Wissen · MTA-STS

MTA-STS einrichten und überwachen

E-Mails zwischen Mailservern werden meist verschlüsselt übertragen – aber nur, wenn beide Seiten mitspielen. Ein Angreifer kann die Verschlüsselung unterdrücken, ohne dass es jemand merkt. MTA-STS (SMTP MTA Strict Transport Security) verhindert das: Sie legen fest, dass E-Mails an Ihre Domain nur verschlüsselt und nur an Ihre echten Mailserver zugestellt werden.

  • Kostenloser MTA-STS-Test im Domain-Check
  • Generator für Eintrag und Richtlinie (ab Premium)
  • Tägliche Überwachung mit Alarm vor Fehlern (ab Premium)

Wie funktioniert MTA-STS?

MTA-STS besteht aus zwei Teilen: einem TXT-Eintrag unter _mta-sts.ihre-firma.de mit einer Versionskennung und einer Richtliniendatei unter https://mta-sts.ihre-firma.de/.well-known/mta-sts.txt. Die Richtlinie nennt Ihre Mailserver und den Modus. Sendende Server laden sie über HTTPS, merken sie sich für die angegebene Zeit und stellen danach nur noch verschlüsselt an die genannten Server zu.

  • mode: testing – nur beobachten und Fehler per TLS-Report melden
  • mode: enforce – nur verschlüsselt an die genannten Server zustellen
  • mx: – Ihre Mailserver, auch mit Platzhalter wie *.ihre-firma.de
  • max_age: – wie lange Absender die Richtlinie zwischenspeichern

Gut zu wissen: Das Zertifikat Ihres Mailservers muss gültig sein und zum Namen im MX-Eintrag passen – sonst werden E-Mails im Modus enforce nicht mehr zugestellt.

MTA-STS in drei Schritten einrichten

1. Richtlinie veröffentlichen

Legen Sie die Subdomain mta-sts.ihre-firma.de mit gültigem HTTPS-Zertifikat an und veröffentlichen Sie die Richtlinie zunächst mit mode: testing.

2. TXT-Einträge setzen

Tragen Sie _mta-sts.ihre-firma.de mit v=STSv1; id=20260101 ein und richten Sie zusätzlich TLS-Reporting ein, damit Sie Fehler sehen.

3. Auf enforce umstellen

Laufen die TLS-Reports einige Wochen fehlerfrei, stellen Sie auf mode: enforce um, erhöhen max_age und ändern die id im TXT-Eintrag.

Häufige MTA-STS-Fehler

Eine fehlerhafte Richtlinie im Modus enforce kann Zustellungen blockieren. Mailsecurity24 prüft Eintrag, Richtlinie und Mailserver darum regelmäßig und warnt rechtzeitig:

  • Richtlinie nicht per HTTPS erreichbar oder Zertifikat ungültig
  • Mailserver fehlt in der mx-Liste der Richtlinie
  • Zertifikat des Mailservers passt nicht zum MX-Namen
  • id im TXT-Eintrag nach Änderungen nicht angepasst

Gut zu wissen: Absender merken sich eine Richtlinie für die Dauer von max_age. Ändern Sie nach jeder Anpassung die id im TXT-Eintrag, damit sie die neue Fassung abholen.

Kostenloser Domain-Check

Ist Ihre Domain vor E-Mail-Fälschung geschützt?

In wenigen Sekunden prüfen wir DMARC, SPF, DKIM, MX, MTA-STS, TLS-Reporting und BIMI Ihrer Domain – kostenlos und ohne Anmeldung.

  • Ohne Anmeldung
  • Ergebnis in Sekunden
  • Wir speichern Ihre Domain nicht

Häufige Fragen zu MTA-STS

Beide erzwingen verschlüsselte Zustellung. DANE setzt DNSSEC voraus und hinterlegt Zertifikatsinformationen im DNS. MTA-STS funktioniert ohne DNSSEC über eine per HTTPS abrufbare Richtlinie. Beide lassen sich parallel nutzen.

Ja. Ohne MTA-STS ist die Verschlüsselung zwischen Mailservern freiwillig: Kann ein Angreifer STARTTLS unterdrücken, wird unverschlüsselt zugestellt. MTA-STS macht die Verschlüsselung verbindlich.

Immer mit testing. So melden Absender Probleme per TLS-Report, ohne dass Zustellungen scheitern. Erst wenn die Berichte fehlerfrei sind, stellen Sie auf enforce um.

Im Modus testing nichts – Absender melden den Fehler nur. Im Modus enforce können E-Mails an Ihre Domain zurückgehalten oder abgewiesen werden. Deshalb warnt Mailsecurity24, bevor es dazu kommt.

Bereit für sichere E-Mails?

Testen Sie Mailsecurity24 14 Tage kostenlos. Keine Zahlungsdaten nötig.

Jetzt kostenlos starten
Beratung anfragen