DKIM (DomainKeys Identified Mail) einrichten für eine bessere E-Mail-Zustellbarkeit

Alle Mailserver versuchen, Mails mit gefälschten Absendern abzublocken. Betrüger täuschen vertrauenswürdige, dem Empfänger bekannte Absender-Adressen vor, um beispielsweise einen Trojaner einzuschmuggeln oder den Nutzer zur Preisgabe sensibler Daten zu bewegen (Phishing).

Eine Methode, die Echtheit des Absenders zu prüfen, ist DKIM – ein Konzept, mit dem sich E-Mails digital signieren lassen. DKIM steht als Abkürzung für „DomainKeys Identified Mail“.

Das heute gebräuchliche DKIM entstand 2004 als Gemeinschaftswerk eines Firmenkonsortiums. DKIM integriert die früheren Konzepte „DomainKeys“ von Yahoo und „Identified Internet Mail“ von Cisco. Dies erklärt die Abkürzung DKIM: DK = DomainKeys, IM = Identified Internet Mail.

DKIM basiert auf der Kommunikation zwischen dem sendenden und dem empfangenden Mailserver – der Endnutzer bekommt davon nichts mit.

Stark vereinfacht ausgedrückt fügt der sendende Mailserver der E-Mail eine digitale Signatur hinzu, die vom empfangenden Server überprüft wird. Dazu ruft er bei demjenigen Mailserver, der als Absender deklariert ist, den zur Signatur passenden öffentlichen Schlüssel ab.

Wenn der öffentliche Schlüssel nicht zur Signatur passt, so kann dies folgende Gründe haben:

• Die E-Mail wurde nicht vom Mailserver gesendet, der im Mail-Header deklariert ist, sondern von einem anderen – betrügerischen – Server.
• Die E-Mail wurde auf dem Weg vom „echten“ Mailserver zum Empfänger verändert. Beispielsweise könnte ein Hacker die Mail abfangen, abändern und anschließend weitersenden.

Um DKIM zu verstehen, lohnt es sich, einen Blick auf die einzelnen „Bausteine“ zu werfen, auf denen das Konzept aufbaut.

Nach einem bestimmten Algorithmus wird aus den Inhalten der E-Mail eine Zeichenfolge errechnet, der sogenannte Hash-Wert. Dieser wird dem Header der E-Mail hinzugefügt.

Wenn der Empfänger den Hash-Wert der erhaltenen E-Mail nach demselben Algorithmus errechnet, dann müsste er genau die Zeichenfolge erhalten, die dem Mail-Header hinzugefügt wurde. Stimmt der Hash-Wert nicht überein, dann weiß der Empfänger, dass die E-Mail verändert wurde.

Damit der Empfänger sicher sein kann, dass der Hash-Wert tatsächlich vom originalen Sender stammt, ist eine weitere Maßnahme erforderlich: die digitale Signatur.

Zur Absender-Authentifizierung wird die asymmetrische Verschlüsselung verwendet. Sie basiert auf einem Schlüsselpaar: Was mit dem Schlüssel A verschlüsselt wurde, kann nur mit dem Schlüssel B wieder entschlüsselt werden. Der eine Schlüssel wird geheim gehalten („privater Schlüssel“), der andere veröffentlicht („öffentlicher Schlüssel“).

Der Ablauf sieht folgendermaßen aus:

1. Der Absender verschlüsselt den errechneten Hash-Wert mit dem privaten Schlüssel.
2. Den verschlüsselten Hash-Wert fügt er dem Mail-Header hinzu („Signatur“).
3. Der Empfänger ruft auf dem Domain Name Server des Senders dessen öffentlichen Schlüssel ab und entschlüsselt damit die Signatur.
4. Den entschlüsselten Hash-Wert rechnet er nach: Wenn sein selbst errechneter Hash-Wert mit dem entschlüsselten übereinstimmt, ist alles in Ordnung.

Der DKIM-Eintrag kann in der Regel nur anhand des E-Mail-Headers abgerufen werden. Denn für den Abruf wird nicht nur der Domänenname, sondern auch der Selektor verlangt. Dieser ist meistens nicht bekannt oder kann nur mit einer aufwendigen Recherche eruiert werden.

Um einen DKIM-Record zu erstellen, müssen Sie ein RSA-Schlüsselpaar erzeugen und dieses auf dem Server an der richtigen Stelle hinterlegen. Die meisten E-Mail-Provider nehmen Ihnen diese Arbeit ab.