DKIM (DomainKeys Identified Mail)

Definition: DKIM – kurz für DomainKeys Identified Mail – ist ein E-Mail-Authentifizierungsprotokoll, das versendete E-Mails mit einer kryptografischen digitalen Signatur ausstattet. Diese Signatur beweist, dass die Nachricht tatsächlich von einem autorisierten Mailserver der angegebenen Absender-Domain verschickt wurde und auf dem Weg zum Empfänger nicht verändert worden ist. Das Verfahren basiert auf asymmetrischer Kryptografie: Der versendende Mailserver signiert die E-Mail mit einem privaten Schlüssel, den er geheim hält. Der dazu passende öffentliche Schlüssel wird als DNS-TXT-Record unter einem frei wählbaren Selektor in der DNS-Zone der Absender-Domain veröffentlicht. Der empfangende Mailserver kann den öffentlichen Schlüssel aus dem DNS abrufen, die Signatur rechnerisch überprüfen und so feststellen, ob die E-Mail authentisch ist. DKIM wurde 2007 in RFC 4871 standardisiert und 2011 in RFC 6376 aktualisiert. Es ist neben SPF (Sender Policy Framework) und DMARC (Domain-based Message Authentication, Reporting and Conformance) eine der drei Säulen moderner E-Mail-Authentifizierung. Seit Anfang 2024 verlangen Google und Yahoo für alle Massensender zwingend eine gültige DKIM-Signatur, was DKIM für professionelles E-Mail-Marketing de facto zum absoluten Pflichtstandard macht. Ohne korrekt konfiguriertes DKIM landen E-Mails zuverlässig im Spam-Ordner oder werden vollständig abgelehnt.

Erläuterung

Der technische Ablauf einer DKIM-Signatur beginnt, bevor die E-Mail das sendende System verlässt. Der Mailserver oder ein vorgeschaltetes Signing-Gateway berechnet einen kryptografischen Hash-Wert über definierte Teile der E-Mail – in der Regel den Nachrichtenkörper sowie ausgewählte Header wie „From", „Subject" und „Date". Dieser Hash-Wert wird mit dem privaten DKIM-Schlüssel verschlüsselt und zusammen mit Metadaten wie dem Selektor-Namen, der signierenden Domain und der Liste der signierten Header als DKIM-Signature-Header in die ausgehende E-Mail eingefügt. Beim Empfänger läuft der Prozess in umgekehrter Richtung ab: Der empfangende Server liest aus dem DKIM-Signature-Header den Selektor und die Domain heraus, ruft den zugehörigen öffentlichen Schlüssel via DNS-Abfrage (TXT-Record) ab und entschlüsselt die Signatur. Anschließend berechnet er eigenständig einen Hash über dieselben E-Mail-Bestandteile und vergleicht das Ergebnis. Stimmen beide Hash-Werte überein, ist die Signatur gültig – die E-Mail ist authentisch und unverändert. Stimmen sie nicht überein, wurde die E-Mail entweder nach dem Versand verändert oder sie stammt von einem nicht autorisierten Absender.

Ein wesentlicher Vorteil von DKIM gegenüber SPF besteht in seiner Persistenz bei E-Mail-Weiterleitungen. SPF prüft die IP-Adresse des sendenden Servers und schlägt bei Weiterleitungen über Drittserver regelmäßig fehl, weil der weiterleitende Server eine andere IP-Adresse besitzt. DKIM hingegen ist an den Inhalt der Nachricht gebunden: Solange der Nachrichteninhalt unverändert bleibt, gilt die ursprüngliche Signatur auch nach Weiterleitungen noch als gültig. Dies macht DKIM zu einer robusteren Authentifizierungsmethode in realen Mailinfrastrukturen, die häufig Weiterleitungsketten enthalten. Voraussetzung ist allerdings, dass der weiterleitende Server den DKIM-Header nicht entfernt oder den Nachrichteninhalt verändert, was bei einigen Mailinglisten-Programmen leider vorkommt.

