DKIM einrichten: DNS-Anleitung Schritt für Schritt

Wer 2026 ohne DKIM sendet, erhöht das Risiko von Ablehnung und Spamzustellung. Google und Yahoo verlangen von vielen Absendern kryptografische Authentifizierung. Zu wissen, wie man DKIM einrichtet, hilft gegen Fehler wie 550 5.7.26. Die tatsächliche Zustellung hängt dennoch von Empfängerrichtlinien und Reputation ab.

DKIM, DomainKeys Identified Mail, versieht ausgehende Nachrichten mit einer digitalen Signatur. Der Empfänger prüft sie anhand eines öffentlichen Schlüssels im DNS. Bei Übereinstimmung lässt sich bestätigen, dass der passende private Schlüssel verwendet und der signierte Inhalt nicht verändert wurde. Andernfalls kann die Nachricht markiert oder verworfen werden.

Diese Anleitung deckt den gesamten Ablauf von Schlüsselerzeugung über DNS-Veröffentlichung bis zur Prüfung für verschiedene Anbieter ab. Richten Sie SPF zuerst ein, falls es noch fehlt: siehe SPF-Eintrag für E-Mail.

Was DKIM bewirkt (30-Sekunden-Version)

DKIM verwendet asymmetrische Kryptografie nach RFC 6376. Der Mailserver hält den privaten Schlüssel und signiert jede ausgehende Nachricht. Der passende öffentliche Schlüssel steht in einem DNS-TXT-Eintrag. Der Empfänger ruft ihn ab und validiert die Signatur.

Zwei Dinge werden nachgewiesen:

• Identität: Die Nachricht wurde von einem System mit dem zur Domain gehörenden privaten Schlüssel signiert.
• Integrität: Der signierte Inhalt wurde unterwegs nicht verändert.

Ohne DKIM kann die Domain-Reputation leiden. Postfachanbieter behandeln unsignierte Nachrichten oft vorsichtiger, und dieses Signal kann sich über Zeit auswirken.

DKIM einrichten: Der vollständige Ablauf

Die DKIM-Einrichtung umfasst vier Schritte: Schlüssel erzeugen, DNS-Eintrag veröffentlichen, Verbreitung prüfen und DMARC-Ausrichtung bestätigen. Jeder dauert nur wenige Minuten, darf aber nicht ausgelassen werden.

Schritt 1: DKIM-Schlüsselpaar erzeugen

Das Schlüsselpaar wird bei Ihrem E-Mail-Anbieter erzeugt. Nutzen Sie keine beliebige DKIM-Generator-Website eines Dritten. Wer Ihren privaten Schlüssel erzeugt, könnte Nachrichten im Namen Ihrer Domain signieren.

Sie erhalten zwei Angaben: einen Selector, etwa s1, google oder tm1, und den öffentlichen Schlüsselwert. Mit Selektoren können mehrere DKIM-Schlüssel auf derselben Domain laufen, beispielsweise getrennt für Marketing und Transaktionsmail.

TrekMail-Nutzer

• Starter, Pro und Agency ($3.50-$23.25/mo): Nach aktuellem Funktionsstand wird DKIM automatisch verwaltet. Der Assistent erzeugt und rotiert Schlüssel; Sie ergänzen einen CNAME zu TrekMail.
• Nano ($0, keine Karte erforderlich): Bei eigenem SMTP wie Amazon SES, SendGrid oder Mailgun erzeugen Sie die Schlüssel im jeweiligen Dashboard.

Andere Anbieter

• Google Workspace: Admin Console → Apps → Gmail → Authenticate Email → Generate New Record. Sonderfälle erklärt Googles offizielle DKIM-Anleitung.
• Microsoft 365: Defender → Policies & rules → Threat policies → Email authentication settings → DKIM.
• Amazon SES: Verified Identities → Click Domain → DKIM → Generate.
• SendGrid: Settings → Sender Authentication → Authenticate Your Domain.

Die Ausgabe sieht ungefähr so aus:

Selector: tm1
Value: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A...

Kopieren Sie beide Angaben für den nächsten Schritt.

Schritt 2: DKIM-DNS-Eintrag veröffentlichen

Melden Sie sich beim tatsächlichen DNS-Anbieter an, etwa Cloudflare, Namecheap, GoDaddy oder Route 53, und erstellen Sie einen Eintrag.

Die Konfiguration:

Type:  TXT  (or CNAME if your provider gave you a CNAME target)
Host:  selector._domainkey
Value: v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY_HERE
TTL:   3600

Wichtig: Bei Selector tm1 lautet das Hostfeld tm1._domainkey, nicht tm1._domainkey.example.com. Die meisten DNS-Oberflächen hängen die Domain automatisch an. Andernfalls tragen Sie den vollständigen Hostnamen ein.

Das Problem mit 2048-Bit-Schlüsseln

Verwenden Sie 2048-Bit-Schlüssel als aktuellen Standard; manche Anbieter akzeptieren 1024 Bit nicht mehr. Ein 2048-Bit-Schlüssel kann jedoch die Grenze von 255 Zeichen pro DNS-TXT-Abschnitt überschreiten.

