Was ist SMTP?
SMTP steht für Simple Mail Transfer Protocol.
SMTP ist das Verfahren, mit dem E-Mails vom Mailprogramm an den Mailserver übergeben und von dort zum Mailserver des Empfängers weitergereicht werden.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
SMTP ist das Verfahren, mit dem E-Mails verschickt und von Server zu Server weitergereicht werden. Man kann es sich wie die Briefpost vorstellen: Ihr Mailprogramm gibt die Mail beim Postamt Ihres Anbieters ab und dieses bringt sie zum Postamt des Empfängers. Welches Postamt dort zuständig ist, steht im MX-Eintrag seiner Domain. Abgeholt wird die Mail danach mit einem anderen Verfahren, meist mit IMAP.
Wo SMTP in Ihrem Betrieb steckt
Nicht nur Ihr Mailprogramm verschickt Mails. Auch der Scanner im Büro, das Kontaktformular der Website, die Warenwirtschaft und das Rechnungsprogramm senden über SMTP. Jedes dieser Geräte und Programme braucht dafür Zugangsdaten zu einem Mailserver. Das ist eine häufig vergessene Stelle: Ändert sich ein Passwort oder stellt der Anbieter das Anmeldeverfahren um, kommen plötzlich keine Rechnungen mehr bei Ihren Kunden an.
Was Sie tun können
- Führen Sie eine Liste, welche Geräte und Programme in Ihrem Namen Mails verschicken. Dieselbe Liste braucht Ihr IT-Dienstleister für SPF.
- Lassen Sie Geräte und Programme über eigene Zugänge senden, nicht über das persönliche Postfach eines Mitarbeiters.
- Fragen Sie bei Microsoft 365 nach, ob sich Geräte noch mit einfachem Passwort anmelden.
Gut zu wissen: Microsoft will die Anmeldung mit einfachem Passwort für den Versand über Microsoft 365 nach eigenem Zeitplan ab Ende Dezember 2026 standardmäßig abschalten. Betroffen sind zum Beispiel ältere Scanner und Fachprogramme, die kein neueres Anmeldeverfahren beherrschen.
Was SMTP nicht kann
SMTP prüft nicht, ob der Absender echt ist. Jeder Server kann eine Mail mit beliebiger Absenderadresse einliefern, mehr dazu unter Spoofing. Verschlüsselt ist die Strecke zwischen zwei Mailservern nur, wenn beide Seiten mitmachen. Dass sendende Server verschlüsseln müssen, legt erst MTA-STS fest.
Rollen und Ports
SMTP ist in RFC 5321 beschrieben, das Format der Nachricht selbst in RFC 5322. Drei Wege sind zu unterscheiden:
| Port | Zweck | Absicherung | Grundlage |
|---|---|---|---|
| 25 | Server an Server, Zustellung an den MX | STARTTLS, opportunistisch | RFC 5321, RFC 3207 |
| 587 | Einlieferung durch Mailprogramme und Geräte (Submission) | STARTTLS und SMTP AUTH | RFC 6409, RFC 4954 |
| 465 | Einlieferung mit Implicit TLS (Submissions) | TLS ab Verbindungsbeginn | RFC 8314 |
Ablauf einer Zustellung
S: 220 mx.ihre-firma.de ESMTP
C: EHLO mail.absender.example
S: 250-mx.ihre-firma.de
S: 250-STARTTLS
S: 250 SIZE 52428800
C: STARTTLS
S: 220 Ready to start TLS
(TLS-Handshake, danach erneut EHLO)
C: MAIL FROM:<rechnung@absender.example>
S: 250 OK
C: RCPT TO:<info@ihre-firma.de>
S: 250 OK
C: DATA
S: 354 End data with <CR><LF>.<CR><LF>
C: From: Buchhaltung <rechnung@absender.example>
C: Subject: Rechnung 2026-117
C: (Leerzeile, Text, Anhänge)
C: .
S: 250 Queued
C: QUIT
MAIL FROM ist der Umschlag-Absender, den SPF prüft. Der Kopf From: innerhalb von DATA ist der Absender, den Empfänger sehen. Für die Zustellung zählt die erste Ziffer der Antwort (RFC 5321 Abschnitt 4.2.1): 2 heißt angenommen, 4 heißt vorübergehender Fehler mit späterem Neuversuch, 5 heißt dauerhaft abgelehnt.
Typische Fehler
- Offenes Relay. Der Server nimmt von beliebigen Absendern Mails an beliebige fremde Empfänger an und landet schnell auf Sperrlisten.
- Kein passender PTR-Eintrag. Google verlangt von allen Absendern, dass die sendende IP-Adresse einen Reverse-DNS-Eintrag hat, dessen Name wieder auf dieselbe Adresse zeigt. Ebenso verlangt Google TLS für die Übertragung.
- Geräte mit Basic Auth. Scanner, Websites und Fachprogramme melden sich oft per SMTP AUTH mit Benutzername und Passwort an. Exchange Online schaltet diese Anmeldung nach dem aktuellen Zeitplan von Microsoft Ende Dezember 2026 für bestehende Mandanten standardmäßig ab, Administratoren können sie vorerst wieder einschalten. Ausweg sind OAuth 2.0 oder ein Connector, der Mails von einer festen IP-Adresse annimmt.
- Port 25 im Büronetz gesperrt. Manche Zugangsanbieter sperren ausgehenden Port 25. Port 587 dürfen sie nach RFC 5068 nicht sperren. Geräte sollten deshalb über 587 oder 465 einliefern.
Prüfen
openssl s_client -starttls smtp -connect mx.ihre-firma.de:25 -crlf -quiet
openssl s_client -connect smtp.ihre-firma.de:465 -crlf -quiet
dig +short -x 203.0.113.25
Nach dem Verbindungsaufbau zeigt EHLO test.example die angebotenen Erweiterungen. Die dritte Zeile fragt den PTR-Eintrag der sendenden IP-Adresse ab.