DKIM Check — Signatur, Schlüsselstärke und Alignment prüfen

Was ist DKIM?

DomainKeys Identified Mail (DKIM, RFC 6376) signiert ausgehende E-Mails kryptographisch. Der sendende Server bildet einen Hash über ausgewählte Header und den Body und signiert diesen mit einem privaten Schlüssel. Der öffentliche Schlüssel liegt als DNS-TXT-Record unter selektor._domainkey.deinedomain.de.

Der Empfänger kann damit zwei Dinge nachweisen: dass die Nachricht tatsächlich von der signierenden Domain autorisiert wurde und dass sie auf dem Transportweg nicht verändert wurde. Anders als SPF überlebt DKIM Weiterleitungen, weil die Signatur an der Nachricht selbst hängt und nicht an der sendenden IP.

Was AnalyzeMy.Email beim DKIM Check prüft

• Verifikation der Signatur gegen den veröffentlichten Public Key — Ergebnis pass, fail oder none
• Algorithmus: rsa-sha256 und ed25519-sha256 gelten als sicher, rsa-sha1 ist überholt
• Schlüsselstärke: 1024, 2048 oder 4096 Bit bei RSA. 1024 Bit gilt als zu schwach und wird bemängelt
• Signierte Header: Sind From, To, Subject und Date von der Signatur abgedeckt?
• Canonicalization: verwendeter Modus für Header und Body (simple/relaxed)
• Domain-Alignment: Stimmt die signierende Domain (d=) mit der Domain im From-Header überein — strikt, relaxed oder gar nicht?
• Mehrere Signaturen werden einzeln ausgewiesen, etwa wenn Absender und Mail-Gateway getrennt signieren

Warum die signierten Header wichtig sind

Eine DKIM-Signatur schützt nur das, was sie abdeckt. Ist der Subject-Header nicht in der h=-Liste enthalten, kann ein Angreifer den Betreff einer signierten Mail austauschen, ohne dass die Signatur bricht. Genauso wichtig: Wird der From-Header nicht signiert, ist die Signatur für die Absenderidentität praktisch wertlos — und DMARC-Alignment kommt gar nicht erst zustande.

Häufige Fehlerquellen

• Body verändert: Mailinglisten und Gateways hängen Footer an. Das bricht die Body-Signatur und DKIM schlägt fehl.
• Schlüssel rotiert, DNS nicht: Der private Schlüssel wurde getauscht, der öffentliche Record im DNS steht noch auf dem alten Wert.
• Selektor nicht auffindbar: Der s=-Selektor der Signatur existiert im DNS nicht — häufig nach Provider-Wechsel.
• 1024-Bit-Schlüssel: Viele Altkonfigurationen laufen noch mit 1024 Bit. 2048 Bit ist heute Standard.
• Keine Signatur: Ergebnis none bedeutet, dass gar nicht signiert wurde. Damit fällt DMARC allein auf SPF zurück.