{"id":1854,"date":"2026-07-26T14:50:52","date_gmt":"2026-07-26T11:50:52","guid":{"rendered":"https:\/\/allinonewpsettings.com\/blog\/?p=1854"},"modified":"2026-08-03T10:32:22","modified_gmt":"2026-08-03T10:32:22","slug":"dkim-fuer-wordpress-e-mails-einrichten","status":"publish","type":"post","link":"https:\/\/allinonewpsettings.com\/blog\/de\/dkim-fuer-wordpress-e-mails-einrichten\/","title":{"rendered":"DKIM f\u00fcr WordPress-E-Mails einrichten"},"content":{"rendered":"

Der neue Mailanbieter meldet aktiviertes DKIM, in empfangenen WordPress-Mails steht jedoch dkim=fail<\/code>. Im DNS existiert noch der alte Selektor, der neue \u00f6ffentliche Schl\u00fcssel wurde fehlerhaft kopiert und niemand hat gepr\u00fcft, welche Domain tats\u00e4chlich signiert.<\/p>\n

Ob DKIM funktioniert, zeigt die zugestellte Nachricht \u2013 nicht der Schalter im Providerkonto. Der \u00f6ffentliche Selektoreintrag muss exakt stimmen, der private Schl\u00fcssel beim Signierdienst bleiben und Signaturdomain sowie Selektor m\u00fcssen in den Headern gepr\u00fcft werden.<\/p>\n

\nInhaltsverzeichnis<\/strong><\/p>\n
    \n
  1. Was das Thema bedeutet<\/a><\/li>\n
  2. Ein realistisches WordPress-Beispiel<\/a><\/li>\n
  3. Warum es wichtig ist und wann es eingesetzt wird<\/a><\/li>\n
  4. Der einfache Weg f\u00fcr Einsteiger<\/a><\/li>\n
  5. Der technische Weg<\/a><\/li>\n
  6. Risiken, h\u00e4ufige Fehler, Backup und Rollback<\/a><\/li>\n
  7. Wie AIOWS unterst\u00fctzt: AIOWS SMTP Manager<\/a><\/li>\n
  8. Passende AIOWS-Artikel<\/a><\/li>\n
  9. Fazit und empfohlener Weg<\/a><\/li>\n
  10. Offizielle Quellen<\/a><\/li>\n<\/ol>\n<\/div>\n

    Was das Thema bedeutet<\/h2>\n

    DomainKeys Identified Mail (DKIM) versieht ausgew\u00e4hlte Header und den Nachrichtenk\u00f6rper mit einer kryptografischen Signatur. Der Versanddienst verwahrt den privaten Schl\u00fcssel. Empf\u00e4nger lesen Signierdomain d=<\/code> und Selektor s=<\/code> aus DKIM-Signature<\/code> und rufen damit den zugeh\u00f6rigen \u00f6ffentlichen DNS-Schl\u00fcssel ab.<\/p>\n

    Eine g\u00fcltige Signatur zeigt, dass der signierte Inhalt unterwegs unver\u00e4ndert blieb und der Signierer den passenden privaten Schl\u00fcssel besa\u00df. F\u00fcr DMARC reicht das allein nicht: Die d=<\/code>-Domain muss zus\u00e4tzlich zur sichtbaren From<\/code>-Domain ausgerichtet sein.<\/p>\n

    Ein realistisches WordPress-Beispiel<\/h2>\n

    Nach einem Providerwechsel f\u00fcgt ein Administrator den langen DKIM-Schl\u00fcssel ins DNS ein, verliert dabei aber Zeichen an einem Zeilenumbruch. Der Anbieter signiert bereits mit dem neuen Selektor. Empf\u00e4nger finden deshalb einen besch\u00e4digten \u00f6ffentlichen Schl\u00fcssel und melden dkim=fail<\/code>.<\/p>\n

    Der DNS-Wert wird exakt nach Providerangabe neu ver\u00f6ffentlicht. Sobald alle autoritativen Server \u00fcbereinstimmen, zeigt eine neue WordPress-Mail die erwarteten Werte f\u00fcr d=<\/code> und s=<\/code> sowie dkim=pass<\/code>. Der alte Selektor bleibt w\u00e4hrend der dokumentierten \u00dcbergangszeit f\u00fcr verz\u00f6gerte Nachrichten bestehen.<\/p>\n

    Warum es wichtig ist und wann es eingesetzt wird<\/h2>\n

    DKIM sch\u00fctzt die Integrit\u00e4t signierter Inhalte und liefert empfangenden Systemen eine stabile Domainidentit\u00e4t f\u00fcr Reputation und DMARC-Auswertung. Fehlende, ung\u00fcltige oder nicht ausgerichtete Signaturen verringern das Vertrauen, auch wenn die SMTP-\u00dcbertragung erfolgreich war.<\/p>\n

    Unterschiedliche WordPress-Ereignisse k\u00f6nnen verschiedene Provider, Versandstreams oder Absenderidentit\u00e4ten nutzen. Eine erfolgreiche allgemeine Testmail beweist nicht, dass Passwort-Resets, Formulare, Bestellungen und Seriennachrichten mit derselben Domain signiert werden.<\/p>\n

    DKIM sollte f\u00fcr gepflegte produktive Versandwege eingesetzt werden, deren Provider eine eigene oder delegierte Signierdomain und einen nachvollziehbaren Selektorwechsel unterst\u00fctzt.<\/p>\n

