So richten Sie DKIM in Office 365 ein: Schritt für Schritt

Seit Februar 2024 ist in den Gmail-Richtlinien für Massenversand die DKIM-Authentifizierung für alle Domains vorgeschrieben, die mehr als [Anzahl] E-Mails pro Tag versenden. 5,000 E-Mails pro Tag für Gmail-Nutzer. Yahoo wendet die gleiche Regel in seinen Best Practices für Absender. Strom E-Mail-Spam-Statistiken Dies zeigt, wie aggressiv große Anbieter mittlerweile nicht authentifizierte E-Mails filtern, was bedeutet, dass Microsoft 365-Mandanten, die DKIM nicht aktiviert haben, stillschweigend ihren Posteingang bei den beiden größten E-Mail-Anbietern der Welt verlieren.

Die gute Nachricht ist, dass die Einrichtung von DKIM in Office 365 ein recht unkomplizierter Prozess ist, sobald man weiß, wo man suchen muss: Öffnen Sie das Defender-Portal, generieren Sie die CNAME-Einträge, veröffentlichen Sie sie im DNS, aktivieren Sie die Signierung und überprüfen Sie dann, ob die Einrichtung tatsächlich funktioniert.

Voraussetzungen für die Einrichtung von DKIM in Office 365

Neben fehlerhaft konfigurierten Einträgen lassen sich viele DKIM-Einrichtungsfehler auf eine fehlende Voraussetzung zurückführen. Microsoft erwartet, dass Ihre Domäne in Microsoft 365 verifiziert ist, bevor Sie mit der DKIM-Konfiguration beginnen. Ist die Domäne nicht verifiziert, wird sie auf der DKIM-Einstellungsseite gar nicht angezeigt.

Bevor Sie beginnen, vergewissern Sie sich, dass alle vier Voraussetzungen erfüllt sind:

• Zugriff für globale Administratoren oder Sicherheitsadministratoren: Die DKIM-Einstellungsseite ist für Standardbenutzer und Administratoren mit Leserechten nicht verfügbar. Ein Sicherheitsadministrator kann die Seite zwar einsehen, aber nur ein globaler Administrator kann die DKIM-Signatur aktivieren.
• Eine verifizierte benutzerdefinierte Domäne in Microsoft 365: Öffnen Sie das Microsoft 365 Admin Center, gehen Sie zu Einstellungen → Domänen und vergewissern Sie sich, dass die Domäne als verifiziert markiert ist. Nicht verifizierte Domänen werden nicht in der DKIM-Liste des Defender-Portals angezeigt.
• Zugriff auf die DNS-Einstellungen der Domain: Sie müssen zwei CNAME-Einträge bei dem DNS-Anbieter veröffentlichen, der Ihre Domain verwaltet, z. B. GoDaddy, Cloudflare, Namecheap, AWS Route 53 oder einem anderen DNS-Host.
• Ein für dieselbe Domain veröffentlichter SPF-Eintrag: SPF ist technisch gesehen keine Voraussetzung für DKIM, Microsoft empfiehlt jedoch, beides gleichzeitig zu konfigurieren. Falls SPF noch nicht eingerichtet ist, installieren Sie es, bevor Sie mit DKIM fortfahren.

So richten Sie DKIM in Office 365 ein: Schritt für Schritt

Die fünf folgenden Schritte erfordern 10–15 Minuten aktive Arbeitszeit, zuzüglich der DNS-Propagationszeit, die von wenigen Minuten bis zu 48 Stunden reichen kann. Die Gesamtzeit bis zur Aktivierung der DKIM-Signatur hängt fast ausschließlich davon ab, wie schnell Ihr DNS-Anbieter Änderungen propagiert.

Die Benutzeroberfläche des Microsoft Defender-Portals ändert sich regelmäßig. Die unten aufgeführten Navigationspfade sind zum Zeitpunkt der Erstellung dieses Dokuments korrekt. Sollten Sie jedoch Abweichungen feststellen, überprüfen Sie diese bitte immer auf der aktuellen Version des Portals.

Schritt 1: Melden Sie sich beim Microsoft Defender-Portal an

Gehen Sie zu security.microsoft.com und melden Sie sich mit einem globalen Administratorkonto für den Mandanten an. Überprüfen Sie nach der Anmeldung, ob Sie sich im richtigen Mandanten befinden, indem Sie den Mandantennamen oben rechts im Portal prüfen. Wenn Sie mehrere Microsoft 365-Organisationen verwalten, kann es leicht passieren, dass Sie sich im falschen Mandanten befinden.

