DKIM erklärt – Kryptografische E-Mail-Signaturen
DKIM steht für DomainKeys Identified Mail. Es ist ein technisches Verfahren, das E-Mails mit einer kryptografischen Signatur versieht, damit der Empfänger prüfen kann, ob die E-Mail wirklich von der angegebenen Domain stammt und unterwegs nicht verändert wurde.
Wie funktioniert DKIM?
Der sendende Mailserver fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu. Diese Signatur wird mit einem privaten Schlüssel erstellt, den nur der legitime Server kennt. Der zugehörige öffentliche Schlüssel wird in einem DNS-Eintrag der Domain veröffentlicht.
Wenn Ihr E-Mail-Anbieter eine E-Mail empfängt, prüft er diese Signatur automatisch: Passt sie zum veröffentlichten Schlüssel, gilt die E-Mail als authentisch.
Was DKIM schützt — und was nicht
- DKIM schützt vor: Manipulation des E-Mail-Inhalts während der Übertragung; Fälschung einer signierten Domain.
- DKIM schützt nicht vor: Lookalike-Domains (z.B.
paypai.comkann DKIM für seine eigene Domain haben). Für vollständigen Schutz wird DMARC benötigt.
Was bedeutet DKIM für Sie als Nutzer?
Sie müssen DKIM nicht selbst konfigurieren. Ihr E-Mail-Anbieter prüft DKIM-Signaturen im Hintergrund. E-Mails, die die Prüfung nicht bestehen, landen häufig im Spam-Ordner.
In den Headern einer E-Mail können Sie unter „Authentication-Results" nachsehen, ob DKIM bestanden wurde: dkim=pass bedeutet die Signatur ist gültig.
DKIM als Teil eines Dreiklangs
DKIM ist am effektivsten in Kombination mit:
- SPF — Autorisierung sendender Server
- DMARC — Verknüpfung beider Mechanismen + Richtlinie bei Fehlern
Links aus E-Mails prüfen
DKIM ist ein technischer Schutz — prüfen Sie Links in E-Mails trotzdem mit 2check.click.
Häufig gestellte Fragen
Bedeutet DKIM=pass, dass die E-Mail sicher ist?
Nicht vollständig. DKIM bestätigt, dass die E-Mail von der genannten Domain stammt — nicht, dass die Domain legitim ist. Eine Phishing-Domain mit DKIM hat trotzdem eine gültige Signatur.
Wie lange ist eine DKIM-Signatur gültig?
DKIM-Signaturen haben eine konfigurierbare Gültigkeitsdauer (oft 24–72 Stunden). Nach Ablauf kann die Signatur nicht mehr verifiziert werden — aber das ist für den Empfang in Echtzeit kein Problem.
Was passiert, wenn DKIM scheitert?
Je nach DMARC-Policy wird die E-Mail als Spam markiert, abgelehnt oder trotzdem zugestellt. Ohne DMARC gibt es keinen automatischen Schutz bei DKIM-Fehlschlag.