E-Mails ohne TLS-Verschlüsselung gesendet (STARTTLS)

Was das bedeutet

Wenn dein Server eine E-Mail an einen anderen Server zustellt, können sich die beiden darauf einigen, die Verbindung zu verschlüsseln. Das nennt man TLS, und der Befehl, der es auf einer normalen Mailverbindung startet, heißt STARTTLS.

Deine E-Mail wurde ohne Verschlüsselung zugestellt. Jeder, der das Netzwerk zwischen den beiden Servern beobachten kann, könnte sie lesen.

Warum das wichtig ist

• Gmail zeigt bei E-Mails, die ohne Verschlüsselung ankommen, ein rotes offenes Schloss, und das verunsichert Leser.
• Gmail und Yahoo erwarten von Massenversendern, dass sie TLS nutzen.
• E-Mails enthalten oft persönliche oder geschäftliche Informationen, die nicht im Klartext unterwegs sein sollten.
• Delivmail zieht für eine unverschlüsselte Zustellung einen kleinen Teil des Scores ab.

So prüfst du es

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach oder Tool, das du prüfen willst, und öffne dann den Bericht. Die Zeile „Encryption (TLS)“ zeigt, ob die E-Mail verschlüsselt angekommen ist.
• Öffne in Gmail eine empfangene E-Mail, klick auf den kleinen Pfeil unter dem Absendernamen und sieh dir die Zeile „Sicherheit“ an.

So behebst du es

Wenn du einen Anbieter nutzt

Google Workspace, Microsoft 365 und alle seriösen Newsletter-Tools nutzen TLS automatisch. Wenn dein Test kein TLS zeigt, lief die E-Mail wahrscheinlich über ein anderes System: eine Website, einen Drucker, eine Geschäftsanwendung oder einen alten Relay-Server. Finde es und lass es stattdessen über deinen Anbieter senden.

Wenn du deinen eigenen Mailserver betreibst

1. Besorg dir ein Zertifikat für deinen Servernamen, zum Beispiel mail.yourdomain.com. Ein kostenloses Zertifikat von Let's Encrypt funktioniert gut.
2. Schalte ausgehendes TLS ein. Bei Postfix zum Beispiel:

   smtp_tls_security_level = may
   smtp_tls_loglevel = 1

   Die Einstellung may verschlüsselt immer dann, wenn der andere Server es unterstützt, und das tun heute fast alle.
3. Schalte auch eingehendes TLS ein, damit andere dir sicher senden können:

   smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
   smtpd_tls_key_file = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
   smtpd_tls_security_level = may

4. Lade den Server neu und prüfe seine Logs auf Zeilen, die TLS erwähnen.
5. Erneuere das Zertifikat automatisch. Ein abgelaufenes Zertifikat kann die verschlüsselte Zustellung kaputt machen.

Wenn du aus einer Anwendung sendest

Wähle in den SMTP-Einstellungen deiner Anwendung Port 587 mit STARTTLS oder Port 465 mit SSL/TLS. Vermeide Port 25 ohne Verschlüsselung. Das schützt die Verbindung zwischen deiner Anwendung und deinem Anbieter; um TLS bis zum Empfänger kümmert sich dann dein Anbieter.

Prüfe, ob es behoben ist

Sende eine neue Test-E-Mail über die Startseite mit demselben Server oder Tool. Die Zeile „Encryption (TLS)“ sollte Ja zeigen. In Gmail sollte das rote Schloss verschwunden sein. Steht dort immer noch Nein, prüfe, ob die E-Mail wirklich über den Server rausging, den du geändert hast, und such in seinen Logs nach TLS-Fehlern wie einem abgelaufenen oder nicht vertrauenswürdigen Zertifikat.