MTA-STS-Richtlinienprüfer

Ruft den _mta-sts-TXT-Eintrag und die mta-sts.txt-Richtliniendatei einer Domain ab, um zu prüfen, ob die verpflichtende TLS-Verschlüsselung beim Mailtransport (MTA-STS) korrekt konfiguriert ist.

Zuletzt aktualisiert: 2026-09-20

Erzwungenes TLS bei der Zustellung prüfen (MTA-STS)

Die Verschlüsselung in SMTP ist von Hause aus eine freiwillige Angelegenheit, die versucht wird, wo es geht — was bedeutet, dass ein dazwischengeschalteter Angreifer, der die STARTTLS-Ankündigung entfernt, den Austausch in den Klartext zwingen kann. MTA-STS ist die Vereinbarung, die dies unterbindet, indem sie **sendenden Servern aufträgt, Post für die Domäne über TLS zu befördern.** Dieses Werkzeug holt sowohl den `_mta-sts`-TXT-Eintrag als auch die Richtliniendatei und meldet, ob die Einrichtung vollständig ist.

**Verwirrend an dieser Vereinbarung ist, dass die Richtlinie selbst nicht im DNS liegt.** Der TXT-Eintrag führt lediglich eine `id`, die die Fassung kennzeichnet; **die Substanz wird über HTTPS von `https://mta-sts.ihredomäne/.well-known/mta-sts.txt` ausgeliefert.** Das Vertrauen dieses Verfahrens ruht somit auf Webzertifikaten und nicht auf dem DNS. **Und am häufigsten bleibt man daran hängen, `mode` auf `testing` zu belassen.** In diesem Zustand geht die Zustellung trotz eines TLS-Fehlers durch, und **die Erzwingung greift erst, wenn der Wert `enforce` lautet.** Die eingespielte Reihenfolge der Einführung ist, bei `testing` zu bleiben, die TLS-RPT-Berichte zu verfolgen, bis nichts mehr scheitert, und erst dann auf `enforce` zu wechseln.

So gehen Sie vor

Geben Sie die Domäne ein Nennen Sie allein die Domäne, in der Form `example.com`.
Prüfen Sie den TXT-Eintrag **Suchen Sie nach `v=STSv1` und einer `id=`.** Die `id` wird bei jeder Aktualisierung der Richtlinie geändert.
Lesen Sie den Inhalt der Richtliniendatei Drei Angaben erscheinen: `mx`, `max_age` und `mode`.
Bestätigen Sie den mode **Bei `testing` wird nichts erzwungen.** Erst `enforce` verleiht der Richtlinie Wirkung.

Tipps für die Nutzung

MTA-STS wird vom sendenden Server geprüft, nicht vom empfangenden. Sobald Sie es veröffentlichen, verlangen fremde Server bei E-Mails an Ihre Domain zwingend TLS.
Führen Sie MTA-STS zunächst einige Wochen bis einen Monat im Modus testing ein, bevor Sie zu enforce wechseln, damit unerwartete Zustellablehnungen nicht überraschen.
max_age wird üblicherweise zwischen 604800 Sekunden (7 Tage) und 31557600 Sekunden (1 Jahr) gesetzt. Ein zu kurzer Wert erzwingt häufigeres erneutes Abrufen der Richtliniendatei.
Im mx-Feld ist ein Platzhalter (*.example.com) möglich, doch der SAN (Subject Alternative Name) des TLS-Zertifikats muss zu diesem Platzhalter passen.
Nur den DNS-Eintrag oder nur die Richtliniendatei zu veröffentlichen bewirkt nichts — MTA-STS greift erst, wenn beide gleichzeitig vorhanden sind.

Wofür Sie es nutzen können

Um die eigene Domäne zu prüfen

**Da das Verfahren DNS und HTTPS zugleich braucht, finden Sie heraus, welche der beiden Hälften fehlt.**

Um vor dem Wechsel auf enforce zu prüfen

Fehler in der Einrichtung lassen sich ausräumen, solange man noch bei `testing` ist.

Um nach dem Hinzufügen eines MX nachzusehen

**Vergisst man, einen neuen MX-Rechner in die `mx`-Liste der Richtlinie aufzunehmen, wird die Zustellung an ihn abgewiesen.**

Um zu erfahren, wie weit ein Geschäftspartner ist

Sie sehen, ob er für die eigene Post TLS erzwingt.

