Einen DKIM-Schlüssel aktivieren

DKIM aktivieren Sie in drei Bewegungen: im Dashboard von 2Mail einen Schlüssel anlegen lassen, den Eintrag, den Sie dort angezeigt bekommen, in das DNS Ihrer Domain setzen und nach erfolgreicher Prüfung die Signierung einschalten. Der Name dieses Eintrags besteht aus einem Selektor, dem Bestandteil _domainkey und Ihrer Domain. Der häufigste Fehler: Das DNS-Panel hängt Ihre Domain selbst noch einmal hinten an, und dann findet niemand den Eintrag.

Was DKIM tut und was ein Selektor ist

DKIM setzt eine digitale Signatur auf jede Nachricht, die über 2Mail rausgeht. Der empfangende Server prüft diese Signatur mit einem öffentlichen Schlüssel im DNS Ihrer Domain. Die private Hälfte des Schlüssels bleibt auf unseren Servern; die müssen Sie nirgendwo eintragen.

Der Selektor ist das Etikett, das sagt, welcher Schlüssel verwendet wurde. Er steht in der Signatur jeder Nachricht, und der Empfänger sucht den Schlüssel unter dem Selektor, gefolgt von ._domainkey und Ihrer Domain. Dank der Selektoren kann eine Domain mehrere Schlüssel gleichzeitig haben: einen je Dienst, der in Ihrem Namen versendet, und vorübergehend zwei, wenn Sie einen Schlüssel ersetzen. Anders als bei SPF führen Sie also nichts zusammen. Der Schlüssel Ihrer Büropost oder Ihres Newsletter-Tools bleibt einfach stehen, der von 2Mail kommt daneben.

Immer ein TXT-Eintrag

Der DKIM-Eintrag von 2Mail ist immer ein TXT-Eintrag. Er enthält den öffentlichen Schlüssel selbst: einen langen Wert, der mit v=DKIM1 beginnt. Das Dashboard von 2Mail zeigt den Namen und den Wert, fertig zum Kopieren. Bei anderen Versanddiensten begegnet Ihnen manchmal ein CNAME-Eintrag: Er enthält keinen Schlüssel, sondern verweist auf einen Eintrag, den dieser Dienst selbst verwaltet. Für 2Mail legen Sie keinen CNAME an. Auf ein und demselben Namen können außerdem nie gleichzeitig ein CNAME und ein anderer Eintrag stehen.

Den Schlüssel in sieben Schritten aktivieren

1. Öffnen Sie Ihre Versanddomain im Dashboard von 2Mail und lassen Sie bei der Authentifizierung einen DKIM-Schlüssel anlegen. Sie bekommen den Namen des Eintrags (mit dem Selektor als Präfix), den Typ und den Wert angezeigt.
2. Gehen Sie in die DNS-Verwaltung des Anbieters, bei dem die Nameserver Ihrer Domain liegen. Das ist nicht unbedingt der Anbieter, bei dem Sie die Domain gekauft haben.
3. Legen Sie einen Eintrag vom Typ TXT an.
4. Tragen Sie als Namen nur den Teil vor Ihrer Domain ein: den Selektor, einen Punkt und _domainkey. Nahezu jedes Panel ergänzt die Domain selbst.
5. Fügen Sie den Wert wörtlich ein, ohne Leerzeichen oder Zeilenumbrüche hinzuzufügen.
6. Speichern Sie, gehen Sie zurück ins Dashboard und lassen Sie 2Mail den Eintrag prüfen. Sobald das gelingt, schalten Sie die Signierung ein.
7. Senden Sie eine Test-E-Mail an eine externe Adresse und sehen Sie sich die Kopfzeilen an: Bei den Authentifizierungsergebnissen sollte dkim=pass stehen, zusammen mit Ihrer eigenen Domain.

