Was ist ein DKIM-Eintrag? Einrichtung und DKIM-Check [2026]

Eine starke, positive und sichere Absender-Reputation zu halten ist schwierig, wenn alle 39 Sekunden eine Bedrohung aus dem Netz auftaucht und der Anteil der Phishing-E-Mails mit Schadsoftware zuletzt auf 97 % gestiegen ist. ISPs vertrauen Unternehmen nicht, deshalb ist es schwer, sich einen Namen zu machen. Es gibt aber auch für alle einen Ausweg, die gerade erst ein Unternehmen aufbauen und auf geteilte IPs angewiesen sind, die für ihre Ausrutscher in Sachen Cybersicherheit bekannt sind.

Einer der besten Wege, deinen Namen zu schützen und deinen Sender Score auf ein neues Niveau zu heben, sind Authentifizierungsprotokolle, die Newsletter und die Verbindung zwischen Marke und Endnutzer absichern. Es gibt mehrere verbreitete Standards. Heute konzentrieren wir uns auf DKIM, eine der tragenden Säulen von DMARC, die für die meisten ISPs eine entscheidende Rolle dabei spielt, die Echtheit einer E-Mail zu bestimmen.

Gehen wir die Grundlagen durch: was DKIM ist, wie du einen DKIM-Eintrag in nur 5 einfachen Schritten erstellst und mit welchen Werkzeugen du einen DKIM-Check machst, um sicherzugehen, dass alles wie vorgesehen funktioniert.

Was ist DKIM?

Fangen wir vorne an: Was ist DKIM überhaupt?

DKIM steht für DomainKeys Identified Mail, ein Internetstandard, der in RFC 6376 definiert ist. Ähnlich wie SPF gehört es zu den vertrauenswürdigsten und am weitesten verbreiteten Authentifizierungsverfahren, mit denen Internetanbieter die Gesundheit von E-Mail-Verbindungen sichern. In erster Linie dient es dazu, Spoofing zu bekämpfen.

Spoofing ist eine Form von Cyberangriff, bei der sich ein Angreifer als vertrauenswürdige Quelle ausgibt, um ungehindert durch Filter und Sicherheitsprotokolle zu kommen, an persönliche Daten zu gelangen, Schadsoftware zu verbreiten, Zugangskontrollen im Netzwerk zu umgehen oder Traffic umzuleiten. Passieren kann das auf Websites, bei Telefonanrufen, in E-Mails und auf Servern.

Laut aktuellen Studien ist Spoofing die häufigste Form von Cyberkriminalität im Jahr 2021, deren Häufigkeit sich in den vergangenen Jahren verdoppelt hat. Phishing-Angriffe haben mehr als 80 % aller Organisationen weltweit getroffen.

Das ist also ein großes Problem, um das sich jedes Unternehmen kümmern sollte. Ein Weg dorthin ist ein DKIM-Eintrag. Er hilft dabei, gefälschte Absenderadressen in E-Mails zu erkennen, und verhindert, dass Angreifer ihre Identität hinter einer fremden verstecken, den Inhalt der Nachricht unterwegs verändern und Identitäten und Vermögenswerte stehlen.

Ähnlich wie SPF, dessen Aufgabe es ist, ISPs und anderen Systemen eine Liste autorisierter Absender bereitzustellen, arbeitet DKIM mit dem Konzept des Domain-Inhabers. Einfach gesagt erzeugt es für jede E-Mail, die von der autorisierten Domain versendet wird, eine digitale Signatur. Über asymmetrische Kryptografie (Public-Key-Kryptografie, bei der jede Partei zwei Schlüssel besitzt) bekommt die E-Mail eine eindeutige digitale Signatur. Um sie zu verifizieren, nutzen empfangende Server den öffentlichen Schlüssel, der über den DKIM-Eintrag zugänglich ist.

Was ist ein DKIM-Eintrag?

Der DKIM-Eintrag ist ein abgewandelter DNS-TXT-Eintrag, der im DNS der versendenden Domain hinterlegt wird. Er enthält einen öffentlichen Schlüssel, der gleichzeitig mit dem privaten Schlüssel erzeugt wird. Beide Schlüssel sind mathematisch miteinander verbunden, sodass das System die Echtheit eines Absenders bestätigen und prüfen kann, ob wirklich der autorisierte Absender die Nachricht verschickt hat.

