Das Wichtigste in Kürze
- DKIM unterschreibt jede Mail digital; der Empfänger prüft die Signatur mit dem Schlüssel aus Ihrem DNS.
- Jeder Dienst, der in Ihrem Namen sendet, braucht DKIM mit Ihrer eigenen Domain.
- Schlüssel mit 2048 Bit sind heute üblich, kürzere als 1024 Bit gelten als unsicher.
Was DKIM macht
Bei DKIM (DomainKeys Identified Mail, RFC 6376) unterschreibt Ihr Mailserver jede ausgehende Mail mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS. Der empfangende Server prüft die Signatur damit. Passt sie, ist klar: Die Mail kommt von einem berechtigten Server und Kopf sowie Inhalt sind unverändert.
- SignierenIhr Mailserver unterschreibt die Mail mit dem geheimen Schlüssel.
- VersendenDie Signatur reist im Kopf der Mail mit.
- Schlüssel holenDer Empfänger liest den öffentlichen Schlüssel aus Ihrem DNS.
- PrüfenPasst die Signatur, ist die Mail echt und unverändert.
Selector und DNS-Eintrag
Der öffentliche Schlüssel liegt unter einem «Selector», zum Beispiel selector1._domainkey.example.com. So kann jeder Dienst, der in Ihrem Namen sendet, einen eigenen Schlüssel haben. Microsoft 365, Google Workspace und die meisten Newsletter-Dienste liefern Ihnen die nötigen Einträge; Sie müssen sie nur im DNS eintragen und aktivieren.
Kostenloser Domain-Check
Ist Ihre Firmen-Adresse geschützt?
Geben Sie Ihre Domain oder Ihre E-Mail-Adresse ein. Das Ergebnis sehen Sie sofort hier, mit Ampel und Note von A bis F.
Sie haben einen Link zu einem Ergebnis geöffnet. Geprüft wird erst mit Ihrem Klick – immer mit dem aktuellen Stand.
Datenschutz: Geben Sie eine E-Mail-Adresse ein, übertragen wir nur die Domain dahinter; der Teil vor dem @ verlässt Ihren Browser nicht. Wir verwenden die Domain nur für diese Prüfung öffentlicher DNS-Einträge und speichern sie nicht im Klartext; das Ergebnis speichern wir nicht. Ihre IP-Adresse speichern wir nur als Prüfsumme und höchstens einen Tag, um Missbrauch zu bremsen.
Der Kurz-Check basiert auf öffentlichen DNS-Daten zum Abfragezeitpunkt und ersetzt keine vollständige Prüfung; keine Gewähr.
Dauerhaft im Blick behalten statt einmal prüfen:
Kostenloses Erstgespräch buchenDomain überwachen – 14 Tage kostenlosLieber mit Hilfe? Einrichtung durch uns anfragen- Unverbindlich
- Ohne Kreditkarte
- Endet nach 14 Tagen von selbst
Unverbindliche Anfrage per Mail · Preis auf Anfrage
So geht es weiter
- Ihr Mailprogramm öffnet eine vorbereitete Anfrage mit Ihrer Domain. Ergänzen Sie Ihren Namen und senden Sie sie ab.
- Wir melden uns und besprechen mit Ihnen oder Ihrem IT-Partner, welche Einträge (SPF, DKIM, DMARC) nötig sind und was die Einrichtung kostet.
- Für die Einrichtung braucht es Zugriff auf die DNS-Verwaltung Ihrer Domain. Die Übergabe sprechen wir mit Ihnen ab – bitte senden Sie uns keine Passwörter per Mail.
- Auf Wunsch überwacht DomainRadar Ihre Domain danach laufend und meldet sich, wenn sich etwas ändert.
Es öffnet sich kein Mailprogramm? Schreiben Sie uns mit Ihrer Domain an info@domainradar.ch.
Gut zu wissen: Der Schutz verhindert, dass jemand genau Ihre Domain fälscht. Gegen ähnlich klingende Adressen hilft, Zahlungsänderungen immer telefonisch rückzubestätigen.
Alle Prüfpunkte
Kurz-Check aus öffentlichen DNS-Einträgen. Die laufende Überwachung prüft zusätzlich Zertifikate, Blacklists und Ihre DMARC-Berichte.
Ihr Ergebnis als PDF
Als Bericht zum Ablegen oder zum Weiterleiten an Ihre IT.
Kostenlos und ohne Konto: Sie bestätigen Ihre Adresse per Mail, danach können Sie sich jederzeit abmelden.
Darauf sollten Sie achten
- Schlüssellänge: RSA-Schlüssel sollten 2048 Bit lang sein; kürzere als 1024 Bit gelten als unsicher (RFC 8301).
- Jeder sendende Dienst braucht DKIM mit Ihrer Domain (d=example.com), nicht mit der Domain des Dienstes.
- Schlüssel regelmässig wechseln und alte Selectoren entfernen, wenn ein Dienst nicht mehr genutzt wird.
Tipp
Fragen Sie bei jedem Dienst, der in Ihrem Namen sendet – Newsletter, CRM, Buchhaltung –, nach der DKIM-Einrichtung für Ihre eigene Domain. Viele Anbieter beschreiben das in ihrer Hilfe.
DKIM und DMARC
DKIM übersteht im Gegensatz zu SPF meist auch eine Weiterleitung. Für DMARC zählt, dass die signierende Domain zur sichtbaren Absenderadresse passt. Deshalb ist ein korrekt eingerichtetes DKIM die wichtigste Voraussetzung für p=reject.
Ohne DKIM kein sicheres p=reject
Bei weitergeleiteten Mails bricht SPF oft. Fehlt dann eine passende DKIM-Signatur, würden mit p=reject auch echte Mails abgewiesen.
So hilft DomainRadar
DomainRadar prüft die bekannten Selectoren Ihrer Domains, bewertet die Schlüssellänge und zeigt in den DMARC-Berichten, welche Dienste ohne passende DKIM-Signatur senden.
Der Domain-Check bleibt kostenlos. Danach testen Sie DomainRadar 14 Tage lang mit allen Funktionen – ohne Kreditkarte, der Test endet von selbst.