Schritt 2: Navigieren Sie zur DKIM-Einstellungsseite

Folgen Sie diesem Navigationspfad im linken Menü:

E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen → DKIM

Falls der oben beschriebene Pfad nicht mit Ihrer Ansicht übereinstimmt, verwenden Sie die Suchleiste des Portals und geben Sie „DKIM“ ein. Die DKIM-Seite wird direkt über die Suche angezeigt, unabhängig davon, wo sie sich aktuell in der Navigation befindet.

Auf der DKIM-Seite wird Ihnen eine Liste der Domänen angezeigt. Diese umfasst die Standarddomäne „.onmicrosoft.com“, die Microsoft jedem Mandanten zuweist, sowie alle verifizierten benutzerdefinierten Domänen. Benutzerdefinierte Domänen werden hier erst nach Abschluss des Verifizierungsprozesses im Admin Center angezeigt.

Schritt 3: Generieren Sie die CNAME-Eintragswerte für die benutzerdefinierte Domäne

Wählen Sie Ihre benutzerdefinierte Domäne aus der Liste aus (nicht die Standarddomäne .onmicrosoft.com). Klicken Sie auf „DKIM-Schlüssel erstellen.“

Microsoft generiert zwei CNAME-Einträge. Diese Einträge veröffentlichen Sie im nächsten Schritt in Ihrer DNS-Zone. Die beiden Einträge verwenden selector1._domainkey und selector2._domainkey als Hostnamen. Durch die Verwendung zweier Selektoren rotiert Microsoft die DKIM-Schlüssel automatisch im Hintergrund. Bei der Rotation zu einem neuen Schlüssel wechselt Microsoft automatisch zwischen den beiden Selektoren.

Kopieren Sie beide CNAME-Werte exakt so, wie sie im Portal angezeigt werden. Tippfehler in CNAME-Werten sind häufig die Ursache für DKIM-Einrichtungsfehler. Kopieren Sie die Werte in eine Textdatei, bevor Sie mit dem nächsten Schritt fortfahren, damit Sie sie zum Einfügen bereit haben.

Schritt 4: Veröffentlichen Sie die CNAME-Einträge im DNS.

Melden Sie sich beim DNS-Anbieter Ihrer Domain an und öffnen Sie die DNS-Verwaltungsoberfläche für Ihre benutzerdefinierte Domain. Erstellen Sie zwei neue CNAME-Einträge mit den folgenden Werten:

Datensatz 1:

• Host / Name: selector1._domainkey
• Wert / Verweist auf: den ersten CNAME-Wert, der aus dem Defender-Portal kopiert wurde
• TTL: 3600 (oder der Standardwert Ihres Anbieters)

Datensatz 2:

• Host / Name: selector2._domainkey
• Wert / Verweist auf: den zweiten CNAME-Wert, der aus dem Defender-Portal kopiert wurde
• TTL: 3600 (oder der Standardwert Ihres Anbieters)

Manche DNS-Anbieter verlangen den vollständigen Hostnamen inklusive Domain (z. B. selector1._domainkey.yourdomain.com), andere hingegen nur das Präfix (selector1._domainkey). Im Zweifelsfall konsultieren Sie die Dokumentation Ihres Anbieters. Die Eingabe des vollständigen Namens, obwohl nur das Präfix benötigt wird, erzeugt einen doppelten Eintrag, der nicht korrekt aufgelöst werden kann.

Speichern Sie beide Datensätze und warten Sie. Die Weitergabe ist in der Regel innerhalb weniger Stunden abgeschlossen.

Schritt 5: DKIM-Signatur im Defender-Portal aktivieren

Zurück zur DKIM-Seite des Defender-Portals: E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen → DKIM.

Wählen Sie dieselbe benutzerdefinierte Domäne aus, die Sie in Schritt 4 konfiguriert haben. Umschalten „Nachrichten für diese Domain mit DKIM-Signaturen signieren“ zu ein.

Wenn beim Umschalten eine Fehlermeldung wie „CNAME-Eintrag für diese Konfiguration nicht vorhanden“ angezeigt wird, wurden die DNS-Einträge noch nicht an die Microsoft-Server übertragen. Dies ist normal. Warten Sie 1–24 Stunden und versuchen Sie es erneut. Versuchen Sie nicht, die CNAME-Einträge neu zu erstellen; sie sind wahrscheinlich korrekt und benötigen lediglich etwas Zeit zur Übertragung.

Sobald die Option erfolgreich aktiviert wurde, beginnt Microsoft 365 sofort damit, jede ausgehende E-Mail von der benutzerdefinierten Domäne mit einer DKIM-Signatur zu versehen.

