DKIM mit CNAME-Einträgen: delegierte Selektoren (Microsoft 365, SendGrid…)

Was das bedeutet

Ein DKIM-Schlüssel ist normalerweise ein langer TXT-Eintrag, veröffentlicht unter einem Namen wie selector._domainkey.yourdomain.com. Viele Anbieter wie Microsoft 365, SendGrid, Mailchimp oder Amazon SES bitten dich stattdessen, unter diesem Namen einen CNAME-Eintrag hinzuzufügen.

Ein CNAME ist ein Verweis. Er sagt: „Die Antwort liegt dort drüben, auf der Domain des Anbieters.“ Der Anbieter veröffentlicht dann den echten Schlüssel bei sich. Das nennt man einen delegierten Selektor. Sein großer Vorteil: Der Anbieter kann den Schlüssel wechseln (rotieren), ohne dass du dein DNS anfassen musst.

Typische Beispiele:

selector1._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
selector2._domainkey.yourdomain.com  CNAME  (value shown in Microsoft 365)
s1._domainkey.yourdomain.com         CNAME  s1.domainkey.u1234.wl.sendgrid.net

Warum das wichtig ist

• Wenn der CNAME falsch ist, finden Empfänger keinen Schlüssel und DKIM schlägt fehl, obwohl der Anbieter korrekt signiert.
• Microsoft 365 und andere Tools weigern sich, die DKIM-Signatur einzuschalten, bis sie deine CNAMEs sehen können.
• Ohne ausgerichtete DKIM-Signatur hängt DMARC nur von SPF ab, und SPF geht bei Weiterleitungen kaputt.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine SPF-, DMARC- und MX-Einträge zu lesen, ohne etwas zu senden.

Im Bericht zeigt die DKIM-Zeile, welche Domain signiert hat (d=) und ob der Schlüssel gefunden wurde.

So behebst du es

1. Kopiere die genauen Werte von deinem Anbieter. Rate sie nicht: Die Werte von Microsoft 365 enthalten deine Domain und den Namen deines Mandanten, die Werte von SendGrid deine Kontonummer.
2. Leg CNAME-Einträge an, keine TXT-Einträge. Wenn unter demselben Namen schon ein TXT-Eintrag existiert, lösche ihn: Ein Name kann nicht gleichzeitig einen CNAME und einen anderen Eintrag haben.
3. Prüfe das Namensfeld. Viele DNS-Verwaltungen hängen deine Domain automatisch an. Gib selector1._domainkey ein, nicht den vollständigen Namen, sonst bekommst du selector1._domainkey.yourdomain.com.yourdomain.com.
4. Schalte das Proxying aus. Stell DKIM-CNAMEs bei Cloudflare auf „DNS only“ (graue Wolke). Ein Eintrag mit Proxy liefert den Schlüssel nicht.
5. Füge alle verlangten Einträge hinzu. Microsoft 365 nutzt zwei Selektoren und wechselt zwischen ihnen, wenn es die Schlüssel rotiert. Wenn du nur einen hinzufügst, geht DKIM bei der nächsten Rotation kaputt.
6. Aktiviere die Signatur beim Anbieter. In Microsoft 365 muss DKIM für deine Domain im Defender-Portal eingeschaltet werden, nachdem die CNAMEs sichtbar sind. Andere Tools haben eine Schaltfläche „Verify“.

Teste den CNAME selbst

Führe auf einem Computer aus:

nslookup -type=TXT selector1._domainkey.yourdomain.com

Du solltest den CNAME sehen, gefolgt vom Schlüssel (v=DKIM1; k=rsa; p=...). Keine Antwort heißt, dass der CNAME fehlt oder falsch geschrieben ist.

Prüfe, ob es behoben ist

DNS-Änderungen können wenige Minuten bis 48 Stunden dauern. Sobald der Anbieter die Einträge bestätigt, sendest du eine neue E-Mail an eine frische Delivmail-Testadresse. Der Bericht sollte zeigen, dass DKIM mit d=yourdomain.com besteht und DMARC besteht.

Offizielle Hilfe: DKIM-Anleitung von Microsoft 365.