Du kannst so viele DKIM-Einträge anlegen, wie du willst und brauchst. Die einzige Grenze ist dein DNS-Hosting-Dienst.

Der vollständige DKIM-Eintrag von Returnpath.com

Wie funktioniert DKIM?

Der Ablauf von DKIM ist recht geradlinig. Der ganze Prozess besteht aus wenigen Schritten:

• Schritt 1: Der versendende Server fügt dem E-Mail-Header einen privaten Schlüssel hinzu, auf den nur er selbst zugreifen kann.
• Schritt 2: Der empfangende Server bekommt die E-Mail und startet einen DKIM-Check. Dazu gehört
  • die Signatur aus dem E-Mail-Header holen;
  • den DKIM-Eintrag aus den DNS-Einträgen abrufen;
  • den öffentlichen Schlüssel der Domain abrufen;
  • die Signatur mit dem öffentlichen Schlüssel validieren.
• Schritt 3: Auf Basis der Prüfergebnisse entscheidet der empfangende Server über das Schicksal der E-Mail.

Besteht die E-Mail den DKIM-Check und ist der Absender echt und autorisiert, kommt sie durch die Sicherheitsbarriere und erreicht den Empfänger. Denk aber daran, dass kein einzelner Faktor die endgültige Entscheidung bestimmt. Wie bei SPF ist DKIM nur einer von mehreren Faktoren, die ein ISP vor seiner Entscheidung berücksichtigt. Die E-Mail kann also trotzdem abgewiesen werden.

Scheitert die E-Mail am DKIM-Check, hält der empfangende Server sie für unrechtmäßig. Auch hier gilt: Es gibt keine Garantie von 100 %, dass sie abgewiesen wird. Genauso gut kann sie im Spam-Ordner landen.

Auch wenn der DKIM-Eintrag zu den besten Standards gehört, hat er weiterhin Schwächen, die ISPs dazu zwingen, mehr als ein Authentifizierungsverfahren auszuwerten. Sehen wir uns ein paar verbreitete Schwachstellen von DKIM an.

Schwächen des DKIM-Eintrags

Nichts kann für absolute Sicherheit bürgen. Jede Technologie und jeder Standard hat Nachteile, der DKIM-Eintrag ist da keine Ausnahme.

Um das Beste aus dem DKIM-Eintrag herauszuholen, musst du seine Schwächen kennen, denn sie zeigen dir, welche zusätzlichen Protokolle und Standards du für den bestmöglichen Gesamtschutz einsetzen solltest.

Die größten Schwächen des DKIM-Eintrags sind:

• Sein Wirkungsbereich ist begrenzt.
• Er verifiziert nur den E-Mail-Header und ignoriert den Inhalt. Das ist ein gewaltiges Sicherheitsleck, um das du dich kümmern musst. Selbst mit DKIM kann ein Angreifer eine Nachricht mit Schadsoftware erstellen, sie DKIM-signieren lassen und von der vertrauenswürdigen Domain aus versenden. Nutzer können also möglicherweise E-Mails mit einem Virus öffnen.
• Er sagt der empfangenden Seite nicht, wie sie mit Nachrichten umgehen soll, die die Authentifizierung nicht bestehen.
• Keines der Canonicalization-Verfahren von DKIM (simple und relaxed) kennt die MIME-Struktur. Manche Server zerstören die DKIM-Signatur deshalb, indem sie die MIME-Struktur umschreiben.
• Eine Authentifizierung mit kurzen Schlüsseln (von 384 Bit bis 512 Bit) lässt sich leicht faktorisieren. Nutze Schlüssel mit mindestens 1024 Bit.
• Wird die authentifizierte E-Mail weitergeleitet, zum Beispiel von einem ESP, kann sie von Mobilgeräten abgewiesen werden.
• DKIM kann die Verbreitung bereits signierter Nachrichten nicht stoppen, die sich als gefälscht herausstellen.
• Die Gültigkeit von Signaturen lässt sich über ein Tag für die Ablaufzeit begrenzen.
• Manchen Domainnamen auf Whitelists wird allein aufgrund von DKIM vertraut. E-Mails von dort gelten ohne Rückfrage als sicher. Das kann eine Grundlage für Spoofing und Phishing sein.

