Keine DKIM-Signatur auf deinen E-Mails

Was das bedeutet

DKIM (DomainKeys Identified Mail) fügt jeder E-Mail, die du sendest, eine unsichtbare digitale Signatur hinzu. Empfänger prüfen sie mit einem öffentlichen Schlüssel, der in deinem DNS veröffentlicht ist. Passt sie, wissen sie, dass die E-Mail wirklich von deiner Domain kommt und unterwegs nicht verändert wurde.

Deine Test-E-Mail kam ganz ohne DKIM-Signatur an.

Warum das wichtig ist

• Gmail und Yahoo verlangen DKIM von Massenversendern und bevorzugen es deutlich bei allen anderen.
• DKIM übersteht Weiterleitungen, anders als SPF. Oft ist es genau das, was DMARC bestehen lässt.
• Ohne DKIM wirken deine E-Mails weniger vertrauenswürdig und landen eher im Spam.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die DKIM-Zeile zeigt „nicht signiert“, wenn keine Signatur gefunden wird.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

Der Domain-Scanner sucht DKIM-Schlüssel unter den üblichen Namen (sogenannten „Selektoren“), etwa google, selector1 oder default. Ein Schlüssel kann veröffentlicht sein, während das Signieren noch ausgeschaltet ist. Der echte Beweis ist also die Test-E-Mail.

So behebst du es

DKIM besteht immer aus zwei Teilen: das Signieren einschalten in dem Dienst, der deine E-Mails sendet, und den öffentlichen Schlüssel veröffentlichen in deinem DNS.

Google Workspace

1. Gehe in der Admin-Konsole zu Apps, Google Workspace, Gmail, E-Mail authentifizieren.
2. Erzeuge einen neuen Eintrag (wähle 2048 Bit, wenn dein DNS-Anbieter lange Werte akzeptiert).
3. Füge den angezeigten TXT-Eintrag mit dem Namen google._domainkey hinzu.
4. Warte, bis er sichtbar ist, und klicke dann auf Authentifizierung starten.

google._domainkey.yourdomain.com  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqh...(long key)..."

Microsoft 365

1. Öffne im Microsoft Defender-Portal die Einstellungen zur E-Mail-Authentifizierung und dann DKIM.
2. Wähle deine Domain. Microsoft zeigt zwei CNAME-Einträge an, selector1._domainkey und selector2._domainkey.
3. Füge beide CNAME-Einträge bei deinem DNS-Anbieter genau so hinzu, wie sie angezeigt werden.
4. Komm zurück und schalte „Nachrichten für diese Domain mit DKIM-Signaturen signieren“ ein.

selector1._domainkey.yourdomain.com  CNAME  (value shown by Microsoft)
selector2._domainkey.yourdomain.com  CNAME  (value shown by Microsoft)

Webhoster, Newsletter-Tools und andere Dienste

Such nach einer Einstellung namens „DKIM“, „Domain-Authentifizierung“ oder „Domain authentifizieren“. Der Dienst gibt dir einen oder mehrere Einträge (TXT oder CNAME), die du in dein DNS kopierst. Jeder Dienst, der in deinem Namen E-Mails sendet, braucht seine eigene DKIM-Einrichtung.

Häufige Fehler

• Manche DNS-Anbieter hängen deine Domain automatisch an. Wenn du google._domainkey.yourdomain.com als Namen eingibst, kann daraus google._domainkey.yourdomain.com.yourdomain.com werden. Gib nur google._domainkey ein.
• Lange Schlüssel können beim Kopieren abgeschnitten oder durch zusätzliche Leerzeichen kaputt gemacht werden. Füge den Wert in einem Stück ein.
• Den Schlüssel zu veröffentlichen reicht nicht: Das Signieren muss auch eingeschaltet sein.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner, um den Schlüssel zu sehen, und sende dann eine neue Test-E-Mail über die Startseite. Der Bericht sollte eine gültige DKIM-Signatur deiner eigenen Domain zeigen.

Hilfe der Anbieter: DKIM bei Google Workspace und DKIM bei Microsoft 365.