Einen eigenen Mailserver betreiben: die Zustellbarkeits-Checkliste

Was das bedeutet

Wenn du deinen eigenen Mailserver auf einem VPS oder dedizierten Server betreibst, kümmert sich niemand für dich um Ruf und Einrichtung. Gmail und Outlook kennen deine IP nicht. Sie beurteilen sie nur nach dem, was sie prüfen können: Namen, DNS-Einträge, Signaturen, Verschlüsselung und Verhalten. Ein einziges fehlendes Teil reicht oft, um im Spam zu landen.

Warum das wichtig ist

Eine neue IP hat keine Vorgeschichte, also sind Empfänger streng mit ihr. Für Nutzer von Google Workspace oder Microsoft 365 erledigen das große Anbieter. Auf deinem eigenen Server ist jeder Punkt unten deine Aufgabe.

So prüfst du es

Sende eine E-Mail vom Server an deine Testadresse auf der Startseite (/). Der Bericht deckt SPF, DKIM, DMARC, Reverse DNS, Blacklists und SpamAssassin auf einen Schlag ab. Nutze /domain-scanner für die DNS-Seite und /blacklists für die IP.

Die Checkliste

1. Port 25 ist ausgehend offen

Viele Hoster sperren bei neuen Konten den ausgehenden Port 25. Sieh in ihrer Dokumentation nach und bitte bei Bedarf den Support, ihn freizuschalten.

2. Ein sauberer Name und Reverse DNS

1. Wähle einen Namen wie mail.yourdomain.com und lege einen A-Eintrag an, der auf die Server-IP zeigt.
2. Bitte deinen Hoster, den PTR (Reverse DNS) der IP auf genau diesen Namen zu setzen.
3. Nutze denselben Namen in Postfix:

   myhostname = mail.yourdomain.com

3. SPF

Füge die Server-IP zu deinem SPF-Eintrag hinzu:

v=spf1 ip4:203.0.113.10 ~all

4. DKIM mit OpenDKIM

1. Installiere OpenDKIM und erzeuge einen 2048-Bit-Schlüssel:

   opendkim-genkey -b 2048 -d yourdomain.com -s mail

2. Veröffentliche den Inhalt von mail.txt als TXT-Eintrag auf mail._domainkey.yourdomain.com.
3. Verbinde es in main.cf mit Postfix (der Port muss zu deinem OpenDKIM-Socket passen):

   smtpd_milters = inet:localhost:8891
   non_smtpd_milters = $smtpd_milters
   milter_default_action = accept

5. DMARC

Starte im Beobachtungsmodus mit einem TXT-Eintrag auf _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

6. TLS-Verschlüsselung

Besorge dir ein Zertifikat (zum Beispiel von Let's Encrypt) für mail.yourdomain.com, dann:

smtpd_tls_cert_file = /etc/letsencrypt/live/mail.yourdomain.com/fullchain.pem
smtpd_tls_key_file = /etc/letsencrypt/live/mail.yourdomain.com/privkey.pem
smtpd_tls_security_level = may
smtp_tls_security_level = may

7. Kein offenes Relay

Nur deine eigenen Nutzer dürfen über den Server senden:

mynetworks = 127.0.0.0/8 [::1]/128
smtpd_relay_restrictions = permit_mynetworks, permit_sasl_authenticated, defer_unauth_destination

8. Gute Gewohnheiten

• Prüfe, bevor du loslegst, dass deine IP auf keiner Blacklist steht.
• Steigere das Volumen langsam über mehrere Wochen.
• Lies /var/log/mail.log nach Ablehnungsmeldungen: Sie erklären das Problem meistens.
• Halte das System aktuell und nutze starke Passwörter für die Postfach-Konten.

Lade Postfix nach dem Bearbeiten von main.cf mit postfix reload neu.

Prüfe, ob es behoben ist

Sende einen neuen Test vom Server an die Adresse auf der Startseite. Jeder Abschnitt sollte bestehen: SPF und DKIM passend zu deiner Domain, ein übereinstimmender Reverse DNS, keine Blacklist und ein niedriger Spam-Score.