DKIM und SPF erklärt
DKIM unterschreibt jede E-Mail digital, SPF nennt die Server, die für Ihre Domain senden dürfen. Hier steht, wie beides technisch funktioniert und wie korrekte Einträge aussehen.
Was ist DKIM?
DKIM steht für DomainKeys Identified Mail. Der sendende Server berechnet aus ausgewählten Kopfzeilen und dem Text jeder E-Mail eine digitale Signatur und hängt sie als Kopfzeile an. Den passenden öffentlichen Schlüssel veröffentlichen Sie als Eintrag im DNS Ihrer Domain. Der Empfänger holt diesen Schlüssel und prüft damit, ob die Signatur zur Domain gehört und ob die Mail unterwegs verändert wurde. DKIM verschlüsselt nichts, es weist nur nach, wer signiert hat.
Grundlage sind die Standards RFC 6376 (DKIM), RFC 8301 (zulässige Verfahren) und RFC 7208 (SPF) sowie die Absenderrichtlinien von Google und Yahoo, Stand 28. Oktober 2026. Wie DMARC auf beidem aufbaut, steht unter DMARC, SPF und DKIM einrichten.
So funktioniert DKIM
Vier Teile greifen ineinander. Wer sie kennt, findet Fehler in Minuten statt in Stunden.
- 1 Die Signatur
- Der Server bildet einen Prüfwert über den Text (Feld bh) und über die Kopfzeilen, die im Feld h aufgelistet sind. Diesen Wert signiert er mit dem privaten Schlüssel (Feld b). Die Kopfzeile From muss laut Standard immer mitsigniert werden.
- 2 Domain und Selektor
- In der Signatur stehen die signierende Domain (d) und ein Selektor (s). Daraus setzt der Empfänger den Namen zusammen, unter dem er den Schlüssel sucht, nämlich selektor._domainkey.ihredomain.ch.
- 3 Der öffentliche Schlüssel
- Ein TXT-Eintrag mit v=DKIM1, dem Verfahren (k=rsa oder k=ed25519) und dem Schlüssel selbst im Feld p. Mehrere Selektoren nebeneinander sind erlaubt, so kann jeder Dienst einen eigenen Schlüssel haben.
- 4 Die Prüfung
- Der Empfänger rechnet nach. Stimmen beide Werte, ist das Ergebnis dkim=pass. Ein falscher Schlüssel oder eine nachträglich veränderte Mail ergibt dkim=fail.
Wie sieht das für Ihren Betrieb aus?
Im Erstgespräch schauen wir Ihre Ausgangslage an und sagen offen, was wir sehen und ob wir helfen können. Über 120 Schweizer Unternehmen betreut seit 2023.
Ein DKIM-Eintrag Feld für Feld
Oben die Felder der Signatur in der Mail, unten die Felder des Eintrags im DNS. Die Beispielwerte sind gekürzt.
| Feld | Bedeutung und Beispiel |
|---|---|
| d= und s= | Signierende Domain und Selektor, etwa d=ihredomain.ch und s=mail2026. Der Schlüssel liegt dann unter mail2026._domainkey.ihredomain.ch. |
| a= | Das Verfahren, heute rsa-sha256 oder ed25519-sha256. Laut RFC 8301 darf rsa-sha1 weder zum Signieren noch zum Prüfen verwendet werden. |
| h= | Die mitsignierten Kopfzeilen, zum Beispiel from, to, subject, date. From ist Pflicht. |
| c= | Wie streng Leerzeichen und Zeilenumbrüche verglichen werden. relaxed/relaxed verträgt kleine Änderungen auf dem Transportweg besser als simple. |
| l= | Signiert nur die ersten Zeichen des Texts. Der Standard warnt davor, weil dann Text angehängt werden kann, ohne dass die Signatur bricht. Besser weglassen. |
| v=DKIM1; k=rsa; p=MIIBIjAN… | Der Eintrag im DNS. Ein leeres Feld p bedeutet laut Standard, dass der Schlüssel widerrufen ist. |
| t=y | Testmodus. Empfänger sollen Mails dann nicht anders behandeln als unsignierte. Nach dem Test entfernen. |
Zur Schlüssellänge verlangt Google für den Versand an private Gmail-Konten mindestens 1'024 Bit und empfiehlt 2'048 Bit. RFC 8301 sagt dasselbe. Ein Schlüssel mit 2'048 Bit ist länger als die 255 Zeichen, die ein einzelner Textblock im DNS fassen kann. Er wird darum in mehrere Blöcke aufgeteilt, die der Empfänger wieder zusammensetzt. Viele DNS-Oberflächen erledigen das automatisch.
