DKIM-Eintragsgenerator: Schlüssel und DNS korrekt einrichten

Wenn Sie nach einem DKIM-Eintragsgenerator suchen, weil Gmail oder Google Postmaster Tools Authentifizierungsfehler meldet, prüfen Sie zunächst die Grundkonfiguration. Unsere Anleitung für E-Mail mit eigener Domain behandelt MX, SPF, DKIM, DMARC und DNS-Fehler, die die Zustellung beeinträchtigen können.

Was viele Webwerkzeuge nicht ausreichend erklären: DKIM benötigt einen öffentlichen Schlüssel im DNS und einen privaten Schlüssel im signierenden System. Bei serverseitiger Erzeugung kann die Website auf den privaten Schlüssel zugreifen. Eine nachprüfbar rein lokale Browserimplementierung ist anders zu bewerten, doch ohne Prüfung sollten Sie sich darauf nicht verlassen. Mit dem privaten Schlüssel lassen sich Signaturen für Ihre Domain erzeugen; er bestätigt nicht die persönliche Identität im sichtbaren From-Feld.

Dieser Leitfaden beschreibt zwei praktikable Ansätze für einen DKIM-Eintragsgenerator im Zeitraum 2025-2026: lokale Schlüsselerzeugung mit OpenSSL für eigene Mailserver oder die vom tatsächlichen Versanddienst vorgegebene Einrichtung, etwa bei TrekMail, Amazon SES, SendGrid, Mailgun oder Google Workspace.

Was ist ein DKIM-Eintragsgenerator?

Ein DKIM-Eintragsgenerator bereitet die DNS-Daten für DomainKeys Identified Mail vor. Dazu gehört entweder ein RSA-Schlüsselpaar mit öffentlichem Schlüssel in einem TXT-Eintrag oder, bei unterstützter Delegierung, ein CNAME-Verweis auf den beim Anbieter veröffentlichten Schlüssel.

DKIM signiert ausgehende Nachrichten mit einem privaten Schlüssel. Empfangsserver beziehen den passenden öffentlichen Schlüssel aus DNS und prüfen die Signatur der signierten Daten unter den jeweiligen Kanonisierungsregeln. Damit wird eine Signatur der Domain geprüft, nicht die Identität des sichtbaren Absenders.

Nach RFC 8301 müssen Signierer rsa-sha256 und RSA-Schlüssel von mindestens 1024 Bit verwenden; empfohlen werden mindestens 2048 Bit. Ein geeigneter DKIM-Eintragsgenerator sollte deshalb RSA 2048 statt 1024 als Ausgangspunkt verwenden.

Warum ungeprüfte Webgeneratoren riskant sind

Bei einem öffentlichen Webgenerator müssen Sie nachvollziehen können, ob der private Schlüssel lokal erzeugt wird oder an den Dienst gelangt. Ohne geprüfte Implementierung kann die scheinbare Arbeitserleichterung ein langfristiges Risiko für die Signierung Ihrer Domain bedeuten.

DKIM ist mehr als das Formatieren einer DNS-Zeichenfolge. Der private Schlüssel benötigt Schutz wie andere produktive Zugangsdaten und gehört in das signierende System. Erstellt, protokolliert oder speichert ein fremder Dienst ihn, könnte er damit später Nachrichten unter Ihrer Domain signieren.

Öffentlicher Schlüssel ins DNS, privater Schlüssel ins signierende System. Liefert ein Webformular beide, prüfen Sie genau, wo die Erzeugung erfolgt und ob der private Schlüssel übertragen wird.

Das ist die entscheidende Frage bei jedem DKIM-Eintragsgenerator: Wo wurde der private Schlüssel erzeugt, und wer konnte darauf zugreifen? Bei einem nicht überprüfbaren Webdienst sollten Sie ihn nicht für den Produktivbetrieb übernehmen.

Lokale Erzeugung mit OpenSSL

OpenSSL auf Ihrem Rechner oder direkt auf dem signierenden Server ist eine kontrollierbare Alternative zum webbasierten DKIM-Eintragsgenerator. Sie vermeiden damit die Übergabe des privaten Schlüssels an einen fremden Webdienst, müssen aber den Rechner und die Schlüsseldateien angemessen schützen.

Dieser Weg eignet sich für Postfix, Exim, Exchange, OpenDKIM und andere selbst betriebene Mailumgebungen. Erzeugen Sie den Schlüssel lokal, installieren Sie den privaten Schlüssel auf dem signierenden Host und veröffentlichen Sie nur den öffentlichen Schlüssel im DNS.

