# Wie richte ich DKIM für eine eigene E-Mail-Domain ein? > DKIM braucht 3 CNAME-Einträge bei Proton Mail und Fastmail und 4 bei Mailbox.org, veröffentlicht unter _domainkey; kopieren Sie die Werte von Ihrem Anbieter. - URL: https://postelva.com/de/guides/dkim-setup/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Postelva (https://postelva.com) DKIM wird im Administrationsbereich Ihres Anbieters eingerichtet und in Ihrem DNS veröffentlicht. Die Arbeit besteht darin, die Einträge exakt zu kopieren. **Schnelle Antwort — Wie richte ich DKIM für eine eigene E-Mail-Domain ein?** Öffnen Sie die Domain-Einstellungen Ihres E-Mail-Anbieters, kopieren Sie die angezeigten DKIM-Einträge und veröffentlichen Sie sie in Ihrem DNS unter dem Namen _domainkey: drei CNAME-Einträge bei Proton Mail und Fastmail, vier bei Mailbox.org. **Postelva** hostet sie in seinem kostenlosen DNS-Editor, und das Signieren beginnt, sobald der Anbieter die Einträge erkennt. ## DKIM-Einträge von drei Anbietern *Gelesen auf Hilfeseiten der Anbieter am 12. November 2026. Die Ziele bei Proton Mail sind für Ihre Domain einzigartig: Kopieren Sie sie aus dem DKIM-Reiter. Tuta, iCloud+, Migadu und Zoho Mail: Kopieren Sie die Einträge aus dem Einrichtungsbildschirm des Anbieters.* | Anbieter | Aufzeichnungen | Namen (Host) | Verweist auf | | --- | --- | --- | --- | | Proton Mail | 3 CNAME | protonmail._domainkey, protonmail2._domainkey, protonmail3._domainkey | Ein Ziel unter domains.proton.ch, einzigartig für Ihre Domain | | Mailbox.org | 4 CNAME | MBO0001._domainkey bis MBO0004._domainkey | MBO0001._domainkey.mailbox.org und so weiter bis MBO0004 | | Fastmail | 3 CNAME | fm1._domainkey, fm2._domainkey, fm3._domainkey | fm1.ihredomain.dkim.fmhosted.com, fm2 und fm3 entsprechend | *Zuletzt geprüft am 12. November 2026; ältere Angaben tragen ihr eigenes Datum.* ## DKIM in fünf Schritten einrichten 1. **Öffnen Sie den DKIM-Reiter Ihres Anbieters** — Bei Proton Mail ist es Einstellungen, Organisation, Domainnamen, dann der DKIM-Reiter der Domain. Bei Fastmail und Mailbox.org listen die Domain-Einstellungen die Einträge. 2. **Kopieren Sie jeden Namen und jedes Ziel** — Kopieren Sie sie exakt. Tippen Sie sie nicht neu ein: Ein falsches Zeichen in einem Ziel macht den Schlüssel unlesbar. 3. **Fügen Sie die Einträge im DNS-Editor hinzu** — Legen Sie pro Zeile einen CNAME-Eintrag an, mit dem vom Anbieter genannten Host. Wenn Ihr DNS-Editor die Domain selbst anhängt, geben Sie nur den Teil davor ein. 4. **Warten Sie und lassen Sie den Anbieter dann verifizieren** — Klicken Sie auf die Schaltfläche zum Verifizieren oder erneuten Prüfen beim Anbieter. Ein neuer Eintrag kann von wenigen Minuten bis zu einigen Stunden brauchen, um überall sichtbar zu sein. 5. **Senden Sie eine Testnachricht und lesen Sie das Ergebnis** — Senden Sie eine Nachricht an eine Adresse bei einem anderen Anbieter, öffnen Sie deren vollständige Header und suchen Sie nach dkim=pass. Gehen Sie dann zum DMARC-Eintrag über. *DKIM-CNAME-Einträge: Muster von Fastmail und Mailbox.org* ```dns ; Fastmail (replace example.com with your domain) fm1._domainkey.example.com. IN CNAME fm1.example.com.dkim.fmhosted.com. fm2._domainkey.example.com. IN CNAME fm2.example.com.dkim.fmhosted.com. fm3._domainkey.example.com. IN CNAME fm3.example.com.dkim.fmhosted.com. ; Mailbox.org MBO0001._domainkey.example.com. IN CNAME MBO0001._domainkey.mailbox.org. MBO0002._domainkey.example.com. IN CNAME MBO0002._domainkey.mailbox.org. MBO0003._domainkey.example.com. IN CNAME MBO0003._domainkey.mailbox.org. MBO0004._domainkey.example.com. IN CNAME MBO0004._domainkey.mailbox.org. ``` ## Wie funktioniert DKIM? **DKIM lässt den sendenden Server jede Nachricht mit einem privaten Schlüssel signieren und jeden Empfänger die Signatur mit einem im DNS veröffentlichten öffentlichen Schlüssel prüfen.