So finden Sie Ihren DKIM-Selektor (und prüfen, ob er funktioniert)

Jede E-Mail, die Sie versenden, trägt eine unsichtbare Signatur, die belegt, dass sie von Ihrer Domain stammt. Ihr DKIM-Selektor ist der kurze Name, der empfangenden Mailservern mitteilt, wo sie den Schlüssel finden, mit dem sie diese Signatur prüfen. Der Selektor wird mit jeder Nachricht mitgeschickt und ist deshalb an vier Stellen zu finden: in den Headern einer zugestellten Nachricht Ihrer Domain, in den Einstellungen Ihrer Versandplattform, in Ihren DNS-Einträgen oder in Ihren DMARC-Berichten.

Dieser Leitfaden erklärt alle vier Wege, von der schnellsten Prüfung bis zu der Methode, die jeden Selektor zeigt, den Ihre Domain verwendet. Am Ende stehen die zwei Prüfungen, mit denen Sie feststellen, ob der gefundene Selektor funktioniert.

Inhalt dieses Leitfadens

• Was ist ein DKIM-Selektor?
• Wie finden Sie Ihren DKIM-Selektor im E-Mail-Header?
• Wo zeigen Versandplattformen ihren DKIM-Selektor an?
• Wie fragen Sie einen DKIM-Selektor im DNS ab?
• Wie sehen Sie alle Selektoren, die für Ihre Domain signieren?
• Warum schlägt DKIM fehl, obwohl der Selektor existiert?
• So prüfen Sie, ob Ihr DKIM-Selektor funktioniert
• Häufige Fragen
• Fazit

Was ist ein DKIM-Selektor?

DKIM (DomainKeys Identified Mail) ist der Standard hinter diesen unsichtbaren E-Mail-Signaturen. Ein Dienst, der E-Mails im Namen Ihrer Domain versendet, signiert jede Nachricht mit einem privaten Schlüssel, und empfangende Server prüfen die Signatur anhand eines öffentlichen Schlüssels, der in Ihrem DNS veröffentlicht ist. Der DKIM-Selektor ist die Kennung, die festlegt, welcher Schlüssel für die Prüfung verwendet wird, denn eine Domain kann mehrere Schlüssel veröffentlichen.

Der Selektor steht im Tag s= des DKIM-Signature-Headers. Hier ist ein gekürztes Beispiel:

DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mail2025; ...

In diesem Beispiel ist der Selektor mail2025. Der empfangende Server kombiniert ihn mit der Domain und fragt den DNS-Eintrag unter mail2025._domainkey.example.com ab, um den öffentlichen Schlüssel zu erhalten.

Selektornamen sind einfache Bezeichnungen aus Buchstaben und Ziffern, und wer die Signierung einrichtet, legt sie fest. Typische Selektoren in der Praxis sind mail, k1, s1, selector1, google oder eine Bezeichnung mit Jahreszahl wie mail2025. Der Name steht an zwei Stellen und muss an beiden exakt gleich lauten: im Tag s= der Signatur und im Namen des DNS-Eintrags.

Wie finden Sie Ihren DKIM-Selektor im E-Mail-Header?

Am schnellsten finden Sie Ihren Selektor, indem Sie ihn aus einer bereits zugestellten Nachricht Ihrer Domain auslesen. Öffnen Sie die Nachricht in dem Postfach, in dem sie eingegangen ist, und nicht in Ihrem Ordner für gesendete Nachrichten: Die Kopie in diesem Ordner wird meist gespeichert, bevor Ihr Postausgangsserver die DKIM-Signatur hinzufügt, und enthält deshalb keinen DKIM-Signature-Header. Wenn Sie keine empfangene Kopie haben, senden Sie eine Nachricht von Ihrer Domain an ein Postfach bei einem anderen E-Mail-Dienst (ein privates Gmail-Konto genügt) und öffnen Sie sie dort. Rufen Sie dann den Quelltext der Nachricht auf (je nach Version und Spracheinstellung können die Menüpunkte etwas anders heißen):

1. Öffnen Sie in Gmail die Nachricht, klicken Sie auf das Drei-Punkte-Menü und wählen Sie Original anzeigen.
2. Öffnen Sie in Outlook die Nachricht und wählen Sie View > Message source (oder, je nach Version, View message details).
3. Wählen Sie in Apple Mail View > Message > All Headers.
4. Suchen Sie im Text nach DKIM-Signature und lesen Sie den Wert nach s= ab.

