Stand: Juli 2026

Zusammenfassung: Nach dieser Anleitung signiert Strato deine ausgehenden E-Mails mit DKIM — bei Standard-Setup automatisch, bei eigenen Nameservern über zwei CNAME-Einträge.

Voraussetzungen

  • Ein Strato-Paket mit E-Mail-Postfächern
  • Zugang zum Strato Kunden-Login (Kundennummer + Passwort)

Was ist DKIM?

DKIM (DomainKeys Identified Mail) versieht jede ausgehende E-Mail mit einer digitalen Signatur. Der empfangende Mailserver ruft den öffentlichen Schlüssel aus dem DNS der Absender-Domain ab und verifiziert damit die Signatur — so lässt sich prüfen, dass die Mail wirklich von deiner Domain stammt und unterwegs nicht verändert wurde.

Zur Einordnung: Während SPF den Server autorisiert, sichert DKIM die Nachricht. Erst zusammen mit DMARC ergibt das ein belastbares Fundament.

Die Ausgangslage bei Strato

Die gute Nachricht: Sendest du über die Strato-Mailserver (smtp.strato.de), signiert Strato deine Mails seit Jahren automatisch mit DKIM. Für den Normalfall musst du gar nichts tun.

Selbst Hand anlegen musst du in zwei Situationen:

  1. Du nutzt einen externen Versanddienst (ESP) — etwa ein Newsletter-Tool. Dann verlangt der ESP oft einen eigenen DKIM-Eintrag und liefert dir Selector und Schlüssel dazu. Diesen trägst du bei Strato als TXT-Record ein.
  2. Du betreibst eigene Nameserver, willst aber weiter über Strato senden. Dann musst du die DKIM-Selektoren selbst als CNAME nachziehen (Schritt 4).

Ein technisches Schmankerl am Rande: Strato veröffentlicht seine Schlüssel gleich in zwei Varianten — einen klassischen RSA-Schlüssel (strato-dkim-0002) und einen modernen Ed25519-Schlüssel (strato-dkim-0003). Beide sind live im DNS abrufbar.

Schritt-für-Schritt-Anleitung

1. Prüfen, ob DKIM aktiv ist

Am einfachsten wirfst du deine Domain in den kostenlosen MXAudit-Scanner — er erkennt die Strato-Selektoren und zeigt, ob signiert wird. Im Terminal, wenn du den Selector kennst:

dig CNAME strato-dkim-0002._domainkey.beispiel.de +short

2. Standard-Setup: nichts tun

Läuft dein Versand über smtp.strato.de und liegen deine Nameserver bei Strato, ist DKIM aktiv. Springe zu Ergebnis prüfen.

3. DKIM-Einstellungen öffnen (für ESP-Einträge)

Verlangt ein externer Dienst einen eigenen DKIM-Eintrag: Logge dich in den Kunden-Login ein, öffne die Domainverwaltung, klicke bei der Domain auf das Zahnrädchen, dann DNS → TXT- und CNAME-Records → verwalten. Hier trägst du den vom ESP gelieferten Selector und Schlüssel ein.

Beachte Stratos Zeichenregeln fürs Eingabefeld: erlaubt sind Kleinbuchstaben a-z (keine Umlaute), Ziffern 0-9 und die Sonderzeichen -+*._.

4. Eigene Nameserver: die CNAME-Selektoren

Betreibst du eigene Nameserver, willst aber Stratos DKIM-Signierung behalten, legst du zwei CNAME-Records an, die auf die Strato-Selektoren zeigen:

strato-dkim-0002._domainkey.beispiel.de.  CNAME  strato-dkim-0002._domainkey.rzone.de.
strato-dkim-0003._domainkey.beispiel.de.  CNAME  strato-dkim-0003._domainkey.rzone.de.

Der Vorteil des CNAME-Ansatzes: Strato kann in gewissen Abständen einen Key-Rollover auf neue Selektoren durchführen — solange die CNAMEs stehen, bekommst du die neuen Schlüssel automatisch, ohne selbst nachzuziehen.

5. Warten, bis die Änderung aktiv ist

DNS-Änderungen brauchen Zeit: Je nach TTL und Caching kann es einige Stunden dauern, bis alle Server den neuen Eintrag sehen.

Ergebnis prüfen

Prüfe deine Konfiguration mit dem kostenlosen MXAudit-Scanner — er zeigt dir DKIM, SPF und DMARC auf einen Blick.

Häufige Fehler

Eigener TXT-Eintrag trotz Standard-Versand. Wer über smtp.strato.de sendet, braucht keinen eigenen DKIM-Record — Strato signiert schon. Ein zusätzlicher, falsch gepflegter Eintrag kann eher schaden.

ESP-Schlüssel in die falsche Domain. Der DKIM-Eintrag gehört in die Domain, die als Absender (From:) genutzt wird — nicht in die des ESP. Der ESP nennt dir den exakten Selector.

Key-Rollover ignoriert. Wer die Selektoren einmal als starren TXT statt als CNAME kopiert, bleibt bei einem alten Schlüssel hängen, wenn Strato rotiert. Bei eigenen Nameservern die CNAME-Variante nutzen.

Umlaute oder Großbuchstaben im Selector. Stratos Eingabefeld akzeptiert nur a-z klein, 0-9 und -+*._ — andere Zeichen führen zu Fehlern.