DKIM (DomainKeys Identified Mail) ist ein essentieller Baustein moderner E-Mail-Authentifizierung. Wenn Sie DKIM prüfen und korrekt konfigurieren, erhöhen Sie nicht nur die Zustellbarkeit Ihrer E-Mails erheblich, sondern schützen auch Ihre Domain vor Missbrauch durch Spammer und Phishing-Angriffe. In diesem Leitfaden erfahren Sie, wie Sie Ihren DKIM-Eintrag systematisch überprüfen und häufige Fehlerquellen vermeiden.
DKIM funktioniert durch digitale Signaturen, die Ihren ausgehenden E-Mails hinzugefügt werden. Diese Signaturen ermöglichen es Empfangsservern zu verifizieren, dass eine E-Mail tatsächlich von Ihrer Domain stammt und während der Übertragung nicht manipuliert wurde. Doch selbst eine korrekt eingerichtete DKIM-Konfiguration kann durch Updates, Serverwechsel oder DNS-Änderungen beeinträchtigt werden.
Eine regelmäßige Überprüfung bietet mehrere entscheidende Vorteile:
Wenn Sie DKIM prüfen möchten, untersuchen Sie im Wesentlichen zwei Komponenten: den öffentlichen Schlüssel in Ihren DNS-Einträgen und die DKIM-Signatur in den E-Mail-Headern. Der Prozess läuft folgendermaßen ab:
Beim Versenden einer E-Mail erstellt Ihr Mailserver eine digitale Signatur mit einem privaten Schlüssel und fügt diese dem E-Mail-Header hinzu. Der Empfangsserver ruft dann den zugehörigen öffentlichen Schlüssel aus Ihrem DNS-TXT-Eintrag ab und vergleicht ihn mit der Signatur. Stimmen beide überein, gilt die E-Mail als authentifiziert.
Ein typischer DKIM-DNS-Eintrag folgt diesem Muster:
selektor._domainkey.ihredomain.de
Der Eintrag enthält mehrere wichtige Parameter:
Der einfachste Weg, DKIM zu prüfen, führt über spezialisierte Online-Tools. Diese analysieren Ihre DNS-Einträge und zeigen übersichtlich an, ob Ihre DKIM-Konfiguration korrekt ist. Bei email-checken.de können Sie solche Prüfungen durchführen und erhalten detaillierte Diagnosen zu möglichen Problemen.
Geben Sie einfach Ihre Domain und den verwendeten DKIM-Selektor ein. Das Tool prüft dann automatisch:
Eine praxisnahe Methode ist das Versenden einer Test-E-Mail an einen speziellen Prüfdienst oder an ein eigenes E-Mail-Konto, bei dem Sie die vollständigen Header untersuchen können. In den E-Mail-Headern finden Sie dann Einträge wie:
DKIM-Signature: v=1; a=rsa-sha256; d=ihredomain.de; s=selektor;
Erfolgreiche DKIM-Validierungen werden meist mit dkim=pass in den Authentication-Results gekennzeichnet.
Technisch versierte Anwender können DKIM auch direkt über DNS-Abfragen prüfen. Mit dem Befehl nslookup oder dig lassen sich DKIM-Einträge abfragen:
dig selektor._domainkey.ihredomain.de TXT
Diese Methode zeigt den tatsächlichen DNS-Eintrag, wie er weltweit verfügbar ist, und hilft bei der Fehlersuche.
Ein häufiger Fehler beim DKIM prüfen ist die Verwendung eines falschen Selektors. Stellen Sie sicher, dass der in Ihrem Mailserver konfigurierte Selektor mit dem im DNS-Eintrag übereinstimmt. Viele E-Mail-Dienste verwenden Standardselektoren wie "default", "mail" oder "k1".
Leerzeichen, fehlende Anführungszeichen oder fehlerhafte Zeilenumbrüche können DKIM-Einträge ungültig machen. Besonders bei langen öffentlichen Schlüsseln kommt es zu Formatierungsproblemen. Achten Sie darauf, dass der gesamte Schlüssel korrekt als ein zusammenhängender String gespeichert wird.
Aus Sicherheitsgründen sollten DKIM-Schlüssel regelmäßig erneuert werden. Nach einer Schlüsselrotation muss der DNS-Eintrag aktualisiert werden. Prüfen Sie nach solchen Änderungen unbedingt, ob der neue Eintrag korrekt propagiert wurde.
Ältere DKIM-Implementierungen verwenden teilweise nur 512-Bit-Schlüssel. Moderne Best Practices empfehlen mindestens 1024 Bit, besser noch 2048 Bit für höhere Sicherheit. Wenn Sie DKIM prüfen und eine zu kurze Schlüssellänge feststellen, sollten Sie ein Update in Betracht ziehen.
DKIM entfaltet seine volle Wirkung erst im Zusammenspiel mit anderen E-Mail-Authentifizierungsverfahren. Während DKIM die Integrität und Authentizität der Nachricht sichert, definiert SPF, welche Server E-Mails für Ihre Domain versenden dürfen.
Die Kombination beider Verfahren wird durch DMARC koordiniert, das festlegt, wie Empfangsserver bei fehlgeschlagenen Prüfungen reagieren sollen. Eine vollständige E-Mail-Sicherheitsstrategie sollte alle drei Komponenten umfassen.
Wenn Sie DKIM prüfen und optimieren, sollten Sie daher auch SPF und DMARC in Ihre Überlegungen einbeziehen. Nur wenn alle drei Mechanismen korrekt konfiguriert sind, erreichen Sie maximale Zustellbarkeit und Sicherheit.
Statt generischer Namen wie "default" können Sie aussagekräftige Selektoren verwenden, die beispielsweise das Datum der Erstellung enthalten (z.B. "dkim202401"). Dies erleichtert die Verwaltung bei Schlüsselrotationen.
Fortgeschrittene Konfigurationen können mehrere DKIM-Signaturen verwenden – etwa eine für die Hauptdomain und eine für Subdomains. Dies erhöht die Flexibilität und Sicherheit.
Halten Sie fest, welche Selektoren verwendet werden, wann Schlüssel erstellt wurden und welche Mailserver DKIM-Signaturen erzeugen. Dies erleichtert Fehlersuche und Wartung erheblich.
Richten Sie ein Monitoring ein, das Sie benachrichtigt, wenn plötzlich viele E-Mails die DKIM-Validierung nicht bestehen. Dies kann ein Frühwarnsignal für Konfigurationsprobleme oder Angriffe sein.
Während grundlegende DKIM-Prüfungen unkompliziert sind, können komplexe E-Mail-Infrastrukturen mit mehreren Versandservern, Drittanbieter-Diensten oder Legacy-Systemen besondere Herausforderungen mit sich bringen. In folgenden Situationen ist professionelle Unterstützung sinnvoll:
Detaillierte Informationen zur umfassenden E-Mail-Sicherheit finden Sie auch in unserem Artikel zum DKIM Check und Schutz vor Spam und Phishing.
Wenn Sie DKIM prüfen und dauerhaft korrekt konfigurieren, investieren Sie in die Zuverlässigkeit Ihrer E-Mail-Kommunikation. Die regelmäßige Überprüfung sollte fester Bestandteil Ihrer IT-Wartungsroutine sein – idealerweise monatlich oder nach jeder Änderung an Ihrer E-Mail-Infrastruktur. Mit den richtigen Tools und dem Wissen um häufige Fehlerquellen lässt sich DKIM effizient überwachen und optimieren. So stellen Sie sicher, dass Ihre geschäftskritischen E-Mails zuverlässig ankommen und Ihre Domain-Reputation geschützt bleibt.