Ports, Verschlüsselung und Anmeldung

Modul 1: Wie E-Mail funktioniert · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie für jeden Mailport sagen, wofür er da ist, den Unterschied zwischen STARTTLS und direktem TLS erklären und eine Zertifikatsmeldung oder eine verweigerte Anmeldung erklären.

Kernbegriffe: Port 25, 587, 465, 993, 995, 143, 110, STARTTLS, direktes TLS (implicit TLS, RFC 8314), Zertifikat, Servername, SMTP-Authentifizierung (SMTP AUTH), Open Relay, Blockierung von Port 25, App-Passwort, OAuth

Ein Port ist eine Tür

Ein Server hat eine IP-Adresse, aber viele Türen. Jeder Dienst horcht auf seinem eigenen Port, einer Nummer. Ihr Webbrowser klopft an Port 443, Ihr E-Mail-Programm an Port 993, um Mail zu lesen, und an 587 oder 465, um sie zu versenden. Wählen Sie die falsche Tür, antwortet niemand, oder jemand, der eine andere Sprache spricht. Das führt zu vagen Fehlermeldungen wie "Verbindung kann nicht hergestellt werden" oder "der Server antwortet nicht".

Die Mailports im Überblick:

Warum nicht einfach Port 25 zum Versenden?

Früher haben Sie in Ihrem E-Mail-Programm Port 25 eingestellt. Das ist aus zwei Gründen Vergangenheit.

Erstens: Auf Port 25 nimmt ein Mailserver Mail von jedem an, für seine eigenen Domains. Dabei wird nicht angemeldet. Ein Server, der auf Port 25 auch Mail von jedem an andere Domains weiterleitet, heißt ein Open Relay, und der wird innerhalb weniger Stunden von Spammern missbraucht. Deshalb ist das Versenden Ihrer eigenen Mail an die ganze Welt ein eigener Dienst geworden: Submission auf Port 587 (und 465), bei dem Sie sich immer zuerst anmelden.

Zweitens: Viele Internetanbieter blockieren ausgehenden Verkehr zu Port 25 von Heimanschlüssen aus. Ein infizierter Computer in einem Wohnzimmer kann dann keinen Spam direkt an Mailserver senden. Die Folge für Sie: Versuchen Sie, aus Ihrem E-Mail-Programm über Port 25 zu versenden, kann es zuhause nicht funktionieren und im Büro schon, oder umgekehrt.

Merken Sie sich: E-Mail-Programme versenden über 587 oder 465, mit Anmeldung. Port 25 ist für Server untereinander.

STARTTLS oder direktes TLS?

Es gibt zwei Möglichkeiten, eine Mailverbindung zu verschlüsseln.

Direktes TLS (implicit TLS): Die Verbindung ist ab dem ersten Byte verschlüsselt, genau wie eine Website mit https. Das geschieht bei 465, 993 und 995.

STARTTLS: Die Verbindung beginnt unverschlüsselt. Der Server sagt "ich kann verschlüsseln", der Client antwortet STARTTLS, und ab diesem Moment ist alles verschlüsselt. Das geschieht bei 587 (und bei 25, 143 und 110).

Für die Sicherheit macht es wenig Unterschied, solange Ihr Programm STARTTLS verpflichtend einstellt. Das Risiko von STARTTLS liegt am Anfang: Jemand, der zwischen Ihnen und dem Server sitzt, kann das Angebot "ich kann verschlüsseln" wegfiltern. Ein Programm, das dann still unverschlüsselt weitermacht, sendet Ihr Passwort lesbar über die Leitung. Deshalb empfiehlt RFC 8314 (2018) für E-Mail-Programme direktes TLS (465, 993, 995) gegenüber STARTTLS. In der Praxis sind 587 mit STARTTLS und 465 mit SSL/TLS beide gut, solange Sie die Verschlüsselung in Ihrem Programm auf "verpflichtend" setzen und nicht auf "wenn verfügbar".

Ein häufiger Fehler ist die falsche Kombination: Port 587 mit "SSL/TLS", oder Port 465 mit "STARTTLS". Das Programm erwartet dann etwas anderes, als der Server tut, und die Verbindung hängt oder scheitert. Merken Sie sich die Paare: 587 + STARTTLS und 465 + SSL/TLS. Programme nennen direktes TLS manchmal "SSL", "SSL/TLS" oder "TLS"; STARTTLS heißt manchmal auch "TLS". Achten Sie also auf den Port.

Das Zertifikat und der Servername

Bei jeder verschlüsselten Verbindung zeigt der Server ein Zertifikat, das beweist, dass er ist, wer er vorgibt zu sein. Ihr E-Mail-Programm prüft zwei Dinge: Ist das Zertifikat von einer vertrauenswürdigen Stelle ausgestellt und noch gültig, und steht der Name, den Sie als Server eingetragen haben, darin?

Letzteres geht am häufigsten schief. Tragen Sie mail.example.com ein, steht aber im Zertifikat nur server12.hosting.example, erhalten Sie eine Meldung wie "Die Identität des Servers kann nicht überprüft werden" oder "Der Principal-Name des Ziels ist falsch". Die Verbindung selbst ist dann zwar verschlüsselt, aber Ihr Programm kann nicht sicher wissen, dass es mit dem echten Server spricht.

