Warum die SMTP-Konnektivität deiner MX-Server testen?
Du hast SPF, DKIM und DMARC sauber konfiguriert, aber kommen die E-Mails auch wirklich an? Wenn deine MX-Server auf Port 25 nicht erreichbar sind, kein STARTTLS unterstützen oder ein abgelaufenes TLS-Zertifikat haben, bringt die beste DNS-Konfiguration nichts. Genau das prüft dieser Test.
Drei Gründe für regelmäßige Tests:
- Zustellbarkeit : Ein nicht erreichbarer MX bedeutet verlorene E-Mails. Absender erhalten Bounces mit "connection timeout".
- TLS-Sicherheit : Ohne STARTTLS werden deine E-Mails im Klartext übertragen. MTA-STS- und DANE-Richtlinien erfordern gültiges TLS.
- Reputation : Ein Open Relay ist ein Spam-Magnet. Deine IP wird innerhalb weniger Stunden auf einer Blockliste stehen.
Teste jetzt deine Domain und finde heraus, ob deine Mailserver wirklich bereit sind.
So verwendest du den SMTP/MX Tester in 3 Schritten
Schritt 1: Domain eingeben
Gib den zu testenden Domainnamen ein (zum Beispiel captaindns.com). Das Tool löst automatisch die MX-Einträge per DNS auf.
Schritt 2: Diagnose abwarten
Für jeden erkannten MX-Server führt das Tool folgende Schritte durch:
- Verbindung auf Port 25 (TCP)
- Erfassung des SMTP-Banners (Code 220)
- EHLO senden und Extensions auflisten
- STARTTLS testen und TLS-Zertifikat inspizieren
- Einfachen Open-Relay-Test durchführen
Schritt 3: Ergebnisse analysieren
Jeder MX-Server zeigt einen klaren Status: erreichbar oder nicht, STARTTLS unterstützt, Zertifikat gültig, Open Relay erkannt oder nicht. Die Diagnosen leiten dich zu den nötigen Korrekturmaßnahmen.
Was ist das SMTP-Protokoll?
SMTP (Simple Mail Transfer Protocol, RFC 5321) ist das Standardprotokoll für den E-Mail-Transport zwischen Servern. Wenn jemand eine E-Mail an deine Domain sendet, führt der sendende Server folgende Schritte aus:
- MX-Einträge deiner Domain auflösen
- Verbindung zum MX-Server mit der niedrigsten Priorität (bevorzugt)
- SMTP-Handshake durchführen (Banner, EHLO, STARTTLS)
- Nachricht übertragen
Beispiel einer SMTP-Sitzung:
TCP-Verbindung zu mx1.captaindns.com:25
← 220 mx1.captaindns.com ESMTP Postfix
→ EHLO sender.example.com
← 250-STARTTLS
← 250-SIZE 52428800
← 250 8BITMIME
→ STARTTLS
← 220 Ready for TLS
[TLS 1.3 Handshake]
→ MAIL FROM:<user@example.com>
→ RCPT TO:<contact@captaindns.com>
→ DATA
Was analysiert das Tool genau?
| Element | Beschreibung | Ergebnis |
|---|---|---|
| MX-Auflösung | DNS-Anfrage für die MX-Einträge der Domain | Serverliste mit Priorität |
| TCP-Verbindung | Verbindungsversuch auf Port 25 | Erreichbar / Nicht erreichbar + Antwortzeit |
| SMTP-Banner | Erfassung der initialen 220-Antwort | Hostname, erkannte MTA-Software |
| EHLO-Extensions | Liste der vom Server angekündigten Fähigkeiten | STARTTLS, SIZE, PIPELINING usw. |
| STARTTLS | Test des Upgrades auf TLS | TLS-Version, Cipher-Suite |
| TLS-Zertifikat | Inspektion des Serverzertifikats | Subject, Aussteller, Ablaufdatum, SAN, Kette |
| Open Relay | Test MAIL FROM + RCPT TO extern | Relaying abgelehnt (OK) oder akzeptiert (Gefahr) |
Konkrete Anwendungsfälle
Diese drei Szenarien sehen wir bei CaptainDNS-Nutzern am häufigsten:
Fall 1: E-Mails bouncen
Symptom: Absender erhalten Fehler wie "connection timeout" oder "host unreachable", wenn sie an deine Domain senden.
Diagnose: Der SMTP/MX Tester zeigt, dass der sekundäre MX-Server (mx2) nicht erreichbar ist, weil Port 25 durch die Firewall blockiert wird.
