SecurityGateway für E-Mail-Server v10.0

SecurityGateway enthält die neueste Verschlüsselungstechnik, um Ihre Daten zu schützen. Das Protokoll Secure Sockets Layer (SSL) — auch bekannt unter Transport Layer Security (TLS) — mit der SMTP-Erweiterung STARTTLS verhindert, dass Dritte Ihren E-Mail-Verkehr abfangen und mitlesen. Durch HTTPS bietet SecurityGateway einen vergleichbaren Schutz für die Web-Schnittstelle.

Das SSL-Protokoll wurde durch die Netscape Communications Corporation entwickelt und ist die Standard-Methode zur Sicherung der Kommunikation zwischen Servern und Clients über das Internet. Es bietet in TCP/IP-Verbindungen die Echtheitsbestätigung für den Server, Datenverschlüsselung und, wahlweise, die Echtheitsbestätigung für den Client. Da SSL bereits in alle aktuellen und gängigen Browser eingebunden ist, genügt es, ein gültiges digitales Zertifikat auf dem Server zu installieren, um die SSL-Funktionen im Browser beim Verbindungsaufbau mit SecurityGateway zu aktivieren. Für Verbindungen von Mailclients unterstützt SecurityGateway die SMTP-Erweiterung STARTTLS über SSL/TLS. In diesem Fall müssen Sie aber zunächst Ihren Client für die Nutzung von SSL konfigurieren, und der Client muss diese Erweiterung unterstützen. Die meisten Mailclients, jedoch nicht alle, unterstützen diese Erweiterung.

E-Mail- und HTTPS-Verschlüsselung

Unterstützung für SSL und STARTTLS für SMTP und HTTPS aktivieren

Um die Unterstützung für das Protokoll SSL/TLS mit der Erweiterung STARTTLS zu aktivieren, aktivieren Sie dieses Kontrollkästchen. Es wird dann das Zertifikat genutzt, das im Abschnitt Zertifikat auswählen weiter unten als "Aktiv" gekennzeichnet ist. Eine Anmeldung an SecurityGateway durch HTTPS über die verschlüsselte Web-Schnittstelle ist nur möglich, wenn diese Option und ein gültiges Zertifikat aktiv sind. Die Option ist per Voreinstellung abgeschaltet.

Nachrichten mit STARTTLS versenden, soweit möglich

Diese Option bewirkt, dass SecurityGateway bei jeder Nachricht, die über SMTP versendet wird, versucht, die Erweiterung STARTTLS zu nutzen. Unterstützt der Server der Gegenstelle STARTTLS nicht, so wird die Nachricht ohne SSL normal zugestellt. Diese Option ist per Voreinstellung abgeschaltet.

Nach Fehlern in der SSL-Protokollaushandlung Übermittlung bis zu eine Stunde lang ohne SSL versuchen

Diese Option bewirkt, dass Gegenstellen, bei denen während der SMTP-Verbindung ein SSL-Fehler auftritt, vorübergehend in die Freigabeliste aufgenommen werden. Die Freigabeliste wird jede Stunde zurückgesetzt.

Neuere Zertifikate automatisch erkennen und aktivieren

Diese Option bewirkt, dass das System während der Wartung um Mitternacht alle aktiven Zertifikate überprüft. Für jedes Zertifikat wird dabei geprüft, ob ein anderes Zertifikat mit einem späteren Ablaufdatum auf dem System vorhanden ist, ob sich dieses andere Zertifikat auf denselben Hostnamen bezieht, und ob es auch alle alternativen Hostnamen enthält. Falls ein Zertifikat gefunden wird, das alle genannten Anforderungen erfüllt, dann wird dieses Zertifikat automatisch als aktives Zertifikat festgelegt. Dies ist besonders nützlich, falls auf dem System mithilfe eines automatischen Prozesses die Zertifikate automatisch aktualisiert werden, etwa über Let's Encrypt. Diese Option ist per Voreinstellung aktiv.

