MTA-STS und TLS-RPT: E-Mails an Sie kommen wirklich verschlüsselt an

Wenn ein Server eine E-Mail an Ihre Domain schickt, sucht er Ihre MX-Einträge und verbindet sich mit Ihrem Mailserver. Dann fragt er mit dem Befehl STARTTLS: „Können wir verschlüsseln?“, und wenn Ihr Server ja sagt, läuft der Rest der Verbindung verschlüsselt. Die Schwachstelle liegt in dieser Frage. Wer die Verbindung manipulieren kann, entfernt das „Ja“ Ihres Servers, und die meisten sendenden Server stellen die Nachricht dann im Klartext zu, statt gar nicht. Derselbe Angreifer kann auch ein gefälschtes Zertifikat vorlegen, das die meisten Absender akzeptieren.

MTA-STS (RFC 8461) schließt diese Lücke. TLS-RPT (RFC 8460) sagt Ihnen, wenn etwas schiefgeht.

Wie MTA-STS funktioniert

Sie veröffentlichen per HTTPS eine kurze Richtliniendatei: „E-Mails für diese Domain müssen über TLS mit gültigem Zertifikat an diese Server zugestellt werden.“ Sendende Server, die MTA-STS kennen (darunter Gmail, Outlook.com und Microsoft 365), laden sie, speichern sie zwischen und verweigern die Zustellung, wenn sie sie nicht erfüllen können. Da die Richtlinie von einer HTTPS-Website mit gültigem Zertifikat kommt, kann ein Angreifer auf dem Netzweg sie nicht fälschen.

Sie brauchen drei Dinge.

1. Die Richtliniendatei, genau unter dieser Adresse:

https://mta-sts.ihre-domain.de/.well-known/mta-sts.txt

mit diesem Inhalt:

version: STSv1
mode: testing
mx: ihre-domain-de.mail.protection.outlook.com
max_age: 604800

mx listet Ihre Mailserver (je eine Zeile, Platzhalter wie *.mail.protection.outlook.com sind erlaubt). max_age gibt in Sekunden an, wie lange Absender die Richtlinie zwischenspeichern dürfen; eine Woche ist ein guter Anfang.

2. Ein Hosting dafür. Die Subdomain mta-sts braucht ein gültiges Zertifikat. Jedes statische Hosting genügt: eine kleine Seite bei Ihrem bisherigen Hoster, GitHub Pages, Cloudflare Pages oder ein Worker.

3. Einen DNS-Eintrag, der die Richtlinie ankündigt:

_mta-sts.ihre-domain.de.  TXT  "v=STSv1; id=20261112"

Ändern Sie id bei jeder Änderung der Richtliniendatei, damit Absender die neue Fassung laden.

Erst testen, dann durchsetzen

Mit mode: testing stellen Absender wie bisher zu, melden Ihnen aber Fehler. Lassen Sie diesen Modus zwei bis vier Wochen laufen und lesen Sie die Berichte, dann wechseln Sie auf mode: enforce und ändern die id. Im durchgesetzten Modus behält ein Absender, der keine gültige verschlüsselte Verbindung zu einem gelisteten Server bekommt, die Nachricht in seiner Warteschlange und versucht es erneut, statt sie im Klartext zuzustellen.

TLS-RPT: die Berichte

Ein einziger DNS-Eintrag:

_smtp._tls.ihre-domain.de.  TXT  "v=TLSRPTv1; rua=mailto:tls-berichte@ihre-domain.de"

Absender wie Google und Microsoft schicken Ihnen dann täglich einen JSON-Bericht: wie viele Verbindungen zu Ihren Servern mit TLS gelangen, und die Fehler mit ihrer Ursache (abgelaufenes Zertifikat, falscher Name, Richtlinie nicht gefunden, kein STARTTLS). Ohne diese Berichte kann ein abgelaufenes Zertifikat auf Ihrem Mailserver die Zustellung tagelang blockieren, bevor es jemand bemerkt.

Häufige Fehler

Die mx-Zeilen passen nicht zu den echten MX-Einträgen. Im durchgesetzten Modus kommen keine E-Mails mehr an. Prüfen Sie sie bei jedem Anbieterwechsel mit dig MX ihre-domain.de.
Das Zertifikat der Richtlinien-Website läuft ab. Absender, die die Richtlinie schon zwischengespeichert haben, behalten sie bis max_age; neue können sie nicht laden. Nutzen Sie automatische Verlängerung.
Die id vergessen. Absender behalten die alte Richtlinie bis zu ihrem Ablauf.
Direkt durchsetzen, ohne einen einzigen Bericht gelesen zu haben.

Und DANE?

DANE erledigt dieselbe Aufgabe mit DNSSEC statt HTTPS: Die Zertifikate Ihrer MX-Server werden in signierten DNS-Einträgen festgeschrieben. In Deutschland ist DANE weit verbreitet; das BSI empfiehlt es in der TR-03108 „Sicherer E-Mail-Transport“, und Microsoft unterstützt es in Exchange Online. Ist Ihr DNS signiert, können DANE und MTA-STS nebeneinander bestehen (siehe DNSSEC und CAA).

Was Perimetry prüft

Jedes Audit lädt Ihre MTA-STS-Richtlinie, prüft, ob sie lesbar ist, ob der Modus gesetzt ist, ob die mx-Zeilen Ihre echten MX-Einträge abdecken und ob das Zertifikat der Website gültig ist, und liest Ihren TLS-RPT-Eintrag. Perimetry Cloud kann Ihre TLS-Berichte auch selbst empfangen und Tag für Tag zeigen, ob E-Mails an Sie verschlüsselt ankommen. Der kostenlose Generator für DNS-Einträge schreibt die Richtliniendatei und beide Einträge für Sie.

Um eine Domain zu prüfen: Der kostenlose MTA-STS- und TLS-RPT-Check liest den Eintrag, ruft die Richtliniendatei ab, wie es ein Absender täte, und vergleicht sie mit Ihren MX-Hosts.