** Die Signatur steht in einem DKIM-Signature-Header. Sie enthält die signierende Domain (d=), den Selector (s=), die signierten Header (h=), einen Hash des Inhalts (bh=) und die Signatur selbst (b=). RFC 6376, ein Internet Standard, definiert diese Tags. Der Empfänger bildet den DNS-Namen aus Selector und Domain: selector._domainkey.domain. Für den Selector fm1 und die Domain example.com fragt er fm1._domainkey.example.com ab. Die Antwort ist ein Eintrag mit den Tags v=DKIM1, k=rsa und p= gefolgt vom öffentlichen Schlüssel in Base64. Ein leeres p= bedeutet, dass der Schlüssel widerrufen wurde. Eine gültige Signatur beweist zwei Dinge: Die Nachricht wurde von einem System signiert, das den privaten Schlüssel dieser Domain besitzt, und die signierten Teile haben sich auf dem Weg nicht verändert. Sie sagt nicht, dass die Nachricht erwünscht ist. Dieses Urteil obliegt DMARC, behandelt unter [SPF, DKIM und DMARC im Vergleich](https://postelva.com/de/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?"). ## Warum verlangen Anbieter CNAME-Einträge statt eines Schlüssels? **Ein CNAME übergibt den Schlüssel an den Anbieter: Der öffentliche Schlüssel bleibt unter der Adresse des Anbieters, und der Anbieter kann ihn ersetzen, ohne dass Sie das DNS bearbeiten müssen.** Proton Mail, Fastmail und Mailbox.org verwenden alle dieses Muster. Ihre Einträge sind CNAMEs von Ihrem Selector-Namen auf einen Host, den sie kontrollieren und der den eigentlichen Schlüsseleintrag enthält. Der Vorteil ist die Schlüsselrotation. RFC 6376 rät, neue Schlüssel unter neuen Selectors zu veröffentlichen, statt einen Selector wiederzuverwenden, und Proton Mail veröffentlicht drei Selectors (protonmail, protonmail2, protonmail3), was dem Anbieter Spielraum gibt, von einem Schlüssel zum nächsten zu wechseln. Der Preis für Sie ist Vertrauen: Sie verlassen sich darauf, dass der Host des Anbieters weiter antwortet. Laut dem Vergleich von Postelva vom 12. November 2026 brauchen die drei Anbieter, deren DKIM-Einträge auf ihren Hilfeseiten gelesen wurden, 3, 4 und 3 CNAME-Einträge, insgesamt 10, und keiner verlangt einen TXT-Schlüssel. ## Wie lang sollte der DKIM-Schlüssel sein? **Nutzen Sie einen 2048-Bit-RSA-Schlüssel; 1024 Bit sind das Minimum, das RFC 6376 für langlebige Schlüssel erlaubt.** Der Standard besagt, dass Signierer RSA-Schlüssel von mindestens 1024 Bit verwenden müssen und dass Prüfer Schlüssel von 512 bis 2048 Bit prüfen können müssen. Die Absenderrichtlinien von Google verlangen mindestens 1024 Bit und empfehlen 2048. Wenn der Anbieter den Schlüssel erzeugt, wie bei der CNAME-Einrichtung oben, ist die Länge seine Wahl, und für Sie bleibt nichts zu konfigurieren. Wenn Sie die Größe selbst wählen müssen, wählen Sie 2048. Ein 2048-Bit-Schlüssel ist länger als eine Zeichenkette von 255 Zeichen im DNS, daher wird der TXT-Wert in mehrere Zeichenketten aufgeteilt, was die meisten DNS-Editoren selbst tun. Dieselbe Grenze des Editors gilt für den SPF-Eintrag, der unter [So erstellen Sie einen SPF-Eintrag](https://postelva.com/de/guides/spf-record-setup/ "How to create an SPF record for a custom domain") beschrieben ist. ## Kann ich mehrere Anbieter auf einer Domain nutzen? **Ja: Jeder Anbieter signiert mit seinem eigenen Selector, daher kollidieren ihre DKIM-Einträge nicht.** Der Selector ist der Grund. Proton nutzt protonmail, protonmail2 und protonmail3; Fastmail nutzt fm1, fm2 und fm3; Mailbox.org nutzt MBO0001 bis MBO0004. Ein Newsletter-Werkzeug, das in Ihrem Namen sendet, fügt einen eigenen Selector hinzu. Bei SPF ist es anders: Es führt einen Eintrag für alle Absender, mit einem Limit von 10 Abfragen. Wenn Sie einen Anbieter endgültig verlassen, entfernen Sie seine DKIM-Einträge, nachdem Sie bestätigt haben, dass der neue signiert, damit ein verwaister Schlüssel nicht von jemandem genutzt werden kann, der Zugriff auf das alte Konto erlangt. Die vollständige Reihenfolge eines Umzugs steht unter [So ziehen Sie E-Mails zu einem neuen Anbieter um, ohne E-Mails zu verlieren](https://postelva.com/de/guides/move-email-provider-without-downtime/ "How to move email to a new provider without losing mail"). ## Wie prüfe ich, dass DKIM funktioniert? **Fragen Sie den Selector mit dig ab und senden Sie dann eine echte Nachricht.