DKIM-Signaturen können auf verschiedenen Ebenen konfiguriert werden. Neben der einfachen Signatur der eigenen Absender-Domain ist es auch möglich, mehrere Signaturen einzufügen – beispielsweise eine vom E-Mail-Service-Provider (ESP) für seine eigene Versand-Subdomain und eine zweite für die eigentliche Marken-Domain des Absenders. Diese Praxis wird als „Aligned Signing" bezeichnet und ist für eine vollständige DMARC-Konformität erforderlich, da DMARC die DKIM-Domain mit der sichtbaren „From"-Domain abgleicht.

Technische Schlüsselkonzepte

Privater Schlüssel: Wird ausschließlich auf dem sendenden Mailserver oder beim ESP gespeichert und dient zur Erstellung der Signatur. Niemals öffentlich zugänglich machen.
Öffentlicher Schlüssel: Wird als DNS-TXT-Record unter dem Format SELEKTOR._domainkey.DOMAIN veröffentlicht, zum Beispiel mail._domainkey.example.com.
Selektor: Ein frei wählbarer Name, der mehrere gleichzeitig aktive DKIM-Schlüssel einer Domain ermöglicht – zum Beispiel bei verschiedenen Versandkanälen oder während einer Schlüsselrotation.
Schlüssellänge: Mindestens 2048 Bit gelten seit 2024 als Standard; 1024 Bit werden von einigen Empfänger-Servern bereits abgelehnt. RSA-4096 oder ED25519 bieten noch höhere Sicherheit.
Canonicalization: Legt fest, wie Header und Body vor der Hash-Berechnung normalisiert werden. Die Einstellungen „relaxed/relaxed" sind robuster gegen minimale technische Veränderungen auf dem Transportweg.

DKIM im Zusammenspiel mit SPF und DMARC

SPF (Sender Policy Framework): Autorisiert bestimmte IP-Adressen als gültige Absender einer Domain. Ergänzt DKIM, ersetzt es aber nicht, da SPF bei Weiterleitungen versagt.
DMARC (Domain-based Message Authentication, Reporting and Conformance): Baut auf DKIM und SPF auf und legt fest, wie Empfänger-Server mit E-Mails umgehen sollen, die beide Prüfungen nicht bestehen. DMARC erfordert, dass mindestens eine der Methoden im „Alignment" mit der From-Domain ist.
BIMI (Brand Indicators for Message Identification): Ermöglicht die Anzeige des Marken-Logos im Posteingang. BIMI setzt zwingend eine valide DMARC-Policy voraus, die wiederum auf DKIM basiert.
ARC (Authenticated Received Chain): Erweitert DKIM für Weiterleitungsszenarien, indem es eine Kette von Authentifizierungsergebnissen durch den Transportweg bewahrt.

Praxisrelevante Einrichtungsschritte

Schlüsselpaar erzeugen: Die meisten ESPs (Mailchimp, Brevo, HubSpot usw.) generieren das Schlüsselpaar automatisch und liefern den DNS-Eintrag fertig formatiert.
DNS-TXT-Record setzen: Den vom ESP gelieferten TXT-Record im DNS-Verwaltungsbereich der Absender-Domain eintragen. TTL von 3600 Sekunden (1 Stunde) empfehlenswert.
Propagationszeit abwarten: DNS-Änderungen benötigen zwischen einigen Minuten und 48 Stunden zur weltweiten Verbreitung.
Verifikation: Tools wie MXToolbox DKIM Lookup, Mail-Tester.com oder der Google Admin Toolbox Check MX ermöglichen die einfache Überprüfung der korrekten Konfiguration.
Schlüsselrotation: Mindestens jährlicher Tausch des DKIM-Schlüsselpaares erhöht die Sicherheit und ist in einigen regulatorischen Umgebungen vorgeschrieben.

Praxistipp: Überprüfen Sie nach jeder DNS-Änderung die DKIM-Signatur mit einem kostenlosen Online-Tool wie MXToolbox oder Mail-Tester.com, bevor Sie eine große Kampagne versenden. Nutzen Sie Selektoren wie „q1-2026" oder „brevo" zur schnellen Identifikation, welcher Kanal oder Zeitraum mit welchem Schlüssel signiert. Richten Sie außerdem DMARC-Reporting ein, um automatisch benachrichtigt zu werden, wenn Dritte unberechtigt Ihre Domain zum Versand missbrauchen – DKIM allein ohne DMARC bietet keinen Schutz vor Domain-Spoofing.