Maßnahme: Port 25 eingehend in der Firewall des mx2-Servers öffnen oder den MX-Eintrag entfernen, falls der Server nicht mehr aktiv ist.
Fall 2: Abgelaufenes TLS-Zertifikat
Symptom: Server mit strikter MTA-STS-Richtlinie weigern sich, E-Mails an deine Domain zuzustellen.
Diagnose: Das Tool erkennt, dass das Zertifikat seit -5 Tagen abgelaufen ist. Der Hostname im SAN stimmt nicht mit dem MX überein.
Maßnahme: TLS-Zertifikat erneuern und sicherstellen, dass der SAN den exakten MX-Hostnamen enthält.
Fall 3: Open Relay erkannt
Symptom: Deine IP taucht plötzlich auf mehreren Blocklisten auf.
Diagnose: Der Open-Relay-Test zeigt, dass der Server E-Mails an externe Domains ohne Authentifizierung weiterleitet.
Maßnahme: Den SMTP-Server so konfigurieren, dass nicht-authentifiziertes Relaying abgelehnt wird. Transportregeln und Relay-Beschränkungen prüfen.
FAQ: Häufig gestellte Fragen
F: Warum sollte ich die SMTP-Konnektivität meiner MX-Server testen?
A: Selbst mit perfekten DNS-Einträgen (SPF, DKIM, DMARC): Wenn deine MX-Server nicht erreichbar sind oder kein TLS unterstützen, werden E-Mails nicht korrekt zugestellt. Dieser Test prüft die tatsächliche Transportschicht.
F: Was ist STARTTLS und warum ist es wichtig?
A: STARTTLS (RFC 3207) ermöglicht das Upgrade einer unverschlüsselten SMTP-Verbindung auf eine TLS-verschlüsselte Verbindung. Ohne STARTTLS werden E-Mails im Klartext übertragen, ein erhebliches Sicherheitsrisiko. Die meisten modernen Anbieter verlangen daher STARTTLS.
F: Was ist ein Open Relay und warum ist es gefährlich?
A: Ein Open Relay ist ein SMTP-Server, der E-Mails für beliebige Absender ohne Authentifizierung weiterleitet. Das ist eine schwerwiegende Sicherheitslücke, die von Spammern ausgenutzt wird. Dein Server wird schnell auf einer Blockliste landen.
F: Was bedeutet das SMTP-Banner?
A: Das Banner ist die erste Antwort des Servers (Code 220). Es enthält den Hostnamen und manchmal die MTA-Software. Ein korrekt konfiguriertes Banner sollte keine sensiblen Informationen preisgeben.
F: Mein MX-Server ist nicht erreichbar, was tun?
A: Prüfe die Firewall (Port 25), den SMTP-Dienst und die MX-DNS-Einträge. Manche Cloud-Hoster blockieren Port 25 standardmäßig.
F: Welche TLS-Version wird empfohlen?
A: TLS 1.2 ist das Minimum, TLS 1.3 wird empfohlen. Die Versionen 1.0 und 1.1 sind veraltet und unsicher.
F: Wie interpretiere ich die EHLO-Extensions?
A: STARTTLS (Verschlüsselung), SIZE (max. Größe), 8BITMIME (Codierung), PIPELINING (Performance), SMTPUTF8 (Internationalisierung). Je mehr der Server unterstützt, desto moderner ist er.
Ergänzende Tools
| Tool | Nutzen |
|---|---|
| MTA-STS Record Check | Prüfe die MTA-STS-Richtlinie, die TLS für den Transport erzwingt |
| TLS-RPT Record Check | Konfiguriere TLS-Berichte zur Überwachung von Verbindungsfehlern |
| DNS-Domain-Check | Vollständiges Audit von SPF, DKIM, DMARC, MTA-STS, BIMI |
| Domain-Blocklist-Check | Prüfe, ob deine Domain auf einer Blockliste steht |
| Mail Tester | Teste die vollständige Zustellbarkeit deiner E-Mails |
Nützliche Ressourcen
- RFC 5321 (SMTP) : Spezifikation des SMTP-Protokolls
- RFC 3207 (STARTTLS) : SMTP-Erweiterung für TLS
- RFC 8461 (MTA-STS) : strikter TLS-Transport für SMTP
- RFC 7672 (DANE) : SMTP-Authentifizierung basierend auf DNSSEC
Datenschutzhinweis
Es werden keine SMTP-Verbindungsdaten gespeichert. Die Ergebnisse werden nicht aufgezeichnet und es werden keine E-Mails beim Test versendet. Der Open-Relay-Test verwendet einen RCPT TO-Befehl, ohne eine Nachricht zu senden (kein DATA).