Einen eigenen Mailserver aufsetzen | Der lange Weg von der Idee bis zur ersten Mail

Konzept → DNS → Reverse Proxy → Container → Zertifikate → Versandwege → Webmail

Es gibt zwei Sorten von Anleitungen für eigene Mailserver. Die einen zeigen einen Befehl, nach dem angeblich alles läuft. Die anderen sind so lang, dass man nach dem dritten Absatz aufgibt. Beide führen zum selben Ergebnis, nämlich zu einem Server, dessen Mails niemand annimmt.

Der Grund ist immer derselbe. Ein Mailserver ist technisch schnell installiert. Was Zeit kostet, ist alles drumherum, und das meiste davon passiert, bevor man den ersten Befehl eintippt. Wer das in der falschen Reihenfolge angeht, baut sich ein System, das im eigenen Netz wunderbar funktioniert und draußen niemanden interessiert.

Dieser Bericht geht den Weg in der Reihenfolge, in der er tatsächlich gegangen werden muss.

Was so ein Server heute mitbringt

Früher war ein Mailserver ein Flickenteppich. Ein Dienst nahm Mail entgegen, ein zweiter verschickte sie, ein dritter kümmerte sich um Kalender, ein vierter um Kontakte. Jeder mit eigener Konfiguration, eigenen Anschlüssen, eigenen Eigenheiten.

Inzwischen gibt es Server, die das in einem Paket mitbringen. Mail über die alten Protokolle, damit vorhandene Programme weiter funktionieren, dazu das neue Protokoll, das Mail, Kalender und Kontakte über eine einzige Schnittstelle abwickelt. Kalender und Kontakte laufen zusätzlich über die etablierten Wege, damit auch ältere Geräte mitspielen. Und ein Dateiaustausch ist ebenfalls dabei.

Was daraus folgt, ist angenehm: eine Anwendung, eine Konfiguration, eine Sache, die man absichern und überwachen muss. Wer schon einmal vier Dienste gleichzeitig aktuell gehalten hat, weiß, was das wert ist.

Die erste Entscheidung: im eigenen Netz oder außerhalb

Das ist keine Geschmacksfrage. Die Antwort hängt daran, was Ihr Anschluss hergibt, und für die meisten fällt sie schon hier.

Im eigenen Netz brauchen Sie eine feste öffentliche Adresse. Nicht eine, die sich täglich ändert, sondern eine, die bleibt. Sie brauchen den Anschluss für die Mailzustellung in beide Richtungen offen. Und Sie brauchen die Möglichkeit, den Rückwärtseintrag zu Ihrer Adresse zu setzen.

Genau daran scheitert es meistens. Viele Anbieter für Privatanschlüsse sperren den Mailverkehr grundsätzlich, ein- und ausgehend. Manche tun das ohne Ankündigung, und man merkt es erst, wenn nichts ankommt. Wenn Ihr Anbieter das tut, ist die Sache an dieser Stelle beendet, und alles Weitere wäre verlorene Zeit.

Auf einem gemieteten Server außerhalb sieht es anders aus. Dort bekommen Sie in aller Regel eine feste öffentliche Adresse. Der Anschluss ist meistens frei, und wenn nicht, lässt sich das mit dem Anbieter klären. Man muss dann manchmal erklären, was man vorhat, und gelegentlich hängt es am gebuchten Tarif.

Der zweite Vorteil wird oft übersehen. Der ganze riskante Verkehr findet außerhalb Ihres Netzes statt. Ihr eigenes Netz bleibt zu, und was von außen kommt, klopft an einer Maschine an, die nicht bei Ihnen im Keller steht.

Für die meisten ist das der ruhigere Weg, und ich würde ihn empfehlen. Wer sein Netz ohnehin schon geöffnet hat und weiß, was er tut, kann es auch zu Hause betreiben. Das Vorgehen ist in beiden Fällen dasselbe.

Die vier Voraussetzungen, ohne die es nicht geht

Bevor Sie irgendetwas installieren, prüfen Sie diese vier Punkte. Fehlt einer davon, hören Sie hier auf und lösen erst das.

Eine feste öffentliche Adresse

Ohne die geht nichts. Wechselnde Adressen taugen für Webseiten, für Mail nicht. Der Grund liegt nicht in der Technik, sondern in der Reputation: Empfangende Systeme merken sich, welche Adressen sich anständig verhalten. Eine Adresse, die gestern jemand anderem gehörte, hat keine Geschichte, und ohne Geschichte ist man verdächtig.

Der Anschluss für die Mailzustellung

Eingehend und ausgehend. Bei gemieteten Servern ist er meist offen. Bei Privatanschlüssen oft nicht. Prüfen Sie das, bevor Sie weitermachen.

Der Rückwärtseintrag

Das ist der Punkt, an dem die meisten Versuche sterben, und deshalb steht er hier ausführlich.

