Seit dem 03. November 2026 steht eine Neuerung zur Verfügung, die für alle Nutzer der OX Cloud EU relevanter kaum sein könnte: Open-Xchange hat die vollständige Bereitstellung des neuen DKIM-Verfahrens mit dedizierten Schlüsseln pro Maildomain abgeschlossen. Die Deploymente in OX Cloud US, OX Cloud Pro US und OX Cloud EU sind laut offizieller Dokumentation abgeschlossen. Für uns als Berater für E-Mail-Sicherheit ist dies ein Schritt, den wir seit Langem gefordert haben – und den wir an dieser Stelle ausführlich einordnen möchten.
Was ist DKIM und warum ist es wichtig?
DomainKeys Identified Mail (DKIM) ist ein Standard zur Authentifizierung von E-Mails, der auf digitalen Signaturen basiert. Der sendende Mailserver signiert jede ausgehende Nachricht kryptografisch. Der empfangende Server kann diese Signatur prüfen und damit verifizieren, dass die Nachricht tatsächlich von der angeblichen Absenderdomain stammt und auf dem Übertragungsweg nicht verändert wurde. DKIM ist eine zentrale Säule der E-Mail-Authentifizierung, zusammen mit SPF und DMARC.
Die Bedeutung ist in den letzten Jahren deutlich gestiegen. Seit 2024 verlangen Gmail und Yahoo strengere Authentifizierung von großen Absendern (SPF, DKIM und DMARC), und im November 2025 haben beide Anbieter die Durchsetzung für nicht konformen Traffic weiter verschärft. Wer heute DKIM vernachlässigt, riskiert, dass seine E-Mails als unauthentifiziert eingestuft, in Spamordner sortiert oder für DMARC-Prüfungen als Fehlschlag gewertet werden.
Das Problem: Generische Signaturen ohne Alignment
Bisher signierte die OX Cloud ausgehende E-Mails standardmäßig mit einem generischen, markenbasierten Schlüssel und einer Signaturdomain, die Open-Xchange selbst kontrolliert (beispielsweise cloudus.xion.oxcs.net). Diese Signaturen sind technisch gültig, haben jedoch einen entscheidenden Nachteil: Die Signaturdomain stimmt nicht mit der Absenderdomain des Benutzers überein. Es fehlt das sogenannte Alignment, das für ein positives DMARC-Ergebnis erforderlich ist.
Die Folge: Selbst wenn eine Nachricht SPF besteht, kann sie von Empfängersystemen als unauthentifiziert eingestuft werden. Spamfilter greifen, die DMARC-Validierung schlägt fehl, und die Angriffsfläche für Spoofing und Phishing wächst. Für Organisationen, deren E-Mails häufig weitergeleitet werden, ist dies besonders problematisch, da DKIM als einziges der drei Verfahren Weiterleitungen unbeschadet übersteht.
Die Lösung: DKIM-Signatur pro Maildomain
Die neue Implementierung schafft Abhilfe. Open-Xchange speichert die privaten Schlüssel auf seinen Servern, während die öffentlichen Schlüssel über die verwaltete Zone oxcloud.zone bereitgestellt werden. Der entscheidende Unterschied: Jede Maildomain erhält ihre eigenen, dedizierten DKIM-Schlüssel. Die Signatur erfolgt damit im Namen der Absenderdomain selbst, das Alignment ist gewährleistet, und DMARC-Prüfungen können positiv abgeschlossen werden.
Konkret sind drei Schritte erforderlich:
-
Prüfung vorhandener DKIM-Schlüssel: Vor der Einrichtung sollte geprüft werden, ob unter den verwendeten Selektoren bereits Einträge existieren. Open-Xchange verwendet das Namensschema oc-rsa-selector1 und oc-rsa-selector2. Vorhandene Selektoren anderer Systeme können parallel bestehen bleiben, sofern keine Namenskollision mit selector1 oder selector2 vorliegt.
