DKIM-Selektor: verstehen, einrichten und prüfen

Ein DKIM-Selektor fällt häufig erst auf, wenn die Authentifizierung scheitert, Gmail Nachrichten in Spam einsortiert oder ein Anbieter einen ungewöhnlichen TXT-Eintrag wie tm1._domainkey.example.com verlangt. Die Kennung wirkt nebensächlich, doch ein falscher Selektor kann DKIM verhindern. Dann kann auch DMARC scheitern, sofern kein erfolgreiches, ausgerichtetes SPF vorliegt. Das kann die Zustellung beeinträchtigen.

Bei mehreren Absendern auf einer Domain wird die Zuordnung schwieriger. Der Postfachanbieter signiert mit einem Schlüssel, das Marketingtool mit einem anderen, das CRM mit einem weiteren. Ohne Verständnis des Selektors bleibt unklar, welches System eine Signatur verantwortet, welcher DNS-Eintrag bei einer Rotation geändert werden muss und warum ein Versandstrom besteht, ein anderer nicht. Den größeren Zusammenhang erklärt Geschäftsmail.

Betrachten Sie den Selektor als Kennung für die Zuordnung eines DKIM-Schlüssels. Sobald seine Verbindung zum DNS klar ist, lassen sich Einrichtung und Fehlerbehebung systematisch durchführen.

Was ist ein DKIM-Selektor?

Ein DKIM-Selektor ist die Kennung in der Signatur, anhand derer der Empfänger den öffentlichen Schlüssel im DNS findet. Dadurch kann eine Domain gleichzeitig mehrere Schlüssel für verschiedene Systeme, Versandströme oder Rotationen veröffentlichen.

Der Selektor ist nicht der Schlüssel selbst, sondern ein Suchhinweis. Im DKIM-Signature-Header steht er im Tag s=. Die Signaturdomain steht in d=. Daraus bildet der Empfänger eine Anfrage wie selector._domainkey.example.com und ruft den öffentlichen Schlüssel aus dem TXT-Eintrag ab.

RFC 6376 definiert dies: Der Prüfer verwendet die Domain aus d= und den Selektor aus s= zum Auffinden des Schlüssels. Ein fehlender oder falscher Selektor kann die Prüfung dieser Signatur verhindern.

Bei d=example.com und s=tm1 fragt der Empfänger tm1._domainkey.example.com ab.

Welche Aufgabe hat der DKIM-Selektor?

Der Selektor bestimmt, welcher öffentliche DKIM-Schlüssel für eine konkrete Nachricht verwendet werden soll. Er ermöglicht mehrere Schlüssel derselben Domain ohne Namenskollisionen.

Das hat drei wichtige betriebliche Vorteile.

1. Absendertrennung: Helpdesk und Transaktionsanwendung können unterschiedliche Selektoren nutzen.
2. Schlüsselrotation: Einen neuen Selektor veröffentlichen, die Signierung umstellen und den alten erst nach Ablauf noch unterwegs befindlicher Post entfernen.
3. Begrenzte Auswirkungen: Bei kompromittiertem oder widerrufenem Anbieterschlüssel müssen andere Absender nicht zwangsläufig geändert werden.

Gut gepflegte Versandkonfigurationen verwenden deshalb häufig mehrere DKIM-Einträge mit eigenen Selektoren und behandeln sie wie andere Zugangsdaten, statt dauerhaft alles mit einem Schlüssel zu signieren.

Wo finden Sie den DKIM-Selektor?

Den Selektor finden Sie in Mailheadern oder den DNS-Anweisungen des Versandanbieters. In echten Nachrichten erscheint er als s= im DKIM-Signature-Header.

Öffnen Sie die vollständigen Header einer angekommenen Nachricht und suchen Sie DKIM-Signature:. Relevant sind diese Tags:

• d= zeigt die Signaturdomain.
• s= zeigt den DKIM-Selektor.

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=tm1;
 c=relaxed/relaxed; h=from:to:subject:date:message-id;
 bh=...; b=...

Hier ist der Selektor tm1. Prüfen Sie diesen DNS-Eintrag:

tm1._domainkey.example.com TXT

Bei einem neuen Absender liefert der Anbieter meist Selektor und TXT-Wert oder CNAME-Ziel. TrekMail beschreibt einen Domainablauf mit erforderlichen DNS-Einträgen und Statusprüfungen im Dashboard. Die Dokumentationen zu erforderlichen DNS-Einträgen und zur DNS-Statusprüfung helfen bei der Zuordnung zu den Eingabefeldern.

Wie veröffentlichen Sie den Selektor im DNS?

