Checkliste: Ihre E-Mail in Ordnung bringen

Modul 8: Umziehen und Ihre Domain in Ordnung bringen · Lesezeit: 13 Minuten

Lernziel: Nach dieser Lektion können Sie mit einer festen Checkliste die E-Mail Ihrer eigenen Domain von Anfang bis Ende überprüfen, das Ergebnis erklären und eine Aktionsliste in der richtigen Reihenfolge erstellen.

Kernbegriffe: Checkliste, Empfangen (MX, Mailserver, Null-MX), Verbinden (TLS, Zertifikat, Ports 993/465/587), Versenden (SPF, DKIM, DMARC), der Versandserver (PTR, FCrDNS, Blocklisten), verschlüsselte Zustellung (MTA-STS, TLS-RPT, DANE), Postfächer und Adressen, Sicherheit, Aktionsliste, regelmäßige Wartung

Warum eine feste Reihenfolge?

Sie haben in diesem Kurs viele einzelne Bausteine kennengelernt. In der Praxis hängen sie zusammen: Ein DMARC-Richtlinie bringt nichts, wenn SPF ungültig ist, und ein schöner SPF-Eintrag hilft nicht, wenn der MX auf einen Server zeigt, der nicht existiert. Deshalb gehen Sie die Checkliste von unten nach oben in der Kette durch: zuerst ob Mail überhaupt ankommen kann, dann ob Sie sicher eine Verbindung herstellen, dann ob Ihre versendete Mail vertrauenswürdig ist, und erst danach die Feinabstimmung.

Der DNS-Kurs enthält in Lektion 8.5 eine Checkliste für die gesamte Domain (Registrierung, Nameserver, Website). Diese Checkliste geht ausschließlich auf die E-Mail näher ein.

Zu jedem Punkt steht dabei: was Sie prüfen, wie (mit einem Tool oder einer DNS-Abfrage) und wann es in Ordnung ist. In der Abschlussaufgabe führt das Programm dieselben Prüfungen automatisch durch und stellt das Ergebnis neben das, was Sie selbst gefunden haben.

Teil A: Kann Mail ankommen?

A1. MX-Einträge. Fragen Sie MX <Domain> ab. Gut, wenn mindestens ein MX vorhanden ist und der Host mit der niedrigsten Zahl einen A- oder AAAA-Eintrag hat. Ein MX auf einen Namen ohne Adresse bedeutet, dass Mail nicht ankommt.
Sonderfall: 0 . ist ein Null-MX (RFC 7505). Das bedeutet „diese Domain empfängt keine Mail“. Das ist gut für eine Domain, die nie Mail empfängt, wie example.com, und falsch für Ihre geschäftliche Domain.

A2. Der Mailserver antwortet. Der erste MX-Host nimmt Verbindungen auf Port 25 an. Zu Hause können Sie das oft nicht selbst testen, da viele Internetanbieter ausgehenden Verkehr auf Port 25 blockieren. Ein Online-Tool oder die Abschlussaufgabe übernimmt das für Sie. Gut, wenn der Server eine 220-Begrüßung ausgibt und STARTTLS anbietet.

A3. Testmail von außen. Senden Sie eine Mail von einer Adresse außerhalb Ihrer Domain. Kommt sie an, und nicht im Spamordner?

Teil B: Können Sie sicher eine Verbindung herstellen?

B1. IMAP auf Port 993 mit dem Servernamen, den Sie in Ihrem E-Mail-Programm verwenden. Gut, wenn die TLS-Verbindung gelingt, das Zertifikat gültig ist, der Servername darin enthalten ist und das Zertifikat nicht innerhalb von 14 Tagen abläuft.

B2. SMTP zum Versenden: Port 465 (direktes TLS) und/oder 587 (STARTTLS). Gut, wenn mindestens eine der beiden Varianten mit einem gültigen Zertifikat für den Servernamen funktioniert und der Server die Anmeldung (AUTH) erst anbietet, nachdem die Verbindung verschlüsselt ist.

Erhalten Sie hier einen Fehler, prüfen Sie zunächst, ob Sie den Servernamen Ihres Anbieters verwenden und nicht einen eigenen mail.<Domain> ohne Zertifikat (Lektion 2.1 und Fehler 9 in Lektion 8.3).

Teil C: Ist Ihre versendete Mail vertrauenswürdig?

