Wie weit verbreitet ist die Unterstützung für Ed25519-DKIM-Schlüssel, und wie viele Anbieter akzeptieren noch schwache Schlüssel?

E-Mail-Authentifizierung entwickelt sich weiter, und Ed25519-DKIM-Schlüssel versprechen klare Vorteile gegenüber herkömmlichem RSA: kleinere Schlüssel, schnellere Verifizierung und stärkere kryptografische Garantien. Doch diese Vorteile zählen nur, wenn Mailbox-Anbieter den Standard tatsächlich unterstützen. Um das herauszufinden, hat Red Sift das DKIM-Verhalten großer E-Mail-Plattformen analysiert, um zentrale Fragen für E-Mail-Administratoren zu beantworten: Können Ed25519-Schlüssel schon heute sicher eingesetzt werden, ohne Authentifizierungsfehler zu riskieren?

Wir haben außerdem getestet, wie Anbieter mit schwachen DKIM-Schlüsseln umgehen, einschließlich RSA-Schlüsseln unter 1024 Bit, die eigentlich abgelehnt werden sollten, um herauszufinden, wo kritische Sicherheitslücken bestehen bleiben. Die Ergebnisse zeigen, welche Anbieter moderne Kryptografie bereits umgesetzt haben, welche hinterherhinken und was das für Ihre E-Mail-Sicherheitsstrategie bedeutet.

Ed25519 ist ein moderner Signaturalgorithmus auf Basis elliptischer Kurven, der gegenüber herkömmlichen RSA-Schlüsseln bei DKIM überzeugende Vorteile bietet. Während RSA-2048 2048-Bit-Schlüssel verwendet, erreicht Ed25519 mit nur 256 Bit eine gleichwertige oder bessere Sicherheit – eine Reduzierung um das 8-Fache, was besonders bei DNS-Einträgen mit begrenztem Platz wertvoll ist.

Die Signaturverifizierung von Ed25519 ist zudem 10- bis 20-mal schneller als bei RSA-2048, was den Rechenaufwand für Mailbox-Anbieter mit hohem E-Mail-Volumen reduziert. Der Algorithmus bietet etwa 128 Bit Sicherheit (vergleichbar mit RSA-3072) und ist konstruktionsbedingt resistent gegen Timing-Angriffe, wodurch eine häufige Schwachstelle in RSA-Implementierungen ausgeschlossen wird.

Wir haben 19 große Mailbox-Anbieter getestet, indem wir E-Mails mit fünf unterschiedlichen DKIM-Schlüsselkonfigurationen signiert und versendet haben:

• 512-Bit-RSA (kryptografisch schwach, in Stunden faktorisierbar)
• 768-Bit-RSA (schwach, mit moderaten Ressourcen in Monaten faktorisierbar)
• 1536-Bit-RSA (akzeptabel, aber nicht standardisiert)
• 4096-Bit-RSA (stark, potenziell rechenintensiv)
• Ed25519 (256-Bit-Elliptische-Kurve, moderner Standard)

Jeder Anbieter erhielt Test-E-Mails von der Domain dkim.testsift.com mit entsprechenden DKIM-Selektoren. Anschließend haben wir Authentication-Results-Header oder andere anbieterspezifische Header untersucht, um festzustellen, ob Signaturen erfolgreich validiert, abgelehnt oder aus Richtliniengründen zurückgewiesen wurden.

Nur 9 von 19 Anbietern (47 %) validieren Ed25519-DKIM-Signaturen erfolgreich:

• Fastmail
• GMX
• HEY
• Hostpoint
• LaPoste (FR)
• MXroute
• Migadu
• Proton Mail
• Soverin

Das besorgniserregendste Ergebnis: Gmail, Microsoft 365 und Yahoo (die zusammen den Großteil des weltweiten E-Mail-Verkehrs abwickeln) unterstützen Ed25519 nicht. Das macht eine breite Einführung von Ed25519 für Domains, die auf DMARC-Richtlinien angewiesen sind, riskant, da fehlgeschlagene DKIM-Validierung zu DMARC-Fehlern beiträgt.

