DKIM-Schlüssel zu kurz (1024 Bit) und wie du ihn rotierst

Was das bedeutet

DKIM signiert jede E-Mail mit einem privaten Schlüssel, der auf dem sendenden Server liegt. Der passende öffentliche Schlüssel wird in deinem DNS veröffentlicht. Je länger der Schlüssel, desto schwerer ist es, deine Signatur zu fälschen. Schlüssel mit 1024 Bit waren jahrelang Standard, aber 2048 Bit ist jetzt die empfohlene Größe. Schlüssel mit 512 oder 768 Bit gelten als geknackt und viele Empfänger ignorieren sie.

Einen Schlüssel zu „rotieren“ heißt, ihn durch einen neuen zu ersetzen. Das ist von Zeit zu Zeit gute Praxis und dringend, wenn der private Schlüssel durchgesickert sein könnte.

Warum das wichtig ist

• Ein schwacher Schlüssel kann theoretisch geknackt werden, sodass jemand E-Mails im Namen deiner Domain signieren kann.
• Manche Empfänger und Sicherheitsaudits bemängeln 1024-Bit-Schlüssel.
• Ein Schlüssel, der seit vielen Jahren genutzt wird oder auf einem Server lag, den du nicht mehr kontrollierst, sollte ersetzt werden.

So prüfst du es

Sende eine Test-E-Mail an deine Adresse auf der Startseite (/). Der Abschnitt DKIM zeigt den genutzten Selektor (den Wert s=) und ob die Signatur besteht. Du kannst deine Domain auch unter /domain-scanner scannen. Ein öffentlicher 2048-Bit-Schlüssel im DNS ist viel länger als einer mit 1024 Bit, etwa 400 Zeichen.

So behebst du es

Die sichere Methode ist ein neuer Selektor, sodass alter und neuer Schlüssel während der Umstellung nebeneinander existieren.

Mit einem E-Mail-Anbieter

• Google Workspace: Erzeuge in den DKIM-Einstellungen der Admin-Konsole einen neuen Eintrag und wähle 2048 Bit. Veröffentliche ihn, warte auf das DNS und starte dann die Authentifizierung mit dem neuen Schlüssel neu.
• Microsoft 365: Neue Domains nutzen 2048-Bit-Schlüssel. Microsoft kann Schlüssel in den DKIM-Einstellungen im Defender-Portal für dich rotieren und nutzt dafür seine zwei Selektoren.
• Newsletter-Tools: Die meisten verwalten die Schlüsselgröße selbst. Sieh in ihrer Dokumentation nach, wenn dein Test einen kurzen Schlüssel zeigt.

Mit deinem eigenen Server (OpenDKIM)

1. Erstelle einen Schlüssel mit einem neuen Selektor, zum Beispiel nach dem Datum benannt:

   opendkim-genkey -b 2048 -d yourdomain.com -s 2025a

2. Veröffentliche den öffentlichen Schlüssel aus 2025a.txt als TXT-Eintrag auf 2025a._domainkey.yourdomain.com. Manche DNS-Oberflächen verlangen, lange Werte in mehrere Teile in Anführungszeichen mit höchstens 255 Zeichen aufzuteilen; die meisten Oberflächen machen das für dich.
3. Warte, bis der neue Eintrag überall sichtbar ist, mindestens ein paar Stunden.
4. Stell das Signieren in deiner OpenDKIM-Konfiguration auf den neuen Schlüssel und Selektor um und starte OpenDKIM dann neu.
5. Behalte den alten Eintrag etwa eine Woche lang, damit kurz vor der Umstellung signierte E-Mails noch geprüft werden können.
6. Entferne den alten Eintrag aus dem DNS oder ersetze ihn durch einen leeren Schlüssel (v=DKIM1; p=), um zu zeigen, dass er widerrufen ist.

Gute Gewohnheiten

• Rotiere Schlüssel alle sechs bis zwölf Monate.
• Sorge dafür, dass private Schlüssel nur vom Signierdienst gelesen werden können.
• Rotiere sofort, wenn ein Server mit dem Schlüssel kompromittiert wurde.

Prüfe, ob es behoben ist

Sende einen neuen Test über die Startseite. Der Abschnitt DKIM sollte den neuen Selektor und eine bestandene Signatur zeigen. Starte /domain-scanner, um zu bestätigen, dass der neue Eintrag veröffentlicht ist, und prüfe nach einer Woche, dass der alte entfernt wurde.