Erstellen Sie einen DNS-Eintrag unter selector._domainkey.yourdomain.com. Meist ist dies ein DKIM-TXT-Eintrag; manche Anbieter nutzen einen CNAME auf ihren verwalteten Schlüssel.

Die üblichen Muster sehen so aus:

DKIM mit TXT:

Host: tm1._domainkey
Type: TXT
Value: v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ...

DKIM mit CNAME:

Host: tm1._domainkey
Type: CNAME
Value: tm1.example-com.dkim.vendor.net.

Erfinden Sie keinen eigenen Selektor, wenn der Anbieter ihn vorgibt. Verlangt er s1, veröffentlichen Sie s1._domainkey. Zeigt TrekMail für den tatsächlich verwendeten Versandweg dkim._domainkey, übernehmen Sie Host und Wert exakt. Bei externem Versand im Nano-Tarif ist eigenes SMTP (BYO) hilfreich; maßgeblich sind die Angaben des externen Signierers.

Wie prüfen Sie den DKIM-Selektor?

Prüfen Sie zunächst die DNS-Auflösung und anschließend, ob echte Nachrichten denselben Selektor nutzen und DKIM bestehen.

Fragen Sie DNS direkt ab:

dig +short TXT tm1._domainkey.example.com
nslookup -type=TXT tm1._domainkey.example.com

Eine leere Antwort kann auf einen fehlenden oder falsch platzierten Eintrag, noch nicht aktualisierte Caches oder andere DNS-Probleme hinweisen. Sie ist allein keine eindeutige Diagnose.

Senden Sie dann eine Nachricht und prüfen Sie die Header:

Authentication-Results: mx.google.com;
 dkim=pass header.i=@example.com header.s=tm1 header.b=...
 spf=pass smtp.mailfrom=example.com;
 dmarc=pass header.from=example.com

Prüfen Sie Folgendes:

• dkim=pass
• header.s=tm1 stimmt mit dem veröffentlichten Selektor überein
• header.i ist nicht die maßgebliche DMARC-Domain; dafür muss d= zur From-Domain passen

Bei häufigen Weiterleitungen lesen Sie auch E-Mail-Weiterleitung. SPF kann dort scheitern. Gültiges, ausgerichtetes DKIM kann DMARC weiterhin bestehen lassen, solange die signierten Inhalte nicht entsprechend verändert wurden; Zustellung wird dadurch nicht garantiert.

Warum scheitert die Prüfung mit einem Selektor?

Häufige Ursachen sind ein falscher DNS-Hostname, ein beschädigter Schlüssel, ein anderer aktiver Signaturselektor oder Änderungen an der Nachricht nach dem Signieren.

Diese Fehler treten im Betrieb oft auf:

1. Falscher Host: _domainkey.tm1 statt tm1._domainkey veröffentlicht.
2. Falsche Domain: Signierung mit d=mg.example.com, Eintrag aber unter example.com.
3. Falsche DNS-Zone: Der Eintrag liegt auf nicht autoritativen Nameservern.
4. Abgeschnittener Schlüssel: Das DNS-Panel hat den TXT-Wert beim Einfügen gekürzt.
5. Alter Selektor weiterhin aktiv: Nach einer Rotation signiert der Sender noch mit der vorherigen Kennung.
6. Nachträgliche Änderungen: Weiterleiter oder Gateways verändern geschützte Header oder den Nachrichtentext.

Googles dokumentierte Absendervorgaben weisen auf mögliche Drosselung oder Blockierung bei nicht erfüllten Authentifizierungsanforderungen hin. Google beschreibt auch SPF-Probleme bei Weiterleitung. Ein funktionierender Selektor ist deshalb wichtig, aber nur ein Teil der vollständigen Signaturprüfung.

Wie benennen Sie einen DKIM-Selektor?

Ein Selektor sollte einfach, nachvollziehbar und einem betrieblichen Zweck zugeordnet sein. Aussagekräftige Namen beschleunigen die Fehleranalyse, weil die Schlüsselverantwortung erkennbar wird.

Namen wie default, key1 oder test funktionieren, vermitteln langfristig aber wenig Kontext. Verständlichere Muster sind:

• tm1 für verwalteten TrekMail-Versand
• ses2026q1 für eine Amazon-SES-Rotation
• crm1 für eine CRM-Plattform
• mktg2026a für Marketingversand

Sofern der Anbieter freie Benennung zulässt, wählen Sie Kennungen, die Verantwortung und Einführungszeitpunkt erkennen lassen. Das erleichtert Prüfungen vieler Domains, besonders beim E-Mail-Hosting für mehrere Domains.

Wie rotieren Sie einen DKIM-Selektor risikoarm?

