DKIM-Schlüsselrotation: Der ehrliche Leitfaden (und warum die meisten „Cold-Sender“ sie nicht benötigen)

In den meisten Artikeln zum Thema DKIM-Schlüsselrotation wird behauptet, dies sei entscheidend, dringend und unverzichtbar für die Zustellung in den Posteingang. Damit werden DMARC-Dashboards verkauft. Das entspricht jedoch nicht der Realität.

Die Wahrheit ist folgende: Die DKIM-Schlüsselrotation dient dazu, dass ein gestohlener oder geknackter privater Schlüssel nicht auf unbestimmte Zeit missbraucht werden kann. Für Unternehmen mit strengen Compliance-Anforderungen, in regulierten Branchen oder bei Domains, die kompromittiert wurden, ist die Rotation wichtig. Für ein B2B-Cold-Outreach-Team, das Kampagnen über eine Handvoll Google Workspace- oder Microsoft 365-Posteingänge durchführt? Meistens übertrieben. Die Zustellung in den Posteingang ändert sich nicht, nur weil Sie Ihren Schlüssel im letzten Quartal rotiert haben.

Dieser Leitfaden richtet sich an Personen, die dies wirklich umsetzen müssen, oder die wissen möchten, was damit konkret verbunden ist, bevor sie entscheiden, dass sich der technische Aufwand nicht lohnt. Wir erklären, was die DKIM-Schlüsselrotation ist, für wen sie relevant ist, wie man sie bei den beiden wichtigsten Anbietern umsetzt und worauf man sich tatsächlich konzentrieren sollte, wenn Ihre E-Mails im Spam-Ordner landen.

Was ist die DKIM-Schlüsselrotation?

DKIM (DomainKeys Identified Mail) versieht jede ausgehende E-Mail mit einer kryptografischen Signatur. Ein privater Schlüssel, der sich im Besitz Ihres E-Mail-Anbieters befindet, signiert die Nachricht. Ein passender öffentlicher Schlüssel, der in Ihrem DNS als TXT-Eintrag unter einem „Selektor“ veröffentlicht ist, ermöglicht es den empfangenden Servern, zu überprüfen, ob die Signatur echt ist und die Nachricht während der Übertragung nicht manipuliert wurde.

Die DKIM-Schlüsselrotation ist der Vorgang, bei dem dieses Schlüsselpaar durch ein neues ersetzt wird. So funktioniert es:

1. Einen neuen privaten und öffentlichen Schlüssel generieren
2. Veröffentlichen Sie den neuen öffentlichen Schlüssel im DNS unter einem neuen Selektor
3. Stellen Sie Ihr Versandsystem so um, dass es mit dem neuen privaten Schlüssel signiert
4. Den alten Selektor nach einer sicheren Übergangsphase außer Betrieb nehmen

Das ist der springende Punkt.

Der Grund für diese Vorgehensweise ist die Sicherheit. Private DKIM-Schlüssel sind kryptografische Geheimnisse. Wenn einer davon nach außen gelangt, bei einer Infrastrukturmigration kopiert wird oder einfach jahrelang ungenutzt mit einer schwachen Schlüssellänge von 1024 Bit herumliegt, kann ein Angreifer, der ihn in die Hände bekommt, E-Mails im Namen Ihrer Domain signieren. Durch die regelmäßige Rotation des Schlüssels wird der Schaden begrenzt. Genau darum geht es.

Wie sich DKIM in den übergeordneten Authentifizierungs-Stack einfügt, erfahren Sie in unserem Leitfaden zu SPF, DKIM und DMARC.

Müssen Sie Ihre DKIM-Schlüssel tatsächlich regelmäßig austauschen?

Bevor wir den Ablauf durchgehen, sollten wir uns ehrlich fragen, für wen das wichtig ist.