REQUIRETLS (RFC 8689) aktivieren

Mithilfe von RequireTLS können Sie festlegen, welche Nachrichten zwingend über TLS-geschützte Verbindungen übermittelt werden müssen. Steht TLS für die Übermittlung einer solchen Nachricht nicht zur Verfügung, oder sind die Parameter, die während des TLS-Verbindungsaufbaus und für die beteiligten Zertifikate übermittelt werden, nicht akzeptabel, so werden die Nachrichten zurückgeleitet und nicht etwa ohne TLS zugestellt. Eine vollständige Beschreibung für RequireTLS finden Sie in englischer Sprache in dem RFC-Dokument RFC 8689: SMTP Require TLS Option.

RequireTLS ist per Voreinstellung aktiv. Es wirkt jedoch nur auf solche Nachrichten, die aufgrund der neuen Aktion des Inhaltsfilters "Nachricht für REQUIRETLS kennzeichnen" ausdrücklich entsprechend gekennzeichnet werden, oder die an nach dem Schema <Postfach>+requiretls@Domäne.tld aufgebaute E-Mail-Adressen (z.B. arvel+requiretls@mdaemon.com) versandt werden. Alle anderen Nachrichten werden so verarbeitet, als ob das Leistungsmerkmal nicht aktiv wäre. Nachrichten, für die RequireTLS aktiv ist, können nur dann erfolgreich versandt werden, wenn bestimmte Bedingungen alle erfüllt sind. Ist auch nur eine Bedingung nicht erfüllt, so werden die Nachrichten nicht etwa über eine unverschlüsselte Verbindung übermittelt sondern an den Absender zurückgeleitet. Folgende Bedingungen sind zu erfüllen:

•RequireTLS muss aktiv sein.

•Die Nachricht muss so gekennzeichnet sein, dass für sie die RequireTLS-Anforderungen einschlägig sind. Dies kann entweder über eine Aktion des Inhaltsfilters oder über den Versand an eine Empfängeradresse nach dem Schema "<Postfach>+requiretls@..." geschehen.

•Der MX-Eintrag der Domäne des Empfängers muss mithilfe von MTA-STS versehen sein.

•Die Verbindung mit dem Mailserver des Empfängers muss mithilfe von SSL (STARTTLS) gesichert sein.

•Das SSL-Zertifikat des empfangenden Hosts muss mit dem MX-Hostnamen übereinstimmen und eine Vertrauenskette zu einer vertrauenswürdigen Stammzertifizierungsstelle (CA) aufweisen.

•Der Mailserver des Empfängers muss REQUIRETLS unterstützen und dies in der Antwort auf den Befehl EHLO bekannt geben.

•Alle vorstehenden Bedingungen müssen erfüllt sein, da sonst die Nachricht nicht zugestellt sondern an den Absender zurückgeleitet wird.

MTA-STA (RFC 8461) aktivieren

Das Leistungsmerkmal MTA-STS ist per Voreinstellung aktiv. Eine vollständige Beschreibung für MTA-STS finden Sie in englischer Sprache in dem RFC-Dokument RFC 8461: SMTP MTA Strict Transport Security (MTA-STS).

Das Verfahren SMTP MTA Strict Transport Security (abgekürzt MTA-STS, Verfahren für erzwungene Transportverschlüsselung für SMTP-Mailserver) gestattet es Anbietern von E-Mail-Dienstleistungen, bekannt zu geben, dass sie durch Transport Layer Security (TLS) transportverschlüsselte SMTP-Verbindungen unterstützen. Darüber hinaus können sie festlegen, ob SMTP-Server, die Nachrichten an sie übermitteln wollen, die Übermittlung von Nachrichten an solche MX-Hosts ablehnen sollen, die TLS mit einem vertrauenswürdigen Server-Zertifikat nicht unterstützen.