Warum ein langer Schlüssel manchmal in Stücke muss

Eine einzelne Zeichenkette in einem TXT-Eintrag darf höchstens 255 Zeichen umfassen. Ein Schlüssel mit 2048 Bit, heute die übliche Länge, ist länger. Ein solcher Wert wird deshalb als mehrere Zeichenketten innerhalb desselben Eintrags gespeichert; der Empfänger fügt sie wieder zusammen. Die meisten Panels erledigen das unbemerkt für Sie. Lehnt Ihr Panel den Wert ab, weil er zu lang ist, schneiden Sie ihn selbst in zwei Stücke, setzen Sie jedes Stück in doppelte Anführungszeichen und trennen Sie sie mit einem Leerzeichen, weiterhin in einem einzigen Eintrag. Machen Sie nie zwei getrennte Einträge daraus, und achten Sie darauf, dass beim Schneiden kein Zeichen verloren geht.

Wo Sie den Eintrag hinzufügen, je DNS-Anbieter

Die Falle ist überall dieselbe: Das Panel hängt Ihre Domain automatisch hinter den Namen. Tippen Sie den vollständigen Namen samt Ihrer Domain ein, landet der Eintrag eine Ebene zu tief. Tragen Sie also nur den Teil vor Ihrer Domain ein, es sei denn, das Panel verlangt ausdrücklich den vollständigen Namen.

• Cloudflare — wählen Sie Ihre Domain, öffnen Sie DNS und die Einträge, und fügen Sie einen Eintrag hinzu, dessen Name der Teil vor Ihrer Domain ist. Den Proxy-Schalter (die orange Wolke) gibt es für TXT-Einträge nicht; damit müssen Sie nichts tun.
• Combell — im Kontrollpanel bei Ihrem Domainnamen, unter der DNS-Verwaltung. TXT-Einträge haben dort eine eigene Rubrik.
• one.com — bei den DNS-Einstellungen, unter den DNS-Einträgen. Das Panel zeigt Ihre Domain bereits hinter dem Namensfeld an: Tippen Sie nur den vorderen Teil.
• TransIP — im DNS-Abschnitt Ihrer Domain fügen Sie eine Zeile hinzu, deren Name der Teil vor Ihrer Domain ist. Vergessen Sie nicht, unten zu speichern.
• OVHcloud — im Reiter mit der DNS-Zone fügen Sie einen Eintrag vom Typ TXT hinzu; ins Feld für die Subdomain kommt der vordere Teil des Namens.
• GoDaddy — in der DNS-Verwaltung der Domain fügen Sie einen neuen Eintrag hinzu; ins Namensfeld kommt nur der Teil vor Ihrer Domain.
• Microsoft 365 — liegt das DNS Ihrer Domain bei Microsoft selbst, fügen Sie im Admin Center bei Ihrer Domain einen benutzerdefinierten DNS-Eintrag hinzu. Sehen Sie dort bereits die Einträge selector1 und selector2 unter _domainkey, lassen Sie sie unangetastet: Das sind die Schlüssel von Microsoft für Post, die über Exchange Online rausgeht. Der Eintrag von 2Mail hat einen eigenen Selektor und kommt daneben.

Prüfen

Die Prüfung im Dashboard ist die Referenz. Möchten Sie selbst sehen, was die Außenwelt sieht, geben Sie Ihre Domain und den Selektor aus dem Dashboard in den kostenlosen SPF-, DKIM- und DMARC-Checker ein. Ein neuer Eintrag ist in der Regel innerhalb einer Stunde sichtbar; ein geänderter Eintrag folgt der vorherigen TTL.