C1. SPF. Fragen Sie TXT <Domain> ab. Gut, wenn:

• es genau einen Eintrag mit v=spf1 gibt;
• er mit ~all oder -all endet (nie +all oder ?all); für Einsteiger ist ~all die Empfehlung, -all wenn Sie sicher wissen, dass alle Versender enthalten sind;
• die rekursive Zählung der Abfragen (include, a, mx, ptr, exists, redirect, auch innerhalb jedes Includes) nicht über 10 liegt und höchstens 2 Abfragen leer zurückkommen.

C2. DKIM. Pro Versender (Ihr Mailserver, Microsoft 365, Ihr Newsletter-Dienst, Ihr Webshop) ein Selector. Sie finden ihn in den Headern einer Mail dieses Versenders (s= und d= in der DKIM-Signature, Lektion 1.5). Fragen Sie TXT <Selector>._domainkey.<Domain> ab (gegebenenfalls über ein CNAME). Gut, wenn ein nicht leeres p= vorhanden ist, mit einem Schlüssel von 2048 Bit oder mehr für RSA (oder einem ed25519-Schlüssel).

C3. DMARC. Fragen Sie TXT _dmarc.<Domain> ab. Gut, wenn es genau einen Eintrag mit v=DMARC1 gibt, mit einem gültigen p= (none, quarantine oder reject) und einer Berichtsadresse (rua=mailto:...). Die Empfehlung: Beginnen Sie mit p=none und lesen Sie die Berichte; erst wenn alle Versender ausgerichtet sind, gehen Sie zu quarantine und danach reject über (Lektion 4.4). p=none ohne Berichtsadresse ist eine verpasste Chance: Dann sehen Sie nichts.

C4. Alignment in der Praxis. Senden Sie eine Mail von jedem Versender an eine eigene Gmail- oder Outlook.com-Adresse und lesen Sie Authentication-Results: dmarc=pass?

Teil D: Der Versandserver

D1. Reverse DNS. Suchen Sie in den Headern einer Mail, die Sie selbst versendet haben, die IP-Adresse des Servers, der die Mail an die Außenwelt übergeben hat (die unterste Received-Zeile, die von außerhalb Ihres eigenen Geräts kommt, Lektion 1.5). Fragen Sie den PTR ab (dig -x <ip>). Gut, wenn ein Name vorhanden ist und dieser Name wieder auf dieselbe IP zurückweist (FCrDNS, Lektion 5.1). Auch die MX-Server Ihrer Domain sollten einen ordentlichen PTR haben.

D2. Blocklisten. Lassen Sie diese Versand-IP (und die IP Ihres MX) auf den bekannten Blocklisten prüfen. Gut, wenn sie nirgends gelistet ist. Steht sie doch auf einer Liste: zuerst die Ursache finden und beheben, dann erst delisten lassen (Lektion 5.2). Bei geteiltem Hosting ist das eine Aufgabe für Ihren Anbieter: Geben Sie die IP und die Fehlermeldung weiter.

Teil E: Feinabstimmung (optional)

E1. MTA-STS und TLS-RPT. TXT _mta-sts.<Domain> und TXT _smtp._tls.<Domain>. Nicht verpflichtend. Haben Sie MTA-STS, muss die Richtliniendatei unter https://mta-sts.<Domain>/.well-known/mta-sts.txt erreichbar sein und mit Ihrem MX übereinstimmen (Lektion 5.4).

E2. DANE. Nur, wenn Ihre Domain und der MX mit DNSSEC signiert sind: TLSA-Einträge unter _25._tcp.<mx-host>. Meist regelt Ihr E-Mail-Anbieter das für seinen eigenen MX.

Teil F: Postfächer, Adressen und Sicherheit

Das kann kein Programm für Sie prüfen, es gehört aber dazu:

• F1. Kein Catch-all; nur bewusst genutzte Aliasse und Weiterleitungen; keine Weiterleitung an Gmail oder andere externe Adressen (Lektion 3.3).
• F2. Kein Postfach über 80 % seines Kontingents (Lektion 3.2).
• F3. Alle arbeiten mit IMAP, nicht mit POP3 auf mehreren Geräten (Lektion 1.3).
• F4. Starke, einzigartige Passwörter in einem Passwort-Manager; keine alten Geräte mit alten Passwörtern; keine unbekannten Weiterleitungsregeln in den Postfächern (Lektion 3.4).
• F5. Website-Formulare versenden über SMTP mit Ihrer eigenen Adresse als From (Lektion 7.3); Newsletter über einen Dienst mit eigenem DKIM (Lektion 7.1).