Ein gewöhnlicher Eintrag im Namenssystem sagt: Dieser Name gehört zu dieser Adresse. Der Rückwärtseintrag geht die andere Richtung: Diese Adresse gehört zu diesem Namen. Beide müssen zusammenpassen.

Empfangende Systeme prüfen das. Kommt eine Mail von einer Adresse, zu der kein Name hinterlegt ist, oder passt der Name nicht zu dem, was der Server von sich behauptet, wird die Mail entweder als Spam einsortiert oder gleich abgewiesen. Ohne diesen Eintrag findet kein Versand statt. Das ist keine Empfehlung, sondern die Praxis.

Den Eintrag setzt nicht Ihr Domain-Anbieter, sondern derjenige, dem die Adresse gehört. Bei einem gemieteten Server ist das der Hoster, meist über dessen Verwaltungsoberfläche. Zu Hause ist es Ihr Internetanbieter, und bei Privatanschlüssen wird er das in aller Regel nicht tun.

Wenn Sie den Eintrag nicht setzen können, bleibt nur ein Weiterleitungsdienst für den Versand. Ihre Mails gehen dann an einen Anbieter, der eine gepflegte Reputation hat, und der stellt sie zu. Empfangen können Sie trotzdem selbst.

Ein DNS-Anbieter mit Schnittstelle

Der Server holt sich die Zertifikate selbst. Dafür muss er beweisen, dass ihm die Domain gehört, und das läuft über einen Eintrag im Namenssystem, den er selbst setzt und wieder entfernt. Ihr Anbieter muss ihm das über eine Schnittstelle erlauben.

Nicht jeder tut das. Und wer seine Domain bei einem Anbieter hat, der Mail als lästiges Anhängsel zur Webseite behandelt, sollte über einen Wechsel nachdenken, bevor er anfängt. Es ist ärgerlich, nach drei Stunden Arbeit festzustellen, dass der letzte Schritt nicht geht.

Das Namenskonzept, und warum es vorher steht

Legen Sie die Namen fest, bevor Sie etwas installieren. Nicht, weil es ordentlich wäre, sondern weil Sie sie an mehreren Stellen gleichzeitig brauchen und ein späterer Wechsel überall nachgezogen werden muss.

Sie brauchen mindestens drei:

• Einen für den Mailserver selbst. Das ist der Name, unter dem er sich bei anderen Servern meldet und auf den der Rückwärtseintrag zeigt.
• Einen für die Verwaltungsoberfläche.
• Einen für den Webzugang zur Mail.

Dazu die Einträge im Namenssystem: ein Eintrag, der auf die Adresse Ihres Servers zeigt, weitere Namen, die darauf verweisen, und der Eintrag für die Mailzustellung. Letzterer trägt eine Zahl als Priorität, und dabei stolpern viele: Die niedrigere Zahl hat den Vorrang. Wer zwei Server hat, gibt dem wichtigeren die kleinere Zahl.

Vor die Weboberflächen gehört ein vorgelagerter Server. Der verteilt die Zugriffe auf die richtigen Ziele und kümmert sich um die Zertifikate für die Weboberflächen. Den richten Sie ein, bevor der Mailserver läuft, denn danach ist es unbequemer.

Die Installation

Jetzt erst. Und jetzt ist es unspektakulär.

Der Server läuft in einem Behälter. Zwei Dinge lohnen dabei einen Gedanken.

Die Anschlüsse. Der Server bietet einiges an, und auf einem Wirt, auf dem schon anderes läuft, kollidiert das. Statt lange zu suchen, setzen Sie einfach eine Ziffer davor. Aus einem belegten Anschluss wird so ein freier, und Sie merken sich die Regel statt einer Liste.

Das Netz. Legen Sie den Behälter in dasselbe Netz wie den vorgelagerten Server. Dann sprechen die beiden über ihre Namen statt über Adressen. Das klingt nach einer Kleinigkeit und erspart Ihnen die ganze Klasse von Problemen, die entsteht, wenn sich eine Adresse ändert oder das Netz neu aufgebaut wird.

Bei den Ablageorten würde ich Verzeichnisse auf dem Wirt nehmen und nicht die verwalteten Ablagen des Behältersystems. Der Grund ist banal und wichtig: Man kommt jederzeit heran, kann sichern, hineinschauen und im Zweifel etwas von Hand richten. Achten Sie darauf, dass die Rechte stimmen, sonst startet der Behälter und beschwert sich über etwas, das man erst im Protokoll findet.

Der erste Start

Beim ersten Start läuft der Server in einem Einrichtungsmodus. Das steht so im Protokoll, und dort steht auch ein Zugang, der nur für diese Phase gilt und nur einmal angezeigt wird. Schauen Sie also ins Protokoll, bevor Sie irgendetwas anderes tun.

Danach öffnen Sie die Verwaltungsoberfläche und melden sich mit diesem Zugang an.

Als Erstes wird nach der Hauptdomain gefragt, unter der der Server arbeiten soll. Die meisten haben eine, manche zwei. Weitere lassen sich später ergänzen.