Begriffe zu MTA-STS

_mta-sts TXT: **Der DNS-Eintrag, der die `id` zur Kennzeichnung der Richtlinienfassung führt.** Die Richtlinie selbst liegt nicht hier.
Richtliniendatei: Die Substanz, abgelegt unter `https://mta-sts.ihredomäne/.well-known/mta-sts.txt`. **Da sie über HTTPS ausgeliefert wird, verlangt sie ein gültiges Zertifikat.**
Mode: Eines von `enforce`, `testing` oder `none`. **Unter `testing` wird die Post auch bei fehlgeschlagener Prüfung zugestellt.**
Max_age: Wie viele Sekunden ein Absender die Richtlinie zwischenspeichern darf. Ein höherer Wert stärkt den Schutz, verlangsamt aber die Verbreitung jeder Änderung.
Mx: Die Liste der MX-Rechner, für die TLS erzwungen wird. **Die Zustellung an einen darin fehlenden Rechner wird abgewiesen.**
STARTTLS-Herabstufung: Der Angriff, bei dem ein Dazwischengeschalteter die STARTTLS-Ankündigung entfernt, um Klartext zu erzwingen. **MTA-STS wurde ersonnen, um ihn zu verhindern.**

Häufige Fragen

Nicht zwangsläufig — die meisten Domains verwenden noch kein MTA-STS. Wer den Schutz gegen STARTTLS-Stripping-Angriffe verstärken möchte, sollte die Einführung aber in Erwägung ziehen.

SPF, DKIM und DMARC authentifizieren den Absender, um Spoofing zu verhindern. MTA-STS hat damit nichts zu tun — es erzwingt TLS-Verschlüsselung auf dem Transportweg selbst und schützt damit vor einer anderen Bedrohungsart.

Nicht auf der eigenen Domain, sondern unter /.well-known/mta-sts.txt auf einer Subdomain mit dem Präfix „mta-sts.“ (z. B. mta-sts.example.com), bereitgestellt mit einem gültigen TLS-Zertifikat.

Das wird nicht empfohlen. Betreiben Sie den Modus testing einige Wochen bis einen Monat, überwachen Sie die Zustellung mit TLS-RPT und wechseln Sie erst zu enforce, wenn Sie sicher sind, dass nichts unerwartet abgelehnt wird.

Dieses Tool prüft nur die Syntax und die Pflichtfelder von TXT-Eintrag und Richtliniendatei. Es validiert weder das TLS-Zertifikat noch führt es einen echten TLS-Handshake mit den gelisteten MX-Hosts durch. Für eine strengere Prüfung kombinieren Sie es mit einem spezialisierten Tool wie checktls.com.

Übrigens – Warum STARTTLS nicht ausreichte und wie MTA-STS entstand

Jahrzehntelang beruhte die Transportverschlüsselung bei SMTP auf STARTTLS (standardisiert 1999), das eine Verbindung im Klartext öffnet und erst danach auf TLS umstellt. 2014 bestätigten Sicherheitsforscher reale „STARTTLS-Stripping“-Angriffe: Da die STARTTLS-Aushandlung selbst noch vor Beginn der Verschlüsselung stattfindet, konnte ein Angreifer auf dem Übertragungsweg die Serverantwort so manipulieren, dass die STARTTLS-Unterstützung verborgen blieb — die Gegenseite fiel dann auf Klartext zurück.

Die Ursache war, dass STARTTLS bewusst so entworfen wurde, bei fehlender TLS-Unterstützung der Gegenseite auf Klartext zurückzufallen — eine Kompatibilitätsfunktion, die Angreifer ausnutzen konnten, indem sie einfach vortäuschten, TLS werde nicht unterstützt. Um 2015 zeigten eigene Messungen von Google, dass STARTTLS-Stripping in bestimmten Ländern und bei bestimmten Providern in großem Umfang stattfand.

MTA-STS (RFC 8461, veröffentlicht 2018) war die Antwort der Branche darauf, gemeinsam entwickelt von Google, Microsoft, Yahoo und weiteren. Eine Domain erklärt ihre MTA-STS-Unterstützung über einen DNS-TXT-Eintrag und veröffentlicht dann eine per HTTPS abgerufene Richtliniendatei mit den erlaubten MX-Hosts und TLS-Anforderungen. Nach dem Abruf wird die Richtlinie für die Dauer von max_age zwischengespeichert, sodass ein späterer Downgrade-Versuch erkannt und abgelehnt statt stillschweigend akzeptiert werden kann.

MTA-STS wird häufig mit TLS-RPT (TLS Reporting, RFC 8460) kombiniert, das Domaininhabern Berichte zukommen lässt, wenn ein sendender Server keine TLS-Verbindung aufbauen kann. MTA-STS übernimmt die Durchsetzung, TLS-RPT die Beobachtbarkeit — beides zusammen einzusetzen gilt heute als bewährte Praxis.

Alle Wissenstexte ansehen