Zuletzt geprüft:
Keine Rechtsberatung: Rechtliches steht auf dieser Seite nur als wörtliches Zitat aus Gesetz, Urteil oder Behördenpapier, mit Quelle. Wir ordnen es nicht selbst ein; eine Anwältin oder ein Anwalt hat die Seite nicht geprüft. Sie ersetzt keine Rechtsberatung im Einzelfall.
DKIM (DomainKeys Identified Mail)
Kurz gesagt: Mit DKIM unterschreibt ein Mailserver ausgehende Nachrichten digital im Namen einer Domain. Den öffentlichen Schlüssel dazu veröffentlicht die Domain im DNS; der Empfänger prüft damit, ob die signierten Teile der E-Mail seit dem Versand unverändert sind und welche Domain dafür einsteht (RFC 6376).1
Wie DKIM arbeitet
Der sendende Server berechnet aus ausgewählten Kopfzeilen und dem Text der Nachricht einen Prüfwert, verschlüsselt ihn mit dem privaten Schlüssel und schreibt das Ergebnis in die Kopfzeile DKIM-Signature. Zwei Angaben darin sind für Absender besonders wichtig:
d=nennt die signierende Domain, also die Domain, die für die Nachricht einsteht.s=nennt den Selektor, eine frei gewählte Bezeichnung für einen bestimmten Schlüssel.
Aus beiden setzt der Empfänger den Namen zusammen, unter dem er den öffentlichen Schlüssel abfragt: Selektor, dann _domainkey, dann die Domain (RFC 6376, Abschnitt 3.6.2.1).1 Mit dem Schlüssel prüft er die Signatur. Weil die Signatur in der Nachricht reist, kann sie Weiterleitungen überstehen, solange die signierten Teile nicht verändert werden.
Für die Schlüssellänge verlangt RFC 6376 von Signierenden RSA-Schlüssel mit mindestens 1024 Bit (Abschnitt 3.3.3). Gmail verlangt für den Versand an private Gmail-Konten ebenfalls mindestens 1.024 Bit und empfiehlt 2.048 Bit, wenn der Domainanbieter das unterstützt.2
Abgrenzung
- DKIM und SPF: SPF prüft den einliefernden Server anhand der Umschlag-Adresse; DKIM prüft eine Signatur in der Nachricht selbst. SPF scheitert oft an Weiterleitungen, DKIM nicht zwingend.
- DKIM und DMARC: Für DMARC zählt eine DKIM-Signatur nur, wenn die Domain in
d=zur sichtbaren Absenderdomain passt (RFC 9989, Abschnitt 4.4.1).3 Signiert ein Versanddienst nur mit seiner eigenen Domain, besteht DKIM, DMARC aber nicht über DKIM. - DKIM und Verschlüsselung: DKIM macht den Inhalt nicht unlesbar. Die Signatur weist nur Herkunft und Unversehrtheit nach.
Verwechslungsgefahr
- DomainKeys: So heißt ein älteres Verfahren (RFC 4870). Die Schlüsseleinträge von DKIM sind laut RFC 6376 in vielen Fällen mit denen von DomainKeys verträglich (Anhang C.1); gemeint ist heute in aller Regel DKIM.
- Mehrere Signaturen: Eine Nachricht kann mehrere
DKIM-Signature-Zeilen tragen, etwa vom Versanddienst und von der eigenen Domain. Für DMARC genügt eine bestandene, passende Signatur.
Beispiel
Gekürzt aus dem Beispiel in RFC 6376, Anhang A.2:
DKIM-Signature: v=1; a=rsa-sha256; s=brisbane; d=example.com;
c=simple/simple; q=dns/txt; i=joe@football.example.com;
h=Received : From : To : Subject : Date : Message-ID;
bh=…; b=…Der Empfänger liest d=example.com und s=brisbane und fragt den Schlüssel unter brisbane._domainkey.example.com ab (Anhang A.3). Für die eigene Domain sähe der Eintrag im DNS etwa so aus, mit gekürztem Schlüssel:
newsletter2026._domainkey.example.de. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"Ein Zitat zur Nachweisbarkeit
Die Datenschutzaufsichtsbehörden erwähnen DKIM im Zusammenhang mit dem Nachweis von Einwilligungen. Sie schreiben: „Der BGH spricht in diesem Zusammenhang (im o. g. Urteil) die Vorlage einer Bestätigungs-E-Mail an, die von der jeweiligen E-Mail-Adresse versandt wurde, was beispielsweise beim heutzutage oft üblichen Einsatz von DKIM- oder anderen digitalen Signaturen die Authentizität der E-Mail und damit der Einwilligung tatsächlich nachweisen kann.“ (DSK-Orientierungshilfe Direktwerbung, Februar 2022, Abschnitt 3.3, S. 12) Eine eigene rechtliche Einschätzung geben wir dazu nicht.
Häufige Fragen
Wo bekomme ich den DKIM-Schlüssel her? In der Regel erzeugt ihn der Dienst, der Ihre E-Mails verschickt, und nennt Ihnen Namen und Inhalt des DNS-Eintrags. Den privaten Schlüssel braucht nur der signierende Server. Gmail verweist für eigene Server auf Werkzeuge zum Erzeugen von DKIM-Schlüsseln oder auf den Domainanbieter.
Was bedeutet „dkim=pass“? Mit diesem Vermerk hält der empfangende Server in einer Kopfzeile fest, dass er eine Signatur geprüft und bestätigt hat; RFC 6376 zeigt das in Anhang A.3. Welche Domain unterschrieben hat, steht in der Angabe d= der Signatur.
Kann ich den Schlüssel wechseln? Ja, dafür gibt es den Selektor. RFC 6376 rät, nach einem Wechsel sofort mit dem neuen Schlüssel zu signieren und den alten öffentlichen Schlüssel noch eine angemessene Zeit im DNS zu lassen, damit spät geprüfte Nachrichten bestehen (Abschnitt 5.2).1
Verwandte Begriffe
- SPF, DMARC, Alignment
- ARC – Prüfergebnisse über Weiterleitungen hinweg
- Double-Opt-In
Passendes Werkzeug
- DMARC-Baukasten: Der nächste Schritt, wenn DKIM steht.