Mail-Transport & Reputation

Was ist STARTTLS? SMTP Service Extension for Secure SMTP over TLS erklärt

STARTTLS schaltet eine laufende SMTP-Verbindung auf Verschlüsselung um. Bietet ein Mailserver es nicht an, gehen E-Mails im Klartext übers Netz.

So funktioniert STARTTLS

Mailserver sprechen auf Port 25 zunächst unverschlüsselt miteinander. Nach der Begrüßung (EHLO) listet der empfangende Server seine Fähigkeiten auf; steht dort STARTTLS, kann der Absender die Verbindung per TLS verschlüsseln, bevor die Mail übertragen wird.

Der Server zeigt dabei ein Zertifikat. Für reines STARTTLS genügt jedes Zertifikat – für MTA-STS im Modus enforce muss es aber von einer öffentlichen Zertifizierungsstelle stammen und zum MX-Hostnamen passen, bei DANE muss es zum TLSA-Record passen.

Der Domain Trust Check baut dazu eine echte SMTP-Sitzung mit den Mailservern auf (EHLO, STARTTLS, QUIT), versendet aber keine E-Mail.

Beispiel

$ openssl s_client -starttls smtp -connect mx1.example.com:25 -servername mx1.example.com
250-mx1.example.com
250-STARTTLS
…
Protocol: TLSv1.3
Verify return code: 0 (ok)

Mit diesem Befehl lässt sich STARTTLS auch selbst prüfen; „Verify return code: 0“ bedeutet ein gültiges Zertifikat.

Typische Fehler

Selbstsigniertes Zertifikat oder ein Zertifikat für einen anderen Hostnamen – STARTTLS funktioniert, MTA-STS enforce aber nicht.
Abgelaufenes Zertifikat, weil die automatische Verlängerung nur den Webserver, nicht den Mailserver neu lädt.
Nur noch TLS 1.0/1.1 aktiv – moderne Absender lehnen diese Versionen ab.

So bewertet der Domain Trust Check STARTTLS

Kriterium „Mailserver-TLS (STARTTLS)“ (Gewicht 4 von 5): Echte SMTP-Sitzung mit den Mailservern auf Port 25 (ohne Mailversand): STARTTLS angeboten, Zertifikat vertrauenswürdig und passend zum MX-Hostnamen, Restlaufzeit und TLS 1.2/1.3.

Standard: RFC 3207, RFC 8314