DKIM schlägt fehl, wenn der Empfänger die Nachrichtensignatur nicht gegen den öffentlichen Schlüssel in Ihrem DNS verifizieren kann. Die üblichen Ursachen sind ein fehlender oder falscher Selektor, ein widerrufener (leerer) öffentlicher Schlüssel, eine Veränderung des Nachrichtentexts auf dem Transportweg (z. B. durch eine Mailingliste) oder eine fehlende Ausrichtung der Signatur-Domain mit Ihrer Von-Domain. Jede hat eine konkrete Lösung.
DKIM-Schlüssel liegen unter {selektor}._domainkey.ihredomain.de. Der Selektor wird von Ihrer Sendeplattform gewählt (z. B. google für Google Workspace, selector1/selector2 für Microsoft 365). Prüfen Sie den falschen Selektor, sehen Sie einen falschen Fehlschlag.
Kein Eintrag / falscher Selektor: veröffentlichen Sie genau den TXT-Eintrag Ihres Anbieters am exakten Selektor. Widerrufener Schlüssel (p= leer): der Schlüssel wurde rotiert oder deaktiviert — reaktivieren Sie DKIM und veröffentlichen Sie neu. Text verändert: ein Weiterleiter oder Listen-Footer hat die Nachricht nach dem Signieren geändert; verlassen Sie sich auf die DMARC+DKIM-Ausrichtung. Nicht ausgerichtet: die Signatur-Domain muss mit Ihrer Von-Domain übereinstimmen (oder deren Subdomain sein), damit DMARC besteht.
Öffnen Sie bei einer empfangenen E-Mail die Kopfzeilen und lesen Sie die DKIM-Signature-Zeile: d= ist die Signatur-Domain und s= ist der Selektor. So wissen Sie genau, welchen Schlüssel Sie nachschlagen müssen.
Ersetzen Sie google durch Ihren Selektor:
$ dig TXT google._domainkey.yourdomain.com +shortPrüfen Sie jetzt Ihren DKIM-Eintrag
Kostenlosen DKIM-Checker öffnen →Prüfen Sie die Kopfzeilen einer empfangenen E-Mail auf d= und s= in der DKIM-Signature-Zeile oder die DKIM-Seite Ihrer Sendeplattform. Der s=-Wert ist der Selektor.
Der öffentliche Schlüssel wurde widerrufen. Der Selektor-Eintrag existiert, trägt aber keinen Schlüssel, sodass jede Signatur fehlschlägt. Erzeugen/aktivieren Sie den Schlüssel bei Ihrem Anbieter neu.
