{"id":15601,"date":"2026-10-29T13:15:00","date_gmt":"2026-10-29T12:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15601"},"modified":"2026-10-26T13:13:14","modified_gmt":"2026-10-26T12:13:14","slug":"mta-sts-dane-und-tls-rpt-was-zwanzig-domains-beim-mailtransport-absichern","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/it-networks-de\/tutorials-de-it-networks-de\/mta-sts-dane-und-tls-rpt-was-zwanzig-domains-beim-mailtransport-absichern\/","title":{"rendered":"MTA-STS, DANE und TLS-RPT: Was zwanzig Domains beim Mailtransport absichern"},"content":{"rendered":"

SMTP \u00fcbertr\u00e4gt E-Mails zwischen Mailservern; STARTTLS erg\u00e4nzt die Verbindung um Verschl\u00fcsselung. Ohne eine verbindliche Sicherheitsrichtlinie bleibt der Aufbau jedoch h\u00e4ufig opportunistisch: Fehlt das STARTTLS-Angebot in der Antwort auf EHLO<\/code>, kann die Zustellung unverschl\u00fcsselt weitergehen. Ein Angreifer auf dem \u00dcbertragungsweg k\u00f6nnte dieses Angebot entfernen. Ob danach tats\u00e4chlich Klartext erlaubt ist, h\u00e4ngt von der Konfiguration und weiteren Richtlinien des sendenden Servers ab.<\/p>\n

MX-Eintr\u00e4ge nennen die Server, die E-Mails f\u00fcr eine Domain empfangen. MTA-STS und DANE schaffen verbindliche Pr\u00fcfregeln f\u00fcr unterst\u00fctzende Absender. TLS-RPT liefert Berichte \u00fcber erfolgreiche und fehlgeschlagene TLS-Sitzungen. Keines dieser Verfahren ersetzt Ende-zu-Ende-Verschl\u00fcsselung: Abgesichert wird der Transport zwischen Servern.<\/p>\n

\"Mailtransport:
20 Domains \u00b7 38 aufgezeichnete Hostpr\u00fcfungen \u00b7 5. September 2026. Keine neue Anbietermessung \u00b7 keine vollst\u00e4ndige MX\/IP- oder DNSSEC-Pr\u00fcfung.<\/figcaption><\/figure>\n

Drei Verfahren mit unterschiedlichen Aufgaben<\/h2>\n

MTA-STS:<\/strong> Ein TXT-Eintrag unter _mta-sts.example.com<\/code> k\u00fcndigt eine Richtlinie an. Die Datei https:\/\/mta-sts.example.com\/.well-known\/mta-sts.txt<\/code> enth\u00e4lt erlaubte MX-Namen, Modus und Geltungsdauer. Bei enforce<\/code> darf ein unterst\u00fctzender Absender keine Nachricht an einen MX mit fehlendem TLS, unzul\u00e4ssigem Namen oder ungeeignetem Zertifikat \u00fcbergeben. Bei testing<\/code> blockiert allein ein MTA-STS-Versto\u00df die Zustellung nicht; andere Sicherheitsregeln gelten weiterhin.<\/p>\n

DANE:<\/strong> TLSA-Eintr\u00e4ge unter dem Namen des Mailservers binden den TLS-Endpunkt an ein Zertifikat, einen Schl\u00fcssel oder einen Vertrauensanker. F\u00fcr SMTP-DANE m\u00fcssen die ma\u00dfgeblichen MX- und TLSA-Daten \u00fcber DNSSEC vertrauensw\u00fcrdig sein. Dazu geh\u00f6ren eine g\u00fcltige Vertrauenskette und korrekte Fehlerbehandlung. TLSA erfordert eine eigene DNS-Abfrage; die TTL bestimmt, wie lange eine zwischengespeicherte DNS-Antwort erneut genutzt werden darf. Zus\u00e4tzlich begrenzt der Ablauf der Signatur die Verwendbarkeit.<\/p>\n

TLS-RPT:<\/strong> Ein TXT-Eintrag unter _smtp._tls.example.com<\/code> benennt Berichtsempf\u00e4nger. Unterst\u00fctzende Absender melden zusammengefasste Erfolge und Fehler. Das erg\u00e4nzt eigene Protokolle und aktive Pr\u00fcfungen. Aus fehlenden Berichten folgt weder st\u00f6rungsfreier Betrieb noch vollst\u00e4ndige Abdeckung aller Absender.<\/p>\n

