„530 5.7.0 Must issue a STARTTLS command first“ (und „451 5.7.3 STARTTLS is required“): so behebst du es

Was das bedeutet

Deine App, Website, dein Drucker oder Mailserver hat versucht, eine E-Mail zu senden, ohne die Verbindung vorher zu verschlüsseln, und der Server hat abgelehnt. Die Meldung sieht meist so aus:

530 5.7.0 Must issue a STARTTLS command first

Microsoft 365 (Exchange Online) meldet einen ähnlichen Fehler:

451 5.7.3 STARTTLS is required to send mail

STARTTLS ist der Befehl, der eine normale E-Mail-Verbindung in eine verschlüsselte (TLS) umwandelt. Die meisten Server, die E-Mails von Nutzern und Apps annehmen, und immer mehr Server überhaupt weigern sich weiterzumachen, bevor das passiert ist. Ohne ihn würden dein Passwort und deine Nachricht im Klartext übertragen.

Warum das passiert

• TLS ist ausgeschaltet in den Versandeinstellungen: „Verschlüsselung: Keine“, „SSL/TLS verwenden: Nein“ oder eine ähnliche Option.
• Falscher Port. Port und Sicherheitseinstellung passen nicht zusammen (siehe unten).
• Altes Gerät oder alte Software. Drucker, Scanner, Alarmanlagen, alte CMS-Plugins und alte Bibliotheken kennen vielleicht nur alte TLS-Versionen, die aktuelle Server nicht mehr akzeptieren, oder unterstützen STARTTLS gar nicht.
• Dein eigener Mailserver sendet an einen anderen Server, der TLS verlangt, während TLS auf deiner Seite deaktiviert oder falsch konfiguriert ist.
• Etwas dazwischen, etwa manche Firewalls oder Virenscanner, entfernt das STARTTLS-Angebot aus der Verbindung.

Die drei Ports, einfach erklärt

• Port 587: für Apps und Nutzer, die über ihren Anbieter senden. Erst unverschlüsselt verbinden, dann STARTTLS, dann anmelden. Wähle in den Einstellungen „STARTTLS“ oder „TLS“.
• Port 465: derselbe Zweck, aber von der ersten Sekunde an verschlüsselt (in Einstellungen oft „SSL“ oder „implizites TLS“ genannt). Wähle „SSL/TLS“.
• Port 25: für Server, die mit anderen Servern sprechen. Apps sollten ihn normalerweise nicht zum Senden über einen Anbieter nutzen, und viele Internet- und Cloud-Anbieter sperren ihn.

Ein häufiger Fehler ist Port 465 mit „STARTTLS“ oder Port 587 mit „SSL“. Die Verbindung schlägt dann fehl oder fällt auf Klartext zurück.

So prüfst du es

1. Lies deine Versandeinstellungen: Servername, Port, Verschlüsselungsoption und Anmeldung.
2. Teste den Server über die Kommandozeile:

   openssl s_client -starttls smtp -connect smtp.example.com:587

   Siehst du ein Zertifikat und eine 250-Antwort, unterstützt der Server STARTTLS auf diesem Port.
3. Mach einen Delivmail-Test. Sobald deine App wieder sendet, schick eine E-Mail an die einmalige Adresse auf der Startseite (/). Der Bericht bestätigt, dass die E-Mail angekommen ist, zeigt die sendende IP und den Server und prüft SPF, DKIM und DMARC für diese App.

So behebst du es

1. Schalte die Verschlüsselung ein in deiner App, deinem Plugin oder Gerät: Wähle „STARTTLS“ (oder „TLS“) mit Port 587 oder „SSL/TLS“ mit Port 465.
2. Nutze genau den Servernamen, den dein Anbieter angibt (zum Beispiel smtp.office365.com für Microsoft 365), damit das Zertifikat passt.
3. Aktualisiere alte Software. Aktualisiere die Drucker-Firmware, das CMS-Plugin oder die Bibliothek. Kann das Gerät kein modernes TLS, sende über ein kleines Relay, das es kann, oder nutze stattdessen eine Scan-to-Folder-Funktion.
4. Auf deinem eigenen Mailserver aktiviere ausgehendes TLS. In Postfix setzt du smtp_tls_security_level = may und stellst sicher, dass ein aktuelles OpenSSL installiert ist.
5. Prüfe Firewalls und Virenscanner, die E-Mails scannen: Schalte ihre SMTP-Prüfung ab, wenn sie STARTTLS kaputt macht.

Hinweis zu Microsoft 365

Microsoft 365 verlangt außerdem, dass die Anmeldung (SMTP AUTH) für das Postfach erlaubt ist, und akzeptiert nur aktuelle TLS-Versionen. Wenn TLS eingeschaltet ist und es trotzdem nicht klappt, prüfe im Admin Center, dass SMTP AUTH für dieses Konto aktiviert ist.

Prüfe, ob es behoben ist

Sende einen Test aus der App oder vom Gerät und dann einen Delivmail-Test an die Adresse auf der Startseite. Kommt er an und sieht der Bericht gut aus, sende die fehlgeschlagenen E-Mails erneut. Zeigt deine App einen Zertifikatsfehler, prüfe Servername und Port noch einmal.