Ein RSA-Schlüsselpaar mit 2048 Bit erzeugen:

openssl genrsa -out private.key 2048
openssl rsa -in private.key -pubout -out public.key

Die Datei public.key sieht ungefähr so aus:

-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr...
-----END PUBLIC KEY-----

Bereiten Sie den Inhalt anschließend auf:

1. Entfernen Sie die Zeilen BEGIN PUBLIC KEY und END PUBLIC KEY.
2. Entfernen Sie sämtliche Zeilenumbrüche.
3. Ergänzen Sie die DKIM-Tags.

Ein manuell angelegter TXT-Eintrag hat diesen Aufbau; verwenden Sie statt des gekürzten Beispiels Ihren vollständigen öffentlichen Schlüssel:

default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr..."

Der Schlüssel allein genügt nicht. Ein DKIM-Eintragsgenerator muss einen gültigen Eintrag erzeugen. Das optionale v=DKIM1 muss, wenn vorhanden, an erster Stelle stehen; p= ist erforderlich. Optionale Tags wie s=email oder t=s sind möglich, für eine einfache Einrichtung aber meist nicht erforderlich.

Die DNS-Grenze von 255 Oktetten

Längenbegrenzungen in DNS-Oberflächen können die Ausgabe eines DKIM-Eintragsgenerators unbrauchbar machen. Ein öffentlicher RSA-Schlüssel mit 2048 Bit ist lang. Manche Oberflächen benötigen deshalb mehrere Zeichenketten mit Anführungszeichen innerhalb desselben TXT-Eintrags.

Ältere Oberflächen können lange Werte ablehnen oder nur einen Teil speichern. Das kann zu permerror, ungültigem Schlüsselformat oder einer fehlerhaften DKIM-Anzeige führen, obwohl der Selektor vorhanden ist.

Wenn Ihr DNS-Anbieter den vollständigen Wert nicht direkt annimmt, teilen Sie ihn in mehrere Zeichenketten innerhalb eines einzigen TXT-Ressourceneintrags auf. Dieses Beispiel zeigt nur die Syntax, keinen verwendbaren Schlüssel:

default._domainkey.example.com. IN TXT (
  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEArFirstPart"
  "SecondPartOfTheSamePublicKey"
)

Die prüfende Anwendung setzt diese Zeichenketten zu einem logischen Wert zusammen; der Resolver kann sie getrennt anzeigen. Das ist reguläres TXT-Verhalten. Ein hilfreicher DKIM-Eintragsgenerator berücksichtigt die Eingaberegeln der DNS-Oberfläche und erläutert erforderliche Aufteilungen.

Anbieterkonfiguration statt eigener Schlüsselverwaltung

Für viele Unternehmen ist ein DKIM-Eintragsgenerator nur indirekt nötig: Der Versanddienst verwaltet den privaten Schlüssel. Einige Anbieter stellen CNAME-Einträge bereit und unterstützen automatische Rotation; andere verlangen TXT-Einträge oder zusätzliche Schritte. Auch ohne Eingriff ins DNS alle sechs Monate muss die jeweilige Rotation überprüft werden.

Bei TrekMail, Amazon SES, Google Workspace, SendGrid und Mailgun richten Sie sich nach den Vorgaben des tatsächlich sendenden Dienstes. Gibt dieser Selektor-CNAMEs vor, veröffentlicht er den DKIM-TXT-Schlüssel am Zielnamen. Liefert er stattdessen TXT-Werte, müssen Sie diese verwenden.

TrekMail bietet einen Einrichtungsablauf mit DNS-Prüfungen. Entscheidend ist aber die konkrete Versandkonfiguration, nicht eine pauschale Annahme über TXT oder CNAME. Beginnen Sie beim Hinzufügen einer Domain mit den aktuellen Vorgaben unter Domain hinzufügen.

Die Einrichtung hängt vom Versandweg ab. Nano verwendet eigenen SMTP für ausgehende Nachrichten; geeignete kostenpflichtige Tarife können verwalteten SMTP enthalten. Als Preisorientierung wird Starter ab $3.50/Monat genannt. Kostenpflichtige Tarife können eine 14-tägige Testphase mit erforderlicher Kreditkarte anbieten. Nano wird ohne diese Testphase und ohne Karte angeboten. Prüfen Sie die aktuellen Tarifbedingungen.

Für TrekMail-Nutzer richtet sich der passende DKIM-Eintragsgenerator nach dem Versandweg:

1. Signiert TrekMail beim verwalteten SMTP-Versand, verwenden Sie die im Dashboard angezeigten DNS-Einträge.
2. Bei eigenem SMTP kann der Relay-Anbieter signieren, sofern dies eingerichtet ist. Veröffentlichen Sie dessen tatsächlich benötigte DKIM-Einträge.
3. Liefert der Anbieter CNAME-Selektoren, übernehmen Sie diese. Wandeln Sie sie nicht allein wegen einer allgemeinen TXT-Anleitung um.