Sie müssen DKIM-Schlüssel wahrscheinlich nicht rotieren, wenn:

• Sie führen B2B-Kaltakquise über eine Handvoll Google Workspace- oder Microsoft 365-Posteingänge durch
• Ihre Schlüssel haben bereits eine Länge von 2048 Bit und wurden korrekt eingerichtet.
• Sie haben keinen Grund zu der Annahme, dass Ihre DNS- oder E-Mail-Infrastruktur kompromittiert wurde
• Sie unterliegen keinen Compliance-Rahmenwerken, die eine Rotation vorschreiben

Wahrscheinlich müssen Sie DKIM-Schlüssel rotieren, wenn:

• Sie verwalten die E-Mail-Infrastruktur eines Unternehmens, das große E-Mail-Volumen über verschiedene Plattformen versendet
• Ihr Unternehmen hält sich an Compliance-Rahmenwerke wie PCI DSS, HIPAA oder SOC 2, die eine Schlüsselrotation vorschreiben
• Sie verwenden nach wie vor veraltete 1024-Bit-Schlüssel, die zunehmend als unsicher gelten.
• Bei Ihnen ist ein Sicherheitsvorfall, ein Datenleck bei Zugangsdaten oder ein Sicherheitsverstoß bei einem Anbieter aufgetreten, durch den Ihr privater DKIM-Schlüssel möglicherweise offengelegt wurde.
• Sie wechseln den E-Mail-Anbieter und müssen die alte Signaturinfrastruktur ordnungsgemäß außer Betrieb nehmen

Die M3AAWG (Messaging, Malware and Mobile Anti-Abuse Working Group) veröffentlicht das meistzitierte Dokument mit Best Practices zu diesem Thema. Ihre Empfehlung: Bei Organisationen mit ausgereiften Sicherheitsprogrammen sollte die Rotation mindestens alle sechs Monate erfolgen. Diese Leitlinie richtet sich an große Absender.

Wenn Sie zur ersten Gruppe gehören, können Sie hier aufhören zu lesen und sich um etwas kümmern, das tatsächlich Einfluss auf die Platzierung Ihrer E-Mails im Posteingang hat. Dazu haben wir weiter unten einige Vorschläge. Wenn Sie zur zweiten Gruppe gehören, lesen Sie bitte weiter.

‍

Verbessert die DKIM-Schlüsselrotation die Zustellbarkeit von E-Mails?

Kurze Antwort: Nein.

In manchen Artikeln wird behauptet, dass dies der Fall ist. Tatsächlich hängt die Zustellbarkeit von E-Mails bei der Kaltakquise jedoch von drei Faktoren ab:

1. Die Absenderreputation, die sich aus der Interaktion (Öffnungen, Antworten, Spam-Beschwerden) ergibt
2. E-Mail-Inhalte, darunter Ihre Links, Tracking-Pixel, HTML-Code, Text, Anhänge und Signaturen
3. Einrichtung des E-Mail-Versands, einschließlich Ihrer Authentifizierung (SPF, DKIM, DMARC) und Ihres Anbieters

Die DKIM-Rotation befindet sich im dritten Bereich. Und das auch nur in sehr begrenztem Umfang.

Solange Ihr DKIM gültig, ordnungsgemäß signiert und mit Ihrer „Von“-Domain abgeglichen ist, spielt es für E-Mail-Anbieter keine Rolle, ob der Schlüssel drei Monate oder drei Jahre alt ist. Sie prüfen die Signatur, verifizieren die Nachricht und fahren fort. Der Wechsel von einem gültigen 2048-Bit-Schlüssel zu einem neuen gültigen 2048-Bit-Schlüssel ändert nichts daran, wie Gmail oder Outlook Ihre E-Mails behandeln.

Was tatsächlich darüber entscheidet, ob Ihre E-Mails im Posteingang landen, ist, ob Ihr DKIM von Anfang an korrekt eingerichtet wurde, ob es im Laufe der Zeit gültig bleibt und ob Ihre Absenderreputation gut genug ist, dass E-Mail-Anbieter Ihre E-Mails überhaupt zustellen wollen.

Die Rotation ist ein Teil der E-Mail-Sicherheitsmaßnahmen. Sie ist kein Mittel zur Verbesserung der Zustellbarkeit.

So wechseln Sie DKIM-Schlüssel (nach Anbieter)

Die Vorgehensweise unterscheidet sich je nach Anbieter. Hier erfahren Sie, wie die drei Konfigurationen, die die meisten B2B-Teams tatsächlich nutzen, damit umgehen.

