Eigene Post
Meine E-Mails liegen auf meinem eigenen Server, nicht bei einem der grossen Anbieter. Damit er sicher läuft, braucht es mehr als die Installation: Absenderprüfung mit SPF, DKIM und DMARC, verschlüsselte Zustellung mit DANE und MTA-STS, eine wirksame Spamabwehr und ein Auge auf die Angriffe, die täglich ankommen. Das alles habe ich im eigenen Betrieb gelernt.
##Warum selbst betreiben
Weg von Google und Co.
Meine Post liegt nicht mehr bei einem Grosskonzern.
Daten in eigener Hand
Ich bestimme, wo meine Mails liegen und wer darauf zugreift.
Verstehen statt nur nutzen
Ich wollte wissen, was ein Mailserver alles für einen zuverlässigen Betrieb braucht und wie man ihn absichert.
##Was dazugehört
Ein Mailserver ist mehr als ein Postfach. Damit Post ankommt und niemand den Server missbraucht, braucht es diese Teile.
Authentication-Results:
spfpassDer Server darf für die Domain senden.
dkimpassDie Mail ist signiert und unverändert.
dmarcpassDie Domain verlangt beides, sonst wird abgewiesen.
- Zustellbarkeit
- SPF, DKIM und DMARC weisen nach, dass eine Mail wirklich von mir kommt. DMARC steht auf der strengsten Stufe: Gefälschte Absender werden abgewiesen.
- Servername
- Die IP-Adresse des Servers führt rückwärts wieder auf seinen Namen (PTR). Ohne diesen Eintrag lehnen viele Empfänger Post ab.
- Verschlüsselung
- Post wird verschlüsselt übertragen. MTA-STS und DANE sorgen dafür, dass andere Server mir nur verschlüsselt und nur an den richtigen Server zustellen. Berichte melden, wenn das irgendwo nicht klappt.
- Reputation
- Ob Post ankommt, entscheidet der Ruf von Domain und IP-Adresse. Eine tägliche Prüfung meldet, sobald der Server auf einer Sperrliste steht.
- Spamabwehr
- Eingehende Post läuft durch Spamfilter und Virenprüfung. Eine KI aus Europa bewertet zusätzlich.
- Schutz vor Missbrauch
- Sieben unabhängige Schutzebenen verhindern, dass fremde Post über meinen Server verschickt wird. Eine Überwachung meldet verdächtiges Verhalten.
- Sicherung
- Die Postfächer werden täglich gesichert, und jede Woche wird eine Sicherung testweise zurückgespielt.
- Wartung
- Updates kommen zeitnah. Nach jedem Update prüfe ich, ob alle Schutzebenen noch greifen.
7/7 Schutzebenen aktiv
##Abwehr in Zahlen
So oft hat die Missbrauchserkennung in den letzten sieben Tagen am Mailserver angeschlagen. Gezählt wird jede Erkennung eines Absenders, zusammengefasst in drei Gruppen.
… Erkennungen in sieben Tagen
heute bisher …
- Anmeldeversuche
- Spamversuche
- Missbrauch des Mailservers
Die Zahlen werden geladen.
Die Zahlen lädt die Seite im Browser nach. Ohne JavaScript bleiben sie aus.
Als Tabelle
##Was ich gelernt habe
- Wie ein Mailserver aufgebaut ist und was es braucht, ihn sicher zu betreiben.
- Reputation ist das Kapital eines Mailservers. Sie hängt an Domain und IP-Adresse.
- Mehrere Angriffswellen hat der Server ohne Schaden überstanden, zum Beispiel verteilte Anmeldeversuche von vielen IP-Adressen aus.
- «Der Dienst antwortet» heisst nicht, dass er richtig arbeitet.
- Eine geänderte Einstellung beweist nicht, dass sie gilt. Ich prüfe am laufenden System.
Aus einem eigenen Fehler
Im August 2026 machte ein Konfigurationsfehler den Server nach einem Neustart zum offenen Relay. Nach 35 Minuten Missbrauch war das erkannt und geschlossen. Es flossen keine Daten ab, und die IP-Adresse kam auf keine Sperrliste. Einige Anbieter drosselten die Annahme vorübergehend. Aus diesem Fehler sind die sieben Schutzebenen entstanden.