Während 68 % der Anbieter kryptografisch schwache Schlüssel (512-Bit und 768-Bit-RSA) korrekt ablehnen, akzeptieren 6 Anbieter sie weiterhin:

• HEY – Akzeptiert sowohl 512-Bit- als auch 768-Bit-Signaturen
• LaPoste (FR) – Akzeptiert schwache Schlüssel mit dem Status „good signature“
• Migadu – Keine Validierung der Schlüssellänge
• Proofpoint Essentials – Validiert schwache Signaturen
• Soverin – Akzeptiert Signaturen unabhängig von der Schlüsselstärke
• mailbox.org – Akzeptiert 512-Bit- und 768-Bit-Schlüssel

Diese Anbieter schaffen eine Sicherheitslücke. Ein 512-Bit-RSA-Schlüssel kann mit handelsüblicher Hardware in Stunden faktorisiert werden, sodass Angreifer DKIM-Signaturen für jede Domain mit schwachen Schlüsseln fälschen können. Selbst 768-Bit-Schlüssel sind anfällig; sie wurden bereits 2009 öffentlich faktorisiert.

Die folgenden 13 Anbieter lehnen Schlüssel unter 1024 Bit korrekt ab und setzen damit Mindestsicherheitsstandards durch:

• Comcast – „signing key too small“
• Fastmail – „Key length 512/768 too short“
• GMX – Explizite Ablehnung bei schwachen Schlüsseln
• Gmail – „policy (weak key)“
• Hostpoint – „public key too short“
• Microsoft 365 – „ignored public key size“ (als Richtlinienverstoß behandelt)
• MXroute – „pubkey_too_short“
• MailChannels – Gibt bei schwachen Schlüsseln temperror zurück
• Proton Mail – „signing key too small“ mit Angabe der Bitlänge
• Rackspace – „signing key too small“
• Tuta – „key length is too short“
• Yahoo – perm_fail bei schwachen Schlüsseln
• iCloud – „signing key too small“ mit Richtliniengrund

Der Ansatz von Gmail ist besonders bemerkenswert: Schwache Schlüssel werden explizit mit dem Ergebnis dkim=policy (weak key) markiert, wodurch das Sicherheitsproblem in den Headern sichtbar wird, während die E-Mail dennoch verarbeitet wird. So können Administratoren anfällige Konfigurationen erkennen, ohne dass die Zustellung sofort beeinträchtigt wird.

Bestimmte Plattformen, etwa Ciscos CES (ehemals IronPort), verfügen über konfigurierbare Optionen, um Nachrichten mit schwachen Schlüsseln abzulehnen oder unter Quarantäne zu stellen.

Alle 19 getesteten Anbieter validierten sowohl 1536-Bit- als auch 4096-Bit-RSA-Schlüssel ohne Probleme. Das zeigt, dass Bedenken hinsichtlich Kompatibilitätsproblemen bei größeren Schlüsselgrößen unbegründet sind. Anbieter haben keine Schwierigkeiten mit Schlüsseln deutlich über dem 1024-Bit-Minimum, einschließlich nicht standardisierter Größen wie 1536 Bit.

Die universelle Akzeptanz von 4096-Bit-Schlüsseln bestätigt, dass Organisationen stärkere RSA-Schlüssel einsetzen können, ohne Zustellprobleme zu riskieren, wobei der Rechenaufwand auf den empfangenden Servern mit zunehmender Schlüsselgröße steigt.

Nur 5 Anbieter setzen beide Best Practices um – sie unterstützen moderne Ed25519-Schlüssel und lehnen gleichzeitig schwache RSA-Schlüssel ab:

• Fastmail
• GMX
• Hostpoint
• MXroute
• Proton Mail

Das stellt E-Mail-Administratoren vor einen unangenehmen Kompromiss. Der Einsatz von Ed25519-Schlüsseln riskiert Authentifizierungsfehler bei Gmail, Microsoft 365 und Yahoo – den drei größten Anbietern nach Volumen. Bleibt man jedoch bei RSA, bedeutet das größere DNS-Einträge, anhaltenden Rechenaufwand für empfangende Mailserver und Kompatibilität mit den sechs Anbietern, die selbst eine trivial schwache 512-Bit-Signatur validieren würden.

