GoDaddy DKIM einrichten: CNAME- oder TXT-Eintrag Schritt für Schritt

DKIM bei GoDaddy für Microsoft 365 oder Google Workspace einrichten: welche DNS-Einträge nötig sind (CNAME oder TXT), wo Sie sie eintragen und wie Sie testen.

Häufige Fragen

Erzeugt GoDaddy einen DKIM-Schlüssel für mich?

Nein. Die DNS-Verwaltung von GoDaddy speichert den Eintrag nur. Den Schlüssel liefert der Dienst, der Ihre E-Mails versendet: Microsoft 365, Google Workspace oder ein anderer E-Mail- bzw. Marketing-Dienst. Hostname und Wert, die Sie dort erhalten, kopieren Sie in die DNS-Seite von GoDaddy.

Soll ich im Feld „Name“ die vollständige Domain eintragen?

In der Regel nein. In den Hilfeseiten von GoDaddy wird das Feld „Name“ als Host bzw. Präfix ohne Ihren Domainnamen beschrieben. Sie tragen also etwa selector1._domainkey oder google._domainkey ein. In manchen Formularen und älteren Oberflächen heißt dieses Feld „Host“. Speichern Sie den Eintrag und fragen Sie ihn anschließend öffentlich ab, um zu prüfen, ob er unter Ihrer Domain und nicht doppelt aufgelöst wird (yourdomain.com.yourdomain.com).

Wie lange dauert es, bis DKIM bei GoDaddy funktioniert?

Laut GoDaddy werden DNS-Änderungen meist innerhalb einer Stunde wirksam, weltweit kann es aber bis zu 48 Stunden dauern. Google nennt in seiner Hilfe ebenfalls bis zu 48 Stunden, bis DKIM nach dem Hinzufügen des Schlüssels aktiv ist. Microsoft lässt Sie die Signierung erst aktivieren, wenn beide CNAME-Einträge sichtbar sind.

Mein 2048-Bit-Schlüssel von Google passt nicht in den TXT-Wert. Was tun?

Laut Googles Dokumentation passt ein 2048-Bit-Schlüssel bei manchen DNS-Anbietern nicht in eine einzelne Zeichenfolge mit 255 Zeichen. Sie können den Wert in mehrere Zeichenfolgen in Anführungszeichen aufteilen, sofern Ihr Anbieter das erlaubt, oder stattdessen einen 1024-Bit-Schlüssel erzeugen. Die TXT-Hilfeseite von GoDaddy nennt maximal 1024 Zeichen pro Eintrag. Fügen Sie den gesamten Wert daher exakt so ein, wie Google ihn anzeigt, und testen Sie das Ergebnis.

Warum meldet Microsoft 365, meine DKIM-CNAME-Einträge fehlten, obwohl sie bei GoDaddy stehen?

Meist liegt es an einem Tippfehler im Host oder im Ziel, an einem Feld „Name“, an das die Domain doppelt angehängt wurde, oder daran, dass sich das DNS noch nicht verbreitet hat. Kopieren Sie die beiden CNAME-Werte direkt von der DKIM-Seite Ihres Tenants, statt sie von Hand zusammenzusetzen, denn das Zielformat von Microsoft kann sich je nach Tenant unterscheiden.

Brauche ich DKIM, wenn ich bereits SPF habe?

Beide erfüllen unterschiedliche Aufgaben. SPF prüft, welche Server für Ihre Domain senden dürfen. DKIM signiert die Nachricht selbst, sodass Manipulationen erkennbar sind. DMARC baut auf beiden auf. In unserem Leitfaden zu [SPF, DKIM und DMARC](/guides/spf-dkim-dmarc) erfahren Sie, wie alles zusammenspielt.

Kurz gesagt: Öffnen Sie bei GoDaddy die DNS-Seite Ihrer Domain, wählen Sie „Add New Record“ (Neuen Eintrag hinzufügen) und fügen Sie den DKIM-Eintrag ein, den Ihr E-Mail-Anbieter Ihnen gegeben hat. Microsoft 365 verwendet zwei CNAME-Einträge (selector1._domainkey und selector2._domainkey). Google Workspace verwendet einen TXT-Eintrag (standardmäßig bei google._domainkey). Tragen Sie im Feld „Name“ nur das Präfix ein, warten Sie, bis das DNS aktualisiert ist, aktivieren Sie dann die Signierung im Admin-Bereich Ihres E-Mail-Anbieters und testen Sie mit einer externen Nachricht.

DKIM fügt jeder von Ihnen gesendeten Nachricht eine kryptografische Signatur hinzu. Der empfangende Server ruft Ihren öffentlichen Schlüssel im DNS ab und prüft, ob die Signatur passt. GoDaddy ist dabei nur der Ort, an dem der Eintrag liegt; die genauen Werte stammen immer von Ihrem E-Mail-Anbieter. Diese Seite behandelt die GoDaddy-Seite sowie die beiden gängigsten Anbieter.

