← Alle Artikel

DKIM-Eintrag (_domainkey) erklärt: Aufbau, Beispiel und was jeder Wert bedeutet

Der DKIM-Eintrag ist ein TXT-Eintrag unter selektor._domainkey.ihre-domain mit dem öffentlichen Schlüssel. Beispiel zum Kopieren, jeder Parameter (v, k, p, t) erklärt, Selektor finden, Eintrag prüfen.

6 Min. Lesezeit · Stand 7. September 2026

Ein DKIM-Eintrag ist ein TXT-Eintrag im DNS Ihrer Domain, der den öffentlichen Schlüssel für die DKIM-Signatur veröffentlicht. Er liegt immer unter einem Namen nach dem Muster selektor._domainkey.ihre-domain.at — „_domainkey“ ist der feste Teil, der Selektor ein frei gewählter Name Ihres Versanddienstes. Der Empfänger liest bei jeder Mail aus der Signatur, welcher Selektor gemeint ist, holt den Schlüssel unter genau diesem Namen ab und prüft damit, ob die Mail unverändert von einem berechtigten System stammt.

So sieht ein DKIM-Eintrag aus

Der Name besteht aus drei Teilen: dem Selektor (hier selector1), dem festen Wort _domainkey und Ihrer Domain. In vielen DNS-Masken tragen Sie nur selector1._domainkey ein, weil die Maske die Domain automatisch anhängt.

Was die Parameter bedeuten

• v=DKIM1 — die Version. Optional, aber wenn vorhanden, muss sie ganz vorn stehen. Es gibt nur DKIM1.
• k=rsa — der Schlüsseltyp. rsa ist der Standard und darf weggelassen werden; ed25519 ist die neuere, kürzere Variante, die noch nicht jeder Empfänger prüft.
• p=… — der öffentliche Schlüssel, Base64-kodiert. Der einzige Pflichtwert. Ein leeres p= bedeutet: Dieser Schlüssel ist zurückgezogen.
• t=s — „strict“: Die Signaturdomain (d=) muss exakt der Domain im Eintrag entsprechen, Subdomains sind nicht erlaubt. t=y markiert den Testbetrieb — Empfänger sollen Fehler dann nicht bestrafen.
• h=sha256 — erlaubte Hash-Verfahren. Selten gesetzt; sha1 gilt als veraltet.
• s=email — der Dienst, für den der Schlüssel gilt. Standard ist * (alle); praktisch immer weglassbar.
• n=… — freie Notiz für Menschen, wird von keinem Prüfer ausgewertet.

TXT oder CNAME?

Viele Anbieter lassen Sie keinen TXT-Eintrag mit Schlüssel anlegen, sondern einen CNAME, der auf einen Namen bei ihnen zeigt — der TXT-Eintrag mit dem eigentlichen Schlüssel liegt dann beim Anbieter, und er kann den Schlüssel wechseln, ohne dass Sie etwas ändern müssen. Microsoft 365 arbeitet so:

Für den Empfänger ist beides gleich: Er fragt den TXT-Eintrag ab und folgt dabei dem CNAME automatisch. Wichtig ist nur, dass unter einem Namen nicht beides existiert — ein CNAME darf keine anderen Einträge neben sich haben.

Den Selektor Ihrer Domain finden

Den Selektor bestimmt der Versanddienst, nicht Sie. Sie finden ihn an zwei Stellen: im Portal des Dienstes (dort, wo die DNS-Einträge angezeigt werden) oder in einer gesendeten Mail. Öffnen Sie die Kopfzeilen einer Mail, die Sie sich selbst geschickt haben, und suchen Sie die Zeile DKIM-Signature: Der Wert hinter s= ist der Selektor, der hinter d= die signierende Domain. Der Header-Check von mailampel liest beides für Sie aus.

Den Eintrag prüfen

Am schnellsten mit der Domain-Prüfung: Sie klopft die gängigen Selektoren ab und bewertet Schlüssellänge und Syntax. Von Hand geht es mit nslookup -type=TXT selector1._domainkey.ihre-domain.at (Windows) bzw. dig TXT selector1._domainkey.ihre-domain.at. Der Eintrag muss v=DKIM1 oder mindestens p= enthalten und darf nicht leer sein. Wie Sie DKIM bei Ihrem Anbieter einschalten, steht in DKIM einrichten; was der Eintrag im Zusammenspiel mit SPF und DMARC bewirkt, in SPF, DKIM, DMARC: der Unterschied.