Warum die SMTP-Konnektivität Ihrer MX-Server testen?
Sie haben SPF, DKIM und DMARC sauber konfiguriert, aber kommen die E-Mails auch wirklich an? Wenn Ihre MX-Server auf Port 25 nicht erreichbar sind, kein STARTTLS unterstützen oder ein abgelaufenes TLS-Zertifikat haben, bringt die beste DNS-Konfiguration nichts. Genau das prüft dieser Test.
Drei Gründe für regelmäßige Tests:
- Zustellbarkeit: Ein nicht erreichbarer MX bedeutet verlorene E-Mails. Absender erhalten Bounces mit "connection timeout".
- TLS-Sicherheit: Ohne STARTTLS werden Ihre E-Mails im Klartext übertragen. MTA-STS- und DANE-Richtlinien erfordern gültiges TLS.
- Reputation: Ein Open Relay ist ein Spam-Magnet. Ihre IP wird innerhalb weniger Stunden auf einer Blockliste stehen.
Testen Sie jetzt Ihre Domain und finden Sie heraus, ob Ihre Mailserver wirklich bereit sind.
So verwenden Sie den SMTP/MX-Tester in 3 Schritten
Schritt 1: Domain eingeben
Geben Sie den zu testenden Domainnamen ein (zum Beispiel captaindns.com). Das Tool löst automatisch die MX-Einträge per DNS auf.
Schritt 2: Diagnose abwarten
Für jeden erkannten MX-Server führt das Tool folgende Schritte durch:
- Verbindung auf Port 25 (TCP)
- Erfassung des SMTP-Banners (Code 220)
- EHLO senden und Extensions auflisten
- STARTTLS testen und TLS-Zertifikat inspizieren
- Einfachen Open-Relay-Test durchführen
Schritt 3: Ergebnisse analysieren
Jeder MX-Server zeigt einen klaren Status: erreichbar oder nicht, STARTTLS unterstützt, Zertifikat gültig, Open Relay erkannt oder nicht. Die Diagnosen führen Sie zu den nötigen Korrekturmaßnahmen.
Was ist das SMTP-Protokoll?
SMTP (Simple Mail Transfer Protocol, RFC 5321) ist das Standardprotokoll für den E-Mail-Transport zwischen Servern. Wenn jemand eine E-Mail an Ihre Domain sendet, führt der sendende Server folgende Schritte aus:
- MX-Einträge Ihrer Domain auflösen
- Verbindung zum MX-Server mit dem niedrigsten Prioritätswert (bevorzugt)
- SMTP-Handshake durchführen (Banner, EHLO, STARTTLS)
- Nachricht übertragen
Beispiel einer SMTP-Sitzung:
TCP-Verbindung zu mx1.captaindns.com:25
← 220 mx1.captaindns.com ESMTP Postfix
→ EHLO sender.captaindns.com
← 250-STARTTLS
← 250-SIZE 52428800
← 250 8BITMIME
→ STARTTLS
← 220 Ready for TLS
[TLS 1.3 Handshake]
→ MAIL FROM:<user@captaindns.com>
→ RCPT TO:<contact@captaindns.com>
→ DATA
Was analysiert das Tool genau?
| Element | Beschreibung | Ergebnis |
|---|---|---|
| MX-Auflösung | DNS-Anfrage für die MX-Einträge der Domain | Serverliste mit Priorität |
| TCP-Verbindung | Verbindungsversuch auf Port 25 | Erreichbar / Nicht erreichbar + Antwortzeit |
| SMTP-Banner | Erfassung der initialen 220-Antwort | Hostname, erkannte MTA-Software |
| EHLO-Extensions | Liste der vom Server angekündigten Fähigkeiten | STARTTLS, SIZE, PIPELINING usw. |
| STARTTLS | Test des Upgrades auf TLS | TLS-Version, Cipher-Suite |
| TLS-Zertifikat | Inspektion des Serverzertifikats | Inhaber (Subject), Aussteller, Ablaufdatum, SAN, Kette |
| Open Relay | Test MAIL FROM + RCPT TO extern | Relaying abgelehnt (OK) oder akzeptiert (Gefahr) |
Konkrete Anwendungsfälle
Diese drei Szenarien sehen wir bei CaptainDNS-Nutzern am häufigsten:
Fall 1: E-Mails bouncen
Symptom: Absender erhalten Fehler wie "connection timeout" oder "host unreachable", wenn sie an Ihre Domain senden.
Diagnose: Der SMTP/MX-Tester zeigt, dass der sekundäre MX-Server (mx2) nicht erreichbar ist, weil Port 25 durch die Firewall blockiert wird.
Maßnahme: Port 25 eingehend in der Firewall des mx2-Servers öffnen oder den MX-Eintrag entfernen, falls der Server nicht mehr aktiv ist.
Fall 2: Abgelaufenes TLS-Zertifikat
Symptom: Server mit strikter MTA-STS-Richtlinie weigern sich, E-Mails an Ihre Domain zuzustellen.
Diagnose: Das Tool erkennt, dass das Zertifikat abgelaufen ist (Ablaufdatum überschritten). Der Hostname im SAN stimmt nicht mit dem MX überein.