So überprüfen Sie, ob DKIM in Office 365 funktioniert

Die Aktivierung von DKIM im Portal bedeutet nicht automatisch, dass es in Live-E-Mails korrekt funktioniert. Verwenden Sie daher zwei Verifizierungsmethoden gleichzeitig, um die korrekte Einrichtung sicherzustellen.

Externe Suche

Rufen Sie das DKIM-Lookup-Tool von MXToolbox auf. Geben Sie Ihre Domain und „selector1“ als Selektor ein. Bei erfolgreicher Suche wird der von Microsoft veröffentlichte öffentliche Schlüssel angezeigt und die abgeschlossene DNS-Propagation bestätigt. Wiederholen Sie den Vorgang mit „selector2“, um zu prüfen, ob beide Selektoren aufgelöst werden.

E-Mail-Header-Prüfung

Senden Sie eine Test-E-Mail von der benutzerdefinierten Domain an ein externes Postfach (Gmail, Yahoo oder Ihre persönliche Outlook-Adresse). Öffnen Sie die E-Mail und sehen Sie sich die vollständigen Nachrichtenkopfzeilen an.

• In Gmail: Drei-Punkte-Menü → „Original anzeigen“. In Outlook Web: Drei-Punkte-Menü → „Ansicht“ → „Nachrichtenquelltext anzeigen“.
• Im Header „Authentication-Results“ wird eine erfolgreiche DKIM-Signatur angezeigt: dkim=bestanden [E-Mail geschützt]

Der Wert „header.i=“ muss mit Ihrer Absenderdomain übereinstimmen. Falls im Header „dkim=none“ oder „dkim=fail“ angezeigt wird, funktioniert die Einrichtung nicht. Lesen Sie dazu den Abschnitt zur Fehlerbehebung weiter unten.

Häufige DKIM-Einrichtungsfehler in Office 365 und wie man sie behebt

Die folgenden Fehlermeldungen decken den Großteil der DKIM-Setup-Fehler in Microsoft 365-Mandanten ab.

„Für diese Domain wurden keine DKIM-Schlüssel gespeichert.“

Diagnostizieren: Für die Domain wurden noch keine DKIM-Schlüssel generiert. Die Option zum Aktivieren der Signierung wird erst angezeigt, wenn Schlüssel vorhanden sind.

Fix: Wählen Sie die Domäne auf der DKIM-Seite des Defender-Portals aus und klicken Sie auf „DKIM-Schlüssel erstellen.“ Das Portal generiert die beiden CNAME-Werte, die Sie zum Veröffentlichen benötigen. Falls Sie dies bereits in einer vorherigen Sitzung durchgeführt haben, sollten die Schlüssel bereits vorhanden sein (prüfen Sie, ob Sie sich in der Liste in der richtigen Domäne befinden).

„Für diese Konfiguration existiert kein CNAME-Eintrag.“

Diagnostizieren: Die DNS-Einträge wurden entweder noch nicht veröffentlicht oder noch nicht an die Erkennungssysteme von Microsoft weitergegeben.

Fix: Prüfen Sie, ob die CNAME-Einträge öffentlich sichtbar sind, indem Sie mit MXToolbox oder DNS Checker eine DNS-Abfrage mit selector1._domainkey.yourdomain.com durchführen. Werden die Einträge extern angezeigt, das Portal zeigt aber weiterhin den Fehler an, warten Sie 1–24 Stunden, bis die Microsoft-Server sie übernommen haben. Werden die Einträge extern nicht angezeigt, wenden Sie sich an Ihren DNS-Anbieter und prüfen Sie die Felder für Hostname und Wert auf Tippfehler, insbesondere ob der Hostname die Stammdomäne enthält oder nicht.

DKIM wird von MXToolbox erfolgreich durchlaufen, aber Gmail zeigt dkim=none an.

Diagnostizieren: Der DKIM-Eintrag wird korrekt im DNS veröffentlicht, aber Microsoft 365 signiert ausgehende Nachrichten nicht, weil die Signierungsoption noch deaktiviert ist.

Fix: Kehren Sie zur DKIM-Seite des Defender-Portals zurück und vergewissern Sie sich, dass die Option „Nachrichten für diese Domäne mit DKIM-Signaturen signieren“ aktiviert ist. On Für die benutzerdefinierte Domäne. Möglicherweise war die Option nie aktiviert oder wurde aufgrund eines Problems mit der Portal-Sitzung deaktiviert. Aktivieren Sie sie und senden Sie eine weitere Test-E-Mail zur Überprüfung.

