Mails an Ihre Domain nur noch verschlüsselt – mit MTA-STS

Das Problem: Verschlüsselung ist bei Mail freiwillig

Mailserver verschlüsseln die Zustellung mit STARTTLS – aber nur, wenn beide Seiten mitmachen. Ein Angreifer im Netz kann das Angebot zur Verschlüsselung unterdrücken (Herabstufung) oder die Verbindung zu einem falschen Server umleiten. Der sendende Server merkt davon nichts und stellt unverschlüsselt zu.

Die Lösung: eine verbindliche Policy

Mit MTA-STS veröffentlichen Sie eine Policy unter https://mta-sts.<ihre-domain>/.well-known/mta-sts.txt. Sie nennt Ihre Mailserver und den Modus:

• testing – Absender melden Probleme, stellen aber weiter zu.
• enforce – Absender stellen nur verschlüsselt an die genannten Mailserver mit gültigem Zertifikat zu.
• none – die Policy wird zurückgezogen.

Ein TXT-Eintrag _mta-sts mit einer id zeigt den Absendern, dass es eine Policy gibt und wann sie sich geändert hat. Die Absender speichern die Policy für die Dauer von max_age.

TLS-RPT: Sie erfahren, ob es klappt

Mit TLS-RPT (RFC 8460) senden Mailanbieter wie Google und Microsoft täglich einen Bericht: wie viele Verbindungen verschlüsselt zustande kamen und welche Fehler auftraten. So sehen Sie Probleme, bevor Sie auf enforce umstellen.

So hostet igs.ch Ihr MTA-STS

1. Drei DNS-Einträge setzen: mta-sts als CNAME auf mta-sts.igs.ch, _mta-sts als TXT mit der id und _smtp._tls als TXT für die Berichte.
2. igs.ch übernimmt: Zertifikat, Auslieferung der Policy, Liste Ihrer Mailserver gemäss MX-Einträgen (stündlich abgeglichen) und Auswertung der TLS-RPT-Berichte.
3. Start im Modus testing: Zeigen die signierten Berichte 14 Tage keine Fehler, empfiehlt igs.ch die Freigabe für enforce.

Betrieb und Sicherheit

• Die Policies liegen als Dateien vor und werden ohne Datenbank ausgeliefert.
• Ein kurzer Ausfall hat keine Folgen für die Zustellung: Absender verwenden die gespeicherte Policy weiter.
• Eine Notbremse verhindert, dass ein Fehler viele Policies gleichzeitig ändert; eine Selbstprüfung ruft jede Policy stündlich ab.
• Betrieben in der Schweiz von Hunkeler Digital Services.

Häufige Fragen

Brauche ich MTA-STS, wenn ich DMARC habe?

Ja, beides ergänzt sich: DMARC schützt vor gefälschten Absendern Ihrer Domain, MTA-STS schützt Mails an Ihre Domain auf dem Transport.

Was kostet das gehostete MTA-STS?

Es ist in der Stufe Projekt enthalten; TLS-RPT-Berichte wertet igs.ch auch in der Stufe Gratis aus.

Gehen Mails verloren, wenn etwas nicht stimmt?

Im Modus testing nie. Im Modus enforce weisen Absender die Zustellung nur ab, wenn kein verschlüsselter Weg zu einem Ihrer Mailserver möglich ist – deshalb stellt igs.ch erst nach 14 Tagen ohne Fehler um.

Wo sehe ich meine Policy?

Unter https://mta-sts.<ihre-domain>/.well-known/mta-sts.txt.