Bei der Wahl zwischen Weiterleitungen, Aliasen und Postfächern helfen Domain-E-Mail-Alias oder Postfach und E-Mail-Alias-Weiterleitung. Diese Entscheidungen beeinflussen, welches System tatsächlich sendet und welche DKIM-Einrichtung nötig ist.

Wo der Selektor veröffentlicht wird

Ein DKIM-Eintragsgenerator liefert keinen Eintrag für die Domainwurzel. Der Schlüssel wird unter einem Selektor-Hostnamen wie default._domainkey, google._domainkey oder tm1._domainkey gesucht.

DNS-Oberflächen unterscheiden sich: Manche erwarten nur den relativen Hostnamen, andere den vollständigen Namen. Ergänzt die Oberfläche die Zone automatisch, kann eine vollständige Eingabe zu default._domainkey.example.com.example.com führen. Unter diesem falschen Namen findet der Empfänger den benötigten Schlüssel nicht.

Typische relative Namen:

default._domainkey
selector1._domainkey
tm1._domainkey

Bei vielen Kundendomains summieren sich solche Fehler. Für Agenturen sind deshalb wiederholbare DNS-Abläufe besonders hilfreich. Unser Leitfaden zu E-Mail-Hosting für mehrere Domains erläutert die Verwaltung größerer Domainbestände.

Die Ausgabe eines DKIM-Eintragsgenerators prüfen

Ergänzen Sie eine positive Dashboard-Anzeige durch eine DNS-Abfrage. Das Ergebnis eines DKIM-Eintragsgenerators können Sie mit dig direkt unter dem Selektor abfragen und selbst prüfen.

Beginnen Sie mit dieser Abfrage:

dig txt default._domainkey.example.com +short

Bei einem verfügbaren Eintrag sehen Sie den DKIM-Wert oder seine TXT-Zeichenketten. Nach Änderungen können Sie zusätzlich einen öffentlichen Resolver abfragen:

dig txt default._domainkey.example.com @8.8.8.8 +short

Achten Sie auf folgende Fälle:

1. Keine Antwort: Prüfen Sie Selektor, Hostname, DNS-Caches und mögliche Abfragefehler. Das Ergebnis allein nennt keine eindeutige Ursache.
2. Scheinbar unvollständige Antwort: Vergleichen Sie sämtliche TXT-Zeichenketten und den gespeicherten Wert, bevor Sie eine Kürzung annehmen.
3. Mehrere widersprüchliche DKIM-TXT-Einträge unter demselben Selektor: Bereinigen Sie diese vor dem nächsten Test.
4. Korrektes DNS, aber fehlerhafte Signatur: Prüfen Sie Header, Selektor und die Übereinstimmung des privaten Schlüssels beim Sender.

Bei weiteren Problemen mit Gmail prüfen Sie Googles aktuelle Vorgaben für Massenversender zu SPF, DKIM und DMARC. DKIM-Probleme können Einschränkungen begünstigen, bedeuten aber nicht automatisch einen DMARC-Fehler, wenn ausgerichtetes SPF besteht. Die geltenden Einzelheiten stehen in Googles FAQ zu den Absenderrichtlinien.

TrekMail-Nutzer sollten auch den tatsächlichen Versandweg prüfen. Die Referenz für IMAP- und SMTP-Einstellungen erläutert eigenen SMTP-Versand bei Nano und TrekMail SMTP in dafür vorgesehenen kostenpflichtigen Tarifen. Für Spam-Einstufungen trotz korrekter DNS-Einträge hilft Meine E-Mails landen im Spam.

Fazit: DKIM passend zur Mailarchitektur einrichten

Der geeignete DKIM-Eintragsgenerator passt zu Ihrer Mailarchitektur. Eigene Server können Schlüssel lokal erzeugen. Bei gehosteten Diensten verwenden Sie die vorgegebenen TXT- oder Delegierungseinträge und klären, wie der Anbieter Schlüsselwechsel handhabt.

Für einen eigenen MTA bietet sich lokales OpenSSL an. Schützen Sie den privaten Schlüssel wie andere produktive Zugangsdaten. Bei TrekMail, SES oder einem anderen Anbieter übernehmen Sie dessen tatsächliche Vorgaben, statt ungeprüfte Schlüssel aus einem Webformular zu verwenden.

Ein abgestimmter Ablauf mit verwalteter Authentifizierung und nachvollziehbaren Prüfungen kann manuelle Fehler reduzieren. Das ist bei mehreren Marken, Kundendomains oder laufenden Migrationen besonders hilfreich. Beim Aufbau der Umgebung lesen Sie zunächst Domain-E-Mails an Gmail weiterleiten und vergleichen anschließend die TrekMail-Tarife.

Ein DKIM-Eintragsgenerator sollte ein nachvollziehbarer Einrichtungsschritt sein, keine undurchsichtige Quelle für produktive Schlüssel.