Die Datenbank, und warum ich beim Einfachen bleiben würde

Man kann den Server mit einer externen Datenbank betreiben. Man kann es auch lassen, und für den Anfang würde ich es lassen.

Die eingebaute Variante kommt ohne zusätzliche Installation aus. Eine externe Datenbank bedeutet: Sie muss vorher existieren, sie muss erreichbar sein, der Zugriff muss gesichert sein, und sie muss ebenfalls gesichert und aktuell gehalten werden. Wer auf einem gemieteten Server sitzt und auf eine Datenbank im eigenen Netz zugreifen will, baut sich obendrein ein Netzwerkproblem, das er nicht braucht.

Wechseln kann man später immer noch, wenn es tatsächlich nötig wird. Am Anfang ist jede zusätzliche bewegliche Teilkomponente eine Fehlerquelle mehr.

Zertifikate

Der Server holt sie sich selbst, aber er braucht dafür Zugang zu Ihrem Namenssystem. Sie hinterlegen also die Zugangsdaten Ihres Anbieters in den Einstellungen. Wichtig ist dabei das Prüfverfahren: Es muss dasjenige über einen Eintrag im Namenssystem sein, nicht das über eine Webseite. Nur so bekommen Sie Zertifikate auch für Namen, die von außen gar nicht erreichbar sein sollen.

Ein Detail, das Ärger macht, wenn man es übersieht: Der Server kann die mailbezogenen Einträge selbst verwalten. Das ist bequem, überschreibt aber unter Umständen Einträge, die Sie von Hand gepflegt haben. Sehen Sie sich vorher an, welche Einträge er anfassen darf, und schränken Sie das ein, wenn Sie eigene Vorstellungen haben.

Wohin die Mail geht

Der Server entscheidet in dieser Reihenfolge. Zuerst prüft er, ob die Empfängeradresse bei ihm selbst liegt. Wenn ja, landet die Mail direkt im Postfach und muss das Haus nie verlassen. Wenn nein, geht sie nach draußen.

Für den Weg nach draußen gibt es zwei Möglichkeiten. Entweder der Server stellt selbst zu, dann braucht er die Reputation, über die wir oben gesprochen haben. Oder er gibt die Mail an einen Weiterleitungsdienst ab, der das übernimmt.

Den Weiterleitungsdienst richten Sie als eigenes Ziel ein, mit Adresse, Anschluss und Verschlüsselung, und legen dann fest, wann er benutzt wird. Das ist der Rettungsanker für alle, die den Rückwärtseintrag nicht setzen können.

Webmail

Der Mailserver selbst bringt keine Weboberfläche für die Mail mit, er ist reine Serversoftware. Wer Mail im Browser lesen will, setzt eine eigene Anwendung davor, ebenfalls als Behälter, ebenfalls mit einem eigenen Namen und einem eigenen Eintrag im vorgelagerten Server.

Rechnen Sie damit, dass die neueren Oberflächen noch jung sind. Was seit zwanzig Jahren gewachsen ist, holt man nicht in ein paar Monaten ein. Für den täglichen Gebrauch reicht es, an manchen Ecken merkt man das Alter des Projekts.

Was am Ende dasteht

Eine Mail an sich selbst kommt sofort an, das ist der Moment, in dem sich der Aufwand anfühlt wie etwas. Der eigentliche Test ist aber der andere: eine Mail an eine fremde Adresse, die dort im Posteingang landet und nicht im Spamordner. Das ist der Punkt, an dem sich zeigt, ob die Vorarbeit gestimmt hat.

Und um ehrlich zu bleiben: Es kann sein, dass das am Anfang nicht klappt. Eine frische Adresse hat keine Geschichte, und manche Empfänger sind misstrauisch, bis sich das ändert. Das ist normal und legt sich, wenn regelmäßig anständige Mail von dieser Adresse kommt.

Der Satz, den ich mir gemerkt habe

Technisch ist so ein Server in kurzer Zeit aufgesetzt. Ein tragfähiges Konzept dahinter ist Arbeit, und die fällt vor dem ersten Befehl an. Wer diese Reihenfolge umdreht, hat am Ende einen laufenden Server, dessen Mail niemand annimmt, und sucht den Fehler an der falschen Stelle.

Selbstprüfung

1. Welche vier Voraussetzungen prüfen Sie, bevor Sie überhaupt anfangen, und welche davon kann Ihr Domain-Anbieter nicht erfüllen?
2. Warum entscheidet der Rückwärtseintrag darüber, ob Ihre Mail ankommt, und wer setzt ihn?
3. Welche Priorität hat bei zwei Einträgen für die Mailzustellung Vorrang, die höhere oder die niedrigere Zahl?
4. Warum sollten Behälter und vorgelagerter Server im selben Netz liegen?
5. In welcher Reihenfolge entscheidet der Server, wohin eine Mail geht?