Bei der Meldung „Invalid Length“ teilen Sie den Wert in zwei Zeichenfolgen in Anführungszeichen:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCg
KCAQEAx7...first-half-of-key..."
"second-half-of-key...QAB"

Der DNS-Server fügt sie automatisch zusammen. Cloudflare und moderne Anbieter übernehmen die Teilung meist selbst. In älteren cPanel-Oberflächen kann sie manuell nötig sein.

Schritt 3: DKIM-Eintrag prüfen

DNS-Änderungen wirken nicht sofort. Warten Sie 5-15 Minuten und prüfen Sie dann die öffentliche Sichtbarkeit.

Unter Mac oder Linux:

dig txt tm1._domainkey.yourdomain.com +short

Unter Windows:

nslookup -q=txt tm1._domainkey.yourdomain.com

Erwartete Ausgabe:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQE..."

Häufige Fehler:

• NXDOMAIN: Der Eintrag fehlt, ist noch nicht verbreitet oder enthält eine doppelte Domain wie tm1._domainkey.example.com.example.com. Prüfen Sie das Hostfeld.
• Leere Antwort: Der Eintrag existiert, ist aber fehlerhaft. Kopieren Sie den vollständigen Schlüssel ohne nachgestellte Leerzeichen oder zusätzliche Zeilenumbrüche.

Schritt 4: DKIM-Ausrichtung mit DMARC prüfen

Zur korrekten DKIM-Einrichtung gehört die Ausrichtung. Hier scheitern viele Systeme unbemerkt. Eine Signatur kann mathematisch gültig sein und trotzdem zur DMARC-Ablehnung führen.

DMARC verlangt Ausrichtung: Die Domain im DKIM-Tag d= muss zur Domain im Header From: passen. Beispiel für eine Abweichung:

From: you@yourcompany.com
DKIM signature: d=sendgrid.net

Result: DKIM passes, DMARC fails (domains don't match)

Das geschieht bei einem Drittanbieter-ESP ohne eigenes DKIM, teils „domain authentication“ oder „whitelabeling“ genannt. Der ESP signiert mit seiner Domain statt Ihrer.

Aktivieren Sie eigenes DKIM in jedem Dienst, der für Sie sendet. Beim verwalteten SMTP von TrekMail wird nach aktuellem Stand mit Ihrer Domain signiert; kontrollieren Sie die Header trotzdem nach der Inbetriebnahme.

Das Zusammenspiel der Protokolle erklärt unser Leitfaden zur Absenderreputation.

Häufige Fehler bei DKIM

Achten Sie nach der vollständigen Einrichtung besonders auf diese Fallen:

1. Einen Versanddienst vergessen. Google Workspace, CRM und Marketingplattform benötigen jeweils einen eigenen Selector und DKIM-Eintrag. Eine fehlende Signatur senkt die DMARC-Erfolgsrate.
2. 1024-Bit-Schlüssel verwenden. Ältere Anleitungen setzen noch auf 1024 Bit. Nutzen Sie 2048 Bit, weil es sicherer und zunehmend erforderlich ist.
3. Schlüssel nicht rotieren. Rotieren Sie mindestens jährlich. Nach Kompromittierung eines privaten Schlüssels könnten Dritte Nachrichten fälschen. TrekMail rotiert Schlüssel in verwalteten Tarifen nach aktuellem Stand automatisch.
4. Das Format selector._domainkey missachten. Unterstrich und Suffix _domainkey sind erforderlich. Bei falschem Hostnamen wird der Eintrag nicht gefunden.

Wie TrekMail DKIM automatisiert

Für eine Domain dauert der manuelle Ablauf etwa 20 Minuten. Bei 10 oder 50 Domains wird er zur betrieblichen Belastung. Ein abgelaufener Schlüssel oder fehlerhafter Selector kann Zustellprobleme über Tage verursachen.

Der aktuelle TrekMail-Ansatz:

• Nano ($0): Ein Assistent führt durch SPF, DKIM und DMARC. Keine Kreditkarte erforderlich.
• Starter ($3.50/mo) und Pro ($10/mo): Verwaltetes DKIM mit Erzeugung, Rotation und Signatur. Sie ergänzen einen CNAME. Alle Tarife enthalten eine 14-tägige Testphase, Karte erforderlich.
• Agency ($23.25/mo): Dieselbe verwaltete Authentifizierung für Kundendomains, TLS und DKIM-Signatur am Gateway.

Das reduziert manuelle DNS-Arbeit und Selector-Suche um 2 Uhr morgens. TrekMail kostenlos testen und DKIM häufig in unter fünf Minuten einrichten; die DNS-Verbreitung kann länger dauern.

Zusammenfassung

DKIM ist 2026 eine Grundlage der E-Mail-Zustellbarkeit. Ohne DKIM steigt das Risiko von Rückläufern oder Spam. Mit DKIM weisen Sie den Signierenden nach und erkennen Veränderungen signierter Inhalte.

Erzeugen Sie Schlüssel beim Anbieter, veröffentlichen Sie den TXT-Eintrag, prüfen Sie die Verbreitung und bestätigen Sie die DMARC-Ausrichtung. Wiederholen Sie dies je Versanddienst, rotieren Sie mindestens jährlich und überwachen Sie die Erfolgsrate in DMARC-Berichten.

Wenn die Plattform die Authentifizierung verwalten soll, übernehmen TrekMails verwaltete Tarife nach aktuellem Stand Erzeugung und Rotation. Weitere Bausteine behandeln SPF-Einrichtung und sichere Business-E-Mail.