Trotzdem sollten diese Nachteile dich nicht davon abhalten, das Sicherheitsniveau von DKIM einzuführen. Erstens lassen sich diese Schwächen mit anderen Sicherheitsprotokollen abfedern, allen voran mit DMARC, das den Empfängern sagt, wie sie mit Nachrichten umgehen sollen, die die Authentifizierung nicht bestehen. Dennoch haben 42 % der Domains, die wir prüfen, weiterhin gar keine DMARC-Policy, sodass DKIM ohne diese Absicherung arbeitet. Zweitens bringt DKIM erhebliche Vorteile. Sehen wir uns an, warum ein DKIM-Check wichtig ist.

Warum ist der DKIM-Check wichtig?

Für seriöse Absender ist DKIM fast schon Grundvoraussetzung: Von den Domains, die wir testen, signieren 87 % ihre E-Mails mit einem funktionierenden DKIM-Schlüssel, die übrigen 13 % wirken auf ISPs also auffällig unauthentifiziert. Trotz der Schwachstellen ist DKIM sehr zu empfehlen, weil es einem Unternehmen erhebliche Vorteile bringt. Zum Beispiel:

• DKIM-signierte E-Mails wirken für Server wie für Abonnenten legitim.
• DKIM stellt sicher, dass Nachrichten auf dem Weg zwischen versendendem und empfangendem Server nicht verändert werden.
• DKIM-signierte E-Mails landen seltener im Spam-Ordner.
• DKIM bekämpft Spoofing und macht das Netz damit sicherer.
• Der DKIM-Eintrag passt hervorragend zu SPF und anderen Sicherheitsprotokollen.
• DKIM ist vollständig mit der E-Mail-Infrastruktur kompatibel und macht deinen Newsletter deshalb nicht kaputt.
• Ohne DKIM kannst du DMARC nicht umsetzen.
• Eine zusätzliche Vertrauensschicht in deiner Signatur kann deine Conversion-Raten verbessern.
• DKIM verbessert die Zustellbarkeit und damit auch die Öffnungsrate, was dir eine solide Chance auf erfolgreiche E-Mail-Marketing-Kampagnen gibt.
• DKIM stärkt die Absender-Reputation, egal ob du eine geteilte IP nutzt oder eine dedizierte. Das wird für Start-ups und kleine Unternehmen immer wichtiger, die bei ISPs meist unter Verdacht stehen.
• DKIM stärkt die Reputation der Marke.

Infografik zur E-Mail-Zustellbarkeit

Wie richtest du einen DKIM-Eintrag ein?

Ob du einen ESP nutzt, der dir den Großteil der Arbeit abnimmt, oder deinen eigenen Mailserver betreibst: Zwei Dinge brauchst du auf jeden Fall,

• einen einzigartigen privaten Schlüssel, sicher aufbewahrt,
• einen öffentlichen Schlüssel, den du mit anderen Systemen wie ESPs, ISPs oder empfangenden Mailservern teilst, damit sie den DKIM-Check machen können.

Ähnlich wie SPF-Einträge nutzt auch DKIM abgewandelte DNS-TXT-Einträge, um Schlüssel zu speichern und zu teilen. Format und Syntax sind dabei eigen.

Der Ablauf, um deine Domain mit DKIM zu schützen, ist geradlinig und braucht nur fünf einfache Schritte.

Schritt 1: Informationen sammeln

Sammle und liste die Domains auf, die mit deiner Erlaubnis E-Mails an deine Abonnenten versenden. Alle betroffenen versendenden Domains sollten DKIM-Einträge haben, und diese sollten in öffentlich sichtbaren DNS-Einträgen stehen.

Schritt 2: Den Editor für DNS-Einträge öffnen

Öffne den Editor für DNS-Einträge, zum Beispiel den DNS-Editor von DNSimple. Du brauchst ihn, um DNS-Einträge zu erstellen, zu ändern, anzusehen und zu verwalten. ESPs und die Control Panels von Hosting-Anbietern bieten in der Regel einen intuitiven Assistenten.

Schritt 3: Ein Paar aus privatem und öffentlichem Schlüssel erzeugen

Wenn du einen ESP oder Google App (Gmail) nutzt, bekommst du die Schlüssel von dort. Sie liegen entweder als TXT-Eintrag in deiner Zone oder als CNAME, also als Canonical-Name-Eintrag. Letzterer verweist meist auf den Schlüssel im DNS des Anbieters.

Alternativ kannst du das Paar über hilfreiche Online-Werkzeuge erzeugen, zum Beispiel DKIMCore Keys, die ein Schlüsselpaar aus öffentlichem und privatem Schlüssel mit 1024 Bit erstellen. Es gibt nur einen Haken: Deine Schlüssel landen in der Datenbank des Dienstes. Um das zu vermeiden, kannst du auf kostenpflichtige Dienste ausweichen.

