Was ist DKIM (DomainKeys Identified Mail)?

Definition

DomainKeys Identified Mail ist eine der drei Säulen moderner E-Mail-Authentifizierung und arbeitet zusammen mit SPF und DMARC. Während SPF die Frage beantwortet, ob eine Nachricht von einem autorisierten Server kam, beantwortet DKIM zwei etwas andere Fragen. Es bestätigt, dass die Nachricht von jemandem freigegeben wurde, der die sendende Domain kontrolliert, und es bestätigt, dass niemand die Nachricht nach dem Versand manipuliert hat.

DKIM erreicht das mit asymmetrischer Kryptografie. Die sendende Domain besitzt einen privaten Schlüssel, der auf ihrer Mail-Infrastruktur geheim gehalten wird, und sie veröffentlicht einen passenden öffentlichen Schlüssel im Domain Name System, den jeder lesen kann. Wenn die Domain eine Nachricht sendet, erzeugt ihr Mailserver mit dem privaten Schlüssel eine digitale Signatur über ausgewählte Teile der E-Mail und fügt diese Signatur als verborgenen Header an die Nachricht an. Wenn die Nachricht eintrifft, holt sich der empfangende Server den öffentlichen Schlüssel aus dem DNS und prüft damit die Signatur. Weil nur der Inhaber des privaten Schlüssels eine Signatur erzeugen konnte, die der öffentliche Schlüssel validiert, ist eine bestandene DKIM-Prüfung ein solider Beleg dafür, dass die Nachricht authentisch und unversehrt ist.

So funktioniert es

DKIM stützt sich auf ein Paar kryptografischer Schlüssel. Ein privater Schlüssel wird für die Domain erzeugt und sicher auf dem sendenden Mailsystem gespeichert, und der zugehörige öffentliche Schlüssel wird als DNS-TXT-Record veröffentlicht. Dieser Record sitzt an einem speziellen Ort, der aus einem Label namens Selector aufgebaut ist, in der Form selector._domainkey.yourdomain.com. Den Selector gibt es, damit eine Domain mehrere Schlüssel gleichzeitig veröffentlichen kann, was nützlich ist, um jedem Sendedienst einen eigenen Schlüssel zuzuweisen und um Schlüssel über die Zeit sicher zu rotieren.

Wenn die Domain eine Nachricht sendet, wählt ihr Mailserver aus, welche Teile der E-Mail geschützt werden. Das umfasst immer den Nachrichtentext und eine gewählte Reihe von Header-Feldern, üblicherweise From, To, Subject, Date und weitere. Der Server berechnet einen Hash des Texts und einen Hash über die gewählten Header, dann signiert er diese Daten mit dem privaten Schlüssel und erzeugt so die Signatur. All das wird in einem neuen Header namens DKIM-Signature festgehalten, der an die Nachricht angehängt wird. Dieser Header trägt die signierende Domain in einem d=-Tag, den Selector in einem s=-Tag, die Liste der signierten Header in einem h=-Tag, den Body-Hash in einem bh=-Tag und die Signatur selbst in einem b=-Tag.

Auf der Empfängerseite liest der Server den DKIM-Signature-Header, nimmt Domain und Selector und schlägt den passenden Public-Key-Record im DNS nach. Dann berechnet er den Body-Hash und den Header-Hash erneut, und zwar mit genau denselben Headern, die in h= aufgeführt sind, und nutzt den öffentlichen Schlüssel, um zu prüfen, ob die Signatur in b= zu diesen neu berechneten Daten passt. Wenn der korrekte private Schlüssel verwendet wurde und kein signierter Inhalt unterwegs verändert wurde, validiert die Signatur und DKIM besteht. Wenn ein signierter Header oder der Text verändert wurde, passen die Hashes nicht mehr und die Prüfung schlägt fehl. Eine praktische Folge ist, dass die Signatur nur die ausdrücklich aufgeführten Header abdeckt und nur so lange gültig bleibt, wie zwischengeschaltete Mailsysteme die signierten Teile der Nachricht nicht verändern.

Warum das für die E-Mail-Zustellbarkeit wichtig ist

DKIM ist ein starkes, beständiges Vertrauenssignal für Mailbox-Provider. Eine durchgängig gültige DKIM-Signatur sagt einem Provider, dass eine echte Domain hinter der Mail steht und bereit ist, dafür zur Verantwortung gezogen zu werden, was dieser Mail hilft, einen Platz in der Inbox zu verdienen. Genauso wichtig: DKIM hat eine Eigenschaft, die SPF fehlt. Weil die Signatur in der Nachricht selbst mitreist, statt vom verbindenden Server abzuhängen, übersteht DKIM in der Regel die E-Mail-Weiterleitung, während SPF beim Weiterleiten einer Nachricht oft bricht. Das macht DKIM zur robusteren der beiden Prüfungen über komplexe Zustellwege hinweg.

DKIM ist außerdem ein Baustein für DMARC. DMARC besteht, wenn entweder SPF oder DKIM besteht und das Ergebnis mit der sichtbaren From-Domain übereinstimmt, sodass eine korrekt signierte DKIM-Nachricht einer Domain einen verlässlichen Weg zur DMARC-Ausrichtung gibt. Seit den Absenderanforderungen von Google und Yahoo aus dem Jahr 2024 wird von Massenversendern erwartet, sich sowohl mit SPF als auch mit DKIM zu authentifizieren, und Mail, die ohne gültige DKIM-Signatur eintrifft, wird weit eher gefiltert oder abgelehnt. Ein korrekt konfiguriertes DKIM-Setup hat sich von einer Best Practice zu einer Grunderwartung für alle gewandelt, die E-Mails im großen Maßstab versenden.

So geht VeriMails damit um

DKIM und E-Mail-Verifizierung schützen die Zustellbarkeit aus zwei verschiedenen Richtungen, und ein gesundes E-Mail-Programm braucht beide. DKIM authentifiziert die Nachrichten, die du sendest, und beweist empfangenden Servern, dass die Mail echt und unverändert ist. E-Mail-Verifizierung bereinigt die Zielgruppe, an die du sendest, und stellt sicher, dass jede Adresse auf deiner Liste echt und erreichbar ist. Authentifizierung ohne saubere Liste erzeugt weiterhin Bounces, und eine saubere Liste ohne Authentifizierung wirkt weiterhin nicht vertrauenswürdig, also arbeiten die beiden als Paar.

VeriMails konzentriert sich auf die Empfängerseite dieses Paars. Jede Adresse, die du übermittelst, durchläuft Syntaxvalidierung, einen MX- und DNS-Lookup, einen Live-SMTP-Handshake, Catch-all-Erkennung, Erkennung von Wegwerfadressen und Erkennung rollenbasierter Adressen, was die ungültigen Adressen entfernt, die sonst bouncen und die Reputation beschädigen würden, zu deren Verteidigung deine DKIM-, SPF- und DMARC-Records überhaupt da sind. Um auch die Authentifizierungsseite zu unterstützen, bietet VeriMails einen kostenlosen DKIM-Generator, der ein Schlüsselpaar und den DNS-Record erzeugt, den du veröffentlichen musst. Du kannst eine Liste über die REST API oder einen Bulk-CSV-Upload verifizieren, mit klaren Zustellbarkeitskategorien für Kampagnenentscheidungen. Die Verifizierung startet bei $0.0019 pro E-Mail, mit 10,000 Credits für $19 und Jahresplänen ab $12.50/month bei jährlicher Abrechnung, und jeder Account beginnt mit 100 kostenlosen Credits, ohne Kreditkarte, die nie verfallen.

Häufig gestellte Fragen