Zum Inhalt springen
Gutscheine 90

Du hast noch keine Angebote oder Anbieter gemerkt. Tippe auf das Lesezeichen bei einem Angebot oder auf „Merken“ im Anbieterprofil.

    Monitoring gratis
    Website kostenlos überwachen
    Gutscheine 90 Zum Login
    Kostenloses Tool

    DKIM-Generator: DKIM-Schlüssel und DNS-Eintrag erstellen

    Erzeuge ein DKIM-Schlüsselpaar direkt in deinem Browser oder mach aus einem vorhandenen öffentlichen Schlüssel einen fertigen DKIM-Record für dein DNS.

    DKIM-Eintrag erstellen

    Wähle, ob du ein neues Schlüsselpaar brauchst oder schon einen öffentlichen Schlüssel von deinem Mailserver hast.

    Nutzt du Google Workspace, Microsoft 365, IONOS, STRATO oder einen anderen Mailanbieter? Dann erzeugt der Anbieter den DKIM-Schlüssel selbst und zeigt dir den DNS-Eintrag in seinem Admin-Bereich an. Das Gleiche gilt für Server-Panels wie Plesk, cPanel, KeyHelp, ISPConfig oder DirectAdmin: Dort aktivierst du DKIM in den Mail-Einstellungen der Domain, und das Panel erzeugt den Schlüssel und meist auch den DNS-Eintrag. Einen eigenen Schlüssel brauchst du nur für einen selbst eingerichteten Mailserver, etwa Postfix mit OpenDKIM oder Rspamd.

    Was möchtest du tun?

    Ein frei wählbarer Name für den Schlüssel, zum Beispiel mit Datum. So kannst du später einen neuen Schlüssel einführen, ohne den alten sofort zu löschen.

    Dein DNS-Eintrag

    Typ
    TXT
    Host / Name
    selector._domainkey
    Wert
    –
      Nach dem Eintragen: DKIM-Check starten

      Ergebnis ohne Gewähr. Prüfe nach dem Eintragen, ob Selector und Schlüssel zu deinem Mailserver passen. Änderungen am DNS und am Mailserver erfolgen auf eigene Verantwortung.

      Der Schlüssel entsteht mit der Web Crypto API in deinem Browser. Weder der private noch der öffentliche Schlüssel werden an hosttest übertragen oder gespeichert.

      Was ist ein DKIM-Eintrag?

      DKIM in einem Satz

      Bei DKIM (DomainKeys Identified Mail) signiert dein Mailserver jede ausgehende Mail mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichst du als TXT-Record unter selector._domainkey.deine-domain.de. Der Empfänger holt ihn per DNS und prüft damit, ob die Mail wirklich von dir kommt und unterwegs nicht verändert wurde.

      DKIM: Der Absender signiert, der Empfänger prüft mit dem Schlüssel aus dem DNS Absender-Server signiert mit privatem Schlüssel DKIM-Signature: s=mail Empfänger prüft die Signatur DKIM gültig ✓ DNS mail._domainkey.example.de v=DKIM1; k=rsa; p=MIIBIjAN… E-Mail mit Signatur öffentlicher Schlüssel
      DKIM: Der Absender signiert, der Empfänger prüft mit dem Schlüssel aus dem DNS

      Selector: mehrere Schlüssel pro Domain

      Der Selector ist der Teil vor ._domainkey. Er steht in jeder signierten Mail im Feld s= der DKIM-Signatur, damit der Empfänger weiß, welchen Schlüssel er abfragen muss. Jeder Dienst, der für dich Mails verschickt, nutzt seinen eigenen Selector – Google etwa google, Microsoft selector1 und selector2.

      Warum DKIM SPF ergänzt

      SPF prüft den Server, DKIM die Mail selbst. Wird eine Mail weitergeleitet, schlägt SPF oft fehl, weil der weiterleitende Server nicht in deinem SPF-Eintrag steht. Die DKIM-Signatur reist mit der Mail und bleibt gültig, solange niemand den Inhalt verändert. Für DMARC ist DKIM deshalb die robustere der beiden Prüfungen.

      So richtest du DKIM auf deinem Mailserver ein

      1. Schlüsselpaar erzeugen

        Erzeuge oben ein 2048-Bit-Schlüsselpaar und wähle einen Selector. Alternativ erzeugt dein Mailserver das Paar, etwa mit opendkim-genkey oder rspamadm dkim_keygen, und du trägst hier nur den öffentlichen Schlüssel ein.

      2. Privaten Schlüssel hinterlegen

        Lade den privaten Schlüssel herunter und hinterlege ihn zusammen mit Domain und Selector in der DKIM-Konfiguration deines Mailservers (OpenDKIM, Rspamd, Mailcow …).

      3. TXT-Eintrag anlegen

        Lege in deiner DNS-Verwaltung einen TXT-Eintrag mit dem Host selector._domainkey an und füge den Wert ein. Lange Werte teilen die meisten DNS-Oberflächen automatisch auf.

