Zum Inhalt springen
newsletter-marketing24.deRecht · Zustellbarkeit · Kennzahlen

Zuletzt geprüft:

MTA-STS

Kurz gesagt: MTA-STS (SMTP MTA Strict Transport Security) ist ein Verfahren, mit dem eine Domain bekannt gibt, dass ihre Mailserver E-Mails nur über eine verschlüsselte Verbindung mit gültigem Zertifikat annehmen. Sendende Server, die MTA-STS beachten, liefern dann nicht unverschlüsselt oder an falsche Server aus (RFC 8461).

Wozu es MTA-STS gibt

Zwischen Mailservern wird die Verschlüsselung meist mit STARTTLS ausgehandelt. Dieses Verfahren ist opportunistisch: Wer die Verbindung manipulieren kann, kann die Ankündigung „250 STARTTLS“ entfernen oder die Verbindung auf einen anderen Server umlenken, und der Absender schickt die Nachricht dann ohne Schutz weiter. RFC 8461 beschreibt genau diesen Angriff als Anlass (Abschnitt 1).1

MTA-STS schließt die Lücke mit zwei Bausteinen, die zusammengehören:

  1. einem TXT-Eintrag unter _mta-sts. der Domain. Er enthält die Version v=STSv1 und eine Kennung id, die sich bei jeder Änderung der Richtlinie ändert (Abschnitt 3.1);
  2. einer Richtliniendatei, die per HTTPS unter https://mta-sts.<domain>/.well-known/mta-sts.txt abrufbar ist. Sie nennt den Modus, die erlaubten Mailserver (mx) und wie lange sendende Server die Richtlinie zwischenspeichern dürfen (max_age, höchstens 31557600 Sekunden, also rund ein Jahr; Abschnitt 3.2).

Die drei Modi

  • enforce – Sendende Server liefern nicht an Mailserver aus, die nicht zur Liste passen, kein gültiges Zertifikat zeigen oder kein STARTTLS anbieten.
  • testing – Nachrichten werden zugestellt wie ohne Richtlinie; Server, die auch TLS-RPT beherrschen, schicken aber Berichte über Fehler.
  • none – Die Domain hat keine aktive Richtlinie mehr; dieser Modus dient zum geordneten Abschalten.

So beschreibt es RFC 8461 in Abschnitt 5.1

Abgrenzung

  • MTA-STS und SPF, DKIM, DMARC: Die drei Authentifizierungsverfahren beantworten, ob eine Nachricht von einem berechtigten Absender stammt. MTA-STS beantwortet etwas anderes: ob der Weg zum Postfach des Empfängers verschlüsselt ist. Es schützt den Empfang einer Domain, nicht den Versand eines Newsletters.
  • MTA-STS und TLS-RPT: TLS-RPT (RFC 8460) ist der Meldeweg dazu.2 Über einen eigenen TXT-Eintrag unter _smtp._tls. bittet die Domain um Berichte über gescheiterte verschlüsselte Zustellungen.
  • MTA-STS und DANE: DANE verfolgt dasselbe Ziel, setzt aber DNSSEC voraus. MTA-STS stützt sich stattdessen auf Zertifizierungsstellen und kommt ohne DNSSEC aus (RFC 8461, Abschnitt 2).

Verwechslungsgefahr

  • „Verschlüsselte E-Mail“: MTA-STS verschlüsselt nur den Transport zwischen zwei Servern. Auf den Servern selbst liegt die Nachricht wie vorher; das ist keine Ende-zu-Ende-Verschlüsselung.
  • Modus none und kein Eintrag: none ist eine gültige Richtlinie, mit der eine Domain ausdrücklich erklärt, MTA-STS nicht mehr zu nutzen. RFC 8461 empfiehlt sie als Zwischenschritt, bevor TXT-Eintrag und Richtliniendatei entfernt werden (Abschnitt 8.3).

Beispiel

Aus RFC 8461, Anhang A, mit der Beispieldomain des Standards. Dort will der Inhaber von example.com zunächst nur Berichte sammeln, ohne die Zustellung zu beeinflussen. Der TXT-Eintrag:

_mta-sts.example.com.  IN TXT "v=STSv1; id=20160831085700Z;"

Die Richtliniendatei unter https://mta-sts.example.com/.well-known/mta-sts.txt, hier im Testmodus:

version: STSv1
mode: testing
mx: mx1.example.com
mx: mx2.example.com
mx: mx.backup-example.com
max_age: 1296000

Ist der Testlauf ohne Fehler geblieben, wird mode auf enforce gestellt und die id im TXT-Eintrag geändert, damit sendende Server die neue Fassung abholen.

Häufige Fragen

Brauche ich MTA-STS für meinen Newsletter? Für den Versand nicht: MTA-STS betrifft die Domain, die E-Mails empfängt. Für den Versand an Gmail-Konten verlangt Google, die Nachrichten über eine TLS-Verbindung zu übertragen.3

Was passiert, wenn die Richtliniendatei kurz nicht erreichbar ist? Sendende Server nutzen eine zwischengespeicherte Richtlinie, solange deren max_age nicht abgelaufen ist, und versuchen sonst, eine neue abzurufen (RFC 8461, Abschnitt 5.1). Scheitert eine Zustellung an einer enforce-Richtlinie, sollen sie vor einem endgültigen Abbruch nach einer neueren Richtlinie sehen (Abschnitt 5).

Warum ist max_age so lang? RFC 8461 erwartet Werte im Bereich von Wochen oder mehr, damit ein Angreifer nicht gerade den Moment der Erneuerung ausnutzen kann (Abschnitt 3.2).

Verwandte Begriffe

Passendes Werkzeug

Passende Artikel