Rotation von DKIM-Schlüsseln in Microsoft 365

Microsoft 365 macht dies einfacher als jeder andere große Anbieter, da es zwei CNAME-Einträge (selector1 und selector2) verwendet, die auf Schlüssel verweisen, die Microsoft im Hintergrund verwaltet. Sie müssen keine neuen Schlüssel selbst generieren oder veröffentlichen. Das übernimmt Microsoft.

So lösen Sie die Drehung aus:

1. Melden Sie sich beim Microsoft 365 Defender-Portal an
2. Gehen Sie zu „E-Mail und Zusammenarbeit“ und dann zu „Richtlinien und Regeln“
3. Klicken Sie auf „Bedrohungsrichtlinien“ und anschließend auf „E-Mail-Authentifizierungseinstellungen“.
4. Öffnen Sie die Registerkarte „DKIM“ und wählen Sie Ihre Domain aus
5. Klicken Sie auf „DKIM-Schlüssel drehen“

Nachdem Sie die Rotation ausgelöst haben, stellt Microsoft die Signierung nicht sofort um. Der neue Schlüssel wird über einen Zeitraum von bis zu 96 Stunden aktiviert; während dieser Zeit können beide Schlüssel E-Mails signieren. Sie müssen keine Änderungen am DNS vornehmen, solange die CNAME-Einträge bereits vorhanden sind.

Wenn Sie DKIM über direkte TXT-Einträge anstelle von CNAMEs eingerichtet haben (ältere Konfigurationen), müssen Sie zunächst auf den CNAME-Ansatz umstellen. Eine vollständige Anleitung zur Ersteinrichtung finden Sie in unserer Anleitung zur DKIM-Einrichtung für Office 365.

Rotation von DKIM-Schlüsseln in Google Workspace

Die Rotation bei Google Workspace erfolgt eher manuell. Es gibt keinen automatischen Mechanismus und keine integrierte Option zur Auswahl eines zweiten Schlüssels. Sie generieren den neuen Schlüssel, veröffentlichen ihn im DNS und stellen die Signierung selbst um.

Die Schritte:

1. Melde dich bei der Google Admin-Konsole an
2. Gehen Sie zu „Menü“, dann zu „Apps“, dann zu „Google Workspace“ und schließlich zu „Gmail“.
3. Klicken Sie auf „E-Mail bestätigen“
4. Wählen Sie die Domain aus, die Sie rotieren möchten
5. Klicken Sie auf „Neuen Datensatz erstellen“ und wählen Sie als Schlüssellänge „2048 Bit“ aus.
6. Kopieren Sie den Wert des neuen TXT-Eintrags
7. Veröffentlichen Sie den neuen TXT-Eintrag im DNS unter einem neuen Selektornamen (überschreiben Sie den alten Eintrag nicht).
8. Warten Sie, bis die DNS-Änderungen übernommen wurden (in der Regel weniger als eine Stunde; planen Sie zur Sicherheit bis zu 24 Stunden ein).
9. Kehren Sie zur Admin-Konsole zurück und klicken Sie auf „Authentifizierung starten“, um den neuen Schlüssel zu aktivieren.
10. Nachdem Sie sich mindestens 7 Tage lang vergewissert haben, dass der neue Schlüssel korrekt signiert ist, entfernen Sie den alten TXT-Eintrag aus dem DNS.

Die 7-tägige Überschneidungsfrist ist nicht optional. Nachrichten, die sich bereits im Versand befinden oder in den Warteschlangen der Empfänger liegen, werden möglicherweise noch anhand des alten Schlüssels überprüft. Wird der alte Datensatz zu früh entfernt, schlagen diese Nachrichten bei der DKIM-Überprüfung fehl.

Falls Sie sich noch in der Ersteinrichtung befinden, finden Sie alle Informationen dazu in unserer Anleitung zur DKIM-Einrichtung für Google Workspace.

Rotierende DKIM-Schlüssel für Versandplattformen von Drittanbietern

Wenn Sie E-Mails über Mailgun, SendGrid, Amazon SES, Brevo oder ähnliche Dienste versenden, handhabt jede Plattform die Schlüsselrotation anders. Bei einigen erfolgt die Rotation automatisch (Mailgun rotiert standardmäßig alle 120 Tage). Bei anderen muss die Rotation manuell über das Dashboard ausgelöst werden. Bei wieder anderen müssen Sie den Schlüssel selbst generieren und die DNS-Einträge manuell aktualisieren.