• RSA-2048 für maximale Kompatibilität einsetzen
• Überprüfen Sie Ihre aktuellen DKIM-Schlüssel – liegt einer unter 1024 Bit, rotieren Sie ihn sofort und stellen Sie sicher, dass Sie mit mindestens 1024 Bit, vorzugsweise 2048 Bit, signieren.
• Authentication-Results-Header überwachen, um Anbieter zu identifizieren, die schwache Schlüssel als gültig behandeln
• Für E-Mail-Experten: Erwägen Sie Dual-Signing (RSA + Ed25519), sofern Ihre Mail-Infrastruktur dies unterstützt – dies erhöht zwar die Komplexität und ist derzeit meist noch eine Spielerei.

• Die Ed25519-Adoption wächst, ist bei Tier-1-Anbietern jedoch weiterhin unvollständig
• Die DMARC-Fehlerquote könnte steigen, wenn Ed25519 ohne sorgfältige Anbieteranalyse eingeführt wird
• Die sechs Anbieter, die schwache Schlüssel akzeptieren, stellen eine ausnutzbare Schwachstelle im E-Mail-Ökosystem dar

• Die Ablehnung schwacher Schlüssel sollte durchgängig erfolgen – 512-Bit- und 768-Bit-RSA-Schlüssel sind kryptografisch unsicher
• Die Ed25519-Unterstützung sollte angesichts ihrer Standardisierung in RFC 8463 (veröffentlicht im September 2018) priorisiert werden
• Klare Fehlermeldungen (wie Gmails Kennzeichnung für schwache Schlüssel) helfen Administratoren, Probleme zu erkennen und zu beheben

Die Landschaft der E-Mail-Authentifizierung zeigt eine besorgniserregende Spaltung. Während fast die Hälfte der getesteten Anbieter moderne Ed25519-Signaturen unterstützt, tun dies die drei größten Anbieter – Gmail, Microsoft 365 und Yahoo – nicht, was eine breite Einführung von Ed25519 für die meisten Organisationen verfrüht macht. Gleichzeitig akzeptieren sechs Anbieter weiterhin kryptografisch schwache Schlüssel, die bereits vor Jahren hätten abgelehnt werden müssen, wodurch eine ausnutzbare Lücke in der E-Mail-Sicherheit entsteht.

E-Mail-Administratoren befinden sich in einer Wartesituation: Ed25519 bietet echte Vorteile bei Sicherheit und Leistung, doch der heutige Einsatz bedeutet, Authentifizierungsfehler bei großen Anbietern in Kauf zu nehmen. Solange Gmail, Microsoft und Yahoo RFC 8463 nicht implementieren, bleibt RSA-2048 oder RSA-4096 die einzig praktikable Wahl für universelle Kompatibilität. Priorität sollte die Beseitigung schwacher Schlüssel aus dem Ökosystem haben – jede Domain, die noch DKIM-Schlüssel unter 1024 Bit verwendet, ist anfällig für Signaturfälschung und sollte diese umgehend rotieren.

Der weitere Weg erfordert koordiniertes Handeln: Anbieter müssen Ed25519-Unterstützung implementieren und Mindestschlüssellängen durchsetzen, während Absender ihre DKIM-Konfigurationen überprüfen und schwache Schlüssel eliminieren müssen. Bis zur breiten Einführung von Ed25519 bleibt das Versprechen moderner E-Mail-Kryptografie nur teilweise eingelöst. Darüber hinaus zeichnet sich die künftige Notwendigkeit postquantenfähiger Signaturalgorithmen ab – auch wenn Zeitplan und Standards noch ungewiss sind, werden sowohl RSA als auch Ed25519 letztlich anfällig für Quantenangriffe sein.