Eine Nachricht enthält oft mehr als einen DKIM-Signature-Header, weil die Versandplattform neben Ihrer Domain auch mit ihrer eigenen Domain signiert. Maßgeblich ist der Header, dessen Tag d= Ihre Domain enthält: Sein s= ist der Selektor, von dem das DMARC-Alignment (Ausrichtung) Ihrer Domain abhängt.

Wo zeigen Versandplattformen ihren DKIM-Selektor an?

Auch die Plattform, die Ihre E-Mails versendet, zeigt den Selektor in ihren Authentifizierungseinstellungen an:

• In Google Workspace erzeugen Sie den DKIM-Schlüssel in der Admin-Konsole unter Apps > Google Workspace > Gmail > Authenticate email, und der Standardselektor ist google.
• Bei Microsoft 365 veröffentlichen Sie zwei CNAME-Einträge mit den Namen selector1 und selector2, zwischen denen Microsoft 365 beim Rotieren der Schlüssel wechselt.
• Marketing- und E-Commerce-Plattformen (Mailchimp, Klaviyo, Shopify und andere) haben jeweils eine Seite zur Domain-Authentifizierung, auf der genau die DNS-Einträge aufgeführt sind, die Sie veröffentlichen müssen. Der Selektor ist die Bezeichnung vor ._domainkey im Hostnamen des jeweiligen Eintrags.

Ein Onlineshop nutzt häufig zwei oder drei Selektoren gleichzeitig (zum Beispiel signiert die E-Commerce-Plattform die Bestellbestätigungen und die Newsletter-Plattform die Kampagnen, jede unter ihrem eigenen Selektor).

Wie fragen Sie einen DKIM-Selektor im DNS ab?

Der kostenlose DKIM-Checker von DMARCeye übernimmt die Abfrage für Sie: Geben Sie Ihre Domain ein, und der Checker prüft die Selektoren, die große Plattformen üblicherweise verwenden.

Wie sehen Sie alle Selektoren, die für Ihre Domain signieren?

Die drei bisherigen Prüfungen haben dieselbe Einschränkung: Jede zeigt nur eine Nachricht oder eine Plattform. Alle Selektoren gemeinsam sehen Sie in Ihren DMARC-Aggregatberichten, den täglichen Zusammenfassungen, die empfangende Mailserver über E-Mails senden, die Ihre Domain als Absender angeben. Jeder Bericht führt die Versanddienste auf, die der meldende Mailserver gesehen hat, und zeigt, wie deren Authentifizierungsprüfungen ausgefallen sind, einschließlich des Selektors.

DMARCeye wertet diese Berichte für Sie aus und zeigt, welche Schlüssel aktiv sind, welche Dienste sie verwenden und wo Alignment-Probleme auftreten. Einen Selektor in Ihren Berichten, den Sie nicht kennen, sollten Sie genauer untersuchen: Er gehört entweder zu einem Dienst, den jemand ohne Ihr Wissen angebunden hat, oder zu einem Absender, der vorgibt, Sie zu sein.

Der kostenlose Tarif von DMARCeye deckt die Überwachung der DMARC-Aggregatberichte für eine Domain ab.

Warum schlägt DKIM fehl, obwohl der Selektor existiert?

DKIM schlägt aus vier Gründen fehl:

• Die Namen stimmen nicht überein. Der Dienst signiert mit einem Selektor, der Schlüssel liegt im DNS aber unter einem anderen, oft nach einem Plattformwechsel.
• Der Eintrag fehlt oder ist falsch geschrieben. Eine Bereinigung der DNS-Einträge hat ihn entfernt, oder der Name wurde so eingetragen, dass die Domain darin doppelt vorkommt.
• Der Schlüsselwert ist abgeschnitten. Manche DNS-Verwaltungsoberflächen teilen lange Schlüssel beim Einfügen auf oder kürzen sie, und ein unvollständiger Schlüssel kann keine Signatur verifizieren.
• Die signierende Domain gehört nicht Ihnen. Die Plattform signiert mit ihrer eigenen Domain in d=, sodass die Signatur die Prüfung zwar besteht, für DMARC aber nicht auf Ihre Domain ausgerichtet ist.

