Baustein zu Absenderlotse

Kommen Mails an Sie verschlüsselt an?

Absenderlotse wertet die TLS-Berichte der Mailanbieter aus, prüft jeden Morgen Ihre MTA-STS-Richtlinie und meldet sich, bevor ein abgelaufenes Zertifikat oder ein vergessener Mailserver Mails kostet.

5 € netto im Monat zusätzlich. Mit Paket E-Rechnung-Fit in den 10 € enthalten.

Kostenlos testen Domain prüfen
  • MTA-STS nach RFC 8461
  • TLS-RPT nach RFC 8460
  • Server in Deutschland

Warum die Zustellung an Sie geschützt werden sollte

Mailserver verschlüsseln die Übertragung untereinander meist mit STARTTLS, aber freiwillig: Scheitert der Aufbau oder wird er unterwegs unterdrückt, geht die Mail im Klartext weiter. MTA-STS macht die Verschlüsselung für Mails an Ihre Domain zur Pflicht, TLS-RPT meldet täglich, ob es klappt.

Rechnungen im Klartext

Ohne MTA-STS kann ein Angreifer auf dem Weg die Verschlüsselung herunterstufen und Rechnungen, Bankverbindungen oder Angebote mitlesen.

Zertifikat abgelaufen

Läuft das Zertifikat eines Mailservers ab, scheitern verschlüsselte Zustellungen. Im Modus enforce bleiben Mails dann liegen, ohne dass Sie es merken.

Mailanbieter gewechselt

Passt die Richtlinie nach einem Umzug nicht mehr zu den neuen Mailservern, weisen Absender Ihre Mails ab. Der Fehler fällt oft erst Tage später auf.

Berichte, die keiner liest

TLS-Berichte kommen täglich als gepackte JSON-Datei, von jedem Anbieter einzeln. Ausgewertet zeigen sie, wo es hakt, ungelesen nützen sie nichts.

Verschlüsselte Zustellung in 30 Sekunden erklärt

1 / 4

Ein Mailanbieter stellt eine Mail an Ihren Mailserver zu. Ohne Vorgabe darf er unverschlüsselt senden, wenn die Verschlüsselung scheitert oder unterwegs unterdrückt wird.

Text zum Film lesen
  1. Ein Mailanbieter stellt eine Mail an Ihren Mailserver zu. Ohne Vorgabe darf er unverschlüsselt senden, wenn die Verschlüsselung scheitert oder unterwegs unterdrückt wird.
  2. Mit MTA-STS steht in Ihrer Richtlinie: nur verschlüsselt und nur an diese Mailserver. Der Absender prüft Zertifikat und Namen, bevor er zustellt.
  3. Jeden Tag melden die Anbieter per TLS-Bericht, welche Verbindungen geklappt haben und welche nicht. Absenderlotse liest alle Berichte und prüft jeden Morgen Ihre Einstellungen.
  4. Läuft ein Zertifikat ab oder ändert sich ein Mailserver, warnt Absenderlotse, bevor Mails verloren gehen. Im Monatsbericht sehen Sie, ob alles verschlüsselt ankam.

So wird die verschlüsselte Zustellung eingerichtet

  1. 1

    Baustein buchen

    Zu Ihrem Absenderlotse-Vertrag, direkt bei der Anmeldung oder später per Mail an TERNIO. Mit Paket E-Rechnung-Fit ist er enthalten.

  2. 2

    Einträge setzen

    TLS-RPT-Eintrag mit Ihrer Report-Adresse und MTA-STS-Richtlinie auf Ihrem Webspace, zuerst im Testbetrieb. TERNIO richtet das auf Wunsch ein.

  3. 3

    Einrichtungs-Check

    Absenderlotse prüft jeden Punkt von außen. Sind alle grün und liegen 14 Tage Berichte ohne Fehler vor, ist die Domain bereit.

  4. 4

    Auf enforce umstellen

    Nach Ihrer Freigabe gilt die Verschlüsselung als Pflicht. Ab dann prüft Absenderlotse jeden Morgen, ob alles zusammenpasst.

TLS-RPT-Eintrag

Im DNS Ihrer Domain. Die Mailanbieter senden ihre Berichte dann an Absenderlotse.

_smtp._tls.ihre-firma.de  TXT
"v=TLSRPTv1; rua=mailto:tlsrpt+k10307@absenderlotse.de"

MTA-STS-Eintrag

Im DNS Ihrer Domain. Die id zählen Sie bei jeder Änderung der Richtlinie hoch.

_mta-sts.ihre-firma.de  TXT
"v=STSv1; id=2026111501"

MTA-STS-Richtlinie

Als Datei auf Ihrem Webspace unter https://mta-sts.ihre-firma.de/.well-known/mta-sts.txt, ohne Weiterleitung, mit gültigem Zertifikat.

version: STSv1
mode: testing
mx: mx01.ihr-mailanbieter.de
mx: mx02.ihr-mailanbieter.de
max_age: 604800

Was Absenderlotse jeden Tag prüft

Die Prüfung läuft von außen, so wie ein Absender Ihre Domain sieht. Findet sie etwas, geht noch am selben Morgen eine Warnung an TERNIO, mit dem konkreten Schritt, der den Fehler behebt.

TLS-Berichte

Erfolgreiche und gescheiterte Verbindungen je Mailserver, mit verständlicher Ursache: kein STARTTLS, Zertifikat abgelaufen, Name passt nicht.

