So finden Sie Ihren DKIM-Selektor
Ein DKIM-Schlüssel liegt im DNS unter einem Namen aus Selektor und Domain, zum Beispiel selector1._domainkey.ihre-firma.de. Den Selektor legt Ihr Mail-Dienst fest:
- Microsoft 365: Die Selektoren heißen
selector1 und selector2. Beide sind CNAME-Einträge, die auf Schlüssel bei Microsoft zeigen; den zweiten braucht Microsoft für den Schlüsselwechsel.
- Google Workspace: Der Standard-Selektor ist
google, der Eintrag heißt also google._domainkey.ihre-firma.de. War der Name schon belegt, wurde bei der Einrichtung ein anderes Präfix gewählt.
- Jeder andere Dienst: Im Kopf jeder signierten Mail steht die Zeile
DKIM-Signature. Darin nennt s= den Selektor und d= die signierende Domain. Aus d=ihre-firma.de und s=mail wird die Abfrage mail._domainkey.ihre-firma.de. Den Header einer Mail lesen Sie mit unserer Mail-Header-Analyse im Klartext.
Kennen Sie den Selektor nicht, testet der Check auf Knopfdruck gängige Selektoren. Eine Garantie ist das nicht, denn Selektoren sind frei wählbar.
Mehrere Dienste, mehrere Selektoren
Verschickt neben Microsoft 365 auch ein Newsletter-Tool, ein Shop oder eine Buchhaltungssoftware Mails mit Ihrer Absenderadresse, und sollen auch diese Mails mit Ihrer Domain signiert werden, braucht jeder Dienst einen eigenen Selektor mit eigenem Schlüssel. Den Selektor nennt Ihnen der jeweilige Dienst bei der Einrichtung. Prüfen Sie jeden einzeln: Fehlt ein Schlüssel, scheitert DKIM genau bei den Mails dieses Dienstes, während alle anderen sauber signiert sind.
Ergebnis verstehen
Der Check liest den TXT-Eintrag unter dem Selektor aus. Zeigt der Selektor per CNAME auf einen anderen Namen, folgt er dem Verweis und zeigt das Ziel mit an. Die möglichen Ergebnisse:
- Gültig: Unter dem Selektor steht ein öffentlicher Schlüssel mit ausreichender Länge. Empfänger können Signaturen Ihrer Domain damit prüfen.
- 1024 Bit: Der Schlüssel funktioniert, ist aber kurz. Der Standard RFC 8301 verlangt von Signierern mindestens 1024 Bit und empfiehlt mindestens 2048 Bit; Schlüssel unter 1024 Bit dürfen Empfänger nicht als gültig werten.
- Zurückgezogen (p ist leer): Der Eintrag existiert, enthält aber keinen Schlüssel. Nach RFC 6376 gilt der Schlüssel damit als zurückgezogen, und Signaturen mit diesem Selektor schlagen fehl.
- Testmodus (t=y): Die Domain kennzeichnet DKIM als Test. Empfänger dürfen solche Mails nicht anders behandeln als unsignierte, auch wenn die Signatur nicht passt. Für den Echtbetrieb gehört
t=y wieder heraus.
- Kein Eintrag: Unter diesem Selektor ist nichts veröffentlicht. Entweder ist der Selektor ein anderer, oder DKIM ist für diesen Dienst nicht eingerichtet. Eine Signatur mit diesem Selektor kann kein Empfänger prüfen.
- CNAME ohne Schlüssel: Der Selektor verweist per CNAME auf Ihren Mail-Dienst, dort ist aber kein Schlüssel veröffentlicht. Das muss kein Fehler sein, wenn ein anderer Selektor Ihrer Domain einen gültigen Schlüssel hat. Entscheidend ist der Selektor, mit dem Ihre Mails tatsächlich signiert werden; welcher das ist, zeigt das
s= im Mail-Header.
