DKIM-Schlüsselrotation bedeutet, das Schlüsselpaar, mit dem Ihre Mails signiert werden, planmäßig oder nach einem Sicherheitsvorfall auszutauschen, ohne die Authentifizierung zu brechen. Das klingt riskant, weil ein falscher Schritt dazu führt, dass legitime Mails durchfallen, doch das Design von DKIM macht es unkompliziert: Selektoren erlauben es, einen neuen Schlüssel neben dem alten zu veröffentlichen, die Signierung umzustellen und den alten Schlüssel später außer Betrieb zu nehmen. Dieser Leitfaden erklärt, wie das funktioniert, und liefert einen Schritt-für-Schritt-Plan.
So funktionieren DKIM-Signierung und Selektoren
Wenn Ihre Plattform eine Nachricht versendet, erzeugt sie mit einem privaten Schlüssel eine Signatur und fügt sie den Headern hinzu. Die Signatur nennt die signierende Domain, geschrieben d=, und einen Selektor, geschrieben s=. Ein Empfänger bildet daraus den DNS-Namen selector._domainkey.domain, ruft den dort veröffentlichten öffentlichen Schlüssel ab und prüft die Signatur. Passt der Schlüssel und sind die signierten Teile der Nachricht unverändert, besteht DKIM.
DKIM-Signature: v=1; a=rsa-sha256; d=mail.example.com; s=2026a;
h=from:to:subject:date:message-id; bh=...; b=...In diesem Beispiel lautet der Selektor 2026a, also fragt der Empfänger 2026a._domainkey.mail.example.com ab. Da der Selektor nur eine Bezeichnung ist, die Sie frei wählen, können Sie mehrere gleichzeitig veröffentlichen. Das ist der ganze Trick hinter der Rotation: Der alte Selektor verifiziert weiterhin alte Mails, während der neue Selektor neue Mails signiert.
Warum überhaupt rotieren
- Exposition begrenzen. Ein privater Schlüssel, der seit Jahren existiert, wurde von mehr Systemen und Personen gesehen. Rotation begrenzt den Wert eines früheren Lecks.
- Auf Personalwechsel reagieren. Wenn ein Administrator mit Zugriff auf den Schlüssel ausscheidet, beseitigt der Austausch ein fortbestehendes Risiko.
- Auf stärkere Schlüssel umsteigen. Viele ältere Domains veröffentlichen noch 1024-Bit-Schlüssel. Die Rotation ist der natürliche Zeitpunkt für das Upgrade.
- Vorgaben erfüllen. Sicherheitsprüfungen und manche Kundenfragebögen fragen, wie oft Schlüssel gewechselt werden.
- Den Ablauf geübt halten. Ein Team, das zweimal im Jahr rotiert, bewältigt eine Notfallrotation gelassen.
Rotation ist kein Zustellbarkeits-Werkzeug. Ein Schlüsselwechsel verbessert die Inbox-Platzierung nicht von selbst. Sein Zweck ist Sicherheit und Hygiene. Gehen Sie sorgfältig vor, damit die Zustellung nicht leidet, und erwarten Sie keinen Reputationsschub.
Die Schlüssellänge wählen
Der DKIM-Standard legt 1024 Bit als Minimum für Signierende fest und empfiehlt 2048 Bit. Prüfer müssen nichts akzeptieren, was kürzer als 1024 Bit ist. Für die meisten Absender ist heute 2048-Bit-RSA die sinnvolle Wahl, die einen komfortablen Sicherheitsspielraum ohne großen Leistungsaufwand bietet.
| Schlüssellänge | Einordnung | Praktischer Hinweis |
|---|---|---|
| 512 Bit | Nicht akzeptabel | Gilt als gebrochen und wird von modernen Empfängern abgelehnt |
| 1024 Bit | Zulässiges Minimum, noch verbreitet | Funktioniert, aber bei der nächsten Rotation aufrüsten |
| 2048 Bit | Empfohlen | Erfordert einen auf mehrere Zeichenfolgen aufgeteilten TXT-Wert oder einen CNAME |
| 4096 Bit | Vom Standard erlaubt | Selten nötig, und der Eintrag kann praktische DNS-Größengrenzen überschreiten |
Die 255-Zeichen-Grenze
Eine einzelne Zeichenfolge in einem TXT-Eintrag kann höchstens 255 Zeichen enthalten, und ein öffentlicher 2048-Bit-Schlüssel ist länger. Der Eintrag besteht daher aus mehreren in Anführungszeichen gesetzten Zeichenfolgen, die der Empfänger zusammenfügt. Die meisten DNS-Anbieter erledigen das, wenn Sie einen langen Wert einfügen. Falls Ihrer das nicht tut, teilen Sie ihn manuell auf oder fragen Sie Ihre Versandplattform nach einer CNAME-Option.
