gmail weiterleiten.

Prüfen, ob der DKIM-Schlüssel im Versand funktioniert

Nach dem Einsatz eines DKIM-Schlüsselgenerators und der Veröffentlichung sollten Sie echte Nachrichtenheader prüfen. Ein korrekter DNS-Eintrag allein belegt keine aktive Signierung. Suchen Sie nach dkim=pass und prüfen Sie zusätzlich die für DMARC erforderliche Domainausrichtung.

Senden Sie eine Nachricht an ein Gmail-Postfach und öffnen Sie die Originalheader. Ein mögliches Ergebnis:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=tm2026 header.b=...
       spf=pass smtp.mailfrom=example.com
       dmarc=pass header.from=example.com

Bei einem DKIM-Fehler prüfen Sie der Reihe nach:

1. Den Selektor s= im DKIM-Signature-Header.
2. Den zugehörigen DNS-Hostnamen mit dig.
3. Ob der öffentliche DNS-Schlüssel zum privaten Schlüssel des Senders gehört.
4. Ob der Sender die gewünschte Domain in d= verwendet.
5. Ob eine Mailingliste, ein angehängter Fußtext oder ein Relay signierte Header oder den Nachrichtentext verändert hat.

dig +short TXT tm2026._domainkey.example.com

Ein unzureichend dokumentierter DKIM-Schlüsselgenerator kann hier zusätzliche Arbeit verursachen. Er sollte Selektor-Hostname, Prüfung und Ausrichtung erklären. DMARC verlangt eine Ausrichtung zwischen der Domain in d= und der sichtbaren From-Domain: Im entspannten Modus genügt dieselbe Organisationsdomain, im strikten Modus müssen sie identisch sein. Ausgerichtetes SPF kann DMARC auch bei fehlender DKIM-Ausrichtung bestehen lassen.

Für die übrige Konfiguration helfen diese Anleitungen: E-Mail mit eigener Domain erstellen, E-Mail-Weiterleitung und TrekMails Fehlersuche bei Spam-Einstufungen.

Einzelwerkzeuge oder ein abgestimmter Einrichtungsablauf

Ein separater DKIM-Schlüsselgenerator, eine DNS-Oberfläche, verschiedene SMTP-Dienste für Anwendungen und Newsletter sowie eine nur teilweise eingerichtete DMARC-Richtlinie erhöhen den Abstimmungsaufwand. Anbieterwechsel, fehlerhafte Schlüsselrotation oder Weiterleitungen können bestehende Konfigurationslücken sichtbar machen.

Ein gemeinsamer Ablauf für Domain, Postfächer, DNS-Prüfung und Versandkonfiguration kann diese Abstimmung erleichtern.

Bei TrekMail kommen je nach Tarif und Konfiguration folgende Möglichkeiten infrage:

• Eigene Domains und IMAP-Postfächer in einer Oberfläche.
• Eigener SMTP-Dienst im Nano-Tarif oder verwalteter SMTP-Versand in dafür vorgesehenen kostenpflichtigen Tarifen.
• Integrierte Migration für den Abruf alter Nachrichten über IMAP.
• Catch-all, Postfachweiterleitung und API-Zugang, sofern der Tarif diese umfasst.
• Ein DNS- und Authentifizierungsablauf für SPF, DKIM und DMARC.

Bei mehreren Domains ist eine konsistente Einrichtung besonders hilfreich. Für Agenturen und MSPs sind dabei auch Tarifmodell und Administrationsaufwand relevant. Als Preisorientierung nennt TrekMail Starter ab $3.50/Monat sowie Nano für $0 mit bis zu 10 Domains und 5GB bei eigenem SMTP. Kostenpflichtige Tarife können eine 14-tägige Testphase mit erforderlicher Kreditkarte anbieten; Nano wird ohne Kreditkarte angeboten. Prüfen Sie vor der Auswahl die aktuellen Preise, Bedingungen und verfügbaren Funktionen.

Für vorhandene Nachrichten bietet TrekMails IMAP-Migrationsablauf einen Import aus Gmail, Microsoft 365 oder anderen IMAP-Diensten, soweit der Quellzugriff und die jeweiligen Einstellungen dies ermöglichen.

Schlüsselwechsel, Widerruf und laufende Pflege

Ein DKIM-Schlüsselgenerator gehört auch zur laufenden Pflege. Planen Sie Schlüsselwechsel, entfernen Sie alte Selektoren geordnet und nutzen Sie bei Bedarf getrennte Selektoren für verschiedene Sender, um Störungen besser eingrenzen zu können.

Ein möglicher Ablauf:

1. Einen neuen 2048-Bit-Schlüssel mit neuem Selektor erzeugen.
2. Den neuen öffentlichen Schlüssel im DNS veröffentlichen.
3. Nach Prüfung der Verfügbarkeit den Sender auf den neuen Selektor umstellen.
4. Bei neuen Nachrichten dkim=pass kontrollieren.
5. Den alten Selektor für bereits signierte Nachrichten in Warteschlangen ausreichend lange beibehalten.
6. Den alten öffentlichen Schlüssel nach dem geplanten Übergangszeitraum entfernen.

Bei offengelegtem privatem Schlüssel müssen Sie ihn ersetzen und den alten Schlüssel unter Berücksichtigung des Vorfalls widerrufen. Versionierte Selektoren erleichtern das gegenüber einem dauerhaft verwendeten default.

Ein DKIM-Schlüsselgenerator behebt keine problematischen Versandpraktiken. Authentifizierung ist eine Grundlage, die Reputation bleibt wichtig. Googles Absenderhinweise behandeln Beschwerden, SPF, DKIM und DMARC. Für den Betrieb sind außerdem korrekte DNS-Einträge, ein angemessener Versandaufbau und Nachrichten an tatsächlich interessierte Empfänger wichtig.

Fazit: Schlüssel erzeugen und die gesamte Einrichtung prüfen

Ein DKIM-Schlüsselgenerator ist der Anfang. Entscheidend sind ein passender Selektor, ein veröffentlichter öffentlicher Schlüssel, der dazugehörige private Schlüssel beim Sender und echte Nachrichten mit dkim=pass sowie DMARC-Ausrichtung.

Erzeugen Sie einen 2048-Bit-Schlüssel, verwenden Sie einen versionierten Selektor, veröffentlichen Sie den TXT-Eintrag korrekt und prüfen Sie reale Header. Ein gemeinsamer Ablauf kann die Verwaltung mehrerer Anbieter und Domains vereinfachen. TrekMail bietet je nach Tarif eigene Domains, IMAP-Postfächer, gemeinsamen Speicher, IMAP-Migration und DNS-Prüfungen mit einem nicht pro Nutzer berechneten Tarifmodell. Einstieg und Bedingungen finden Sie auf trekmail.net, den Tarifvergleich auf trekmail.net/pricing.