DNS-Eintrag ist nicht gleich Signatur: DKIM mit echter Mail testen
Der DKIM-Check zeigt, ob der öffentliche Schlüssel im DNS steht. Ob Ihr Mailserver ausgehende Mails auch wirklich damit signiert, sieht man nur an einer echten Mail. Genau dafür gibt es unseren Mail-Tester: Sie schicken eine Mail an eine Testadresse und sehen, ob die DKIM-Signatur gültig ist, zusammen mit SPF, DMARC und weiteren Prüfungen. Für DMARC zählt außerdem, dass die signierende Domain im d= der Signatur zu Ihrer Absenderadresse passt.
DKIM mit echter Mail testen
DKIM in Microsoft 365 aktivieren
In Microsoft 365 schalten Sie DKIM für eine eigene Domain im Microsoft Defender-Portal ein: E-Mail & Zusammenarbeit > Richtlinien & Regeln > Bedrohungsrichtlinien > E-Mail-Authentifizierungseinstellungen, Registerkarte DKIM. Direkt erreichen Sie die Seite über security.microsoft.com/authentication?viewid=DKIM. Wählen Sie dort die Domain aus; unter „CNAMEs veröffentlichen“ zeigt das Portal die beiden Einträge zum Kopieren an. Legen Sie sie bei Ihrem DNS-Anbieter an und schalten Sie danach „Nachrichten für diese Domäne mit DKIM-Signaturen signieren“ ein.
Microsoft hat das Format dieser Einträge im Mai 2025 geändert. Für Domains, die seitdem neu hinzugefügt wurden, zeigen die CNAMEs auf eine Adresse unter dkim.mail.microsoft; bestehende Domains behalten das bisherige Format unter onmicrosoft.com:
Neues Format:
selector1._domainkey CNAME selector1-<Domain mit Bindestrichen>._domainkey.<Präfix>.<Kennbuchstabe>-v1.dkim.mail.microsoft
selector2._domainkey CNAME selector2-<Domain mit Bindestrichen>._domainkey.<Präfix>.<Kennbuchstabe>-v1.dkim.mail.microsoft
Bisheriges Format, Microsofts Beispiel für contoso.com:
selector1._domainkey CNAME selector1-contoso-com._domainkey.contoso.onmicrosoft.com
<Präfix> ist der vordere Teil Ihrer onmicrosoft.com-Adresse, den Kennbuchstaben vergibt Microsoft. Microsoft rät, die Werte nicht selbst zusammenzusetzen, sondern aus dem Portal oder per PowerShell zu übernehmen:
Get-DkimSigningConfig -Identity ihre-firma.de | Format-List Name,Enabled,Status,Selector1CNAME,Selector2CNAME
Als Standardwert der Schlüssellänge nennt Microsoft 1024 Bit. Auf 2048 Bit wechseln Sie per PowerShell mit Rotate-DkimSigningConfig -Identity ihre-firma.de -KeySize 2048. Beim ersten Wechsel bekommt nur der nächste aktive Selektor den längeren Schlüssel, der andere beim folgenden Wechsel.
DKIM, SPF und DMARC
DKIM ist einer von drei Bausteinen. SPF legt fest, welche Server für Ihre Domain senden dürfen. DKIM signiert die Mail. DMARC sagt Empfängern, was mit Mails geschehen soll, die die Prüfung nicht bestehen, und verlangt, dass die geprüfte Domain zur Absenderadresse passt. Alle drei Einträge zusammen prüft unser Domain-Check. Wie sie im Detail zusammenspielen, erklärt der Ratgeber SPF, DKIM und DMARC technisch erklärt, und warum das gegen gefälschte Absender hilft, steht im Beitrag E-Mail-Spoofing stoppen.
DKIM-Schlüssel erzeugen: Generator oder Mail-Dienst?
Bei Microsoft 365 und Google Workspace erzeugt der Dienst das Schlüsselpaar selbst. Microsoft veröffentlicht den Schlüssel hinter den beiden CNAME-Einträgen, Google zeigt in der Admin-Konsole unter Apps > Google Workspace > Gmail > E-Mail authentifizieren einen fertigen TXT-Eintrag an. Einen DKIM-Generator brauchen Sie nur für einen eigenen Mailserver, der mit einem selbst erzeugten Schlüssel signiert. Wir bieten bewusst keinen Generator an: Der private Schlüssel gehört auf Ihren Server und nicht auf eine fremde Website.