      4. Prüfen

        Prüfe den Eintrag mit dem DKIM-Check und schick eine Testmail an ein Gmail-Postfach. Unter „Original anzeigen“ muss bei DKIM PASS stehen.

      Die Tags im DKIM-Record

      Der DNS-Eintrag enthält nur wenige Tags. Die eigentliche Signatur mit Selector und Prüfsumme steht im Header jeder Mail.

      Tag Bedeutung Beispiel
      v Version. Optional, steht aber, wenn vorhanden, als erstes Tag. v=DKIM1
      k Schlüsseltyp. rsa ist Standard und wird überall unterstützt, ed25519 noch nicht von allen Empfängern. k=rsa
      p Der öffentliche Schlüssel in Base64. Ein leeres p= widerruft den Schlüssel. p=MIIBIjANBgkqh…
      t Flags: t=y kennzeichnet einen Testbetrieb, t=s verbietet Subdomains in der Signatur-Domain. t=s
      h Erlaubte Hash-Verfahren. Ohne Angabe sind alle erlaubt, üblich ist heute sha256. h=sha256

      Häufige Fragen

      Wie erstelle ich einen DKIM-Eintrag?

      Nutzt du einen Mailanbieter, aktivierst du DKIM in dessen Admin-Bereich und übernimmst den angezeigten Eintrag. Betreibst du einen eigenen Mailserver, erzeugst du oben ein Schlüsselpaar, hinterlegst den privaten Schlüssel auf dem Server und trägst den öffentlichen als TXT-Eintrag unter selector._domainkey ein.

      Ist es sicher, den Schlüssel hier zu erzeugen?

      Der Schlüssel entsteht mit der Web Crypto API deines Browsers, also auf deinem Gerät. Er wird weder an uns übertragen noch gespeichert. Wer ganz sichergehen will, erzeugt das Paar direkt auf dem Mailserver und nutzt hier nur die Funktion für vorhandene Schlüssel.

      1024 oder 2048 Bit?

      2048 Bit. 1024-Bit-Schlüssel gelten als schwach und werden von manchen Prüfern bemängelt. 4096 Bit bringen kaum mehr Sicherheit, passen bei vielen DNS-Anbietern aber nicht mehr in einen Eintrag.

      Welchen Selector soll ich wählen?

      Der Name ist frei wählbar. Bewährt hat sich ein Datum wie s202611, dann siehst du sofort, wie alt ein Schlüssel ist. Wichtig ist nur, dass Mailserver und DNS-Eintrag denselben Selector nutzen.

      Wie oft sollte ich den DKIM-Schlüssel wechseln?

      Empfohlen wird etwa alle sechs bis zwölf Monate. Dafür erzeugst du ein neues Paar mit neuem Selector, trägst den öffentlichen Schlüssel ins DNS ein und stellst den Mailserver um. Den alten Eintrag löschst du erst nach ein paar Tagen, wenn keine Mails mit der alten Signatur mehr unterwegs sind.

      Warum schlägt DKIM trotz Eintrag fehl?

      Häufige Gründe: Der Selector im DNS passt nicht zur Signatur, der Wert wurde beim Kopieren abgeschnitten oder mit Leerzeichen versehen, oder ein Dienst verändert die Mail nach dem Signieren, etwa durch einen angehängten Footer. Der DKIM-Check zeigt dir, ob der Eintrag öffentlich abrufbar und der Schlüssel gültig ist.

      Weitere kostenlose Tools

      Prüfe Domains und Websites mit unseren kostenlosen Werkzeugen – schnell und ohne Anmeldung.

      Erreichbarkeit

      Website Status Checker

      Prüfe, ob eine Website erreichbar ist, wie schnell sie antwortet und wie lange ihr SSL-Zertifikat gültig bleibt.

      Tool öffnen       Infrastruktur

      WHOIS & Hosting-Check

      Ermittle Hosting-Anbieter, IP-Adresse, Nameserver und den wahrscheinlichen Serverstandort einer Domain.

      Tool öffnen       DNS & E-Mail

      DNS-Check

      Alle DNS-Einträge einer Domain prüfen – mit MX-, SPF-, DMARC-, CNAME- und Nameserver-Check.

      Tool öffnen       Dauerhafte Überwachung

      Website Monitoring

      Überwache Websites und Server rund um die Uhr und erhalte bei Ausfällen sofort eine Benachrichtigung per E-Mail, SMS oder Anruf.

      Tool öffnen       Domain

      Domaincheck

      Prüfe passende Domainnamen und finde heraus, welche Endungen für dein Projekt verfügbar sind.

      Tool öffnen       Hosting-Auswahl

      Webhosting-Berater

      Beantworte wenige Fragen zu Website, Anwendung und Bedarf und erhalte passende Webhosting-Angebote aus unserem Vergleich.

      Tool öffnen       Persönlicher Service

      Hosting-Ausschreibung

      Beschreibe dein Projekt und erhalte unverbindliche, individuell passende Angebote direkt von Hosting-Anbietern.

      Ausschreibung starten