2026a._domainkey.mail.example.com. TXT ( "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC..."
"...rest of the public key..." )Bevor Sie beginnen: zwei Modelle der Schlüsselverwaltung
| Modell | Funktionsweise | Was Sie für die Rotation tun |
|---|---|---|
| Von der Plattform verwaltet (CNAME) | Sie veröffentlichen einen CNAME von Ihrem Selektor auf einen Namen, den die Plattform kontrolliert, und die Plattform tauscht dahinter den Schlüssel aus | Wenig bis nichts; bestätigen Sie den Zeitplan und dass der CNAME bestehen bleibt |
| Vom Kunden verwaltet (TXT) | Sie veröffentlichen den öffentlichen Schlüssel selbst, und die Plattform signiert mit dem privaten Schlüssel, den Sie geliefert haben oder den sie erzeugt hat | Folgen Sie dem vollständigen Plan unten |
| Selbst gehostete Signierung | Ihr eigener Mailserver signiert, und Sie besitzen den privaten Schlüssel | Schlüssel erzeugen, Serverkonfiguration und DNS aktualisieren |
Ein sicherer Rotationsplan
- Selektoren inventarisieren. Listen Sie alle unter _domainkey für die Domain veröffentlichten Selektoren auf und ermitteln Sie, welches System welchen nutzt. Unbekannte Selektoren sind für sich genommen ein Befund; löschen Sie sie nicht, bevor Sie wissen, was mit ihnen signiert.
- Ein Namensschema wählen. Verwenden Sie Selektoren mit Datum oder Zählung, etwa 2026a und 2027a, damit Sie Schlüssel auf einen Blick unterscheiden können.
- Den neuen Schlüssel erzeugen. Erstellen Sie ein 2048-Bit-Schlüsselpaar oder lassen Sie es von Ihrer Plattform ausstellen. Speichern Sie den privaten Schlüssel nur dort, wo das Signiersystem ihn braucht.
- Den neuen öffentlichen Schlüssel veröffentlichen. Fügen Sie den neuen Selektor-Eintrag hinzu. Fassen Sie den alten nicht an. Bestätigen Sie, dass er von außerhalb Ihres Netzwerks aufgelöst wird.
- Vor der Umstellung testen. Signieren Sie eine Testnachricht mit dem neuen Selektor und bestätigen Sie in den empfangenen Headern, dass DKIM besteht.
- Die Signierung umstellen. Ändern Sie die Signierkonfiguration so, dass alle neuen Nachrichten den neuen Selektor nutzen. Ab diesem Moment signiert der alte Schlüssel nichts Neues mehr.
- Überwachen. Beobachten Sie in den folgenden Tagen DMARC-Aggregatberichte und Bounce-Daten auf einen Anstieg von DKIM-Fehlern.
- Auf Nachzügler warten. Lassen Sie den alten Eintrag mindestens mehrere Tage veröffentlicht. Wartende, erneut zugestellte oder weitergeleitete Nachrichten werden bei der Verarbeitung verifiziert, nicht beim Versand.
- Den alten Schlüssel außer Betrieb nehmen. Entfernen Sie den alten Selektor-Eintrag und löschen Sie den alten privaten Schlüssel aus jedem System, das ihn besaß.
- Die Rotation dokumentieren. Halten Sie Datum, neuen Selektor und das Datum der nächsten Rotation in Ihrem Runbook fest.