Schauen Sie in der Dokumentation der Plattform nach. Das Schema ist in jedem Fall dasselbe:

1. Neue Schlüssel generieren
2. Unter einem neuen Selektor veröffentlichen
3. Beides während der Umstellung parallel laufen lassen
4. Den alten Selektor nach einer überprüften Entleerungsphase außer Betrieb nehmen

Verwenden Sie Selektornamen niemals mehrfach. Ältere signierte Nachrichten, die sich noch in der Übertragung befinden, werden bei der Überprüfung mit einem neuen Schlüssel unter demselben Selektornamen als fehlerhaft erkannt. Das ist der einfachste Weg, Probleme zu verursachen.

‍

DKIM-Rotationshäufigkeit: Wie oft sollte man die Schlüssel rotieren?

Es gibt keine allgemeingültige richtige Antwort. Hier sehen Sie einen Vergleich der wichtigsten Empfehlungen.

Der Grund, warum Cold-Outreach-Teams am Ende dieser Tabelle stehen, ist nicht, dass sie von den bewährten Sicherheitsverfahren ausgenommen sind. Es liegt vielmehr daran, dass das Bedrohungsmodell ein anderes ist. Wenn Sie 20 E-Mail-Postfächer für Outbound-Kampagnen betreiben, ist Ihr privater DKIM-Schlüssel kein ebenso wertvolles Ziel wie der Root-Signaturschlüssel eines Fortune-500-Unternehmens. Rotationszyklen, die für Bedrohungsmodelle in Großunternehmen konzipiert sind, lassen sich nicht ohne Weiteres auf kleinere B2B-Outreach-Setups übertragen.

Wenn Ihr Team über die nötigen Kapazitäten verfügt und Sie es trotzdem umsetzen möchten, ist ein Halbjahresrhythmus in Ordnung. Ein vierteljährlicher Rhythmus ist konservativ. Bei risikoarmen Konfigurationen ist ein jährlicher Rhythmus akzeptabel. Es gibt keine magische Zahl.

Bewährte Verfahren für die DKIM-Schlüsselrotation

Wenn Sie sich dafür entschieden haben, dass die Rotation Teil Ihres Sicherheitsprogramms ist, finden Sie hier die Vorgehensweisen, mit denen Sie verhindern können, dass dadurch Probleme entstehen.

Verwenden Sie 2048-Bit-Schlüssel. Der 1024-Bit-Standard gilt nach aktuellen kryptografischen Maßstäben als unzureichend. 512-Bit-Schlüssel wurden im Cloud-Computing für weniger als 10 Dollar geknackt. Alles unter 2048 Bit stellt ein Sicherheitsrisiko dar.

Führen Sie während der Umstellung stets zwei Selektoren parallel aus. Generieren Sie den neuen Schlüssel, veröffentlichen Sie ihn unter einem neuen Selektor, lassen Sie die Signaturumstellung ablaufen und warten Sie anschließend ab. Löschen Sie den alten DNS-Eintrag frühestens 7 Tage nach der Umstellung. E-Mails, die sich bereits im Versand befinden oder an anderer Stelle in der Warteschlange stehen, werden weiterhin versuchen, die Authentifizierung anhand des alten Schlüssels durchzuführen.

Verwenden Sie Selektornamen niemals mehrfach. Wenn Sie einen Selektor löschen und einen Schlüssel unter demselben Namen erneut veröffentlichen, schlägt die DKIM-Überprüfung für alle älteren E-Mails fehl, die mit dem ursprünglichen Schlüssel signiert wurden. Das DNS gibt einen anderen öffentlichen Schlüssel zurück als den, mit dem die Nachricht signiert wurde. Verwenden Sie datums- oder versionsbasierte Bezeichnungen wie „mail202607“ oder „selector-v3“.

