Deine eingehenden E-Mails mit MTA-STS und TLS-RPT schützen

Was das bedeutet

Wenn ein Server eine E-Mail an deine Domain zustellt, kann er die Verbindung mit TLS verschlüsseln. Standardmäßig ist das freiwillig: Wenn jemand dazwischen die Verschlüsselung blockiert, wird die E-Mail im Klartext gesendet und kann gelesen oder umgeleitet werden.

• MTA-STS (Mail Transfer Agent Strict Transport Security) lässt dich sagen: „Stell nur mit gültiger Verschlüsselung an meine Mailserver zu, sonst gar nicht“.
• TLS-RPT (TLS Reporting) bittet andere Server, dir einen täglichen Bericht zu schicken, wenn sie Probleme mit einer sicheren Verbindung hatten.

Beide schützen die E-Mails, die du empfängst. Sie ändern nichts daran, wie deine gesendeten E-Mails bewertet werden.

Warum das wichtig ist

Sie verhindern, dass eingehende E-Mails wie Rechnungen, Passwort-Zurücksetzungen und Verträge abgefangen werden. Gmail, Microsoft und andere große Anbieter beachten MTA-STS. Für Unternehmen sind sie empfohlen, für kleine Absender freiwillig.

So prüfst du es

Nutze den Domain-Scanner unter /domain-scanner. Er sucht nach dem MTA-STS-Eintrag, lädt die Richtliniendatei herunter und prüft den TLS-RPT-Eintrag.

So behebst du es

MTA-STS braucht drei Teile: eine Richtliniendatei auf einer Website, einen DNS-Eintrag und Mailserver mit gültigen Zertifikaten.

1. Prüfe deine MX-Server. Sie müssen TLS mit einem gültigen Zertifikat anbieten, das zu ihrem Namen passt. Google Workspace und Microsoft 365 tun das bereits.
2. Erstelle die Richtliniendatei, eine einfache Textdatei, die genau unter https://mta-sts.yourdomain.com/.well-known/mta-sts.txt erreichbar ist. Beginne im Testmodus:

   version: STSv1
   mode: testing
   mx: *.mail.protection.outlook.com
   max_age: 86400

   Trage jeden deiner MX-Hosts in eine eigene mx:-Zeile ein. Für Google Workspace nutze mx: *.google.com und mx: *.googlemail.com oder die genauen Namen, die deine MX-Einträge zeigen.
3. Veröffentliche die Website mta-sts.yourdomain.com mit einem gültigen https-Zertifikat. Jedes einfache statische Hosting reicht.
4. Füge den MTA-STS-TXT-Eintrag hinzu. Ändere die id jedes Mal, wenn du die Richtliniendatei bearbeitest:

   _mta-sts.yourdomain.com  TXT  "v=STSv1; id=20261030"

5. Füge den TLS-RPT-TXT-Eintrag hinzu, um Berichte zu erhalten:

   _smtp._tls.yourdomain.com  TXT  "v=TLSRPTv1; rua=mailto:tlsrpt@yourdomain.com"

6. Lies die Berichte ein paar Wochen lang. Wenn es keine Fehler gibt, ändere mode: testing in mode: enforce, erhöhe max_age (zum Beispiel auf 604800, eine Woche) und ändere die id im DNS.

Sei vorsichtig

Im Modus enforce stellen andere Server dir keine E-Mails mehr zu, wenn dein Zertifikat abläuft oder sich dein MX ändert, ohne dass du die Richtlinie anpasst. Aktualisiere die Richtliniendatei jedes Mal, wenn du den E-Mail-Anbieter wechselst.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner erneut: MTA-STS und TLS-RPT sollten beide gefunden werden und gültig sein.

Die Standards: RFC 8461 (MTA-STS) und RFC 8460 (TLS-RPT).