Vom Ergebnis zur Aktionsliste

Nach der Prüfung haben Sie grüne, orange und rote Punkte. Arbeiten Sie sie in dieser Reihenfolge ab:

1. Rot in Teil A oder B: Mail kommt nicht an, oder Sie können nicht sicher eine Verbindung herstellen. Zuerst beheben.
2. Rot in Teil C: SPF ungültig (zwei Einträge, mehr als zehn Abfragen), DKIM fehlt für einen Versender, zwei DMARC-Einträge. Das bestimmt, ob Ihre Mail ankommt.
3. Rot in Teil D: kein PTR oder ein Blocklisten-Eintrag. Meist eine Aufgabe für Ihren Anbieter.
4. Orange: p=none ohne Berichte, ?all, ein Schlüssel mit 1024 Bit, ein Zertifikat, das bald abläuft.
5. Teil E und F: Verbesserungen und Wartung.

Planen Sie danach Wartung ein: jedes Quartal die Checkliste erneut durchgehen, und immer nach dem Anbinden eines neuen Dienstes oder einem Umzug. Lesen Sie monatlich Ihre DMARC-Berichte, oder lassen Sie sich von einem Berichtsdienst benachrichtigen, wenn eine neue Quelle auftaucht.

In der Praxis: Tools

Für die Prüfungen können Sie verschiedene Tools verwenden. Bei WebOké sind das zum Beispiel der kostenlose E-Mail-Check und die Domain-Gesundheit (auch für Domains, die nicht bei WebOké liegen); unabhängige Tools wie der E-Mail-Test von internet.nl und MXToolbox führen vergleichbare Prüfungen durch. Kein einziges Tool sieht alles: Einen DKIM-Selector müssen Sie fast immer selbst angeben, und die Versand-IP entnehmen Sie Ihren eigenen Headern.

Zusammenfassung

• Prüfen Sie in der Reihenfolge der Kette: Ankommen, Verbinden, Vertrauen, Versandserver, Feinabstimmung, Verwaltung.
• Ankommen: MX mit existierendem Host, Null-MX nur für Domains ohne Mail.
• Verbinden: gültiges Zertifikat auf 993 und 465/587 für den Servernamen, den Sie verwenden.
• Vertrauen: ein SPF innerhalb von zehn Abfragen mit ~all/-all, DKIM pro Versender, ein DMARC mit rua, und Alignment in der Praxis.
• Versandserver: PTR mit FCrDNS und keine Blocklisten. Erstellen Sie eine Aktionsliste in der richtigen Reihenfolge und wiederholen Sie die Prüfung jedes Quartal.

Quiz

Aufgabe

Aufgabe Z8.4: Abschlussaufgabe: Ihre eigene Domain. Tragen Sie Ihre eigene Domain ein (haben Sie keine, verwenden Sie internet.nl als Beispiel), den Servernamen, den Sie in Ihrem E-Mail-Programm verwenden, die DKIM-Selector(en), die Sie in Ihren Headern gefunden haben, und die IP-Adresse Ihres Versandservers. Tragen Sie zu jedem Punkt aus Teil A bis E ein, was Sie selbst gefunden haben. Das Programm führt jede Teilprüfung selbst durch und setzt zu jedem Punkt grün, orange oder rot neben Ihre Antwort, mit einem Link zur Lektion. Danach schreiben Sie Ihre Aktionsliste (maximal fünf Punkte, in Reihenfolge).

Aufgabe O8.4: Teil F überprüfen. Beantworten Sie die fünf Fragen aus Teil F für Ihre eigenen Postfächer und notieren Sie, was Sie ändern möchten.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Bedienoberflächen von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• WebOké Anleitung 5.17: Domain- und E-Mail-Gesundheit: prüfen und beheben
• WebOké Anleitung 6.7: Die Karte E-Mail einrichten (MX, SPF, DKIM, DMARC)
• Internet.nl-Checkliste
• Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
• Kostenloser DNS-Kurs 8.5: Checkliste für Ihre eigene Domain
• Internet.nl, testen Sie Ihre E-Mail: https://internet.nl/test-mail/