Vergewissern Sie sich, dass der neue Schlüssel tatsächlich signiert, bevor Sie den alten außer Betrieb nehmen. Versenden Sie Test-E-Mails. Überprüfen Sie den „Authentication-Results“-Header in einer empfangenen Nachricht. Vergewissern Sie sich, dass „dkim=pass“ angezeigt wird und dass die Werte für „d=“ und „s=“ Ihrem neuen Selektor entsprechen. Verwenden Sie einen DKIM-Checker, um sicherzustellen, dass der Eintrag korrekt veröffentlicht und auswertbar ist.

Wechseln Sie jeweils nur einen Versand-Stream nach dem anderen. Wenn Ihr Unternehmen Transaktions-, Marketing- und Support-E-Mails über separate Plattformen versendet, wechseln Sie diese nacheinander und nicht gleichzeitig. So bleibt der Umfang der Massenversendung unter Kontrolle, falls etwas schiefgeht.

Dokumentieren Sie alles. Halten Sie fest, welche Selektoren aktiv sind, welche Schlüssel welche Streams signieren und wann die jeweiligen Rotationen stattfanden. Ohne Dokumentation erbt derjenige, der sich als Nächstes mit Ihrem DNS befasst, ein Chaos, das er nicht sicher beseitigen kann.

Überwachen Sie die DMARC-Berichte während und nach der Rotation. Ihre aggregierten DMARC-Berichte sind das schnellste Anzeichen dafür, dass etwas nicht stimmt. Wenn Sie diese nicht lesen, werden Sie das Problem erst bemerken, wenn die Zustellrate tatsächlich sinkt.

Häufige Fehler bei der DKIM-Schlüsselrotation

Die Fehler, die wir am häufigsten beobachten:

Das Löschen des alten TXT-Eintrags unmittelbar nach der Umstellung der Signatur. Dies ist die häufigste Ursache für DKIM-Fehler nach der Umstellung. Sowohl bereits versendete E-Mails als auch E-Mails in der Warteschlange und E-Mails, die mit Verzögerung überprüft werden, schlagen fehl. Lassen Sie den alten Eintrag nach der Umstellung der Signatur mindestens eine Woche lang aktiv.

Wiederverwendung von Selektornamen. Wie oben beschrieben. Dies beeinträchtigt die Überprüfung älterer signierter E-Mails.

Man darf nicht vergessen, dass die DNS-Propagierung Zeit braucht. Die Veröffentlichung eines neuen TXT-Eintrags bedeutet nicht, dass dieser sofort überall verfügbar ist. Resolver speichern Einträge im Cache. Bei einigen vorgelagerten DNS-Systemen dauert die Propagierung länger als bei anderen. Warten Sie die Propagierung ab, bevor Sie den Signaturschalter umlegen.

Rotation als Lösung für Zustellbarkeitsprobleme zu betrachten, obwohl das eigentliche Problem woanders liegt. Das ist ein wichtiger Punkt. Wenn Ihre E-Mails im Spam-Ordner landen, wird Rotation das Problem nicht lösen. Die Einstufung als Spam hängt mit der Absenderreputation, dem Inhalt oder den Versendeinstellungen zusammen. Es ist kein Problem der Schlüsselalterung. Wer nach der falschen Lösung sucht, verliert Wochen.

Die Rotation in Microsoft 365 wird ausgelöst, bevor überprüft wurde, ob CNAME-Einträge vorhanden sind. Wenn Ihr M365-DKIM über TXT-Einträge eingerichtet wurde (ältere Methode), funktioniert die Schaltfläche für die Rotation im Portal nicht ordnungsgemäß. Führen Sie zunächst eine Migration zu CNAME-Einträgen durch.

Wenn Sie mehr darüber erfahren möchten, lesen Sie unseren Artikel „DMARC-Fehler: Ursachen und Behebung“ mit entsprechenden Tipps zur Fehlerbehebung.

Worauf sich Cold-Email-Teams eigentlich konzentrieren sollten

Wenn Sie auf diesen Artikel gestoßen sind, weil Ihre Kaltakquise nicht in den Posteingängen ankommt, ist die DKIM-Schlüsselrotation nicht die richtige Maßnahme.