Der SPF-Eintrag im Detail
SPF ist ein einziger TXT-Eintrag auf der Domain selbst. Er beginnt immer mit v=spf1 und wird von links nach rechts gelesen, der erste Treffer entscheidet.
| Teil | Was er bewirkt |
|---|---|
| ip4 und ip6 | Erlaubt einzelne Adressen oder Bereiche, etwa ip4:203.0.113.10. Braucht keine zusätzliche DNS-Abfrage. |
| include | Übernimmt die Liste eines Dienstes, etwa include:_spf.google.com für Google Workspace oder include:spf.protection.outlook.com für Microsoft 365. |
| a und mx | Erlaubt die Server, auf die Ihre Domain bzw. Ihr Mail-Eintrag zeigt. |
| ptr | Im Standard mit «do not use» markiert. Nicht verwenden. |
| -all oder ~all | Steht am Schluss und regelt alle übrigen Server. -all heisst fail, ~all heisst softfail. Wer DMARC einsetzt, steuert die Folgen dort. |
| +all | Erlaubt jedem Server der Welt, für Ihre Domain zu senden. Ein schwerer Fehler. |
| redirect | Verweist auf den Eintrag einer anderen Domain, praktisch für mehrere Domains mit denselben Absendern. |
Ob -all oder ~all besser ist, wird oft überschätzt. Beides ist zulässig. Wer DMARC einsetzt, legt die eigentliche Regel dort fest, und manche Empfänger werten ein -all schon vor der DMARC-Prüfung als Ablehnung. ~all ist darum während der Einführung die vorsichtigere Wahl. Zwei Grenzen aus RFC 7208 führen in der Praxis am häufigsten zu Fehlern. Alle Teile, die eine DNS-Abfrage auslösen (include, a, mx, ptr, exists, redirect), dürfen zusammen höchstens zehn Mal vorkommen, eingebettete include mitgezählt. Und gibt es auf einer Domain mehr als einen SPF-Eintrag, lautet das Ergebnis permerror, also ein dauerhafter Fehler.
Was genau geprüft wird
SPF, DKIM und DMARC schauen auf drei verschiedene Absender. Wer das verwechselt, sucht den Fehler am falschen Ort.
Der technische Absender
Geprüft wird die Absenderadresse im Umschlag der Mail, sichtbar im Kopf als Return-Path, nicht die Adresse, die der Empfänger liest.
Die signierende Domain
Geprüft wird die Domain im Feld d der Signatur. Signiert ein Newsletter-Tool mit seiner eigenen Domain, besteht DKIM, hilft Ihrer Domain aber nicht.
Die sichtbare Adresse
DMARC verlangt, dass SPF oder DKIM zur Domain in der Zeile From passt. Erst so wird Fälschung Ihrer Adresse erkennbar.
Das Prüfergebnis richtig lesen
Jeder grosse Postfachanbieter schreibt das Ergebnis in die Kopfzeile Authentication-Results der empfangenen Mail. Die Begriffe sind in RFC 8601 und RFC 7208 festgelegt. Wer sie lesen kann, braucht für die Fehlersuche kein Prüftool.
| Ergebnis | Was es bedeutet und was zu tun ist |
|---|---|
| dkim=pass header.d=ihredomain.ch | Die Signatur ist gültig und stammt von Ihrer Domain. Steht bei header.d die Domain eines Tools, ist die Signatur zwar gültig, zählt für DMARC aber nicht für Ihre Domain. |
| dkim=fail | Der Schlüssel passt nicht oder der Inhalt wurde nach dem Signieren verändert. Häufigste Ursache ist ein Server oder Gateway, das nachträglich eine Fusszeile oder einen Disclaimer anhängt. |
| dkim=permerror | Der Eintrag im DNS ist fehlerhaft, etwa durch abgeschnittene Schlüsselblöcke, falsche Anführungszeichen oder einen Tippfehler im Selektor. |
| dkim=none | Die Mail trägt keine Signatur. Der Dienst signiert noch nicht oder die Signatur wurde nie aktiviert. |
| spf=softfail oder spf=fail | Der sendende Server steht nicht im SPF-Eintrag. Meist fehlt ein include für ein neues Tool oder eine Website, die direkt vom Webserver sendet. |
| spf=permerror | Der SPF-Eintrag ist ungültig, fast immer wegen zwei Einträgen auf derselben Domain oder mehr als zehn DNS-Abfragen. |
| temperror | Ein vorübergehender DNS-Fehler beim Empfänger oder bei Ihrem DNS-Anbieter. Tritt er wiederholt auf, liegt das Problem meist beim Nameserver. |
DKIM einrichten
Die Reihenfolge ist bei jedem Anbieter ähnlich. Die genauen Werte erzeugt immer der Dienst, der die Mails verschickt.
