DKIM ist ein Authentifizierungsverfahren, das jede ausgehende E-Mail mit einer kryptografischen Signatur versieht und dadurch beweist, dass die Nachricht tatsächlich von der angegebenen Domain stammt und unterwegs nicht verändert wurde. Der empfangende Mailprovider verifiziert diese Signatur über einen öffentlichen Schlüssel im DNS.
Im Outbound und in der Kaltakquise ist DKIM neben SPF und DMARC eine der drei tragenden Säulen der E-Mail-Authentifizierung. Ohne gültige Signatur sinkt das Vertrauen der Provider, und die Wahrscheinlichkeit steigt, dass Nachrichten im Spam-Ordner landen statt im Posteingang.
Was DKIM bedeutet und leistet
DKIM steht für DomainKeys Identified Mail. Das Verfahren löst ein Problem, das SPF allein nicht abdeckt: SPF prüft nur, ob der versendende Server berechtigt ist, sagt aber nichts darüber aus, ob der Inhalt der Mail unterwegs manipuliert wurde. Genau hier setzt DKIM an, indem es eine fälschungssichere Signatur über bestimmte Teile der Nachricht legt.
Diese Signatur entsteht aus einem mathematischen Verfahren, das auf einem Schlüsselpaar beruht. Der private Schlüssel signiert die Mail beim Versand, der öffentliche Schlüssel erlaubt dem Empfänger die Überprüfung. Stimmt die berechnete Signatur mit der empfangenen überein, ist bewiesen, dass die Nachricht echt und unverändert ist. Dieses Prinzip der asymmetrischen Verschlüsselung sorgt dafür, dass niemand ohne den geheimen privaten Schlüssel eine gültige Signatur erzeugen kann, während die Prüfung mit dem öffentlich zugänglichen Schlüssel für jeden Empfänger möglich ist. Genau diese Eigenschaft macht DKIM zu einem belastbaren Echtheitsnachweis.
Wie die Signatur technisch entsteht
Beim Versand berechnet der Mailserver einen Hash über ausgewählte Header und den Nachrichtentext und verschlüsselt diesen mit dem privaten Schlüssel. Das Ergebnis fügt er als DKIM-Signature-Header in die Mail ein. Der empfangende Server liest aus diesem Header den verwendeten Selector und die Domain aus, ruft den passenden öffentlichen Schlüssel im DNS ab und prüft die Signatur.
Die wichtigsten Bestandteile des DKIM-Signature-Headers zeigt die folgende Tabelle.
| Feld | Bedeutung |
|---|---|
| d= | die signierende Domain |
| s= | der Selector, der den DNS-Eintrag adressiert |
| h= | Liste der signierten Header-Felder |
| bh= | Hashwert über den Nachrichtentext |
| b= | die eigentliche kryptografische Signatur |
Über den Selector lassen sich mehrere Schlüssel parallel betreiben, etwa für verschiedene Versanddienste. Das erleichtert auch den regelmäßigen Wechsel der Schlüssel, eine empfohlene Sicherheitspraxis. Beim sogenannten Key-Rotation wird in festen Abständen ein neues Schlüsselpaar erzeugt, der neue öffentliche Schlüssel unter einem frischen Selector veröffentlicht und der alte nach einer Übergangsphase entfernt. So bleibt die Signatur auch dann sicher, wenn ein Schlüssel über die Zeit kompromittiert werden sollte.
Wichtig ist, dass der signierte Bereich sorgfältig gewählt wird. Werden zu wenige Header signiert, lässt sich die Mail nachträglich manipulieren, ohne die Signatur zu brechen. Werden hingegen Header signiert, die unterwegs typischerweise verändert werden, schlägt die Prüfung unnötig fehl. Eine durchdachte Konfiguration signiert die für die Echtheit relevanten Felder wie Absender, Betreff und Datum, ohne fragile Felder einzubeziehen.
Warum DKIM für den B2B-Outbound zählt
Mailprovider gewichten authentifizierte Absender deutlich höher als unauthentifizierte. Eine gültige DKIM-Signatur ist dabei ein starkes Vertrauenssignal, weil sie nicht nur die Herkunft, sondern auch die Unversehrtheit der Nachricht belegt. Im B2B-Outbound, wo es auf jede zugestellte Mail ankommt, ist das ein direkter Hebel auf die Zustellrate.
Hinzu kommt, dass DKIM eng mit der Domain-Reputation verknüpft ist. Da die Signatur an die Domain gebunden ist, sammeln sich positive wie negative Signale konsequent unter dieser Domain. Eine gepflegte Sender Reputation baut deshalb maßgeblich auf einer durchgängig gültigen DKIM-Signatur auf. Wer in der B2B-Neukundengewinnung über E-Mail erfolgreich sein will, kommt an einer sauberen DKIM-Konfiguration nicht vorbei.
Häufige Fehlerquellen
Ein verbreiteter Fehler ist die fehlende oder falsche Veröffentlichung des öffentlichen Schlüssels im DNS. Stimmt der Selector nicht oder ist der Eintrag fehlerhaft, schlägt jede Prüfung fehl. Ebenso problematisch sind nachträgliche Veränderungen an der Mail durch zwischengeschaltete Systeme wie Mailinglisten, die den signierten Inhalt verändern und die Signatur ungültig machen.
Auch zu kurze Schlüssel schwächen die Sicherheit. Empfohlen werden Schlüssellängen von mindestens 2048 Bit, da kürzere Schlüssel als angreifbar gelten und von manchen Providern abgewertet werden. Wer mehrere Versanddienste einsetzt, muss zudem darauf achten, dass jeder Dienst korrekt signiert, sonst entstehen Lücken in der Authentifizierung. Im Outbound, wo häufig spezialisierte Versandtools zum Einsatz kommen, ist dieser Punkt besonders wichtig, weil jedes Tool seinen eigenen Schlüssel mitbringt und korrekt im DNS hinterlegt sein muss.
DKIM im Verbund mit SPF und DMARC
DKIM entfaltet seine volle Wirkung erst im Zusammenspiel mit den beiden anderen Verfahren. SPF prüft die Berechtigung des Servers, DKIM die Echtheit der Nachricht, und DMARC verknüpft beide und legt fest, wie mit gescheiterten Prüfungen verfahren wird. Fehlt eines dieser Elemente, bleibt die Authentifizierung lückenhaft, und große Provider behandeln den Absender mit erhöhter Skepsis.
Für den Aufbau einer belastbaren Outbound-Infrastruktur empfiehlt sich daher, alle drei Verfahren gemeinsam einzurichten und laufend zu überwachen. Wie sich diese technische Grundlage in eine erfolgreiche Ansprache einbettet, beschreibt der Leitfaden zur B2B-Kaltakquise. So verbinden sich saubere Signaturen mit durchdachten Kampagnen zu messbar besseren Zustellraten.
Zusammengefasst ist DKIM der Beweis, dass eine Mail echt ist und unterwegs nicht verfälscht wurde. Es schließt die Lücke, die SPF offen lässt, und liefert das technische Fundament, auf dem DMARC seine durchsetzbare Richtlinie aufbaut. Wer im Outbound Wert auf zuverlässige Zustellung legt, behandelt die korrekte und dauerhaft gültige DKIM-Signatur nicht als optionales Detail, sondern als Pflichtbestandteil jeder Versanddomain. Sie kostet wenig Aufwand in der Einrichtung, entfaltet aber über die gesamte Lebensdauer einer Kampagne eine messbare Wirkung auf die Vertrauenswürdigkeit des Absenders.