Wie lange der alte Schlüssel bleiben sollte
Der alte öffentliche Schlüssel muss im DNS bleiben, bis keine mit ihm signierte Mail mehr unterwegs sein oder auf ihre Verifizierung warten kann. Für gewöhnliche Transaktions- und Marketingmails genügen einige Tage. Wenn Sie über Mailinglisten oder Weiterleitungsdienste senden, die Nachrichten zurückhalten, oder wenn Ihr Zustellwiederholungsplan lang ist, warten Sie länger. Einen alten Schlüssel etwas zu lange veröffentlicht zu lassen kostet nichts. Ihn zu früh zu entfernen verursacht Fehler, die schwer zu diagnostizieren sind.
Was schiefgehen kann und woran Sie es erkennen
| Problem | Anzeichen | Lösung |
|---|---|---|
| Selektor stimmt nicht überein | DKIM schlägt mit "key not found" fehl | Vergleichen Sie den s=-Wert in der Signatur mit dem DNS-Namen |
| Abgeschnittener öffentlicher Schlüssel | DKIM schlägt mit "bad key" oder Signaturabweichung fehl | Fügen Sie den Schlüssel erneut ein und prüfen Sie, ob alle Zeichenfolgen vorhanden sind |
| Alter Schlüssel zu früh entfernt | Fehler nur bei verzögerten Nachrichten | Stellen Sie den alten Eintrag wieder her und warten Sie beim nächsten Mal länger |
| Signierung nicht umgestellt | Der neue Selektor erscheint nie in den Headern | Prüfen Sie die Signierkonfiguration und zwischengespeicherte Einstellungen |
| Zwei Systeme teilen sich einen Selektor | Sporadische Fehler, nachdem ein System rotiert hat | Geben Sie jedem System einen eigenen Selektor |
| CNAME bei der Bereinigung entfernt | DKIM schlägt bei einem plattformverwalteten Schlüssel plötzlich überall fehl | Stellen Sie den CNAME exakt wie vorgegeben wieder her |
Berichte zur Erfolgskontrolle nutzen
DMARC-Aggregatberichte zeigen pro Versandquelle, wie viele Nachrichten DKIM und SPF bestanden oder nicht bestanden haben. Prüfen Sie sie in den Tagen nach der Rotation. Eine saubere Rotation zeigt, dass der neue Selektor auftaucht und die Zahl der Fehler gleich bleibt. Steigen die Fehler bei einer Quelle, signiert sie vermutlich noch mit einem Schlüssel, der nicht mehr veröffentlicht ist. Unser Leitfaden zu DMARC-Aggregatberichten erklärt, wie Sie sie lesen.
Notfallrotation
Wenn Sie vermuten, dass ein privater Schlüssel offengelegt wurde, rotieren Sie sofort und verkürzen Sie die Überlappung. Veröffentlichen Sie einen neuen Schlüssel und stellen Sie so schnell um, wie es sicher möglich ist, und entfernen Sie dann den kompromittierten Schlüssel, auch wenn dadurch einige verzögerte Nachrichten fehlschlagen. Ein Angreifer mit dem alten privaten Schlüssel könnte gefälschte Mails signieren, die DKIM für Ihre Domain bestehen, solange der öffentliche Schlüssel veröffentlicht bleibt; das Expositionsfenster zählt daher mehr als der Verlust einiger verzögerter Nachrichten. Eine durchgesetzte DMARC-Richtlinie mit reject begrenzt, was solche Fälschungen anrichten können, doch der Schlüssel sollte trotzdem schnell außer Betrieb genommen werden.
Rotation zur Routine machen
- Tragen Sie das Rotationsdatum mit einem benannten Verantwortlichen in einen gemeinsamen Kalender ein.
- Führen Sie eine Tabelle mit Selektoren, den Systemen, die sie nutzen, und ihren Erstellungsdaten.
- Verwenden Sie für jedes Versandsystem einen eigenen Selektor.
- Lassen Sie sich bei steigenden DKIM-Fehlerraten alarmieren, damit eine misslungene Rotation binnen Stunden auffällt.
- Üben Sie zuerst an einer Subdomain mit geringem Risiko, wenn der Ablauf für Ihr Team neu ist.
Brauchen Sie Hilfe bei der Planung einer Rotation? Nennen Sie uns, welche Domains und Versandsysteme Sie nutzen, und wir schlagen Ihnen eine sichere Reihenfolge vor.
Weiterführende Lektüre und Quellen
Häufig gestellte Fragen
Was ist ein DKIM-Selektor?