Wenn du keine Scheu vor Code hast, kannst du das Paar jederzeit auf deinem eigenen Rechner mit dem Kommandozeilenwerkzeug OpenSSL erzeugen. Der Befehl sieht so aus:

openssl genrsa -out your_domain_name.com.priv 1024

openssl rsa -in your_domain_name.com.priv -pubout > your_domain_name.com.pub

Für die Grundlagen lohnt sich dieses hilfreiche Tutorial: How to create a DKIM record with OpenSSL.

Wohin gehören öffentlicher und privater Schlüssel?

Der öffentliche Schlüssel gehört in den öffentlichen DNS-TXT-Eintrag.

Der private Schlüssel gehört in den E-Mail-Header.

Schritt 4: Den DKIM-Eintrag erstellen

Je nach Hosting-Anbieter oder ESP bekommst du einen Assistenten mit intuitiver Oberfläche, um einen DKIM-Eintrag zu erstellen. In der Regel besteht der Ablauf aus einfachen Schritten wie

• Domain und Subdomains im Reiter „Domain“ ergänzen.
• Den erzeugten DKIM-TXT-DNS-Eintrag kopieren, meist im Reiter „Domain Verification“ oder ähnlich zu finden.
• Den DNS-Anbieter öffnen und den Eintrag dort ergänzen.

Auch wenn ESPs viel in Schutz und Cybersicherheit investieren, ist es weiterhin sehr zu empfehlen, die Angaben zur Verifizierung speziell für deine Domain und deine Organisation einzurichten.

Wenn du auf dich allein gestellt bist, kannst du den DKIM-Eintrag mit Online-Diensten erzeugen, indem du Domain und Selector angibst, ganz ähnlich wie beim Erzeugen der beiden Schlüssel. Unser eigener DKIM-Record-Generator baut den TXT-Eintrag in Sekunden aus deiner Domain und deinem Selector, oder du siehst dir diese Werkzeuge an:

• DKIM Generator von EasyDmarc;
• DKIM Wizard von Sparkpost;
• Kostenloser DKIM Record Generator von Dmarcly.

Dort kannst du sogar die Schlüssellänge wählen, die so lang wie möglich sein sollte.

Schritt 5: Den Policy-Eintrag erstellen

Nutzt eine Domain Domain Keys, solltest du einen einzelnen Policy-Eintrag konfigurieren, es sei denn, dein ESP nimmt dir die schwere Arbeit ab.

Der Policy-Eintrag ist ein wesentlicher DNS-TXT-Eintrag mit dem eindeutigen Präfix _domainkey und deinem Domainnamen. Er sollte so aussehen:

_domainkey.example.com

In diesem Eintrag legst du die Policy über einen Parameter fest:

• „o=-“ bedeutet, dass alle E-Mails, die von dieser Domain versendet werden, signiert sind.
• „o=~“ bedeutet, dass nur ein Teil der E-Mails von dieser Domain signiert ist.

Zu guter Letzt

Es ist sehr zu empfehlen, deine privaten und öffentlichen Schlüssel mindestens alle drei Monate zu wechseln. Die alten Schlüssel solltest du widerrufen. Füge neue Schlüssel aber nicht gleichzeitig hinzu, während du die alten entfernst. Die Änderungen brauchen Zeit, bis sie greifen. In der Regel dauert das 24 bis 48 Stunden. Warte also einige Tage, bevor du die alten Schlüssel abschaltest.

Werkzeuge für den DKIM-Check

Das Hauptproblem beim DKIM-Eintrag: Ist er nicht korrekt gesetzt oder wird er falsch zurückgeliefert, blockieren die empfangenden ISPs die E-Mail eher, weil sie eine fehlerhafte Umsetzung als Zeichen eines Cyberangriffs werten.

Deshalb ist es entscheidend, einen DKIM-Check zu machen und DKIM-Einträge doppelt zu prüfen, sobald du sie eingerichtet hast. Wie geht das? Ganz einfach mit speziellen Werkzeugen. Sie prüfen zwei entscheidende Punkte:

• Ist überhaupt ein öffentlicher DKIM-Schlüssel vorhanden?
• Ist die DKIM-Syntax korrekt?

