DKIM-Signatur scheitert (ungültige Signatur oder Body-Hash)

Was das bedeutet

Deine E-Mail trägt eine DKIM-Signatur, aber wenn der Empfänger sie prüft, passt sie nicht. Es gibt zwei Hauptarten von Fehlern:

• Ungültige Signatur oder Schlüssel nicht gefunden: Der öffentliche Schlüssel in deinem DNS fehlt, ist falsch oder gehört nicht zu dem privaten Schlüssel, mit dem signiert wurde.
• Body-Hash konnte nicht bestätigt werden: Der Schlüssel ist in Ordnung, aber der Inhalt der E-Mail wurde nach dem Signieren verändert. Schon eine einzige hinzugefügte Zeile macht die Signatur kaputt.

Warum das wichtig ist

Eine gescheiterte Signatur zählt wie keine Signatur, manchmal sogar schlimmer: Es kann so aussehen, als wäre die E-Mail manipuliert worden. Wenn auch SPF für deine Domain nicht besteht, scheitert DMARC, und die E-Mail kann im Spam landen oder abgelehnt werden.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die DKIM-Zeile zeigt die signierende Domain und das Ergebnis, zum Beispiel „d=yourdomain.com: fail“.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

Notiere dir den verwendeten Selektor (zum Beispiel google, selector1, s1). Gib ihn im Domain-Scanner ein, um den Schlüssel zu sehen, der unter diesem Namen veröffentlicht ist.

So behebst du ein Schlüsselproblem

1. Prüfe, ob der Schlüssel existiert unter selector._domainkey.yourdomain.com. Findet der Scanner nichts, fehlt der Eintrag oder hat den falschen Namen.
2. Prüfe den Namen. Viele DNS-Anbieter hängen deine Domain automatisch an. Gib selector._domainkey ein, nicht den vollständigen Namen, sonst bekommst du selector._domainkey.yourdomain.com.yourdomain.com.
3. Prüfe, ob der Wert vollständig ist. Lange Schlüssel werden leicht abgeschnitten oder durch zusätzliche Leerzeichen oder Anführungszeichen kaputt gemacht. Kopiere den Wert noch einmal in einem Stück von deinem Anbieter.
4. Prüfe, ob es der aktuelle Schlüssel ist. Wenn du DKIM bei deinem Anbieter neu erzeugt hast, funktioniert der alte DNS-Wert nicht mehr. Veröffentliche den neuen.

Ein korrekter DKIM-TXT-Eintrag sieht so aus:

s1._domainkey.yourdomain.com  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Bei Microsoft 365 sind die Einträge CNAMEs, die auf Microsoft zeigen. Kopiere sie genau so, wie sie im Defender-Portal angezeigt werden, und ersetze sie nicht durch TXT-Einträge.

So behebst du ein Body-Hash-Problem

Irgendetwas hat deine E-Mail zwischen dem Signieren und der Ankunft verändert. Häufige Ursachen:

• Ein Virenscanner oder Sicherheits-Gateway, das eine Fußzeile wie „Auf Viren geprüft“ hinzufügt.
• Ein Server oder Relay, das nach dem Signieren einen rechtlichen Hinweis anhängt.
• Eine Mailingliste oder Gruppe, die eine Abmelde-Fußzeile hinzufügt oder den Betreff ändert.
• Dein eigener Mailserver signiert zuerst und leitet dann über einen anderen Dienst weiter, der den Inhalt verändert.

Die Lösung: Sorge dafür, dass das Signieren zuletzt passiert, nach jeder Änderung. Setz den Hinweis oder die Fußzeile entweder vor das Signieren, schalte sie ab oder lass den letzten sendenden Dienst signieren.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Sende eine neue Test-E-Mail über die Startseite, von demselben Postfach oder Tool, das gescheitert ist. Der Bericht sollte zeigen, dass DKIM für deine Domain bestanden ist. Wenn nur ein Versand-Tool scheitert, liegt das Problem in der Einrichtung genau dieses Tools.