Richtlinie erreichbar

Die Datei mta-sts.txt antwortet direkt, ohne Weiterleitung, als text/plain und mit gültigen Angaben.

Zertifikate

Für mta-sts und für jeden Mailserver. Absenderlotse warnt 14 Tage vor dem Ablauf.

MX gegen Richtlinie

Jeder Mailserver im DNS steht in der Richtlinie. Fehlt einer, ist das im Modus enforce ein roter Alarm.

Geänderte Richtlinie

Ändert sich die Datei, muss die id im DNS mitziehen. Sonst übernehmen Absender die neue Fassung erst nach Tagen.

Im Monatsbericht

Ein eigener Abschnitt mit Ampel, Anteil verschlüsselter Verbindungen, den häufigsten Problemen und einer klaren Empfehlung.

Domain-Test: Wie steht es um Ihre Domain?

Prüfen Sie in Sekunden MTA-STS und TLS-RPT, dazu DMARC, SPF und DKIM. Die geprüfte Domain wird nicht gespeichert.

Ein Baustein, ein Preis

Verschlüsselte Zustellung

5 € im Monat

netto, zusätzlich zu Absenderlotse (10 €), jährlich abgerechnet (60 €)

  • Auswertung der TLS-Berichte
  • Tägliche Prüfung von MTA-STS, Zertifikaten und Mailservern
  • Einrichtungs-Check vor der Umstellung auf enforce
  • Abschnitt im Monatsbericht, Warnungen an TERNIO
Kostenlos testen

Mit Paket E-Rechnung-Fit inklusive

Haben Sie das Paket E-Rechnung-Fit bei TERNIO beauftragt, ist der Baustein in der Monatsgebühr von 10 € enthalten. Das Paket umfasst die Einrichtung von SPF, DKIM, DMARC, MTA-STS und TLS-RPT bei Ihrem Domain-Hoster für einmalig 590 € netto.

Die MTA-STS-Richtlinie liegt auf Ihrem eigenen Webspace. Absenderlotse prüft nur von außen und betreibt nichts, wovon Ihre Zustellung abhängt.

Preise und Bedingungen von Absenderlotse

Häufige Fragen zu MTA-STS und TLS-RPT

Was ist MTA-STS?

MTA-STS (Mail Transfer Agent Strict Transport Security, RFC 8461) ist eine Richtlinie für Ihre Domain. Sie legt fest, dass andere Mailserver Mails an Sie nur verschlüsselt und nur an die genannten Mailserver mit gültigem Zertifikat zustellen. Die Richtlinie besteht aus einem TXT-Eintrag im DNS und einer Datei unter https://mta-sts.ihre-domain.de/.well-known/mta-sts.txt.

Was ist TLS-RPT?

TLS-RPT (SMTP TLS Reporting, RFC 8460) ist ein TXT-Eintrag unter _smtp._tls Ihrer Domain. Mailanbieter wie Google und Microsoft senden an die dort genannte Adresse täglich einen Bericht, wie viele Verbindungen zu Ihren Mailservern verschlüsselt geklappt haben und welche gescheitert sind, mit dem Grund.

Brauche ich MTA-STS, wenn ich schon DMARC habe?

DMARC schützt Ihre Absenderadresse: Es verhindert, dass Fremde in Ihrem Namen mailen. MTA-STS schützt den Weg der Mails zu Ihnen: Es sorgt dafür, dass eingehende Mails verschlüsselt zugestellt werden. Beides ergänzt sich. Mehr zu DMARC auf der Startseite.

Was bedeuten mode: testing und mode: enforce?

Mit mode: testing melden die Absender Probleme nur per TLS-Bericht und stellen trotzdem zu. Mit mode: enforce verweigern sie die Zustellung, wenn keine gültige verschlüsselte Verbindung möglich ist. Absenderlotse empfiehlt die Umstellung auf enforce erst nach mindestens 14 Tagen Testbetrieb ohne Fehler.

Was passiert, wenn ich meinen Mailanbieter wechsle?

Die mx-Zeilen der MTA-STS-Richtlinie müssen zu den neuen Mailservern passen, sonst werden Mails im Modus enforce abgewiesen. Absenderlotse vergleicht täglich die MX-Einträge mit der Richtlinie und meldet eine Abweichung sofort. Am sichersten ist es, TERNIO vor dem Wechsel Bescheid zu geben.

Wo liegt die MTA-STS-Richtlinie?

Auf Ihrem eigenen Webspace unter der Subdomain mta-sts. Absenderlotse prüft sie von außen und betreibt keinen Dienst, von dem Ihre Zustellung abhängt. Die Einrichtung übernimmt auf Wunsch TERNIO, etwa im Paket E-Rechnung-Fit.

Was kostet die Überwachung der verschlüsselten Zustellung?

Der Baustein kostet 5 € netto im Monat zusätzlich zu Absenderlotse (10 € netto im Monat), jährlich abgerechnet. Für Kunden, die das Paket E-Rechnung-Fit bei TERNIO beauftragt haben, ist er in den 10 € enthalten.

Was hat verschlüsselte Zustellung mit der E-Rechnung zu tun?

Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland E-Rechnungen empfangen können, und die meisten kommen per E-Mail. Rechnungen enthalten Bankverbindungen und Beträge. MTA-STS sorgt dafür, dass sie verschlüsselt ankommen, TLS-RPT zeigt, ob das klappt.

Rechnungen gehören verschlüsselt in Ihr Postfach.

Kostenlos testen