Es gibt eine Reihe vertrauenswürdiger Online-Prüfer, darunter unser eigener DKIM-Check. Jeder davon bietet dir eine intuitive Oberfläche, auf der du schnell einen DKIM-Check durchführst, um sicherzugehen, dass alles passt und die Sicherheitsschicht steht. Wähle den, der am besten zu dir passt.

• Unspam. Unspam ist ein professioneller Spam-Test für E-Mails samt Heatmap-Vorhersage und intuitiver Oberfläche. Die Hauptaufgabe: dir zeigen, wie sicher deine E-Mails sind. Du findest dort einen Bericht zum DKIM-Eintrag sowie zu SPF und DMARC. Der ganze Ablauf beim Prüfen des DKIM-Eintrags besteht darin, eine E-Mail an die Testadresse zu schicken. Einfach.
• Mail Tester. Anders als Unspam macht Mail Tester nur eine Sache: Der Dienst prüft, ob deine Domain zwei gängige E-Mail-Signaturen (SPF und DKIM) hat und ob sie in genau diesem Moment sauber eingerichtet und gültig sind. Hier musst du deine Domain und deinen DKIM-Selector eintragen.
• DKIM Inspector. DKIM Inspector ist ein Online-Werkzeug von Dmarcian, deren Team einiges über Bedrohungen aus dem Netz weiß. Das Werkzeug prüft den DKIM-Eintrag und sagt dir, ob der öffentliche Teil korrekt und sauber umgesetzt ist. Die Oberfläche ist dieselbe wie im vorigen Beispiel. Du musst deine Domain und deinen DKIM-Selector kennen.
• Inspector Tool von Agari. Dieses Lookup für DKIM-Einträge verifiziert deine E-Mail-Header und liefert Informationen über die Statusseite der DKIM-Signatur.

Wie dir vielleicht aufgefallen ist, verlangen die meisten Werkzeuge für den DKIM-Check die Eingabe des DKIM-Selectors, außer Unspam, das dir die schwere Arbeit abnimmt. Sehen wir uns also an, wo und wie du an deinen DKIM-Selector kommst.

Unspam

Wie findest du deinen DKIM-Selector?

Der DKIM-Selector ist ein Teil des E-Mail-Headers, der zeigt, wo im DNS der öffentliche Schlüssel liegt. Der empfangende Server nutzt ihn, um den Schlüssel abzurufen. Der Hauptzweck des DKIM-Selectors ist es, demselben Domainnamen mehrere DKIM-Schlüssel für besseren Schutz zu erlauben.

Am einfachsten kommst du an deinen DKIM-Selector, indem du dir selbst eine E-Mail schickst. Danach folgst du diesem einfachen Verfahren in 4 Schritten:

• Öffne die E-Mail.
• Klicke auf „Original anzeigen“, je nach Programm heißt die Option auch „view raw“ oder „view full headers“.
• Suche im E-Mail-Header nach DKIM: Der Abschnitt beginnt mit „DKIM-signature“.
• Suche ein Attribut, das mit „s=“ beginnt. Das ist dein DKIM-Selector.

Gibt es mehrere DKIM-Signaturen, brauchst du die, die deine Domain enthält.

Findest du im E-Mail-Header keine DKIM-Signature, ist die Funktion schlicht nicht eingerichtet.

Fazit

Als einer der zentralen Faktoren, die ISPs bei ihrer Entscheidung über das Schicksal einer E-Mail berücksichtigen, ist DKIM erstaunlich leicht durchzusetzen: Es sind nur 5 einfache Schritte, für die du weder besondere Fähigkeiten noch zusätzliche Zeit brauchst. Wenn dir das zu mühsam ist, kannst du den Eintrag über vertrauenswürdige Online-Dienste erzeugen lassen oder die Sache an deinen ESP oder das Support-Team deines Hosting-Anbieters abgeben.

Trotz seiner Einfachheit bringt DKIM digitalen Unternehmen viele Vorteile. Es hilft dabei, Spoofing und Phishing zu bekämpfen, die Zustellbarkeit zu steigern, hohe Öffnungsraten zu sichern und das Netz und die Verbindung zwischen Nutzern sicherer zu machen.

Diese Sicherheitsschicht ist keine Pflicht, aber sehr zu empfehlen, denn sie gibt dir eine echte Chance, dein Geschäft reibungslos zu betreiben, egal welche digitalen Bedrohungen an jeder Ecke lauern.