    Der einfache Weg f\u00fcr Einsteiger<\/h2>\n
      \n
    1. Notieren Sie Mailanbieter, sichtbare From-Domain, erwartete d=<\/code>-Domain, Selektor sowie Verantwortliche f\u00fcr DNS und Rotation.<\/li>\n
    2. Erzeugen oder \u00fcbernehmen Sie den aktuellen DKIM-Eintrag des Providers. Ver\u00f6ffentlichen Sie TXT-Wert oder CNAME-Delegation exakt unter dem geforderten Selektornamen; niemals den privaten Schl\u00fcssel.<\/li>\n
    3. Fragen Sie den Selektor auf den autoritativen DNS-Servern ab und stellen Sie sicher, dass \u00fcberall der vorgesehene Wert erscheint.<\/li>\n
    4. Aktivieren Sie die Signierung nach Provideranleitung. Senden Sie eine kontrollierte WordPress-Mail und lesen Sie DKIM-Signature<\/code> sowie Authentication-Results<\/code> im Rohheader.<\/li>\n
    5. Best\u00e4tigen Sie dkim=pass<\/code>, die erwarteten Werte f\u00fcr d=<\/code> und s=<\/code> sowie DMARC-Alignment. Pr\u00fcfen Sie mehrere gesch\u00e4ftskritische WordPress-Ereignisse.<\/li>\n<\/ol>\n

      Der technische Weg<\/h2>\n

      Kontrollieren Sie TXT-Aufteilung und Anf\u00fchrungszeichen beziehungsweise das Ziel einer CNAME-Delegation genau nach Provideranforderung. Ber\u00fccksichtigen Sie Kanonisierung, signierte Header, optionale Body-Length-Tags, Schl\u00fcsselst\u00e4rke, TTL und \u00c4nderungen durch Mailinglisten oder Sicherheitsl\u00f6sungen.<\/p>\n

      Unabh\u00e4ngige Dienste und Umgebungen sollten eigene Selektoren verwenden. Bei einer Rotation wird der neue \u00f6ffentliche Schl\u00fcssel ver\u00f6ffentlicht, bevor der Signierer ihn nutzt. Der alte Selektor bleibt erhalten, bis die l\u00e4ngste m\u00f6gliche Nachrichtenverz\u00f6gerung und DNS-Cachezeit abgelaufen sind. Vor dem Entfernen darf keine neue Mail mehr mit ihm signiert werden.<\/p>\n

      Bewahren Sie f\u00fcr jeden relevanten Versandweg ein vollst\u00e4ndiges Headerbeispiel mit sichtbarer From-Domain, d=<\/code>, s=<\/code>, Algorithmus und Empf\u00e4ngerergebnis auf. Ein Pass f\u00fcr die Domain des Providers kann g\u00fcltiges DKIM sein und trotzdem kein DMARC-Alignment herstellen.<\/p>\n

      Risiken, h\u00e4ufige Fehler, Backup und Rollback<\/h2>\n

      Der private Signierschl\u00fcssel geh\u00f6rt niemals in WordPress, DNS, Logs, Tickets oder Bildschirmfotos. Entfernen Sie den bisherigen Selektor nicht vor dem Leeren der Queues, verwenden Sie keinen gemeinsamen Selektor f\u00fcr unabh\u00e4ngige Dienste und setzen Sie dkim=pass<\/code> nicht automatisch mit einer authentifizierten From-Domain gleich.<\/p>\n

      Sichern Sie vor einer Rotation die bisherigen Selektoreintr\u00e4ge, Provideroption, TTL und Aktivierungszeit. Stimmen autoritative DNS-Antworten nicht \u00fcberein, schlagen Signaturen fehl, signiert eine unerwartete Domain oder bleiben wichtige Nachrichtentypen unsigniert, wechseln Sie zum letzten gepr\u00fcften Selektor zur\u00fcck und halten dessen \u00f6ffentlichen Schl\u00fcssel verf\u00fcgbar.<\/p>\n

      \n

      Wie AIOWS unterst\u00fctzt:<\/p>\n

      AIOWS SMTP Manager<\/h2>\n

      Der AIOWS SMTP Manager h\u00e4lt Versandweg \u00fcber den Provider, Absenderidentit\u00e4t und kontrollierten Test auf WordPress-Seite bereit, w\u00e4hrend DKIM eingerichtet wird. An der zugestellten Testmail l\u00e4sst sich anschlie\u00dfend ablesen, welcher Dienst mit welchen Werten f\u00fcr d=<\/code> und s=<\/code> signiert hat.<\/p>\n

      Wiederholen Sie die Pr\u00fcfung mit repr\u00e4sentativen, von WordPress erzeugten Nachrichten auf demselben Versandweg. Vergleichen Sie deren Rohheader mit der Providerkonfiguration und dem autoritativen Selektoreintrag. Zugangsdaten und private Schl\u00fcssel bleiben au\u00dferhalb von WordPress-Inhalten, Protokollen und Supportunterlagen.<\/p>\n

      AIOWS erzeugt keinen privaten DKIM-Schl\u00fcssel des Providers, ver\u00f6ffentlicht keinen DNS-Selektor und \u00fcbernimmt weder Schl\u00fcsselrotation noch die Signierung externer Mailstreams. Das Modul kann auch kein DMARC-Alignment herstellen, wenn Signatur- und From-Domain nicht zusammenpassen. Daf\u00fcr sind Provider und DNS-Verantwortliche zust\u00e4ndig.<\/p>\n

      AIOWS SMTP Manager ansehen<\/a>AIOWS-Tarife vergleichen<\/a><\/p>\n<\/section>\n

      Passende AIOWS-Artikel<\/h2>\n