Werkzeug

DKIM-Check

Prüft die gängigen Selektoren (default, google, selector1/2, k1, mail u. a.) und meldet, wo ein DKIM-Public-Key gefunden wurde. Wir probieren automatisch die 11 verbreitetsten Selektor-Namen.

Permalink: ?domain=… funktioniert auch.

Was ist DKIM?

DKIM (DomainKeys Identified Mail) ergänzt SPF um eine kryptographische Signatur. Während SPF nur prüft, ob die sendende IP autorisiert ist, signiert DKIM ausgewählte Header-Felder und den Mail-Body mit einem privaten Schlüssel. Empfangende Server holen den dazu passenden Public-Key aus dem DNS und verifizieren, stimmt die Signatur, ist die Mail garantiert unverändert und stammt von einem System, das Zugriff auf den privaten Schlüssel hat.

Der Public-Key wird in einem TXT-Record am Hostnamen <selektor>._domainkey.<domain> abgelegt. Der Selektor ist ein frei wählbarer Name, üblich sind default, google, selector1/selector2, k1, mail. Mehrere Selektoren parallel ermöglichen Key-Rotation ohne Downtime und unabhängige Schlüssel pro Versender.

Eine ankommende Mail trägt im Header eine DKIM-Signature:-Zeile mit Selektor (s=), signierender Domain (d=) und der Signatur. Der Empfänger schlägt den Public-Key nach, verifiziert kryptographisch und meldet das Ergebnis als dkim=pass oder dkim=fail. Für DMARC-Alignment muss zusätzlich d= mit der From-Domain übereinstimmen.

Tiefer eintauchen → Was ist DKIM?

Typische Fehler bei DKIM

  1. Selektor inaktiv, aber DNS-Eintrag noch da

    Versand läuft über neuen Selektor, alter ist im DNS verwaist. Prüftools melden ihn als gültig, obwohl er nichts mehr signiert. Aufräumen, sonst wirkt der Record verwirrend bei Debugging.

  2. Key-Länge nur 1024 Bit (RSA)

    Vor 2015 Standard, heute zu schwach. Empfehlung: RSA-2048. Prüftools markieren 1024-Bit-Keys oft schon als warn. Rotation auf 2048 Bit ist täglich Brot.

  3. Public-Key fehlt (NXDOMAIN)

    Versender signiert mit Selektor X, im DNS gibt es aber keinen TXT unter X._domainkey.…. Resultat: dkim=fail. Häufig nach Provider-Wechsel oder DNS-Migration.

  4. Mehrere TXT-Records am Selektor

    Zwei Records unter demselben Selektor-Hostnamen → Empfänger nehmen den ersten oder verweigern beide. Pro Selektor exakt ein TXT mit v=DKIM1.

  5. Keine Key-Rotation

    Schlüssel älter als 12 Monate, unkritisch im Normalbetrieb, aber bei Key-Kompromittierung verheerend. Zwei Selektoren parallel betreiben und halbjährlich rotieren ist gängige Praxis.

  6. DNS-Provider zerschneidet lange TXT-Records falsch

    2048-Bit-Keys passen nicht in einen 255-Byte-String, müssen aufgeteilt werden. Manche DNS-Provider zerlegen automatisch falsch. Test: dig TXT ….

  7. Eigener Selektor wird nicht erkannt

    Versender benutzt Custom-Namen wie v1, 2024a. Pauschale Prüftools probieren nur 10-15 Standard-Namen, Custom-Selektor erscheint dann fälschlich als „fehlt“. Manuelles dig nötig.

Probleme beheben, in 4 Schritten

Aktiven Selektor identifizieren

Eigene Mail an Gmail oder Outlook senden, Header anschauen: DKIM-Signature: … d=example.com; s=selector1; …. s= ist der aktive Selektor.

Key auf 2048 Bit rotieren

Beim Versand-Provider neuen Selektor anlegen, Key-Länge 2048 Bit, Public-Key als TXT ins DNS, Versand-System auf den neuen Selektor umstellen.

selector2._domainkey IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…"

Alten Selektor erst nach Übergangsphase löschen

1-2 Wochen warten, in dieser Zeit verteilen Mail-Provider noch Mails mit der alten Signatur aus Caches. Erst dann den alten TXT entfernen.

DMARC-Reports auf DKIM-Pass prüfen

In den Aggregat-Reports steht pro IP, ob DKIM-Pass + Alignment. Wenn alle Quellen dkim=pass + aligned liefern, ist das Setup sauber.

Wollen Sie alle 8 Standards prüfen?

Der vollständige SelfCheck testet zusätzlich SPF/DKIM/DMARC, BIMI, MTA-STS, TLS-RPT, DNSSEC und MX in einem Durchgang.

Vollständigen SelfCheck starten →

Häufige Fragen zu DKIM

Was ist ein DKIM-Selektor?
Ein DKIM-Selektor ist ein frei wählbarer Name, der den Public-Key in einem TXT-Record adressiert. Format: <selektor>._domainkey.<domain>. Mehrere Selektoren erlauben parallele Keys für verschiedene Versender oder für Key-Rotation ohne Downtime.
Welche Key-Länge ist sicher?
RSA mit 2048 Bit ist heute Standard. 1024 Bit gilt als veraltet. Ed25519 wird zunehmend unterstützt, aber als Doppel-Setup neben RSA-2048 sinnvoll.
Wie rotiere ich DKIM-Keys?
Neuen Selektor mit neuem Key anlegen, parallel zum alten betreiben, Versand auf den neuen umstellen, alten Selektor nach 1-2 Wochen Übergangsphase löschen.
Mein Selektor heißt anders, was tun?
Der Tool-Check probiert die 11 verbreitetsten Namen. Bei Custom-Namen liefert er warn. Prüfen Sie den Selektor manuell mit dig TXT <selektor>._domainkey.<domain>.
Was bedeutet DKIM-Pass?
DKIM-Pass heißt: der empfangende Server hat die Signatur kryptographisch verifiziert. Für DMARC-Alignment muss zusätzlich der d=-Tag mit der From-Domain übereinstimmen.
—