- Dienste auflisten
- Postfach (Microsoft 365, Google Workspace oder Hoster), Newsletter, CRM, Buchhaltung, Kontaktformular der Website.
- Jeder Dienst, der mit Ihrer Domain sendet, braucht eine eigene Signatur mit Ihrer Domain.
- Schlüssel erzeugen
- Im Admin-Bereich des Dienstes, mit 2'048 Bit, wenn möglich.
- Google Workspace schlägt den Selektor google vor, Microsoft 365 arbeitet mit zwei Einträgen selector1 und selector2, die als CNAME auf Microsoft zeigen.
- Eintrag im DNS anlegen
- Name und Wert genau so übernehmen, wie der Dienst sie anzeigt. Manche DNS-Oberflächen hängen die Domain selbst an, dann steht sie doppelt.
- Keine zusätzlichen Anführungszeichen oder Zeilenumbrüche einfügen.
- Signatur aktivieren
- Erst wenn der Eintrag im DNS sichtbar ist, die Signatur im Dienst einschalten.
- Testen
- Mail an eine Gmail-Adresse senden, «Original anzeigen» öffnen und dkim=pass mit Ihrer Domain suchen.
- Im Terminal mit dig TXT selektor._domainkey.ihredomain.ch prüfen, was veröffentlicht ist.
- Versand trennen
- Newsletter und Akquise-Mails über eine eigene Subdomain wie news.ihredomain.ch senden, mit eigenem SPF und eigenem DKIM-Selektor.
- Gerät der Massenversand in Schwierigkeiten, bleibt der Ruf der Hauptdomain mit den Postfächern Ihrer Mitarbeitenden eher geschützt.
- Schlüssel wechseln
- Neuen Selektor anlegen, umstellen, alten Schlüssel erst nach einigen Tagen widerrufen. So bleiben Mails, die noch unterwegs sind, prüfbar.
Warum DKIM allein nicht reicht
Google verlangt von allen Absendern an private Gmail-Konten seit Februar 2024 mindestens SPF oder DKIM. Wer mehr als 5'000 Mails pro Tag an Gmail schickt, braucht beides und zusätzlich DMARC. Yahoo stellt an Massenversender dieselben Anforderungen. Microsoft verlangt seit Mai 2025 für Outlook.com ab 5'000 Mails pro Tag ebenfalls SPF, DKIM und DMARC.
Für ein KMU mit wenigen hundert Mails am Tag sind diese Grenzen weit weg. Trotzdem lohnt sich der vollständige Satz. Ohne DMARC kann jeder Mails mit Ihrer Adresse in der Zeile From verschicken, auch wenn SPF und DKIM korrekt sind. Wie Sie DMARC schrittweise einführen, steht unter DMARC einrichten.
Die häufigsten Fehler
- Zwei SPF-Einträge
Ein neues Tool bringt einen eigenen Eintrag mit. Beide werden ungültig. Immer zusammenführen.
- Mehr als zehn Abfragen
Jedes include zählt, auch die verschachtelten. Alte Dienste entfernen.
- Fremde Signatur
Das Tool signiert mit seiner Domain statt mit Ihrer. Eigene Domain im Tool hinterlegen.
- Testmodus vergessen
t=y steht noch im Eintrag. Die Signatur zählt dann nicht voll.
- Disclaimer nach der Signatur
Ein Gateway hängt nach dem Signieren eine Fusszeile an. Die Prüfsumme über den Text stimmt nicht mehr, DKIM schlägt fehl.
- SPF mit festen Adressen geplättet
Wer include durch kopierte IP-Adressen ersetzt, umgeht die Zehnergrenze, verpasst aber jede Änderung beim Anbieter.
- Ins Leere zeigende Einträge
RFC 7208 empfiehlt, höchstens zwei Abfragen ohne Ergebnis zuzulassen. Verweise auf gelöschte Dienste können darum ebenfalls zu einem Fehler führen.
Was DKIM und SPF nicht leisten
Beide Verfahren sind Voraussetzung für Vertrauen, aber keine Zustellgarantie.
- Kein Spamschutz für den Inhalt
Auch korrekt signierte Mails landen im Spam, wenn Empfänger sie als Spam melden oder viele Adressen ungültig sind. Mehr dazu unter E-Mails landen im Spam.
- Keine Verschlüsselung
DKIM signiert nur. Ob eine Mail unterwegs verschlüsselt wird, regelt TLS, das Google zusätzlich verlangt.
- Weiterleitungen brechen SPF
Wird eine Mail weitergeleitet, sendet ein fremder Server. SPF schlägt dann fehl, DKIM bleibt meist gültig. Darum braucht es beides.