Wenn die Prüfung weiter fehlschlägt

1. Sehen Sie nach, wie der Name tatsächlich im Panel steht. Endet er auf zweimal Ihre Domain, haben Sie die Domain selbst dazugetippt. Passen Sie den Namen an, bis nur der vordere Teil übrig bleibt.
2. Prüfen Sie das Panel. Zeigen die Nameserver auf einen anderen Anbieter, steht der Eintrag an einer Stelle, an der niemand nachsieht.
3. Prüfen Sie den Typ. Es muss ein TXT-Eintrag sein, kein CNAME.
4. Sehen Sie sich den Wert an. Keine Leerzeichen, keine Zeilenumbrüche, nicht mittendrin abgeschnitten, nicht auf zwei Einträge verteilt und keine typografischen Anführungszeichen aus einer E-Mail oder einem Word-Dokument.
5. Lehnt das Panel den Unterstrich in _domainkey ab, kann das nur Ihr DNS-Anbieter lösen. Der Unterstrich gehört zum Namen und darf nicht wegfallen.
6. Warten Sie die TTL ab, bevor Sie erneut testen, und testen Sie über das Dashboard oder den Checker, nicht vom eigenen Gerät aus.

Gelingt die Prüfung, meldet ein Empfänger aber trotzdem dkim=fail, verändert eine zwischengeschaltete Anwendung die Nachricht nach der Signierung, zum Beispiel ein Signaturtool oder ein Disclaimer, der nachträglich angehängt wird.

Mehrere Domains

DKIM gilt je Versanddomain. Versenden Sie von mehreren Domains, wiederholen Sie diese Schritte für jede Domain. Eine Subdomain, etwa eine eigene Domain für Newsletter, hat ihren eigenen Eintrag.

Den Schlüssel später ersetzen

Möchten Sie den Schlüssel rotieren, etwa nach einem Personalwechsel oder weil eine Sicherheitsrichtlinie es verlangt, legen Sie im Dashboard einen neuen Schlüssel mit einem anderen Selektor an. Setzen Sie den neuen Eintrag in Ihr DNS und aktivieren Sie den neuen Schlüssel, sobald die Prüfung gelingt. Widerrufen Sie danach den alten Schlüssel im Dashboard, und löschen Sie den alten Eintrag erst ein paar Tage später. So bleiben Nachrichten, die noch unterwegs sind, gültig.

Stimmt Ihr SPF-Eintrag noch nicht, beginnen Sie mit einen SPF-Eintrag beim DNS-Anbieter hinzufügen. Schalten Sie danach DMARC ein: Den Eintrag erstellen Sie mit dem DMARC-Record-Generator. Der Hintergrund zu den drei Einträgen steht auf SPF, DKIM und DMARC.

Häufige Fragen

Muss ich den privaten Schlüssel irgendwo eintragen?

Nein. Die private Hälfte bleibt auf den Servern von 2Mail. In Ihr DNS kommt nur der öffentliche Teil, und den darf jeder sehen.

Kann der Schlüssel von 2Mail neben dem von Microsoft 365 oder Google Workspace stehen?

Ja. Jeder Dienst signiert mit einem eigenen Selektor, und jeder Selektor hat einen eigenen Eintrag. Sie kommen sich nicht in die Quere; Sie müssen nichts zusammenführen oder löschen.

Genügt DKIM ohne SPF?

Für DMARC reicht es, wenn eines von beiden mit Ihrer eigenen Domain besteht, aber verlassen Sie sich nicht darauf. SPF schlägt bei weitergeleiteter Post fehl, und DKIM schlägt fehl, wenn eine Nachricht unterwegs verändert wird. Ist beides in Ordnung, fängt das eine das andere auf.

Wie oft muss ich den Schlüssel ersetzen?

Eine feste Regel gibt es nicht. Ersetzen Sie den Schlüssel, wenn Ihre eigene Sicherheitsrichtlinie es verlangt oder wenn Sie einen Grund haben, am aktuellen Schlüssel zu zweifeln. Mit einem neuen Selektor verläuft der Wechsel ohne Unterbrechung.

Klappt es nicht?

Schicken Sie uns über Kontakt Ihren Domainnamen und einen Screenshot des Eintrags in Ihrem DNS-Panel. Wir prüfen nach, was abweicht.