DKIM für Ihre geschäftliche E-Mail einrichten

Bevor Sie einen Schlüssel ändern

Prüfen Sie zuerst den bestehenden Signaturstatus und die DNS-Einträge. Eine erfolglose Abfrage eines gängigen Selektors beweist nicht, dass DKIM fehlt: Der Absender kann einen anderen Namen verwenden. Behalten Sie funktionierende Selektoren sowie MX-, SPF- und DMARC-Einträge bei. Ein Empfangspostfach oder Alias zeigt nicht jeden Dienst, der Ihre E-Mails versendet.

Google Workspace

1. Bitten Sie Ihren Super-Administrator, Apps → Google Workspace → Gmail → E-Mail authentifizieren zu öffnen und genau die sendende Domain auszuwählen. Wenn das Signieren bereits funktioniert, behalten Sie den aktuellen Schlüssel.
2. Wählen Sie bei einer neuen Einrichtung „Neuen Eintrag generieren“ und einen 2048-Bit-Schlüssel, wenn Ihr DNS-Anbieter das unterstützt. Verwenden Sie einen ungenutzten Selektor. Kopieren Sie den vollständigen TXT-Namen und -Wert, die Google anzeigt; verwenden Sie niemals den Schlüssel einer anderen Domain.
3. Veröffentlichen Sie genau diesen TXT-Eintrag bei Ihrem DNS-Anbieter und beachten Sie dessen Format für Hostnamen, damit die Domain nicht doppelt angehängt wird. Kehren Sie dann zu Google Admin zurück und wählen Sie „Authentifizierung starten“. Prüfen Sie, ob der Status anzeigt, dass E-Mails mit DKIM authentifiziert werden.

Bei einem neu aktivierten Gmail-Dienst kann es 24–72 Stunden dauern, bis ein Schlüssel generiert werden kann. DNS und Authentifizierung können bis zu 48 Stunden dauern. Möglicherweise hat ein Anbieter den Eintrag bereits angelegt; prüfen Sie das, bevor Sie einen hinzufügen. DKIM-Anleitung von Google

Microsoft 365

1. Ihre eigene Domain muss bereits zu Microsoft 365 hinzugefügt sein. Öffnen Sie in Microsoft Defender E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen → DKIM und wählen Sie dann diese Domain aus.
2. Wenn die Domain NoDKIMKeys anzeigt, schalten Sie das Signieren ein, um die Anweisungen für ihre Schlüssel zu erzeugen. Der anfängliche CNAME-Fehler ist zu erwarten, bis das DNS bereit ist; schließen Sie ihn, öffnen Sie die Details der Domain und suchen Sie den Abschnitt zum Veröffentlichen der CNAMEs (Publish CNAMEs). Kopieren Sie beide exakten Ziele für selector1._domainkey und selector2._domainkey.
3. Veröffentlichen Sie beide CNAME-Einträge und behalten Sie andere Einträge bei. Verwenden Sie die Zielwerte, die Ihr Mandant liefert: Microsoft vergibt einen Teil jedes Namens, daher sind Beispiele und aus MX-Einträgen abgeleitete Werte ungeeignet. Behalten Sie eine TTL von mindestens 3600 Sekunden bei.
4. Sobald Microsoft die CNAMEs erkennt, aktivieren Sie das Signieren der Nachrichten für diese Domain mit DKIM-Signaturen und prüfen Sie, ob der Status anzeigt, dass DKIM-Signaturen für diese Domain erstellt werden. Die Erkennung kann einige Minuten oder länger dauern.

DKIM-Einrichtung und Fehlerbehebung bei Microsoft

Eine nach der Aktivierung gesendete Nachricht überprüfen

Senden Sie nach der DNS-Verbreitung und der Aktivierung von jedem Dienst und jeder Absenderadresse eine Nachricht an ein separates externes Postfach, das Sie kontrollieren und an das Sie den Test senden dürfen. Ein weiterer Alias desselben Postfachs reicht nicht; interne E-Mails können einen anderen Signaturweg nehmen.

• Öffnen Sie die Original-Header der empfangenen Nachricht. In DKIM-Signature bezeichnet d= die signierende Domain und s= den tatsächlichen Selektor.
• Suchen Sie nach dkim=pass in den Authentication-Results des empfangenden Dienstes. Prüfen Sie, ob die signierende Domain mit bestandener Prüfung gemäß Ihrer DMARC-Richtlinie zur sichtbaren Absenderdomain passt. Ein Bestehen nur für die eigene Domain des Anbieters reicht nicht aus.
• Bewahren Sie die Nachricht und den Beobachtungszeitpunkt vertraulich auf. Frühere E-Mails dienen nur als Vergleichsbasis. Ein veröffentlichter Schlüssel allein beweist weder aktives Signieren noch die Zustellung in den Posteingang.

DMARC für Google Workspace einrichten