DKIM steht für DomainKeys Identified Mail und ist ein Verfahren zur Prüfung von E-Mails. Dabei versieht der sendende Mailserver eine Nachricht mit einer digitalen Signatur. Der empfangende Server kann damit kontrollieren, ob die E-Mail tatsächlich zur angegebenen Absenderdomain gehört und ob ihr Inhalt auf dem Transportweg verändert wurde.
Wie funktioniert DKIM?
Beim Versand erzeugt der Mailserver aus Teilen der Nachricht und einem geheimen Schlüssel eine digitale Signatur. Diese Signatur wird im technischen E-Mail-Header gespeichert. Der passende öffentliche Schlüssel liegt als DNS-Eintrag bei der Domain des Absenders.
Der empfangende Mailserver ruft diesen öffentlichen Schlüssel ab und prüft die Signatur. Stimmen die geprüften Daten überein, gilt die DKIM-Prüfung als bestanden. Eine erfolgreiche Prüfung bedeutet jedoch nicht automatisch, dass die Nachricht harmlos ist oder wirklich von der genannten Person stammt.
Was bedeutet ein DKIM-Ergebnis?
In den technischen Kopfzeilen einer E-Mail erscheinen häufig Angaben wie dkim=pass oder dkim=fail. „Pass“ bedeutet, dass die Signatur mathematisch korrekt geprüft wurde. „Fail“ weist darauf hin, dass die Signatur nicht zur Nachricht oder zur Domain passt.
- pass: Die Signatur konnte erfolgreich bestätigt werden.
- fail: Die Nachricht wurde möglicherweise verändert oder falsch signiert.
- none: Es war keine DKIM-Signatur vorhanden.
- neutral: Es gab einen Prüfhinweis, aber keine eindeutige Bewertung.
Ein negatives Ergebnis kann durch eine fehlerhafte Mailserver-Konfiguration, Weiterleitungen oder nachträgliche Änderungen an der Nachricht entstehen. Es ist deshalb ein Warnsignal für die Zustellung, aber kein alleiniger Beweis für einen Betrugsversuch.
Warum ist DKIM für die E-Mail-Sicherheit wichtig?
DKIM erschwert es Angreifern, Nachrichten mit einer fremden Absenderdomain überzeugend zu versenden. Gemeinsam mit SPF und DMARC verbessert das Verfahren die Prüfung von Absendern und hilft Mailservern bei der Entscheidung, ob eine Nachricht zugestellt, markiert oder abgewiesen werden soll.
DKIM verschlüsselt den Inhalt einer E-Mail nicht. Auch die Identität des Absenders wird dadurch nicht vollständig bestätigt. Eine manipulierte oder schädliche Nachricht kann eine gültige Signatur besitzen, wenn sie vom berechtigten Mailkonto oder Mailserver versendet wurde.
Was solltest du bei einer verdächtigen E-Mail prüfen?
Verlasse dich nicht nur auf die sichtbare Absenderadresse. Öffne die vollständigen Nachrichteninformationen und suche im Abschnitt „Authentication-Results“ nach dem DKIM-Ergebnis. Entscheidend ist außerdem, welche Domain hinter d= steht und ob sie zum erwarteten Absender passt.
- Prüfe die Domain des Absenders auf Schreibfehler und ungewöhnliche Endungen.
- Vergleiche DKIM, SPF und DMARC, sofern diese Ergebnisse angezeigt werden.
- Öffne keine Anhänge und Links, wenn Absender, Inhalt oder Zahlungsaufforderung nicht plausibel sind.
- Frage bei wichtigen Nachrichten über einen bekannten Kontaktweg nach.
Bei geschäftlichen Domains sollte die zuständige Administration prüfen, ob der DKIM-DNS-Eintrag, der verwendete Selektor und die Signierung des Mailservers korrekt eingerichtet sind. Die genauen Einstellungen unterscheiden sich je nach Anbieter und Versanddienst.
Häufige Fragen zu DKIM und E-Mail-Sicherheit
Ist eine E-Mail mit DKIM-Pass automatisch vertrauenswürdig?
Nein, ein DKIM-Pass bestätigt vor allem die technische Gültigkeit der Signatur und die unveränderte Übertragung signierter Nachrichtenteile. Die E-Mail kann trotzdem von einem kompromittierten Konto stammen oder betrügerische Inhalte und Schadsoftware enthalten.
Was bedeutet die Domain hinter „d=“ im DKIM-Ergebnis?
Der Wert „d=“ bezeichnet die Domain, mit deren privatem Schlüssel die Nachricht signiert wurde. Passt diese Domain nicht zum erwarteten Absender oder zur sichtbaren Absenderdomain, sollte die Nachricht besonders sorgfältig geprüft werden.
Warum kann DKIM bei einer weitergeleiteten E-Mail fehlschlagen?
Eine Weiterleitung kann technische Kopfzeilen oder signierte Bestandteile verändern und dadurch die ursprüngliche Signatur ungültig machen. Ein DKIM-Fail nach einer Weiterleitung ist daher nicht allein ein Beweis für einen Angriff, sollte aber zusammen mit SPF, DMARC und dem Nachrichteninhalt bewertet werden.
Was ist der Unterschied zwischen DKIM, SPF und DMARC?
DKIM prüft eine digitale Signatur, SPF bewertet, ob ein sendender Server für eine Domain zugelassen ist, und DMARC legt fest, wie Empfänger mit abweichenden Ergebnissen umgehen sollen. Erst das Zusammenspiel dieser Verfahren liefert eine umfassendere technische Bewertung der Absenderauthentifizierung.
Kann DKIM den Inhalt einer E-Mail vor Mitlesen schützen?
Nein, DKIM ist keine Verschlüsselung und schützt den Nachrichtentext nicht vor dem Lesen durch unbefugte Personen. Für Vertraulichkeit sind andere Verfahren wie Transportverschlüsselung oder Ende-zu-Ende-Verschlüsselung erforderlich.
Was bedeutet ein DKIM-Ergebnis „none“?
„None“ bedeutet, dass für die geprüfte Nachricht keine DKIM-Signatur vorlag. Das kann bei legitimen Absendern vorkommen, erschwert dem empfangenden Server aber die Bewertung der Absenderdomain und kann je nach DMARC-Regeln die Zustellung beeinflussen.
Kann eine kleine Änderung an einer E-Mail DKIM ungültig machen?
Ja, Änderungen an signierten Kopfzeilen oder am signierten Nachrichtentext können die mathematische Prüfung scheitern lassen. Welche Bestandteile tatsächlich signiert wurden, ist im DKIM-Header unter anderem anhand des Feldes „h=“ und weiterer Signaturangaben erkennbar.
Was sollte die Administration bei wiederholtem DKIM-Fail prüfen?
Sie sollte zunächst den DNS-Eintrag für den verwendeten Selektor, die Domain im „d=“-Wert und die Konfiguration des ausgehenden Mailservers vergleichen. Zusätzlich sind Weiterleitungen, externe Versanddienste und eine mögliche nachträgliche Veränderung signierter Nachrichtenbestandteile zu berücksichtigen.