Leitfaden: Authentifizierung

DKIM einrichten

DKIM signiert jede Nachricht mit einem privaten Schlüssel und veröffentlicht den passenden öffentlichen Schlüssel in Ihrem DNS. So kann ein Empfänger prüfen, welche Domain die Verantwortung für die Nachricht übernommen hat und dass die signierten Teile unterwegs nicht verändert wurden.

Zuletzt geprüft am 4. November 2026

Was eine DKIM-Signatur beweist

DomainKeys Identified Mail (DKIM, RFC 6376) fügt jeder Nachricht einen Header DKIM-Signature hinzu. Er nennt eine signierende Domain (d=) und einen Selektor (s=), listet die signierten Header auf und enthält einen Hash des Inhalts sowie eine Signatur über beides.

Der Empfänger holt den öffentlichen Schlüssel aus dem DNS, prüft die Signatur und berechnet den Hash des Inhalts neu. Ein Pass zeigt, dass die signierende Domain die Verantwortung für die Nachricht übernommen hat und die signierten Teile seit der Signatur unverändert sind.

Wo der Schlüssel liegt

Der öffentliche Schlüssel ist ein TXT-Eintrag unter selector._domainkey.yourdomain. Mit dem Selektor kann eine Domain mehrere Schlüssel gleichzeitig führen, etwa einen pro Versanddienst oder einen alten und einen neuen während eines Wechsels.

Ihr Versanddienst erzeugt das Schlüsselpaar, behält den privaten Schlüssel und gibt Ihnen den zu veröffentlichenden Eintrag. Kopieren Sie den Wert exakt: Ein fehlendes Zeichen im Wert p= lässt jede Signatur scheitern.

Lange Schlüssel überschreiten 255 Zeichen, die Grenze einer TXT-Zeichenkette. Die meisten DNS-Anbieter teilen sie selbst auf; falls Ihrer das nicht tut, tragen Sie den Wert als mehrere Zeichenketten in Anführungszeichen ein, die Empfänger zusammensetzen.
Veröffentlichen Sie den Eintrag als einfachen TXT-Eintrag, nicht über einen Proxy oder von einem DNS-Dienst umgeschrieben.

v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...

Schlüssellänge und Algorithmus

RFC 8301 schreibt vor, dass Signierende RSA-Schlüssel mit mindestens 1024 Bit verwenden müssen und mindestens 2048 Bit verwenden sollten, und dass sie nicht mit rsa-sha1 signieren dürfen. Ein RSA-Schlüssel mit 2048 Bit und rsa-sha256 ist heute die übliche Wahl und wird von allen großen Postfachanbietern akzeptiert.

Was eine Signatur bricht

Alles, was signierte Header oder den Inhalt nach der Signatur verändert: eine Mailingliste, die eine Fußzeile anhängt oder den Betreff ändert, ein Sicherheits-Gateway, das Links umschreibt, oder ein Server, der die Nachricht neu kodiert. Relaxed-Kanonisierung (c=relaxed/relaxed) toleriert Änderungen an Leerraum und an der Groß- und Kleinschreibung von Header-Namen, nicht am Inhalt.

Eine einfache Weiterleitung lässt die Signatur meist intakt, deshalb ist DKIM die robustere Hälfte von DMARC.

Das Ergebnis prüfen

Senden Sie eine Nachricht an ein eigenes Postfach und lesen Sie den Header Authentication-Results: Gewünscht ist dkim=pass mit header.d= auf Ihrer Domain. Steht dort die Domain Ihres Anbieters statt Ihrer eigenen, ist die Nachricht signiert, passt für DMARC aber nicht.

So setzt Mail.Land DKIM um

Wenn Sie eine Domain hinzufügen, erzeugt Mail.Land dafür ein RSA-Schlüsselpaar mit 2048 Bit und gibt Ihnen einen TXT-Eintrag, den Sie unter mlnd._domainkey.yourdomain veröffentlichen (der Selektor ist mlnd). Jede Nachricht dieser Domain wird mit ihrem eigenen Schlüssel und Ihrer Domain als d= signiert, sodass DKIM zu Ihrer From-Adresse passt.

DKIM ist Pflicht: SPF, DKIM und DMARC müssen alle verifiziert sein, bevor die Domain senden kann.

DNS-Einrichtung in der Mail.Land-Dokumentation