DKIM einrichten und prüfen: Anleitung für dein E-Mail-Marketing

DKIM ist eine digitale Signatur für E-Mails. Sie hilft dem empfangenden Mailserver zu prüfen, welche Domain eine Nachricht signiert hat und ob die signierten Teile unverändert angekommen sind. Wenn du Newsletter mit deiner eigenen Absenderdomain verschickst, gehört DKIM zur technischen Grundausstattung.

Hier erfährst du, wie du DKIM einrichten und prüfen kannst, welche DNS-Einträge du für Aivie brauchst und wie DKIM mit SPF und DMARC zusammenspielt.

Was ist DKIM und wie funktioniert es?

DKIM steht für DomainKeys Identified Mail. Stell dir die Signatur wie ein digitales Siegel vor: Der Versanddienst bringt es beim Senden an. Der empfangende Mailserver prüft es mit einem öffentlichen Schlüssel, den er über das DNS der signierenden Domain findet. DNS ist das Verzeichnis, in dem unter anderem die technischen Einstellungen deiner Domain stehen.

Der private Schlüssel bleibt beim Versanddienst. Er gehört nie in deine öffentlich zugänglichen DNS-Einträge. DKIM prüft die signierten Teile der Nachricht und verbindet sie mit einer Domain. Es bestätigt nicht die Identität einer bestimmten Person und verschlüsselt den Inhalt nicht. Die technische Grundlage beschreibt der DKIM Standard RFC 6376.

Warum ist DKIM für dein E-Mail-Marketing wichtig?

Mailanbieter müssen entscheiden, welchen Absendern sie vertrauen. Eine gültige DKIM-Signatur liefert dafür ein wichtiges technisches Signal. Fehlende oder ungültige Authentifizierung kann die Zustellung erschweren. Eine Garantie für den Posteingang ist DKIM aber nicht.

Bei Google müssen Absender mit mehr als 5’000 Nachrichten pro Tag an private Gmail-Adressen unter anderem SPF, DKIM und DMARC einrichten. Für Marketing-E-Mails gelten zusätzlich Anforderungen an die Abmeldung. Die aktuellen Gmail Richtlinien beschreiben die Details. Auch bei kleineren Verteilern empfehlen wir ein vollständiges Setup.

Relevant bleiben ausserdem deine Inhalte, die Erwartungen deiner Kontakte und Beschwerden über unerwünschte Nachrichten. Mehr dazu findest du in unserem Beitrag Wie landen E-Mails nicht im Spam?

DKIM mit Aivie einrichten

Der Aivie Setup Wizard nimmt dich an der Hand und führt dich Schritt für Schritt durch die Einrichtung von DKIM. Er zeigt dir verständlich, was als Nächstes zu tun ist. So richtest du deine Absenderdomain mit klarer Anleitung ein.

DKIM prüfen: Entscheidend ist die empfangene E-Mail

Sende eine Testnachricht aus Aivie an ein externes Postfach. Öffne dort die Originalnachricht oder die vollständigen Kopfzeilen. Suche im Prüfbericht des empfangenden Mailservers nach Authentication-Results und dkim=pass. Prüfe auch, welche Domain die erfolgreiche Signatur verwendet.

Für die technische Prüfung sind zwei Angaben in DKIM-Signature hilfreich: d= nennt die signierende Domain, s= den Selektor. Der Selektor bezeichnet den passenden Schlüssel. Mehrere Dienste können dadurch eigene Schlüssel für dieselbe Domain verwenden.

Eine erfolgreiche Signatur irgendeiner Domain reicht für DMARC nicht automatisch aus. Die signierende Domain muss zur sichtbaren Absenderdomain passen. Prüfe deshalb auch dmarc=pass. Bei mehreren Signaturen zählt für diesen Zweck eine erfolgreiche, passend ausgerichtete Signatur.

Was ist der Unterschied zwischen SPF, DKIM und DMARC?

Verfahren	Aufgabe
SPF	Prüft, ob der sendende Server für die technische MAIL FROM Domain autorisiert ist.
DKIM	Prüft die digitale Signatur der Nachricht und die dabei verwendete Domain.
DMARC	Verknüpft SPF oder DKIM mit der sichtbaren Absenderdomain und veröffentlicht eine Richtlinie für Nachrichten, die diese Prüfung nicht bestehen.

DMARC besteht, wenn mindestens eines der beiden Verfahren erfolgreich ist und die Domain zur sichtbaren Absenderdomain passt. Dieses Zusammenpassen heisst Alignment. Bei lockerer Ausrichtung können passende Subdomains genügen; bei strenger Ausrichtung müssen die Domains genau übereinstimmen. Details erklärt die Dokumentation zu DMARC und Alignment.

Warum verwendet Aivie eine eigene MAIL FROM Domain?

Zum Aivie Standardsetup gehört zusätzlich eine eigene MAIL FROM Domain, zum Beispiel email.deine-domain.ch. Dort werden der SPF-Eintrag und der MX-Eintrag für Zustellrückmeldungen hinterlegt.

DKIM funktioniert nicht: Häufige Ursachen

• Domain doppelt angefügt: Kontrolliere, ob der gespeicherte Name versehentlich zweimal deine Domain enthält. Z.B.: _dmarc.aivie.ch.aivie.ch
• Falscher Typ oder falsches Ziel: Übernimm CNAME und Ziel genau wie geliefert. Ein DKIM-Schalter für die Postfächer deines Hosters ersetzt die Einträge für Aivie nicht.
• Einer der drei Einträge fehlt: Vergleiche die gesamte Liste mit den Angaben von Aivie.
• DNS Wechsel: Bei einem Wechsel der Nameserver müssen die DKIM-Einträge in der neuen DNS-Zone vorhanden sein.
• Nachricht nachträglich verändert: Änderungen an signierten Inhalten nach dem Versand können die Signatur ungültig machen. Prüfe die tatsächlich empfangene Nachricht.

Wenn du unsicher bist, gib die Prüfung an eure IT oder das Aivie Team weiter.

Häufige Fragen zu DKIM

Ist ein DKIM-Eintrag ein TXT oder ein CNAME?

Beides kommt vor. Der öffentliche Schlüssel wird über DNS als TXT-Inhalt abgerufen. Manche Versanddienste lassen dich diesen selbst veröffentlichen, andere verwenden einen CNAME als Verweis. Für die Aivie Einrichtung übernimmst du die gelieferten CNAME-Einträge.

Brauche ich DKIM für jeden Versanddienst?

Jeder Dienst muss für seinen Versand passend eingerichtet sein. Eine DKIM-Einrichtung für Microsoft 365 oder Google Workspace signiert nicht automatisch Newsletter, die über einen anderen Dienst versendet werden.

Verhindert DKIM, dass mein Newsletter im Spam landet?

DKIM ist ein wichtiger Baustein für die Authentifizierung. Es garantiert keine Platzierung im Posteingang. Auch Empfängerinteresse, Beschwerden und die Reputation des Absenders spielen eine Rolle.

Muss ich DKIM vor jeder Kampagne neu einrichten?

Nein. Solange Versanddienst, Domain und Schlüsselverwaltung unverändert funktionieren, bleiben die Einträge bestehen. Prüfe die Authentifizierung besonders nach einem Anbieterwechsel oder Änderungen am DNS.