Historische Stichprobe: 20 Domains, 38 Hostpr\u00fcfungen<\/h2>\n

Die gespeicherten Rohdaten vom 5. September 2026<\/strong> umfassen 20 Domains und 38 aufgezeichnete Hostpr\u00fcfungen. Bei der \u00dcberarbeitung am 25. Oktober wurden die Summen aus dieser Datei erneut berechnet. Eine neue Messung der Anbieter fand nicht statt. Die 38 Pr\u00fcfungen belegen au\u00dferdem keine vollst\u00e4ndige Erfassung s\u00e4mtlicher ver\u00f6ffentlichter MX-Server und IP-Adressen.<\/p>\n
Beobachtung vom 5. September<\/th>Domains<\/th><\/tr><\/thead>
MTA-STS-TXT vorhanden<\/td>11<\/td><\/tr>
Richtlinie lesbar<\/td>9: davon 6 enforce, 3 testing<\/td><\/tr>
TLS-RPT ver\u00f6ffentlicht<\/td>11<\/td><\/tr>
TLSA bei mindestens einem gepr\u00fcften MX<\/td>7<\/td><\/tr><\/tbody><\/table>\n

In dieser Auswahl waren die elf Domains mit TLS-RPT dieselben wie mit MTA-STS-TXT. Daraus folgt keine allgemeine Regel. Ebenso belegt ein AD-Kennzeichen in einer TLSA-Antwort noch keine durchg\u00e4ngig gepr\u00fcfte DNSSEC-Kette der Empf\u00e4ngerdomain. Die damalige Messung erlaubt deshalb keine pauschale DANE-Freigabe.<\/p>\n

Was aus den Ergebnissen nicht folgt<\/h2>\n

Eine MTA-STS-Kennung mit der Zeichenfolge 2018<\/code> ist kein Beweis f\u00fcr acht Jahre Testbetrieb. Das Feld id<\/code> ist eine frei gew\u00e4hlte \u00c4nderungskennung, kein vorgeschriebener Zeitstempel. Der Modus muss aus der tats\u00e4chlich abgerufenen Richtlinie gelesen werden.<\/p>\n

Bei zwei Domains war trotz TXT-Eintrag keine Richtlinie lesbar. Ohne bereits gespeicherte g\u00fcltige Richtlinie ergibt sich daraus keine durchsetzbare MTA-STS-Regel. Eine noch g\u00fcltige Cache-Kopie bleibt dagegen ma\u00dfgeblich. Die Aussage \u201eschlechter als kein Eintrag\u201c war daher zu pauschal. Auch organisatorische Gr\u00fcnde f\u00fcr die Wahl von MTA-STS oder DANE lassen sich aus dieser kleinen Auswahl nicht ableiten.<\/p>\n

Im historischen Datensatz bestand f\u00fcr wp.pl<\/code> eine enforce-Richtlinie mit *.wp.pl<\/code>. Beim gepr\u00fcften Host mx5.wp.pl<\/code> meldete das Werkzeug eine fehlgeschlagene Zertifikatsvalidierung bei passendem Hostnamen. Eine vollst\u00e4ndige Zertifikatskette fehlt im Datensatz; \u201eselbstsigniert\u201c ist damit nicht belegt. Ebenso wenig beschreibt dieser Befund den heutigen Zustand. Ein unterst\u00fctzender Absender m\u00fcsste einen tats\u00e4chlich nicht richtlinienkonformen MX auslassen und gegebenenfalls andere MX versuchen oder die Zustellung sp\u00e4ter wiederholen.<\/p>\n

Bei gmx.net<\/code>, web.de<\/code> und t-online.de<\/code> endete die Pr\u00fcfung schon mit einer SMTP-Ablehnung. Damit blieb STARTTLS ungetestet. Nur die gespeicherte Antwort von t-online.de nennt ausdr\u00fccklich die Reputation; ein fehlender PTR-Eintrag ist damit nicht f\u00fcr alle drei F\u00e4lle bewiesen. \u201eVerbindung abgelehnt\u201c und \u201eSTARTTLS fehlt\u201c sind unterschiedliche Befunde.<\/p>\n

DNS, Richtlinie und Zertifikat getrennt pr\u00fcfen<\/h2>\n

Die folgenden Linux-Beispiele verwenden Platzhalter. F\u00fcr eine konkrete Pr\u00fcfung m\u00fcssen Domain und MX-Hostname aus der tats\u00e4chlichen Konfiguration stammen. Die Befehle versenden keine Nachricht.<\/p>\n

Shell<\/span>