Benutzerdefinierte Domäne wird nicht auf der DKIM-Einstellungsseite angezeigt

Diagnostizieren: Die Domäne hat den Verifizierungsprozess im Microsoft 365 Admin Center noch nicht abgeschlossen und wird daher nicht als gültige Domäne für den Mandanten erkannt.

Fix: Öffnen Sie admin.microsoft.com und navigieren Sie zu Einstellungen → DomänenSchließen Sie die Domainverifizierung ab. Dazu wird ein TXT-Eintrag im DNS hinzugefügt, um den Besitz nachzuweisen. Sobald die Domain im Admin Center als verifiziert angezeigt wird, erscheint sie innerhalb weniger Minuten auf der DKIM-Seite des Defender-Portals.

Kombination von DKIM mit SPF und DMARC für die vollständige E-Mail-Authentifizierung

DKIM allein reicht nicht aus. Moderne E-Mail-Anbieter erwarten alle drei Authentifizierungsprotokolle Gemäß den Massenversandregeln von Gmail und Yahoo ab 2024 sind alle drei effektiv für jede Domain erforderlich, die mehr als 5,000 E-Mails pro Tag versendet.

So teilen die drei Protokolle die Authentifizierungsarbeit auf:

• SPF veröffentlicht eine Liste der IP-Adressen, die berechtigt sind, im Namen der Domain E-Mails zu versenden. Dadurch wird verhindert, dass nicht autorisierte Server E-Mails versenden, die vorgeben, von Ihnen zu stammen.
• DKIM Fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu. Empfangende Server überprüfen die Signatur anhand des öffentlichen Schlüssels im DNS, um sicherzustellen, dass die Nachricht während der Übertragung nicht verändert wurde.
• DMarc Weist empfangende Mailserver an, was zu tun ist, wenn SPF oder DKIM fehlschlägt: die Nachricht unter Quarantäne stellen, sie ablehnen oder sie trotzdem zustellen und das Ergebnis melden.

Ohne DMARC kann eine Nachricht, die SPF und DKIM nicht besteht, dennoch den Posteingang erreichen, da keine Richtlinie den Empfänger anweist, auf den Fehler zu reagieren. Für einen vollständigen Posteingangsschutz müssen alle drei Mechanismen zusammenarbeiten.

Sobald DKIM und SPF als funktionsfähig verifiziert sind, veröffentlichen Sie einen DMARC-Eintrag unter _dmarc.yourdomain.com. Beginnen Sie mit p=none, um 2–4 Wochen lang aggregierte Berichte zu sammeln. Wechseln Sie dann zu p=quarantine, sobald die Ausrichtung stabil ist, und schließlich zu p=reject für die vollständige Durchsetzung. So gehen Sie vor. Verbesserung der Absenderreputation durch Authentifizierung, ohne dabei legitime E-Mails zu gefährden.

Die Authentifizierung behebt jedoch keine Bounces von ungültigen Adressen. DKIM bestätigt zwar, dass eine E-Mail von Ihrer Domain stammt, verhindert aber keinen Bounce, wenn das Postfach des Empfängers nicht existiert. Reputation des E-Mail-Absenders hängt davon ab, dass sowohl Authentifizierung als auch Listenqualität optimal zusammenarbeiten. Tools wie DeBounce Validierung der E-Mail-Liste Wir helfen Ihnen, die Adressen zu entfernen, die am ehesten zu Bounces und Beschwerden führen.

DKIM richtig zu nutzen, zahlt sich aus

Die DKIM-Einrichtung in Office 365 umfasst das Generieren der CNAME-Einträge im Defender-Portal, deren Veröffentlichung im DNS, das Warten auf die DNS-Propagation, das Aktivieren der Signierung und die Verifizierung über E-Mail-Header. Der eigentliche Vorgang dauert 10–15 Minuten. Lediglich die Wartezeit (auf die DNS-Propagation) lässt sich nicht beschleunigen.

Kombinieren Sie DKIM mit SPF, DMARC und konsequenter Listenhygiene, um Ihre Zustellbarkeit gemäß den Authentifizierungsanforderungen, die Gmail, Yahoo und Microsoft jetzt in großem Umfang durchsetzen, vollständig zu schützen.

Vor Ihrer nächsten großen Kampagne sollten Sie Ihre Absenderliste mit DeBounce validieren. Laden Sie Ihre Kontakte hoch, entfernen Sie ungültige, Wegwerf- oder risikoreiche Adressen und versenden Sie Ihre E-Mails mit der Gewissheit, dass starke Authentifizierung und eine saubere Liste Ihnen die besten Chancen bieten, den Posteingang Ihrer Empfänger zu erreichen.