Die Dinge, die wirklich etwas bewirken:

• Eine auf echtem Engagement basierende Absenderreputation. Das bedeutet, positive Interaktionen aus den Posteingängen von Google Workspace und Microsoft 365 zu erhalten – den beiden Anbietern, die den Großteil des Marktes für E-Mail-Postfächer beherrschen. Benutzerdefinierte SMTP-Interaktionen bringen keine nennenswerten Ergebnisse. Deshalb ist email warmup für den B2B-Bereich so entscheidend.
• Saubere Inhalte ohne aggressive Links, Tracking-Pixel oder Anhänge, die Filter auslösen
• Eine gültige Versandkonfiguration mit SPF, DKIM und DMARC, die auf Ihre „Von“-Domain abgestimmt ist
• Volumenbeschränkung. Nicht mehr als 100 Kaltakquise-E-Mails pro Tag und Posteingang in Google Workspace oder Microsoft 365
• Echte Tests zur Platzierung im Posteingang. Der Versand erfolgt unter realen Bedingungen an eine Liste von Test-Posteingängen verschiedener Anbieter – im Gegensatz zu Spam-Score-Tools für einzelne Adressen, die Ihnen eine Bewertung von 10/10 anzeigen, während Ihre echten E-Mails im Spam-Ordner landen.

Wenn das DKIM, das Sie vor zwei Jahren eingerichtet haben, noch gültig ist, weiterhin eine 2048-Bit-Verschlüsselung aufweist und in Ihren DMARC-Berichten weiterhin als „bestanden“ ausgewiesen wird, lassen Sie es so, wie es ist. Beheben Sie nur das, was tatsächlich nicht funktioniert.

‍

Wie MailReach bei den wirklich wichtigen Dingen hilft

MailReach wurde speziell für jene Aspekte der Zustellbarkeit entwickelt, die sich tatsächlich auf die Kaltakquise auswirken. Nicht für diejenigen, die auf einer Folie bei einem Sicherheitsaudit gut aussehen.

Email warmup eine echte Absenderreputation aufbaut. Unser Peer-to-Peer-Warmup-Netzwerk umfasst mehr als 30.000 Posteingänge, überwiegend echte Google Workspace- und Microsoft 365-Konten. Der durchschnittliche Reputationswert unseres Netzwerks liegt bei 95,17/100. Warum das wichtig ist: Positive Interaktionen zählen nur, wenn sie von Posteingängen stammen, denen die großen Anbieter tatsächlich vertrauen. Interaktionen aus einem Netzwerk voller benutzerdefinierter SMTP-Konten (auf die sich die meisten All-in-One-Tools stützen) tragen kaum zu Ihrer Reputation bei. Probieren Sie MailReach Email Warmup aus.

Ein Spam-Test, der Ihnen die Wahrheit sagt. Lassen Sie Ihre tatsächliche Kampagne durch den Spam-Test von MailReach laufen und sehen Sie genau, wo sie in über 30 Posteingängen landet. Kein „Spam-Wert auf einer Skala von 1 bis 10“, der auf der Analyse Ihrer E-Mail basiert. Echte Zustellung in den Posteingängen unter realen Versandbedingungen. Außerdem erhalten Sie Einblick in den Pass/Fail-Status von SPF, DKIM und DMARC, Link-Prüfungen, die Analyse von Spam-Wörtern sowie Blacklist-Prüfungen.

Integrierte Authentifizierungsdiagnose. MailReach erkennt SPF- und DKIM-Fehler bereits während der Einphase und bei Spam-Tests. Sollte also Ihre Authentifizierung ausfallen (nach einer Rotation, einem Tool-Wechsel oder einer DNS-Änderung), erfahren Sie dies, bevor die Zustellbarkeit sinkt – und nicht erst danach.

Auf Skalierbarkeit ausgelegt. Verwalten Sie Hunderte oder Tausende von Postfächern mit Reputationsüberwachung pro Domain, Tags, Benachrichtigungen und einer API. Wenn Sie mehrere Kunden, mehrere Domains oder ein erhebliches Volumen an Kontaktaufnahmen verwalten, ist dies von entscheidender Bedeutung.

Wenn Sie Termine verpassen, weil Ihre E-Mails nicht gelesen werden, probieren Sie doch einmal MailReach aus.

Wenn Sie hier sind, weil die Compliance-Abteilung Sie angewiesen hat, Ihre Schlüssel zu rotieren, befolgen Sie bitte die oben genannten Schritte.