Ein Selektor ist eine Bezeichnung, die Empfängern mitteilt, welchen öffentlichen Schlüssel sie abrufen sollen. Die Signatur nennt einen Selektor und eine Domain, und der Empfänger fragt einen DNS-Eintrag unter selector._domainkey.domain ab. Da der Selektor Teil des Namens ist, kann eine Domain viele Schlüssel gleichzeitig veröffentlichen, und genau das macht die Rotation sicher.
Wie oft sollte ich DKIM-Schlüssel rotieren?
Ein einheitlich vorgeschriebenes Intervall gibt es nicht. Viele Organisationen rotieren ein- oder zweimal im Jahr oder immer dann, wenn jemand mit Zugriff auf den privaten Schlüssel ausscheidet oder eine Kompromittierung vermutet wird. Wählen Sie einen Zeitplan, den Sie tatsächlich einhalten, und rotieren Sie früher, wenn Sie vermuten, dass ein Schlüssel offengelegt wurde.
Welche DKIM-Schlüssellänge sollte ich verwenden?
Verwenden Sie 2048-Bit-RSA, wenn Ihr DNS-Anbieter und Ihr Versandsystem dies unterstützen. Der DKIM-Standard verlangt von Signierenden mindestens 1024 Bit und empfiehlt 2048, und Prüfer dürfen keine Schlüssel akzeptieren, die kürzer als 1024 Bit sind. Längere Schlüssel bieten mehr Sicherheitsspielraum, wenn die Rechenleistung wächst.
Warum lehnt mein DNS-Anbieter meinen 2048-Bit-Schlüssel ab?
Ein 2048-Bit-Schlüssel ist länger als 255 Zeichen, die Grenze für eine einzelne Zeichenfolge in einem TXT-Eintrag. Er muss in mehrere in Anführungszeichen gesetzte Zeichenfolgen aufgeteilt werden, die der Empfänger zusammenfügt. Viele Anbieter teilen ihn automatisch auf; falls Ihrer das nicht tut, teilen Sie ihn von Hand auf oder nutzen Sie einen CNAME auf den von der Plattform gehosteten Eintrag.
Kann ich den alten Schlüssel direkt nach der Umstellung löschen?
Nicht sicher. Nachrichten können in Warteschlangen verzögert oder tagelang erneut zugestellt werden, und Empfänger prüfen die Signatur, wenn sie die Nachricht verarbeiten. Lassen Sie den alten Eintrag mindestens mehrere Tage veröffentlicht, bei langsamen Weiterleitungswegen länger.
Was passiert, wenn ich einen Schlüssel entferne, der noch verwendet wird?
Nachrichten, die mit diesem Selektor signiert wurden, bestehen die DKIM-Prüfung nicht. Wenn SPF im Alignment ist, kann DMARC trotzdem bestehen, aber wenn SPF nicht im Alignment ist, kann die Nachricht bei durchgesetzter DMARC-Richtlinie unter Quarantäne gestellt oder abgewiesen werden. Deshalb wird zuerst die Signierung umgestellt und der alte Schlüssel erst später entfernt.
Rotiert meine Versandplattform die Schlüssel für mich?
Einige Plattformen verwalten DKIM-Schlüssel und veröffentlichen sie über einen CNAME, den Sie einmalig setzen, sodass die Rotation auf ihrer Seite erfolgt. Andere geben Ihnen einen statischen Eintrag, den Sie selbst ersetzen müssen. Prüfen Sie, welches Modell Ihre Plattform nutzt, bevor Sie eine Rotation planen.
Sollten verschiedene Mail-Streams unterschiedliche Selektoren nutzen?
Ja, das ist eine bewährte Praxis. Getrennte Selektoren für Transaktions-, Marketing- und interne Systeme machen es leicht, einen davon zu rotieren oder zu widerrufen, ohne die anderen zu beeinträchtigen, und sie machen die Header-Analyse übersichtlicher.
Kann ich einen Schlüssel testen, bevor ich auf ihn umstelle?
Ja. Veröffentlichen Sie zuerst den neuen Eintrag, bestätigen Sie, dass er aufgelöst wird, und senden Sie dann mit dem neuen Selektor signierte Testnachrichten an ein Postfach, das Sie kontrollieren, und prüfen Sie in den Headern, dass DKIM besteht, bevor Sie den gesamten Traffic umstellen.