Vorhaben besprechen

TOOLBOX · GENERATOR

MTA-STSEINRICHTEN.

Mailserver eintragen und Richtliniendatei, MTA-STS- und TLS-RPT-Eintrag kopieren: mit testing beginnen, dann durchsetzen. Läuft nur in Ihrem Browser.

Beispiele

Ein Beispiel übernimmt passende Werte ins Formular. Ihre Domain bleibt erhalten; ohne Domain steht example.at.

Domain und Mailserver

Die Domain hinter dem @ Ihrer Adressen.

Die Namen aus Ihren MX-Einträgen, einer je Zeile. Für Exchange Online laut Microsoft *.mail.protection.outlook.com; haben Sie dort DNSSEC aktiviert, den Namen auf mx.microsoft.

Tragen Sie die Mailserver aus Ihren MX-Einträgen ein, einen je Zeile. Die Richtlinie muss alle MX-Einträge abdecken.

Richtlinie

Beginnen Sie mit testing und stellen Sie erst nach sauberen TLS-Berichten auf enforce um.

Modus (mode)

Leer lassen: Der Generator nimmt den aktuellen Zeitpunkt in UTC. Bei jeder Änderung der Datei eine neue id veröffentlichen.

TLS-Berichte (TLS-RPT)

Absender melden täglich, ob die verschlüsselte Zustellung geklappt hat. Ohne diese Berichte bemerken Sie Fehler erst, wenn Mails fehlen.

E-Mail-Adressen oder https://-Adressen eines Auswertungsdienstes, eine je Zeile.

Tragen Sie eine Adresse für TLS-Berichte ein (z. B. tlsrpt@example.at) oder schalten Sie TLS-RPT ab.

Ihre MTA-STS-Einträge

Geben Sie oben Ihre Domain und Mailserver ein oder wählen Sie ein Beispiel. Datei und DNS-Einträge entstehen hier, während Sie tippen.

Rein im Browser: Dieses Werkzeug sendet Ihre Eingaben nicht an TOMORIS oder Dritte und speichert sie nicht.

SCHRITT FÜR SCHRITT

Drei Teile.
Eine Richtlinie.

MTA-STS besteht aus einer Datei auf einem Webserver und einem DNS-Eintrag; TLS-RPT liefert die Berichte dazu. Für Exchange Online beschreibt Microsoft Learn denselben Ablauf.

  1. 01

    mta-sts-Subdomain bereitstellen

    mta-sts.<Domain> zeigt per A-, AAAA- oder CNAME-Eintrag auf einen Webserver mit gültigem Zertifikat für genau diesen Namen.

  2. 02

    Datei ablegen

    Die Richtlinie mit mode: testing unter /.well-known/mta-sts.txt speichern, als text/plain und ohne Weiterleitung.

  3. 03

    DNS-Einträge anlegen

    _mta-sts mit der id und _smtp._tls für die TLS-Berichte. Erst jetzt ist MTA-STS für Absender sichtbar.

  4. 04

    Berichte lesen

    Die TLS-Berichte zeigen, ob die verschlüsselte Zustellung klappt. Den Stand prüft der E-Mail-Sicherheits-Check.

  5. 05

    enforce

    Die Datei auf mode: enforce umstellen und danach die id ändern. Bei jeder späteren Änderung gilt dieselbe Reihenfolge.

TYPISCHE FEHLER

Daran scheitert
MTA-STS oft.

  • Mailserver fehlt in der Datei

    Nach einem Wechsel des MX-Eintrags steht der neue Name nicht in der Richtlinie. Mit enforce erhalten Absender aus Exchange Online dann den Unzustellbarkeitsbericht 5.4.8 „MX hosts of <domain> failed MTA-STS validation“.

  • Kein Zertifikat für mta-sts

    Ohne gültiges Zertifikat für mta-sts.<Domain> verwerfen Absender die Richtlinie (RFC 8461, Abschnitt 3.3). Den Stand zeigt der SSL/TLS-Check.

  • Weiterleitung auf die Website

    Leitet mta-sts.<Domain> auf www um, ist die Richtlinie ungültig: Weiterleitungen dürfen Absender nicht folgen (RFC 8461, Abschnitt 3.3).

  • id nicht geändert

    Ohne neue id bleiben Absender bis zum Ablauf von max_age bei der alten Richtlinie.

  • enforce ohne Berichte

    Ohne TLS-RPT merken Sie Zustellprobleme erst, wenn Mails fehlen.

  • Wildcard für jeden Dienst

    *.mail.protection.outlook.com ist laut Microsoft nur für Exchange Online gedacht. Bei anderen Diensten die Mailserver einzeln eintragen.

QUELLEN UND WEITER

Nach Standard
und Herstellerangabe.

FRAGEN

Gut zu wissen.

Wozu brauche ich MTA-STS?

Mailserver verschlüsseln untereinander meist mit STARTTLS, aber nur, wenn es klappt. Wer die Verbindung manipulieren kann, unterdrückt die Verschlüsselung oder leitet sie auf einen eigenen Server um (RFC 8461, Abschnitt 1). Mit MTA-STS erklären Sie: Mails an meine Domain nur verschlüsselt, mit gültigem Zertifikat und nur an diese Mailserver.

Wo muss die Richtliniendatei liegen?

Unter https://mta-sts.<Ihre Domain>/.well-known/mta-sts.txt, als text/plain (RFC 8461, Abschnitt 3.2). Der Server braucht ein gültiges Zertifikat für mta-sts.<Ihre Domain>, muss mit Status 200 antworten und darf nicht weiterleiten (Abschnitt 3.3). Exchange Online stellt die Datei laut Microsoft nicht für Sie bereit.

Warum zuerst testing?

Im Testmodus stellen Absender weiter zu, auch wenn die Prüfung scheitert, und melden das per TLS-RPT (RFC 8461, Abschnitt 5). So fallen fehlende Mailserver oder Zertifikatsprobleme auf, bevor Mails liegen bleiben. Microsoft empfiehlt für Exchange Online denselben Weg.

Wann ändere ich die id?

Bei jeder Änderung der Datei. Absender holen die Richtlinie nur neu, wenn sich die id im DNS ändert; sonst bleiben sie bis zum Ablauf von max_age bei der alten. Zuerst die Datei austauschen, dann den DNS-Eintrag (RFC 8461, Abschnitt 8.1).

Schützt MTA-STS auch Mails, die ich sende?

Nein. Ihre Richtlinie gilt für Mails an Ihre Domain. Beim Senden zählt die Richtlinie des Empfängers; Exchange Online prüft sie laut Microsoft automatisch, ohne Einstellung.

Wird meine Eingabe übertragen?

Nein. Der Generator läuft vollständig in Ihrem Browser. Domain, Mailserver und Adressen werden weder gesendet noch gespeichert.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen