hmLoadTopic({
hmKeywords:"SSL & TLS,SSL & TLS Pflichtliste für STARTTLS,STARTTLS-List,STARTTLS-Pflichtliste",
hmTitle:"SMTP-Erweiterungen",
hmDescription:"SMTP-Erweiterungen REQUIRETLS (RFC 8689) aktivieren Mithilfe von RequireTLS können Sie festlegen, welche Nachrichten zwingend über TLS-geschützte Verbindungen übermittelt werde",
hmPrevLink:"",
hmNextLink:"",
hmParentLink:"index.html",
hmBreadCrumbs:"",
hmTitlePath:"Versionsinformationen > MDaemon Connector",
hmHeader:"<h1 class=\"p_Heading1\" style=\"page-break-after: avoid;\"><span class=\"f_Heading1\">SMTP-Erweiterungen<\/span><\/h1>\n\r",
hmBody:"<p class=\"p_BodyText_Center\"><img style=\"margin:0 auto 0 auto;width:37.2500rem;height:26.8750rem;border:none\" src=\".\/images\/ssl-tls_smtp_extensions.png\"\/><\/p>\n\r<p class=\"p_DialogSectionHeading\" style=\"page-break-after: avoid;\"><span class=\"f_DialogSectionHeading\">SMTP-Erweiterungen<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading\">REQUIRETLS (RFC 8689) aktivieren<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Mithilfe von RequireTLS können Sie festlegen, welche Nachrichten <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">zwingend<\/span><span class=\"f_ControlIndent\"> über TLS-geschützte Verbindungen übermittelt werden <\/span><span class=\"f_ControlIndent\" style=\"font-weight: bold;\">müssen<\/span><span class=\"f_ControlIndent\">. Steht TLS für die Übermittlung einer solchen Nachricht nicht zur Verfügung, oder sind die Parameter, die während des TLS-Verbindungsaufbaus und für die beteiligten Zertifikate übermittelt werden, nicht akzeptabel, so werden die Nachrichten zurückgeleitet und nicht etwa ohne TLS zugestellt. Eine vollständige Beschreibung für RequireTLS finden Sie in englischer Sprache unter <a href=\"https:\/\/tools.ietf.org\/html\/rfc8689\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8689: SMTP Require TLS Option<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS ist per Voreinstellung aktiv. RequireTLS wirkt jedoch nur auf solche Nachrichten, die aufgrund der neuen <a href=\"cf_creating_a_new_content_filter_rule.html\" class=\"topiclink\">Aktion des Inhaltsfilters<\/a> des Inhaltsfilters &quot;<\/span><span class=\"f_ControlIndent\" style=\"font-style: italic;\">Nachricht für REQUIRETLS kennzeichnen...<\/span><span class=\"f_ControlIndent\">&quot; (&quot;<\/span><span class=\"f_ControlIndent\" style=\"font-style: italic;\">Flag message for REQUIRETLS...<\/span><span class=\"f_ControlIndent\">&quot;) besonders gekennzeichnet werden, oder die an nach dem Schema <\/span><span class=\"f_PlainText\">&lt;Postfach&gt;+requiretls@Domäne.TLD<\/span><span class=\"f_ControlIndent\"> aufgebaute E-Mail-Adressen (z.B. <\/span><span class=\"f_PlainText\">arvel+requiretls@mdaemon.com<\/span><span class=\"f_ControlIndent\">) versandt werden. Regeln des Inhaltsfilters für die genannte Kennzeichnung müssen Sie selbst erstellen. Alle anderen Nachrichten werden so verarbeitet, als ob das Leistungsmerkmal nicht aktiv wäre. Nachrichten, für die RequireTLS aktiv ist, können nur dann erfolgreich versandt werden, wenn bestimmte Bedingungen alle erfüllt sind. Ist auch nur eine Bedingung nicht erfüllt, so werden die Nachrichten nicht etwa über eine unverschlüsselte Verbindung übermittelt sondern an den Absender zurückgeleitet. Folgende Bedingungen sind zu erfüllen:<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">RequireTLS muss aktiv sein.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Die fragliche Nachricht muss so gekennzeichnet sein, dass für sie die RequireTLS-Anforderungen einschlägig sind, und zwar entweder mithilfe des Inhaltsfilters oder durch Adressierung nach dem Schema &quot;<\/span><span class=\"f_PlainText\">&lt;Postfach&gt;+requiretls@...<\/span><span class=\"f_List12\">&quot;.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">DNS-Abfragen für die MX-Hosts der Empfänger müssen mithilfe von <a href=\"ssl_dnssec.html\" class=\"topiclink\">DNSSEC<\/a> durchgeführt werden (hierzu finden Sie nähere Informationen weiter unten).<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Die Verbindung mit dem empfangenden Host muss mithilfe von SSL (STARTTLS) gesichert sein.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Das SSL-Zertifikat des empfangenden Hosts muss mit dem MX-Hostnamen übereinstimmen und eine Vertrauenskette zu einer vertrauenswürdigen Stammzertifizierungsstelle (CA) aufweisen.<\/span><\/p>\n\r<p class=\"p_List12\" style=\"text-indent: 0; padding-left: 1.0000rem; margin-left: 3.7500rem;\"><span class=\"f_List12\" style=\"font-family: Arial,\'Lucida Sans Unicode\',\'Lucida Grande\',\'Lucida Sans\';display:inline-block;width:1.0000rem;margin-left:-1.0000rem\">&#8226;<\/span><span class=\"f_List12\">Der Mailserver des Empfängers muss REQUIRETLS unterstützen und dies in der Antwort auf den Befehl EHLO bekannt geben.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">RequireTLS verlangt DNSSEC-Abfragen nach den MX-Einträgen der Empfänger oder die Prüfung der MX-Einträge durch MTA-STS. Sie können <a href=\"ssl_dnssec.html\" class=\"topiclink\">DNSSEC konfigurieren<\/a> und dabei angeben, nach welchen Kriterien die DNSSEC-Abfragen erfolgen. Der <a href=\"ip-cache.html\" class=\"topiclink\">IP-Cache<\/a> von MDaemon berücksichtigt jetzt die DNSSEC-Konfiguration und die entsprechenden Prüfungen. Die Hinweise am Beginn der Datendatei für die <a href=\"default-domain-and-servers_dns.html\" class=\"topiclink\">MX-Hosts<\/a> wurden entsprechend aktualisiert. DNSSEC verlangt entsprechend konfigurierte DNS-Server, die Sie selbst bereitstellen müssen. Deren Konfiguration ist nicht Gegenstand dieser Hilfedatei.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"mta-sta\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">MTA-STS (RFC 8461) aktivieren<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Die Unterstützung für MTA-STS ist per Voreinstellung aktiv. Sie finden eine Beschreibung dieses Leistungsmerkmals in englischer Sprache unter <a href=\"https:\/\/tools.ietf.org\/html\/rfc8461\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8461: SMTP MTA Strict Transport Security (MTA-STS)<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Das Verfahren SMTP MTA Strict Transport Security (abgekürzt MTA-STS, Verfahren für erzwungene Transportverschlüsselung für SMTP-Mailserver) gestattet es Anbietern von E-Mail-Dienstleistungen, bekannt zu geben, dass sie durch Transport Layer Security (TLS) transportverschlüsselte SMTP-Verbindungen unterstützen. Darüber hinaus können sie festlegen, dass SMTP-Server, die Nachrichten an sie übermitteln wollen, die Übermittlung von Nachrichten an solche MX-Hosts ablehnen sollen, die TLS mit einem vertrauenswürdigen Server-Zertifikat nicht unterstützen. Um MTA-STS für Ihre eigene Domäne zu konfigurieren, ist zunächst eine Richtliniendatei erforderlich. Diese Richtliniendatei muss über HTTPS von einem URL abrufbar sein, der nach dem Schema https:\/\/mta-sts.Domäne.TLD\/.well-known\/mta-sts.txt gebildet ist. An die Stelle &quot;Domäne.TLD&quot; ist dabei Ihr eigener Domänenname zu setzen. Der Inhalt der Richtliniendatei muss Einträge des folgenden Formats enthalten:<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">version: STSv1<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mode: testing<\/span><\/p>\n\r<p class=\"p_Code\" style=\"margin: 0 0 0 3.7500rem;\"><span class=\"f_Code\">mx: mail.domain.tld<\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">max_age: 86400<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Als &quot;mode&quot; (Modus) können Sie &quot;none&quot; (kein MTA-STS), &quot;testing&quot; (MTA-STS im Versuchsbetrieb) und &quot;enforce&quot; (Richtlinie ist verpflichtend) einsetzen. Für jeden Ihrer MX-Hostnamen soll eine eigene Zeile &quot;mx&quot; enthalten sein. Subdomänen können Sie durch Jokerzeichen erfassen, etwa &quot;*.Domäne.TLD&quot;. Der Gültigkeitszeitraum für den Eintrag (max_age) wird in Sekunden angegeben. Häufig verwendete Werte hierfür sind 86400 (dies entspricht einem Kalendertag) und 604800 (dies entspricht einer Woche).