Vorab: Welchen Eintragstyp brauchen Sie?

Den Eintragstyp bestimmt der Anbieter, nicht GoDaddy. Sie wählen nicht zwischen CNAME und TXT, sondern fügen den Typ hinzu, den Ihr Anbieter vorgibt.

Anbieter	Eintragstyp	Host (Name)	Woher der Wert kommt	Aktivierungsschritt
Microsoft 365	Zwei CNAME-Einträge	selector1._domainkey und selector2._domainkey	DKIM-Seite Ihres Tenants im Microsoft Defender Portal	Signierung aktivieren, nachdem beide Einträge veröffentlicht sind
Google Workspace	Ein TXT-Eintrag	google._domainkey (Standard-Selektorpräfix)	Admin-Konsole, Gmail, E-Mails authentifizieren, „Generate New Record“ (Neuen Eintrag generieren)	„Start Authentication“ (Authentifizierung starten) klicken, sobald der Eintrag aufgelöst wird
Andere Absender (Newsletter- oder CRM-Tools)	CNAME oder TXT, je nach Tool	Was das Tool anzeigt	Bildschirm des Tools zur Domain-Authentifizierung	Meist eine Schaltfläche „Verify“ (Überprüfen)

Warum CNAME oder TXT? Ein TXT-Eintrag enthält den öffentlichen Schlüssel selbst. Ein CNAME verweist auf einen Schlüssel, den der Anbieter hostet, sodass Microsoft Schlüssel rotieren kann, ohne dass Sie das DNS erneut anfassen müssen. Deshalb veröffentlicht Microsoft zwei Selektoren: damit es zwischen ihnen wechseln kann.

So fügen Sie einen DKIM-Eintrag bei GoDaddy hinzu

Die Menübezeichnungen bei GoDaddy unterscheiden sich je nach Konto-Oberfläche leicht (ältere Hilfeseiten sprechen von „Edit DNS“, „Host“ und „Add Record“). Orientieren Sie sich daher an der ähnlichsten Bezeichnung.

Melden Sie sich bei Ihrem GoDaddy-Konto an und öffnen Sie die Einstellungen der Domain, dann die Seite DNS.
Wählen Sie Add New Record (Neuen Eintrag hinzufügen).
Stellen Sie Type (Typ) auf TXT oder CNAME, passend zur Anleitung Ihres Anbieters.
Tragen Sie unter Name (manchmal „Host“) nur das Präfix ein, etwa selector1._domainkey oder google._domainkey. In der Hilfe von GoDaddy wird dieses Feld als Name ohne Ihre Domain beschrieben.
Fügen Sie unter Value (bzw. „Points to“ bei einem CNAME) genau das ein, was Ihr Anbieter anzeigt. Ergänzen Sie keine Anführungszeichen oder Leerzeichen am Ende, es sei denn, Ihr Anbieter verlangt es.
Lassen Sie TTL auf dem Standardwert (laut GoDaddy-Hilfe 1 Stunde) und wählen Sie Save (Speichern).
Wiederholen Sie den Vorgang für den zweiten CNAME, wenn Sie Microsoft 365 nutzen.

Die passende Seite von GoDaddy dazu finden Sie unter Add a TXT record.

Microsoft 365 bei GoDaddy: zwei CNAME-Einträge

Laut Microsoft-Dokumentation werden benutzerdefinierte Domains erst DKIM-signiert, nachdem Sie dies eingerichtet haben, und Sie veröffentlichen pro Domain zwei CNAME-Einträge.

Öffnen Sie im Microsoft Defender Portal unter „Email authentication“ (E-Mail-Authentifizierung) die DKIM-Einstellungen und wählen Sie Ihre benutzerdefinierte Domain.
Kopieren Sie beide CNAME-Einträge, die Microsoft anzeigt. Die Ziele folgen einem Muster, das aus Ihrer Domain (Punkte werden zu Bindestrichen) und Ihrer ursprünglichen onmicrosoft.com-Domain aufgebaut ist. Das Format kann sich aber je nach Tenant unterscheiden, also kopieren Sie, statt zu konstruieren.
Fügen Sie beide als CNAME-Einträge bei GoDaddy hinzu (Schritte oben) und verwenden Sie selector1._domainkey und selector2._domainkey als Namen.
Warten Sie, bis das DNS aktualisiert ist, kehren Sie zur DKIM-Seite zurück und aktivieren Sie die Signierung für die Domain. Meldet Microsoft, dass die Einträge nicht gefunden werden, hilft die Fehlersuche-Liste unten.

Sie können die Signierung auch per PowerShell (Set-DkimSigningConfig) aktivieren, was Microsoft auf seiner DKIM-Einrichtungsseite beschreibt.

