Stand: Juli 2026

Zusammenfassung: Nach dieser Anleitung signiert IONOS deine ausgehenden E-Mails mit DKIM, und empfangende Server können die Signatur über deine DNS-Zone verifizieren.

Voraussetzungen

  • Ein IONOS-Vertrag mit E-Mail-Postfächern für deine Domain
  • Zugang zum IONOS Konto (login.ionos.de)

Was ist DKIM?

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu. Der empfangende Server holt sich den passenden öffentlichen Schlüssel aus deinem DNS und prüft damit, ob die Nachricht wirklich von deiner Domain stammt und unterwegs nicht verändert wurde. IONOS bringt es in der eigenen Doku auf den Punkt: Der öffentliche Schlüssel wird als TXT-Record in der DNS-Zone der Domain veröffentlicht.

Zur Einordnung: Während SPF den Server autorisiert, sichert DKIM die Nachricht selbst. Erst zusammen mit DMARC wird daraus ein belastbares Fundament — DKIM ist der zweite von drei Bausteinen.

Die Ausgangslage bei IONOS

Wie schon bei SPF nimmt IONOS dir die Arbeit ab: DKIM ist standardmäßig aktiv, sofern du die IONOS-Nameserver nutzt (die Standardeinstellung). IONOS richtet die nötigen DNS-Records automatisch ein — du musst nichts tun.

Der Clou steckt im Mechanismus: IONOS veröffentlicht den Schlüssel nicht als starren TXT-Record in deiner Zone, sondern über CNAME-Einträge, die auf IONOS-Zielhosts zeigen. Der eigentliche Schlüssel liegt bei IONOS (z. B. unter s1.dkim.ionos.com) — so kann IONOS die Schlüssel rotieren, ohne dass du je wieder etwas anfassen musst.

Handeln musst du nur in zwei Fällen: wenn die DKIM-Einträge versehentlich gelöscht wurden, oder wenn deine DNS-Zone bei einem anderen Anbieter liegt.

Schritt-für-Schritt-Anleitung

1. Prüfen, ob DKIM aktiv ist

DKIM lässt sich nicht so bequem per einzelnem dig prüfen wie SPF, weil du den Selector kennen musst. Am einfachsten wirfst du deine Domain in den kostenlosen MXAudit-Scanner — er erkennt die IONOS-Selektoren und zeigt dir, ob die Signierung greift. Alternativ im Terminal, wenn du den Selector kennst:

dig CNAME s1-ionos._domainkey.beispiel.de +short

Kommt s1.dkim.ionos.com zurück, ist der erste DKIM-CNAME gesetzt.

2. Bei IONOS-Nameservern: nichts tun

Nutzt du die Standard-Nameserver von IONOS, ist DKIM bereits eingerichtet. Du bist hier fertig — springe zu Ergebnis prüfen.

3. DKIM (re-)aktivieren — die 3 CNAME-Einträge

Wurden die Einträge gelöscht oder liegt deine DNS-Zone extern, legst du drei CNAME-Einträge an. Öffne die DNS-Einstellungen deiner Domain und wähle Record hinzufügen → CNAME. Die beiden festen IONOS-Selektoren:

HostnameZeigt aufTTL
s1-ionos._domainkeys1.dkim.ionos.com1 Stunde
s2-ionos._domainkeys2.dkim.ionos.com1 Stunde

Die TTL ist bei IONOS auf 1 Stunde voreingestellt — hier musst du nichts ändern.

Wichtig: IONOS zeigt in der Anleitung noch einen dritten, kontospezifischen Selector (in der Form sNNNNNNNN._domainkey → sNNNNNNNN.dkim.ionos.com, mit deiner Kontonummer). Diesen dritten Eintrag entnimm bitte exakt deinem eigenen IONOS-Konto — er unterscheidet sich von Kunde zu Kunde. Kopiere nicht die Beispielnummer aus irgendeiner Anleitung.

4. DKIM für Subdomains

Sendet auch eine Subdomain (z. B. blog.beispiel.de), brauchst du dieselben drei CNAME-Einträge mit angehängtem Subdomain-Namen — IONOS nutzt dafür den Platzhalter NAME_DER_SUBDOMAIN:

s1-ionos._domainkey.blog    CNAME    s1.dkim.ionos.com
s2-ionos._domainkey.blog    CNAME    s2.dkim.ionos.com

(plus den kontospezifischen dritten Eintrag, ebenfalls mit .blog).

5. Warten, bis die Änderung aktiv ist

CNAME-Änderungen brauchen wie alle DNS-Records etwas Zeit; durch Caching kann es einige Stunden dauern, bis alle Server den neuen Eintrag sehen.

Ergebnis prüfen

Prüfe deine Konfiguration mit dem kostenlosen MXAudit-Scanner — er zeigt dir, ob DKIM korrekt signiert und die Selektoren im DNS auflösbar sind, zusammen mit SPF und DMARC auf einen Blick.

Häufige Fehler

TXT-Eintrag statt CNAME angelegt. IONOS arbeitet bei externem DNS mit CNAME-Einträgen, die auf *.dkim.ionos.com zeigen — nicht mit einem selbst eingetragenen TXT-Schlüssel. Wer einen alten Schlüssel als TXT einträgt, blockiert die automatische Rotation.

Den dritten Selector aus einer fremden Anleitung kopiert. Der dritte Eintrag ist kontospezifisch. Die Beispielnummer aus einem Forenbeitrag passt nicht zu deinem Konto — nimm die Werte aus deinem eigenen IONOS-Panel.

Nur einen von drei CNAMEs angelegt. DKIM-Signierung greift zuverlässig erst, wenn alle vorgesehenen Selektoren auflösbar sind. Lege alle drei an.

Subdomain vergessen. Sendet eine Subdomain, braucht sie eigene DKIM-CNAMEs mit angehängtem Subdomain-Namen — die Records der Hauptdomain gelten nicht automatisch mit.