<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Weiter ist ein DNS-Eintrag des Typs TXT erforderlich. Dieser Eintrag muss unter _mta-sts.Domäne. TLD abrufbar sein. An die Stelle &quot;Domäne.TLD&quot; ist dabei Ihr eigener Domänenname zu setzen. Der Eintrag muss dem folgenden Format entsprechen:<\/span><\/p>\n\r<p class=\"p_Code_LastItem\" style=\"margin: 0 0 0.7500rem 3.7500rem;\"><span class=\"f_Code_LastItem\">v=STSv1; id=20200206T010101;<\/span><span class=\"f_ControlIndent\"> <\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Der Wert der &quot;id&quot; muss immer dann geändert werden, wenn sich der Inhalt der Richtliniendatei ändert. Es ist üblich, als &quot;id&quot; einen Zeitstempel zu verwenden.<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">Ausnahmeliste<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_List1\">Mithilfe dieser Liste können Sie einzelne Domänen von MTA-STS ausnehmen.<\/span><\/p>\n\r<p class=\"p_ControlHeading2\" style=\"page-break-after: avoid;\"><span class=\"f_ControlHeading2\">DNS-Einträge für MTA-STS im Cache speichern<\/span><\/p>\n\r<p class=\"p_ControlIndent2\"><span class=\"f_ControlIndent2\">MDaemon speichert per Voreinstellung die DNS-Einträge für MTA-STS im Cache. Um die Cache-Datei einzusehen und zu bearbeiten, klicken Sie auf das Steuerelement <\/span><span class=\"f_ControlIndent2\" style=\"font-weight: bold;\">Bearbeiten<\/span><span class=\"f_ControlIndent2\">.<\/span><\/p>\n\r<p class=\"p_ControlHeading\" style=\"page-break-after: avoid;\"><a id=\"tls_reporting\" class=\"hmanchor\"><\/a><span class=\"f_ControlHeading\">TLS-Berichte (RFC 8460) aktivieren<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Die TLS-Berichte sind per Voreinstellung deaktiviert. Sie finden eine Beschreibung dieses Leistungsmerkmals in englischer Sprache unter <a href=\"https:\/\/tools.ietf.org\/html\/rfc8460\" target=\"_blank\" class=\"weblink\" title=\"SMTP Require TLS Option\">RFC 8460: SMTP TLS Reporting<\/a>.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Mithilfe des Leistungsmerkmals zur Berichterstellung über SMTP TLS, kurz &quot;TLS-Berichte&quot; genannt, können Domänen, die MTA-STS einsetzen, Benachrichtigungen erhalten, falls der Abruf der Richtliniendatei für MTA-STS oder die Herstellung einer verschlüsselten Verbindung mittels STARTTLS fehlschlagen. Wenn dieses Leistungsmerkmal aktiv ist, sendet MDaemon einmal täglich einen Bericht an alle Domänen, an die MDaemon während des zurückliegenden Tages Nachrichten versandt oder zu versenden versucht hat, und für die MTA-STS aktiv ist.<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">Um die TLS-Berichte für Ihre Domäne zu aktivieren, aktivieren Sie die <a href=\"security--dkim_sign.html\" class=\"topiclink\">DKIM-Signatur<\/a>, und erstellen Sie einen DNS-Eintrag des Typs TXT nach dem Schema <\/span><span class=\"f_PlainText\">_smtp._tls.Domäne.TLD<\/span><span class=\"f_ControlIndent\">, wobei &quot;Domäne.TLD&quot; Ihr Domänenname ist. Der DNS-Eintrag muss folgendem Format entsprechen:<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_PlainText\">v=TLSRPTv1; rua=mailto:postfach@domäne.tld<\/span><\/p>\n\r<p class=\"p_ControlIndent\"><span class=\"f_ControlIndent\">An die Stelle &quot;Postfach@Domäne.TLD&quot; müssen Sie die E-Mail-Adresse setzen, an die die Berichte für Ihre Domäne gesandt werden sollen.<\/span><\/p>\n\r"
})