Solche Konfigurationsprobleme kommen selbst bei den größten Anbietern häufig vor. Im Datensatz von DMARCeye für Q1 2026 betragen die DKIM-Fehlerquoten unter den Top 10 ESPs unter anderem 11,1 % bei Google LLC, 19,6 % bei Microsoft Corporation, 22,9 % bei Mailgun und 26,3 % bei Proofpoint. Proofpoint hat damit die höchste DKIM-Fehlerquote unter den von uns gemessenen Top 10 ESPs.

Wie der Q1-Bericht selbst festhält, ist niedrige Konformität bei einem großen ESP fast immer ein Konfigurationsproblem auf der Absenderseite und kein Fehler des Anbieters selbst. Kunden haben die richtigen DKIM-Schlüssel nicht im DNS hinterlegt, ein vergessenes Tool signiert mit dem falschen Selektor, oder ein Schlüssel wurde nur auf einer Seite rotiert.

Die Konformitätszahlen spiegeln zudem den Kundenmix wider, den DMARCeye überwacht, und können vom gesamten Kundenstamm der jeweiligen Plattform abweichen.

So prüfen Sie, ob Ihr DKIM-Selektor funktioniert

Wenn Sie den Selektor gefunden und bestätigt haben, dass der DNS-Eintrag abrufbar ist, prüfen Sie die gesamte Kette mit einem einzigen Test:

1. Senden Sie eine neue E-Mail von Ihrer Domain an ein Postfach, auf das Sie Zugriff haben.
2. Rufen Sie den Quelltext der Nachricht auf, genauso wie bei der Header-Prüfung weiter oben.
3. Suchen Sie den Header Authentication-Results und darin den Wert dkim=pass. In Gmail nennt dieser Header außerdem unter header.s= den geprüften Selektor.

Ein bestandener Test belegt, dass der Selektor für einen Dienst an einem Tag funktioniert. Ob jeder Dienst dauerhaft korrekt signiert, zeigen Ihre DMARC-Berichte, und zwar täglich und für alle Dienste gleichzeitig.

Häufige Fragen

Kann eine Domain mehr als einen DKIM-Selektor haben?

Ja, und bei den meisten Domains, die über mehr als einen Dienst versenden, ist das auch so. Jeder Versanddienst signiert mit seinem eigenen Schlüssel unter seinem eigenen Selektor, sodass ein Onlineshop zum Beispiel einen Selektor für Kaufbelege, einen für Newsletter und einen für sein Helpdesk-System haben kann. Die Selektoren stehen im DNS nebeneinander und geraten nie miteinander in Konflikt.

Spielt der Name des Selektors eine Rolle?

Nein. Ein Selektor ist eine Bezeichnung, und jeder kurze Name aus Buchstaben und Ziffern funktioniert. Entscheidend ist, dass der Name im Tag s= der Signatur mit dem Namen des DNS-Eintrags übereinstimmt, der den öffentlichen Schlüssel enthält. Weichen die beiden Namen voneinander ab, schlägt die Überprüfung fehl, auch wenn der Schlüssel selbst korrekt ist.

Was sind selector1 und selector2?

Das sind die beiden Selektoren, die Microsoft 365 für jede Domain verwendet, deren E-Mails der Dienst signiert. Sie veröffentlichen beide als CNAME-Einträge, wenn Sie DKIM einrichten, und Microsoft wechselt beim Rotieren seiner Schlüssel zwischen ihnen, sodass E-Mails die Prüfung auch während eines Schlüsselwechsels bestehen.

Fazit

Einen DKIM-Selektor zu finden, ist eine einfache Abfrage: Lesen Sie das Tag s= in einer zugestellten Nachricht aus, prüfen Sie die Authentifizierungseinstellungen Ihrer Plattform oder fragen Sie das DNS direkt ab. Die dauerhafte Aufgabe besteht darin, jeden Selektor funktionsfähig zu halten, denn Dienste kommen hinzu, Schlüssel werden rotiert und DNS-Einträge werden von jemandem bereinigt, der nicht wusste, wofür _domainkey steht. Ihre DMARC-Berichte erfassen all das, und DMARCeye macht daraus eine laufend aktualisierte Liste, die zeigt, welche Selektoren für Ihre Domain signieren und welche die Prüfung nicht mehr bestehen.