-
Anlegen der DNS-CNAME-Einträge: Für die Maildomain werden zwei CNAME-Einträge erstellt, die auf die jeweiligen TXT-Einträge unter oxcloud.zone verweisen. Die Punkte im Domainnamen werden dabei durch Bindestriche ersetzt. Für die Domain spamtrap.dk lauten die Einträge beispielsweise: oc-rsa-selector1._domainkey.spamtrap.dk IN CNAME oc-rsa-selector1-spamtrap-dk._domainkey.oxcloud.zone (sowie analog für selector2). Zwei Selektoren sind erforderlich, um eine transparente Schlüsselrotation zu ermöglichen.
-
Erzeugung des DKIM-Schlüssels: Die Schlüssel werden über die Provisioning-API von Open-Xchange generiert (PUT /cloudapi/v2/mail/dkim/{brand}/{domain} über https://eu.appsuite.cloud). Voraussetzung ist, dass mindestens ein Benutzer mit einer E-Mail-Adresse der entsprechenden Domain existiert.
Die Signierung erfolgt derzeit mit RSA-Schlüsseln; die Unterstützung von EC-Schlüsseln (Ed25519) ist für später geplant. Die Schlüsselrotation wird automatisch durchgeführt, kann aber auch manuell über die API angestoßen werden. Open-Xchange empfiehlt, die DKIM-Schlüssel direkt im Rahmen der Account-Einrichtung zu generieren und verwaiste Schlüssel vor der Deprovisionierung einer Domain zu entfernen.
Was bedeutet das für die Sicherheit der Empfänger?
Die gestiegene Sicherheit liegt auf zwei Ebenen.
Für Empfänger Ihrer E-Mails: Eine gültige, domain-spezifische DKIM-Signatur ist ein kryptografischer Nachweis, dass die Nachricht von Ihrer Domain autorisiert wurde und unverändert beim Empfänger angekommen ist. Empfängersysteme können diese Signatur prüfen und mit Ihren DMARC-Richtlinien abgleichen. Gefälschte Absenderadressen Ihrer Domain, ein klassisches Mittel für Spear-Phishing und CEO-Fraud, verlieren damit deutlich an Wirkung, weil die Signatur bei manipulierten Nachrichten nicht reproduzierbar ist. Belastbare Authentifizierung ist und bleibt die Grundverteidigung jeder E-Mail-Infrastruktur.
Für Ihre eigene Zustellbarkeit: Nachrichten von Domains mit sauberem DKIM-Alignment bestehen DMARC-Prüfungen, landen seltener im Spamordner und überstehen Weiterleitungsketten, bei denen SPF zwangsläufig bricht. Gerade für stark per E-Mail kommunizierende Organisationen ist dies ein unmittelbarer betrieblicher Vorteil.
Verfügbarkeit und Betrieb
Die Cloud-Statusseite der OX Cloud EU weist zum Zeitpunkt der Veröffentlichung alle Komponenten (Plattform, IMAP, POP3, SMTP, HTTP, Provisioning) als voll funktionsfähig aus. Die Einführung des neuen DKIM-Verfahrens ist damit abgeschlossen und steht allen Kunden der OX Cloud EU zur Verfügung.
Unsere Empfehlung
Wenn Sie die OX Cloud EU nutzen, empfehlen wir die zeitnahe Aktivierung des domain-spezifischen DKIM für jede Ihrer Maildomains, ergänzt um eine DMARC-Richtlinie mit sinnvoller Reporting-Politik. Die erforderlichen CNAME-Einträge gehören in unseren Augen ohnehin in jeden sauber geführten DNS-Bestand.
Gerne unterstützen wir Sie bei der Einrichtung, bei der Prüfung Ihrer bestehenden E-Mail-Authentifizierung und bei der Formulierung einer DMARC-Richtlinie, die zu Ihrer Organisation passt. Sprechen Sie uns an.