Google Workspace bei GoDaddy: ein TXT-Eintrag

Gehen Sie in der Google Admin-Konsole zu Gmail, dann „Authenticate email“ (E-Mails authentifizieren), wählen Sie Ihre Domain und anschließend Generate New Record (Neuen Eintrag generieren).
Wählen Sie einen 2048-Bit-Schlüssel, wenn Ihr DNS-Anbieter ihn unterstützt. Behalten Sie das Standard-Selektorpräfix (google) bei, sofern Sie keinen Grund für eine Änderung haben.
Kopieren Sie den Hostnamen und den TXT-Wert (er beginnt mit v=DKIM1). Klicken Sie noch nicht auf „Start Authentication“.
Fügen Sie den TXT-Eintrag bei GoDaddy mit dem Namen google._domainkey und dem vollständigen Wert hinzu.
Warten Sie, gehen Sie dann zurück zu „Authenticate email“ und klicken Sie auf Start authentication. Laut Google kann es nach dem Hinzufügen des Schlüssels bis zu 48 Stunden dauern.

Zwei Hinweise aus Googles DKIM-Einrichtungshilfe: Bei einem ganz neuen Gmail-Setup wird eventuell erst nach 24 bis 72 Stunden ein Schlüssel angeboten, und ein 2048-Bit-Schlüssel passt bei manchen DNS-Anbietern nicht in eine einzelne Zeichenfolge mit 255 Zeichen. In dem Fall teilen Sie den Wert in Zeichenfolgen in Anführungszeichen auf, sofern der Anbieter das zulässt, oder nutzen einen 1024-Bit-Schlüssel.

So prüfen Sie, ob DKIM funktioniert

Ein Blick ins DNS zeigt nur, dass der Eintrag existiert. Erst eine echte Nachricht zeigt, dass signiert wird.

Eintrag abfragen. Nutzen Sie ein beliebiges DKIM-Lookup-Tool oder eine DNS-Abfrage für selector1._domainkey.yourdomain.com (CNAME) bzw. google._domainkey.yourdomain.com (TXT).
Admin-Bereich prüfen. Google zeigt „Authenticating email with DKIM“, sobald DKIM aktiv ist; Microsoft zeigt die Signierung für die Domain als aktiviert an.
An ein externes Postfach senden. Laut Microsoft kann bei Mails zwischen Nutzern derselben Domain die Signatur entfallen. Senden Sie daher an einen anderen Anbieter, zum Beispiel an eine private Gmail-Adresse.
Header lesen. Öffnen Sie den Quelltext der Originalnachricht und suchen Sie die Zeile DKIM-Signature mit d=yourdomain.com sowie eine Zeile Authentication-Results mit dkim=pass.

Checkliste zur Fehlersuche

[ ] Im Feld „Name“ steht nur das Präfix, nicht die vollständige Domain (kein yourdomain.com.yourdomain.com).
[ ] Der Wert wurde vollständig eingefügt, ohne Zeilenumbrüche oder fehlende Zeichen.
[ ] Beide Microsoft-CNAMEs sind vorhanden, nicht nur einer.
[ ] Pro Selektor gibt es nur einen DKIM-TXT-Eintrag.
[ ] Sie haben mindestens eine Stunde gewartet, bis zu 48 Stunden, bevor Sie Schlüssel neu erzeugen.
[ ] Wenn Microsoft weiterhin fehlschlägt, löschen Sie die Ziele und kopieren Sie sie erneut von der DKIM-Seite Ihres Tenants.
[ ] Wenn ein ausgehendes Gateway nach dem Signieren Fußzeilen hinzufügt, testen Sie ohne Gateway; eine Änderung des Nachrichtentexts nach der Signierung macht DKIM ungültig.

Was nach DKIM zu tun ist

DKIM ist nur ein Drittel des Gesamtbilds. Veröffentlichen Sie zusätzlich einen SPF-Eintrag und eine DMARC-Richtlinie, damit Empfänger wissen, was bei einer fehlgeschlagenen Prüfung zu tun ist. Unser Leitfaden zu SPF, DKIM und DMARC führt Sie durch alle drei.

Wenn Ihre Domain bei GoDaddy liegt und Sie überlegen, wo Sie die Website selbst bauen, werfen Sie einen Blick auf die GoDaddy-Alternativen oder die Preisübersicht zum GoDaddy Website-Baukasten. DNS-Einträge wie die oben genannten bleiben bei GoDaddy, egal für welchen Baukasten Sie sich entscheiden. Mit dem kostenlosen Tarif von We.Inc können Sie bis zu drei Websites aus fertigen Vorlagen veröffentlichen; der KI-Builder, der aus einem Prompt eine Website entwirft, beginnt im Starter-Tarif für $20 im Monat. Sie können sich hier registrieren.

Kostenlos starten · Keine Kreditkarte nötig

Umair Ali Sadaqat

Gründer von We.Inc

Umair ist der Gründer von We.Inc. Er schreibt über die Erstellung von Websites mit KI, Agenturen und den Geschäftsbetrieb eines Webstudios.

Bereit, etwas Großartiges zu bauen?

Schließe dich 15,000+ Unternehmen an, die mit We.Inc starten, wachsen und automatisieren, alles auf einer Plattform.