DKIM einrichten: Selektor, Schlüssel und Signatur verständlich erklärt

Wie die Signatur entsteht

Dein Mailsystem berechnet beim Versand eine Prüfsumme über den Text und über ausgewählte Kopfzeilen wie From, Subject und Date. Diese Prüfsumme signiert es mit einem privaten Schlüssel und hängt die Signatur als Kopfzeile DKIM-Signature an. Den passenden öffentlichen Schlüssel veröffentlichst Du im DNS. Der Empfänger holt ihn sich, rechnet nach und kommt entweder auf dasselbe Ergebnis oder eben nicht.

Eine gekürzte Signatur sieht so aus:

DKIM-Signature: v=1; a=rsa-sha256; d=beispiel.de; s=selector1;
  h=from:to:subject:date:message-id; bh=2jUSOH9N...; b=AuUoFEfD...

Wichtig sind zwei Angaben. d= nennt die Domain, die unterschreibt. s= ist der Selektor, eine frei wählbare Bezeichnung für den Schlüssel. Zusammen ergeben sie den Ort im DNS, an dem der öffentliche Schlüssel liegt.

Der Eintrag im DNS

Für das Beispiel oben sucht der Empfänger einen TXT-Record unter selector1._domainkey.beispiel.de:

selector1._domainkey.beispiel.de.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Ein 2048-Bit-Schlüssel ist länger als die 255 Zeichen, die eine einzelne Zeichenkette im TXT-Record fassen darf. Er wird deshalb in mehrere Zeichenketten aufgeteilt, die der Empfänger wieder zusammensetzt. Die meisten DNS-Oberflächen erledigen das von selbst. Manche schneiden aber still ab, und dann passt der Schlüssel nicht mehr.

Bei den großen Plattformen musst Du den Schlüssel nicht selbst erzeugen:

• Microsoft 365 legt die Schlüssel selbst an. Du trägst zwei CNAME-Records ein (selector1._domainkey und selector2._domainkey) und schaltest die Signatur danach im Defender-Portal für Deine Domain ein. Ohne diesen Schritt unterschreibt Microsoft nur mit Deiner onmicrosoft.com-Domain.
• In Google Workspace erzeugst Du den Schlüssel in der Admin-Konsole, trägst ihn unter google._domainkey ein und startest die Authentifizierung dort ausdrücklich.

Newsletter-Dienste, CRM und Ticketsysteme bringen jeweils eigene Selektoren mit. Jeder Dienst, der in Deinem Namen sendet, sollte mit Deiner Domain unterschreiben und nicht mit seiner eigenen.

Schlüssellänge und Verfahren

RSA-Schlüssel mit 2048 Bit sind heute Standard. 1024 Bit gelten noch, sind aber am unteren Rand. Alles darunter dürfen Empfänger laut RFC 8301 nicht als gültig werten. Beim Verfahren gilt rsa-sha256. Das alte rsa-sha1 ist seit RFC 8301 nicht mehr zulässig. Ed25519 (RFC 8463) wäre moderner, wird aber noch nicht überall geprüft; wer es nutzt, sollte deshalb zusätzlich mit RSA unterschreiben.

Ein Schlüssel muss nicht ewig halten. Wechsle ihn regelmäßig, etwa einmal im Jahr: neuen Selektor veröffentlichen, auf ihn umstellen, den alten erst nach einigen Tagen entfernen. So scheitern Mails, die noch unterwegs sind, nicht an einem fehlenden Schlüssel.

Warum Signaturen brechen

Die Signatur sichert den Inhalt so, wie er beim Versand war. Ändert unterwegs jemand den Text oder eine signierte Kopfzeile, ist sie ungültig. Nur Änderungen am Leerraum verkraftet sie in der üblichen Einstellung. Typische Täter sind Gateways, die nach dem Signieren noch einen Disclaimer, eine Werbezeile oder einen Hinweis wie „Externe Mail“ einfügen. Auch Mailinglisten, die den Betreff um ein Präfix ergänzen, gehören dazu.

Die Lösung ist fast immer die Reihenfolge. Was den Inhalt ändert, muss vor der Signatur passieren.

Verzichte außerdem auf die Angabe l=. Sie begrenzt die Signatur auf die ersten Bytes des Textes, und alles dahinter darf ein Angreifer frei ergänzen. From gehört immer zu den signierten Kopfzeilen (h=). Fehlt es dort, ist die Signatur laut RFC 6376 ungültig.

DKIM und DMARC

Eine gültige Signatur belegt, dass irgendeine Domain unterschrieben hat. Für DMARC muss die Domain in d= zusätzlich zur sichtbaren Absenderadresse passen. Signiert Dein Newsletter-Dienst mit d=newsletter-dienst.example, ist die Signatur gültig und hilft Deiner Domain trotzdem nicht.

DKIM prüfen

Eine Testmail an ZwoMailCheck zeigt Selektor, Domain, Schlüssellänge und Verfahren der Signatur, die Deine echten Mails tragen. Dazu siehst Du, ob sie unverändert ankommt und für DMARC zählt.