DKIM-Check: DKIM-Eintrag und Schlüssel prüfen
Prüfe, ob deine Domain einen gültigen DKIM-Schlüssel veröffentlicht, wie stark er ist und ob der Eintrag richtig aufgebaut ist – mit oder ohne Selector.
DKIM-Eintrag prüfen
Gib die Domain ein, mit der du E-Mails verschickst. Den Selector kannst du angeben – oder wir suchen nach den gängigen.
Die Abfrage läuft über den DNS-Resolver Quad9 (Schweiz). Wir speichern die geprüfte Domain und eine anonymisierte IP-Adresse höchstens 30 Tage.
So funktioniert DKIM
Was ist DKIM?
DKIM steht für DomainKeys Identified Mail. Dein Mailserver unterschreibt jede ausgehende Nachricht mit einem privaten Schlüssel und schreibt die Signatur in den Header DKIM-Signature. Der Empfänger holt den passenden öffentlichen Schlüssel aus dem DNS deiner Domain und prüft damit, ob die Mail wirklich von dir kommt und unterwegs nicht verändert wurde.
Der Selector
Eine Domain kann mehrere DKIM-Schlüssel haben, etwa einen für dein Postfach und einen für dein Newsletter-Tool. Unterschieden werden sie durch den Selector. Der Schlüssel liegt als TXT-Eintrag unter selector._domainkey.deine-domain.de. Welchen Selector ein Absender nutzt, steht in der Signatur bei s=. Google nutzt zum Beispiel google, Microsoft 365 selector1 und selector2.
Was der DKIM-Check prüft
Wir lesen den Eintrag unter dem Selector und prüfen Version, Schlüsseltyp und den Schlüssel selbst. RSA-Schlüssel unter 1024 Bit werden nicht mehr akzeptiert, 2048 Bit sind heute Standard. Außerdem warnen wir vor widerrufenen Schlüsseln, dem Testmodus t=y und einer Beschränkung auf SHA-1. Kennst du den Selector nicht, probieren wir die gängigen Selectors der großen Mailanbieter.
Typische DKIM-Fehler
Eintrag unter dem falschen Namen
Der Schlüssel gehört unter selector._domainkey.deine-domain.de. Viele DNS-Verwaltungen hängen die Domain automatisch an – wer sie mit einträgt, landet bei …deine-domain.de.deine-domain.de.
Schlüssel beim Kopieren beschädigt
Lange Schlüssel werden oft in mehrere Teile zerlegt. Fehlen Zeichen oder sind Anführungszeichen und Leerzeichen hineingeraten, ist der Schlüssel ungültig, und jede Signatur schlägt fehl.
Zu kurzer RSA-Schlüssel
Schlüssel mit 512 oder 768 Bit lehnen Empfänger ab, 1024 Bit gelten als schwach. Erzeuge bei deinem Mailanbieter einen neuen Schlüssel mit 2048 Bit unter einem neuen Selector.
DKIM nach Anbieterwechsel vergessen
Ziehst du mit deinen Mails um, braucht der neue Anbieter einen eigenen Schlüssel. Bleibt nur der alte Eintrag stehen, sind deine Mails nicht mehr signiert, und DMARC kann scheitern.
Häufige Fragen
Öffne eine Mail, die du von deiner Domain verschickt hast, und lass dir die Header anzeigen. Im Header DKIM-Signature steht hinter s= der Selector und hinter d= die Domain. Alternativ zeigt ihn dein Mailanbieter in den DKIM-Einstellungen.
Entweder ist DKIM nicht eingerichtet, oder dein Anbieter nutzt einen Selector, den wir nicht kennen. Gib den Selector aus einer gesendeten Mail oben ein, dann prüfen wir genau diesen Eintrag.
Für RSA sind 2048 Bit heute Standard. 1024 Bit werden noch geprüft, gelten aber als schwach, kürzere Schlüssel werden abgelehnt. Ed25519 ist kurz und sicher, wird aber noch nicht überall unterstützt – nutze es nur zusätzlich zu RSA.
Ja. Jeder Dienst, der in deinem Namen sendet, kann einen eigenen Schlüssel unter einem eigenen Selector bekommen. Unter einem Selector darf aber nur ein Eintrag stehen.
DMARC prüft, ob SPF oder DKIM besteht und zur Domain im Absender passt. Bei DKIM ist das die Domain hinter d= in der Signatur. DKIM übersteht Weiterleitungen besser als SPF und ist deshalb für DMARC besonders wichtig. Prüfe auch deinen DMARC-Eintrag.
Empfohlen ist ein Wechsel etwa einmal im Jahr – und sofort, wenn der private Schlüssel in falsche Hände geraten sein könnte. Leg den neuen Schlüssel unter einem neuen Selector an, stell den Versand um und entferne den alten Eintrag erst nach einigen Tagen.