- Mailinglisten brechen DKIM
Listen, die den Betreff oder eine Fusszeile ändern, machen die Signatur ungültig. Yahoo empfiehlt Weiterleitern dafür das Verfahren ARC.
Wer diese Seite geschrieben hat
Konstantin Malt hat Malt Consulting 2023 gegründet, damals unter dem Namen Digitalwahl. Er begleitet inhabergeführte Schweizer Unternehmen bei Positionierung, Website und Kundengewinnung und richtet für Kunden die technischen Grundlagen für Akquise per E-Mail ein.
- AusbildungBachelor in Betriebswirtschaft, Universität St. Gallen (HSG)
- ErfahrungÜber 120 Schweizer Unternehmen betreut seit 2023
- Geprüft28. Oktober 2026, gegen die RFC und Absenderrichtlinien unten
Häufige Fragen zu DKIM und SPF
Kurz beantwortet, mit dem Stand der Standards und der Absenderrichtlinien.
Brauche ich DKIM, wenn SPF schon stimmt?
Ja. Google verlangt für kleine Absender zwar nur eines von beiden, empfiehlt aber immer beide. SPF scheitert bei Weiterleitungen, DKIM übersteht sie meist. Und für DMARC braucht es mindestens ein Verfahren, das zur sichtbaren Absenderdomain passt.
Wie finde ich meinen DKIM-Selektor?
Öffnen Sie eine gesendete Mail im Quelltext und suchen Sie die Kopfzeile DKIM-Signature. Der Wert nach s= ist der Selektor, der Wert nach d= die Domain. Zusammen ergeben sie den Namen des Eintrags im DNS.
Wo trage ich den SPF-Eintrag ein?
Als TXT-Eintrag direkt auf der Domain, also ohne Unterdomain, in der DNS-Verwaltung Ihres Domain-Anbieters. Der früher vorgesehene eigene Eintragstyp SPF wird laut RFC 7208 nicht mehr verwendet.
Was heisst Alignment bei DKIM?
DMARC verlangt, dass die Domain im Feld d der Signatur zur Domain in der Zeile From passt. Im Standardmodus relaxed genügt dieselbe Hauptdomain, eine Signatur von news.ihredomain.ch passt also zu ihredomain.ch. Im Modus strict muss die Domain genau übereinstimmen. Festgelegt wird das im DMARC-Eintrag mit adkim, für SPF mit aspf.
Wie oft sollte ich den DKIM-Schlüssel wechseln?
Eine feste Frist schreiben die Standards nicht vor. Ein Wechsel ist sinnvoll, wenn ein Dienst wegfällt, ein Schlüssel kürzer als 2'048 Bit ist oder der Verdacht besteht, dass der private Schlüssel bekannt wurde.
Weiterlesen
Quellen
- IETF, RFC 6376 «DomainKeys Identified Mail (DKIM) Signatures», September 2011, abgerufen am 28.10.2026. rfc-editor.org/rfc/rfc6376
- IETF, RFC 8301 «Cryptographic Algorithm and Key Usage Update to DKIM», Januar 2018, abgerufen am 28.10.2026. rfc-editor.org/rfc/rfc8301
- IETF, RFC 8463 «A New Cryptographic Signature Method for DKIM» (Ed25519), September 2018. rfc-editor.org/rfc/rfc8463
- IETF, RFC 8601 «Message Header Field for Indicating Message Authentication Status», Mai 2019, abgerufen am 29.10.2026. rfc-editor.org/rfc/rfc8601
- IETF, RFC 7489 «Domain-based Message Authentication, Reporting, and Conformance (DMARC)», März 2015, Abschnitt 3.1 zum Alignment, abgerufen am 29.10.2026. rfc-editor.org/rfc/rfc7489
- IETF, RFC 7208 «Sender Policy Framework (SPF)», April 2014, abgerufen am 28.10.2026. rfc-editor.org/rfc/rfc7208
- Google, «Richtlinien für E-Mail-Absender», Gmail-Hilfe, abgerufen am 28.10.2026. support.google.com/a/answer/81126
- Yahoo, «Sender Requirements and Recommendations», Sender Hub, abgerufen am 28.10.2026. senders.yahooinc.com/best-practices
- Microsoft, «Strengthening Email Ecosystem: Outlook’s New Requirements for High‐Volume Senders», 2.4.2025, aktualisiert 30.4.2025. techcommunity.microsoft.com
Stimmen Ihre DNS-Einträge?
Im Erstgespräch schauen wir uns SPF, DKIM und DMARC Ihrer Domain gemeinsam an und sagen Ihnen offen, was fehlt und was Ihr Hoster oder Ihre IT selbst beheben kann.
Lieber direkt? +41 78 814 14 58 oder info@maltconsulting.ch