Klicken Sie eine solche Meldung nicht einfach weg. Die Lösung ist ein Servername, der tatsächlich im Zertifikat steht (siehe Lektion 2.1). Bei einem geteilten Server ist das oft der Name des Servers selbst, den Ihr Anbieter angibt. Eine weitere bekannte Ursache: ein Virenscanner, der verschlüsselte Mail "scannt" und dafür sein eigenes Zertifikat dazwischenschaltet. In der Meldung steht dann der Name des Scanners bei "ausgestellt von".

Anmeldung beim Versenden

Bei 587 und 465 müssen Sie sich anmelden, bevor der Server Ihre Mail nach außen senden will. Das nennt man SMTP-Authentifizierung (SMTP AUTH). In Ihrem Programm heißt die Option "Postausgangsserver erfordert Authentifizierung", "Anmeldung erforderlich" oder "Authentifizierung: normales Passwort". Meist verwenden Sie denselben Benutzernamen und dasselbe Passwort wie für IMAP.

Ist die Authentifizierung ausgeschaltet oder ist der Benutzername beim Postausgangsserver leer geblieben, können Sie zwar Mail lesen, aber nicht versenden. Der Server antwortet dann mit etwas wie 530 5.7.0 Authentication required oder 554 5.7.1 Relay access denied. Das ist der häufigste Grund für "Empfangen funktioniert, Versenden nicht".

Eine zweite Art der Verweigerung: 535 5.7.8 Authentication failed. Dann stimmt die Kombination aus Benutzername und Passwort nicht. Achtung: Nach einigen fehlgeschlagenen Versuchen blockieren viele Server die IP-Adresse, von der diese Versuche kommen, zum Schutz gegen Passwort-Raten. Ein altes Telefon mit einem alten Passwort kann so Ihr ganzes Büro blockieren lassen.

App-Passwörter und OAuth

Bei großen Anbietern wie Google und Microsoft funktioniert die Anmeldung mit nur Ihrem gewöhnlichen Passwort in einem separaten E-Mail-Programm immer seltener. Sie verwenden OAuth: Ihr Programm schickt Sie zu einer Anmeldeseite des Anbieters, Sie melden sich dort an (eventuell mit Zwei-Faktor-Authentifizierung), und das Programm erhält einen Schlüssel anstelle Ihres Passworts. Programme, die das nicht können, erhalten manchmal ein App-Passwort: ein separates, langes Passwort, das nur für dieses eine Programm gilt und das Sie einzeln widerrufen können.

Bei einem gewöhnlichen Postfach bei einem Hostinganbieter melden Sie sich meist mit dem Passwort des Postfachs selbst an. Das macht ein starkes und einzigartiges Passwort besonders wichtig (Lektion 3.4).

In der Praxis: die Einstellungen eines Postfachs

Bei einem Postfach von WebOké sind die Einstellungen: IMAP 993 mit SSL/TLS, POP3 995 mit SSL/TLS, Versenden 587 mit STARTTLS oder 465 mit SSL/TLS, Authentifizierung an mit Ihrer vollständigen E-Mail-Adresse und dem Passwort des Postfachs. Bei anderen Anbietern funktioniert es ähnlich: Die Ports sind fast überall dieselben, nur der Servername unterscheidet sich. Welchen Servernamen Sie wählen, sehen Sie in Lektion 2.1.

Zusammenfassung

• E-Mail-Programme versenden über 587 (STARTTLS) oder 465 (direktes TLS), immer mit Anmeldung. Port 25 ist für Server untereinander und wird zuhause oft blockiert.
• Lesen läuft über 993 (IMAP) oder 995 (POP3), beide mit direktem TLS.
• Kombinieren Sie richtig: 587 + STARTTLS, 465 + SSL/TLS. Stellen Sie die Verschlüsselung auf verpflichtend.
• Eine Zertifikatsmeldung bedeutet meist: Der eingetragene Servername steht nicht im Zertifikat. Wegklicken ist keine Lösung.
• "Lesen funktioniert, Versenden nicht" bedeutet fast immer: Die Authentifizierung für den Postausgangsserver ist ausgeschaltet oder leer.

Quiz

Aufgabe

Aufgabe Z1.4: Ports und Zertifikat eines Mailservers. Tragen Sie den eingehenden und den ausgehenden Servernamen ein, den Sie für Ihr eigenes Postfach verwenden (haben Sie kein eigenes Postfach, verwenden Sie imap.gmail.com und smtp.gmail.com). Wählen Sie für Port 993 (eingehend) und die Ports 465 und 587 (ausgehend), was Sie erwarten: direktes TLS, STARTTLS oder nicht erreichbar, und tragen Sie ein, ob Sie denken, dass der Name im Zertifikat steht. Das Programm stellt selbst eine Verbindung zu den drei Ports her und stellt das Ergebnis neben Ihre Antworten.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 8.1: Alle Einstellungen im Überblick: Server, Ports und Sicherheit
• DirectAdmin Anleitung 8.8: Senden oder Empfangen funktioniert nicht: so lösen Sie das Problem
• Zertifikatsfehler beim Abrufen von E-Mails
• Ich kann keine E-Mails versenden (Empfangen funktioniert hingegen)
• RFC 8314 (direktes TLS für E-Mail-Programme), RFC 6409 (Submission), RFC 3207 (STARTTLS), RFC 4954 (SMTP AUTH)