Maßnahme: TLS-Zertifikat erneuern und sicherstellen, dass der SAN den exakten MX-Hostnamen enthält.
Fall 3: Open Relay erkannt
Symptom: Ihre IP taucht plötzlich auf mehreren Blocklisten auf.
Diagnose: Der Open-Relay-Test zeigt, dass der Server E-Mails an externe Domains ohne Authentifizierung weiterleitet.
Maßnahme: Den SMTP-Server so konfigurieren, dass nicht-authentifiziertes Relaying abgelehnt wird. Transportregeln und Relay-Beschränkungen prüfen.
FAQ: Häufig gestellte Fragen
F: Warum sollte ich die SMTP-Konnektivität meiner MX-Server testen?
A: Selbst mit perfekten DNS-Einträgen (SPF, DKIM, DMARC): Wenn Ihre MX-Server nicht erreichbar sind oder kein TLS unterstützen, werden E-Mails nicht korrekt zugestellt. Dieser Test prüft die tatsächliche Transportschicht.
F: Was ist STARTTLS und warum ist es wichtig?
A: STARTTLS (RFC 3207) ermöglicht das Upgrade einer unverschlüsselten SMTP-Verbindung auf eine TLS-verschlüsselte Verbindung. Ohne STARTTLS werden E-Mails im Klartext übertragen, ein erhebliches Sicherheitsrisiko. Die meisten modernen Anbieter verlangen daher STARTTLS.
F: Was ist der Unterschied zwischen STARTTLS und implizitem TLS?
A: STARTTLS (RFC 3207) hebt eine SMTP-Klartextverbindung nach dem anfänglichen Handshake auf eine verschlüsselte TLS-Verbindung an. Implizites TLS (Port 465, RFC 8314) verschlüsselt von Anfang an. Für den Server-zu-Server-MX-Verkehr bleibt STARTTLS auf Port 25 der Standard.
F: Was ist ein Open Relay und warum ist es gefährlich?
A: Ein Open Relay ist ein SMTP-Server, der E-Mails für beliebige Absender ohne Authentifizierung weiterleitet. Das ist eine schwerwiegende Sicherheitslücke, die von Spammern ausgenutzt wird. Ihr Server wird schnell auf einer Blockliste landen.
F: Was bedeutet das SMTP-Banner?
A: Das Banner ist die erste Antwort des Servers (Code 220). Es enthält den Hostnamen und manchmal die MTA-Software. Ein korrekt konfiguriertes Banner sollte keine sensiblen Informationen preisgeben.
F: Mein MX-Server ist nicht erreichbar, was tun?
A: Prüfen Sie die Firewall (Port 25), den SMTP-Dienst und die MX-DNS-Einträge. Manche Cloud-Hoster blockieren Port 25 standardmäßig.
F: Welche TLS-Version wird empfohlen?
A: TLS 1.2 ist das Minimum, TLS 1.3 wird empfohlen. Die Versionen 1.0 und 1.1 sind veraltet und unsicher.
F: Wie interpretiere ich die EHLO-Extensions?
A: STARTTLS (Verschlüsselung), SIZE (max. Größe), 8BITMIME (Codierung), PIPELINING (Performance), SMTPUTF8 (Internationalisierung). Je mehr der Server unterstützt, desto moderner ist er.
Testen Sie jetzt Ihre MX-Server
Ein falsch konfigurierter MX-Server kann Ihre E-Mails tagelang stillschweigend blockieren. Geben Sie Ihre Domain in das Tool oben ein, um Probleme mit Erreichbarkeit, TLS-Verschlüsselung und Relay-Konfiguration sofort zu erkennen. Bei Problemen helfen Ihnen die obigen Anwendungsfälle bei der Behebung, oder nutzen Sie die ergänzenden Tools für ein vollständiges E-Mail-Audit.
Ergänzende Tools
| Tool | Nutzen |
|---|---|
| DNS-Lookup (MX, A, TXT) | Lösen Sie die MX-Einträge und die DNS-Zone Ihrer Domain auf |
| MTA-STS Record Check | Prüfen Sie die MTA-STS-Richtlinie, die TLS für den Transport erzwingt |
| TLS-RPT Record Check | Konfigurieren Sie TLS-Berichte zur Überwachung von Verbindungsfehlern |
| DNS-Domain-Check | Vollständiges Audit von SPF, DKIM, DMARC, MTA-STS, BIMI |
| Domain-Blocklist-Check | Prüfen Sie, ob Ihre Domain auf einer Blockliste steht |
| Mail Tester | Testen Sie die vollständige Zustellbarkeit Ihrer E-Mails |
Nützliche Ressourcen
- RFC 5321 (SMTP): Spezifikation des SMTP-Protokolls
- RFC 3207 (STARTTLS): SMTP-Erweiterung für TLS
- RFC 8461 (MTA-STS): strikter TLS-Transport für SMTP
- RFC 7672 (DANE): SMTP-Authentifizierung basierend auf DNSSEC
Datenschutzhinweis
Es werden keine SMTP-Verbindungsdaten gespeichert. Die Ergebnisse werden nicht aufgezeichnet und es werden keine E-Mails beim Test versendet. Der Open-Relay-Test verwendet einen RCPT-TO-Befehl, ohne eine Nachricht zu senden (kein DATA).