Was ist MTA-STS?

Einfach erklärt

Mails zwischen zwei Mailservern werden heute meist verschlüsselt übertragen. Das geschieht aber auf freiwilliger Basis: Wer sich in die Verbindung einklinkt, kann die Verschlüsselung unbemerkt abschalten oder die Mail an einen falschen Server umleiten. MTA-STS schließt diese Lücke. Sie veröffentlichen eine Regel: „Mails an uns bitte nur verschlüsselt und nur an diese Server.“ Sendende Server, die MTA-STS kennen, halten sich daran.

Woran Sie merken, dass es fehlt

Im Alltag gar nicht, und genau das ist der Punkt: Eine abgeschaltete Verschlüsselung fällt niemandem auf. MTA-STS ist deshalb eine Empfehlung für später, kein dringender Punkt. Dringend wird es nur, wenn MTA-STS falsch eingerichtet ist. Nennt die Regel nicht alle Ihre Mailserver, können andere Server Mails an Sie abweisen.

Was Sie tun können

Ihr IT-Dienstleister richtet zwei Dinge ein: einen Eintrag zu Ihrer Domain und eine kleine Datei auf einer eigenen Webadresse. Sinnvoll ist, zuerst im Testmodus zu starten und gleichzeitig TLS-Berichte einzuschalten. Die Berichte zeigen, ob alles funktioniert, bevor die Regel scharf geschaltet wird.

Achtung: Wechseln Sie den Mailanbieter, muss die MTA-STS-Regel mit umziehen. Sonst lehnen Server, die sich an die alte Regel halten, die Zustellung an den neuen Anbieter ab.

Zwei Bestandteile

MTA-STS nach RFC 8461 besteht aus einem TXT-Eintrag, der eine Richtlinie ankündigt, und der Richtlinie selbst, die per HTTPS abgerufen wird.

_mta-sts.ihre-firma.de.  IN  TXT  "v=STSv1; id=20261028T120000"

https://mta-sts.ihre-firma.de/.well-known/mta-sts.txt

version: STSv1
mode: enforce
mx: mx1.example.net
mx: *.backup.example.net
max_age: 604800

Der sendende Server holt die Richtlinie, speichert sie für max_age Sekunden (höchstens 31557600, also etwa ein Jahr) und stellt bei mode: enforce nur zu, wenn der MX-Host zu einem mx:-Muster passt, STARTTLS anbietet und ein gültiges, passendes Zertifikat vorlegt.

Modi

• testing: Zustellung wie bisher, Fehler werden nur über TLS-RPT gemeldet.
• enforce: Bei Fehlern wird nicht zugestellt.
• none: Richtlinie zurückziehen. Sinnvoll vor dem Abschalten, damit gespeicherte Richtlinien auslaufen.

Typische Fehler

• Nicht alle MX-Hosts in der Richtlinie. Mit enforce werden Mails an den fehlenden Host abgewiesen.
• id nicht geändert. Sender erkennen eine neue Richtlinie nur an einer neuen id im TXT-Eintrag.
• Zertifikat für mta-sts.<domain> abgelaufen oder nicht passend. Dann lässt sich die Richtlinie nicht abrufen.
• Weiterleitung auf die Richtlinie. Nach RFC 8461 Abschnitt 3.3 dürfen Sender HTTP-Weiterleitungen nicht folgen. Die Datei muss direkt unter der Adresse liegen.
• MX-Host ohne gültiges Zertifikat. Selbst signierte oder auf einen anderen Namen ausgestellte Zertifikate führen bei enforce zum Abbruch.

Alternative: DANE

DANE nach RFC 7672 löst dasselbe Problem über TLSA-Einträge im DNS. Es setzt DNSSEC für die Domain und die MX-Hosts voraus. MTA-STS braucht kein DNSSEC, dafür einen Webserver für die Richtlinie.

Prüfen

dig +short TXT _mta-sts.ihre-firma.de
curl -s https://mta-sts.ihre-firma.de/.well-known/mta-sts.txt