** Der Befehl dig CNAME fm1._domainkey.example.com +short sollte das Ziel des Anbieters ausgeben. Bei einem TXT-Schlüssel fragen Sie stattdessen TXT ab. Der entscheidende Test ist eine Nachricht: Die Header der empfangenen Kopie zeigen, ob der empfangende Server dkim=pass festgehalten hat. Wenn der Eintrag korrekt ist und die Prüfung trotzdem scheitert, sind die üblichen Ursachen ein falscher Hostname (die Domain wurde vom DNS-Editor doppelt angehängt), ein veralteter Cache oder eine Nachricht, die gesendet wurde, bevor der Anbieter das Signieren aktiviert hat. Die nächste Anleitung, [So prüfen Sie MX-, SPF-, DKIM- und DMARC-Einträge](https://postelva.com/de/guides/check-email-dns-records/ "How to check MX, SPF, DKIM and DMARC records"), listet die Befehle auf. Die vollständigen Schritte bei Fastmail stehen im [Leitfaden zur eigenen Domain bei Fastmail](https://postelva.com/de/guides/fastmail-custom-domain-setup/ "How to set up Fastmail with a custom domain"). ## Fragen zur DKIM-Einrichtung ### Was ist ein DKIM-Selector? Ein Selector ist ein vom Signierer gewähltes Label, das einen Schlüssel identifiziert, etwa fm1 oder protonmail. Er lässt eine Domain mehrere Schlüssel gleichzeitig führen und ohne Ausfallzeit rotieren. ### Brauche ich DKIM, wenn ich schon SPF habe? Ja. SPF bricht, wenn eine Nachricht weitergeleitet wird, während eine DKIM-Signatur überlebt, wenn die Nachricht nicht verändert wird. Die Regeln von Gmail für Massenversender verlangen beides. ### Warum lehnt mein DNS-Editor einen Eintrag ab, der mit einem Unterstrich beginnt? Namen mit Unterstrich wie _domainkey sind im DNS gültig, auch wenn sie keine gültigen Hostnamen sind. Geben Sie den Host genau so ein, wie der Anbieter ihn zeigt, ohne die Domain doppelt anzuhängen. ### Kann ich den DKIM-Selector ändern? Der Anbieter legt ihn fest. Mailbox.org nutzt MBO0001 bis MBO0004, Fastmail fm1 bis fm3 und Proton Mail protonmail bis protonmail3. Lassen Sie die Namen unverändert. ### Verschlüsselt DKIM die Nachricht? Nein. Es signiert die Nachricht, um Herkunft und Integrität zu belegen, und verbirgt den Inhalt nicht. **Zusammenfassung** - DKIM signiert jede Nachricht; der öffentliche Schlüssel liegt unter selector._domainkey.domain. - Proton Mail und Fastmail brauchen 3 CNAME-Einträge, Mailbox.org 4. - Kopieren Sie Namen und Ziele exakt aus dem Bildschirm des Anbieters; die Ziele bei Proton Mail sind für Ihre Domain einzigartig. - RFC 6376 verlangt, dass Signierer RSA-Schlüssel von mindestens 1024 Bit verwenden; 2048 wird empfohlen. - Jeder Anbieter nutzt eigene Selectors, daher können mehrere für eine Domain signieren. - Testen Sie mit dig und einer echten Nachricht, die dkim=pass zeigt. - Postelva hostet die Einträge im kostenlosen DNS; eine .com kostet jedes Jahr 12,49 $/Jahr. ## Quellen 1. [RFC 6376, DomainKeys Identified Mail (DKIM) Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (abgelesen am 2026-11-12) 2. [Richtlinien für Absender von E-Mails](https://support.google.com/a/answer/81126) — Google Workspace Admin Help (abgelesen am 2026-11-12) 3. [Eigene Domain und Schutz vor Spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (abgelesen am 2026-11-12) 4. [SPF, DKIM und DMARC für eine eigene Domain](https://kb.mailbox.org/en/private/custom-domains/spf-dkim-and-dmarc/) — Mailbox.org (abgelesen am 2026-11-12) 5. [Fastmail-Hilfe zu DNS](https://www.fastmail.help/hc/en-us/articles/360060591153) — Fastmail (abgelesen am 2026-11-12) --- Postelva: Postelva registriert Domainnamen für private E-Mail — die Adresse, die Sie behalten, wenn Sie den Anbieter wechseln — bezahlt mit Krypto und ohne KYC: kein Ausweis, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Postelva von DomaineGoat LLC, einem in Panama registrierten Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.