Veröffentlichen Sie den neuen Schlüssel unter einem neuen Selektor, stellen Sie die Signierung um und warten Sie, bis alte Nachrichten nicht mehr auf den bisherigen Schlüssel angewiesen sind. Entfernen Sie erst danach den alten Eintrag.

Überschreiben Sie einen aktiven Schlüssel nicht ohne ausdrückliche Anbietervorgabe. Ein vorsichtigerer Ablauf:

1. Neuen Selektor anlegen, beispielsweise von tm1 auf tm2 wechseln.
2. Neuen DNS-Eintrag veröffentlichen.
3. DNS-Aktualisierung abwarten und prüfen.
4. Sender auf den neuen Selektor umstellen.
5. Testnachricht senden und dkim=pass mit neuem Selektor bestätigen.
6. Alten Eintrag für eine angemessene Übergangszeit behalten.
7. Erst entfernen, wenn kein Sender ihn nutzt und alte Nachrichten keinen Schlüsselabruf mehr benötigen.

Bei mehreren Versandsystemen ist das besonders wichtig. Statt einen langlebigen Schlüssel überall zu teilen, ordnen Sie jedem Sender einen eigenen Selektor zu, planen Rotation und begrenzen die Auswirkungen von Änderungen.

Wie behandelt TrekMail den DKIM-Selektor?

TrekMail beschreibt DNS-Angaben und Statusprüfungen sowie verwalteten Versand in kostenpflichtigen Tarifen und BYO SMTP in Nano. Das kann die korrekte Einordnung von Selektor und DNS-Status erleichtern. Prüfen Sie die aktuellen Leistungen.

Für Postfachhosting und Verwaltung werden ein Domain-Dashboard, gemeinsamer Speicher, Bereitstellung per Einladung, Weiterleitung und integrierte IMAP-Migration beschrieben. Beim Versand unterscheiden sich die Modelle:

• Kostenpflichtige Tarife können verwaltetes TrekMail-SMTP nutzen, das laut Beschreibung mit dem DKIM-Schlüssel Ihrer Domain signiert.
• Nano nutzt BYO SMTP; der externe Versandanbieter bestimmt den aktiven Selektor und die Signierung.

Bei externem Versand stammen die maßgeblichen Selektorangaben normalerweise aus dessen DNS-Anleitung. Bei verwaltetem TrekMail-SMTP verwenden Sie den dafür angezeigten DKIM-Eintrag. Starter wird ab $3.50 pro Monat beschrieben, kostenpflichtige Tarife mit einer 14-tägigen Testphase und erforderlicher Kreditkarte, Nano als kostenlos ohne Testphase. Prüfen Sie die aktuellen Bedingungen und das Pauschalmodell ohne Nutzergebühren unter TrekMail-Preise.

Prüfliste zur Fehlerbehebung beim DKIM-Selektor

Gehen Sie systematisch vor: Selektor im Header bestätigen, den genauen DNS-Host prüfen, die aktive Signierkonfiguration kontrollieren und Änderungen an signierten Inhalten auf dem Transportweg untersuchen.

1. Eine echte Nachricht prüfen und s= sowie d= notieren.
2. selector._domainkey.domain direkt im DNS abfragen.
3. Autoritative Nameserver prüfen, nicht nur die Registraroberfläche.
4. Vorgabe für TXT oder CNAME bestätigen.
5. From-Domain mit der Signaturdomain für DMARC-Alignment vergleichen.
6. Nach Weiterleitung, Gateways oder Listensoftware erneut prüfen, wenn Nachrichten verändert werden.

Besteht direkt gesendete Post, weitergeleitete dagegen nicht, kann die Ursache beim Weiterleiter liegen statt beim Selektor. Google beschreibt solche Signaturänderungen auch in seinen Weiterleitungshinweisen. Lesen Sie gegebenenfalls Domain-E-Mail an Gmail weiterleiten.

Fazit: Was sollten Sie sich zum DKIM-Selektor merken?

Der Selektor sagt Empfängern, welchen öffentlichen DKIM-Schlüssel sie im DNS abrufen sollen. Mit dieser Zuordnung wird die Fehlersuche deutlich übersichtlicher.

Der richtige Selektor am richtigen Host und eine passende Signierkonfiguration sind notwendig, garantieren aber noch keine erfolgreiche Prüfung oder Zustellung. Prüfen Sie zuerst Header, dann DNS und schließlich Änderungen auf dem Versandweg. Trennen Sie Selektoren nach Absender und rotieren Sie mit neuen Namen statt riskanten direkten Überschreibungen. TrekMail beschreibt dafür Mehrdomain-Hosting, DNS-Prüfungen, Migrationstools und Pauschalpreise ohne Gebühren pro Nutzer; aktuelle Konditionen sollten Sie prüfen.