DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu und veröffentlicht den dazugehörigen öffentlichen Schlüssel im DNS, sodass ein empfangender Server überprüfen kann, ob die Nachricht tatsächlich von der angegebenen Domain stammt und während der Übertragung nicht verändert wurde.
So funktioniert es
Der sendende Server signiert ausgewählte Header und den Textkörper jeder Nachricht mit einem privaten Schlüssel und fügt das Ergebnis als „DKIM-Signature“-Header hinzu. Dieser Header enthält einen Selektor und eine Domain. Der Empfänger ruft den öffentlichen Schlüssel aus dem DNS unter „selector._domainkey.domain“ ab und überprüft die Signatur. Der Standard ist RFC 6376.
Da die Signatur den Inhalt abdeckt, schlägt eine während der Übertragung veränderte Nachricht fehl. Da sich der Schlüssel im DNS des Absenders befindet, kann nur jemand, der das DNS dieser Domain kontrolliert, einen Schlüssel veröffentlichen, der die Überprüfung ermöglicht.
Was DKIM nicht leistet
DKIM belegt, dass eine Nachricht von einer Domain signiert wurde – nicht jedoch, dass die Domain mit der „Von“-Adresse übereinstimmt, die der Leser sieht. Ein Betrüger kann E-Mails vollkommen rechtmäßig mit seiner eigenen Domain signieren. Die Verknüpfung der signierenden Domain mit der sichtbaren „Von“-Adresse ist die Aufgabe von DMARC.
Es handelt sich zudem nicht um eine Verschlüsselung. Die Nachricht ist für jeden lesbar, der damit umgeht; DKIM macht lediglich Manipulationen nachweisbar.
So überprüfen Sie eine Nachricht
Öffnen Sie die vollständigen Kopfzeilen einer E-Mail, die Sie erhalten haben, und suchen Sie nach „Authentication-Results“. Achten Sie auf den Eintrag „dkim=pass“ und die Domain, für die die Überprüfung erfolgreich war.
DKIM bei Mailotte
Von Mailotte versendete E-Mails sind DKIM-signiert. Wenn Sie Ihre eigene Domain verknüpfen, generiert Mailotte einen Signaturschlüssel dafür und stellt Ihnen einen TXT-Eintrag zur Verfügung, den Sie unter „selector._domainkey.yourdomain“ veröffentlichen müssen, damit E-Mails von Ihrer Domain als Ihre Domain und nicht als „mailotte.com“ signiert werden.
Fragen
Verschlüsselt DKIM meine E-Mail?
Nein. Es signiert sie, wodurch Manipulationen erkennbar werden. Jeder, der die Nachricht bearbeitet, kann sie weiterhin lesen.
Was ist ein DKIM-Selektor?
Eine Kennung, die angibt, welcher Schlüssel nachgeschlagen werden soll, sodass eine Domain mehrere Schlüssel gleichzeitig haben kann – beispielsweise einen pro E-Mail-Anbieter oder einen alten und einen neuen Schlüssel während der Schlüsselrotation. Der öffentliche Schlüssel befindet sich unter selector._domainkey.yourdomain.
Warum wird DKIM als gültig erkannt, meine E-Mail landet aber trotzdem im Spam-Ordner?
Weil DKIM lediglich nachweist, wer die Nachricht signiert hat. Empfänger berücksichtigen zudem die DMARC-Konformität, die Reputation des sendenden Servers und den Inhalt.
Verwandte Begriffe
- SPF – Sender Policy Framework
- DMARC – Domain-based Message Authentication, Reporting and Conformance
- MTA-STS – SMTP MTA Strict Transport Security
- Alle Begriffe