Um MTA-STS für Ihre eigene Domäne zu konfigurieren, ist zunächst eine Richtliniendatei erforderlich. Diese Richtliniendatei muss über HTTPS von einem URL abrufbar sein, der nach dem Schema https://mta-sts.Domäne.TLD/.well-known/mta-sts.txt gebildet ist. An die Stelle "Domäne.TLD" ist dabei Ihr eigener Domänenname zu setzen. Der Inhalt der Richtliniendatei muss Einträge des folgenden Formats enthalten:

version: STSv1

mode: testing

mx: mail.domain.tld

max_age: 86400

Als "mode" (Modus) können Sie "none" (kein MTA-STS), "testing" (MTA-STS im Versuchsbetrieb) und "enforce" (Richtlinie ist verpflichtend) einsetzen. Für jeden Ihrer MX-Hostnamen soll eine eigene Zeile "mx" enthalten sein. Subdomänen können Sie durch Jokerzeichen erfassen, etwa "*.Domäne.TLD". Der Gültigkeitszeitraum für den Eintrag (max_age) wird in Sekunden angegeben. Häufig verwendete Werte hierfür sind 86400 (dies entspricht einem Kalendertag) und 604800 (dies entspricht einer Woche).

Weiter ist ein DNS-Eintrag des Typs TXT erforderlich. Dieser Eintrag muss unter _mta-sts.Domäne. TLD abrufbar sein. An die Stelle "Domäne.TLD" ist dabei Ihr eigener Domänenname zu setzen. Der Eintrag muss dem folgenden Format entsprechen:

v=STSv1; id=20200206T010101;

Der Wert der "id" muss immer dann geändert werden, wenn sich der Inhalt der Richtliniendatei ändert. Es ist üblich, als "id" einen Zeitstempel zu verwenden.

TLS-Berichte (RFC 8460) aktivieren

Die Erstellung der TLS-Berichte ist per Voreinstellung abgeschaltet. Eine vollständige Beschreibung für die TLS-Berichte finden Sie in englischer Sprache in dem RFC-Dokument RFC 8460: SMTP TLS Reporting.

Mithilfe des Leistungsmerkmals zur Berichterstellung über SMTP TLS ("TLS-Berichte") können Domänen, die MTA-STS einsetzen, Benachrichtigungen erhalten, falls der Abruf der Richtliniendatei für MTA-STS oder die Herstellung einer verschlüsselten Verbindung mittels STARTTLS fehlschlagen. Wenn dieses Leistungsmerkmal aktiv ist, sendet SecurityGateway einmal täglich einen Bericht an alle Domänen, an die SecurityGateway während des zurückliegenden Tages Nachrichten versandt oder zu versenden versucht hat, und für die MTA-STS aktiv ist. Die Informationen, die in diese Berichte aufgenommen werden sollen, können mithilfe mehrerer Optionen bestimmt werden.

Wenn Sie dieses Leistungsmerkmal aktivieren, müssen Sie sicherstellen, dass auch die Signatur abgehender Nachrichten über DKIM aktiv ist, und Sie müssen einen DNS-Eintrag des Typs TXT erstellen. Dieser Eintrag muss unter _smtp._tls.Domäne.tld abrufbar sein. An die Stelle "Domäne.TLD" ist dabei Ihr eigener Domänenname zu setzen. Der Eintrag muss dem folgenden Format entsprechen:

v=TLSRPTv1; rua=mailto:Postfach@Domäne.tld

An die Stelle "Postfach@Domäne.TLD" müssen Sie die E-Mail-Adresse setzen, an die die Berichte für Ihre Domäne gesandt werden sollen.

Zertifikat auswählen

Damit SecurityGateway SSL/TLS und HTTPS unterstützen kann, benötigen Sie ein SSL/TLS-Zertifikat (nähere Informationen hierzu finden Sie weiter unten). Zertifikate sind kleine Dateien, die durch Zertifizierungsstellen (englisch "Certificate Authority", kurz CA) ausgestellt werden. Mit ihrer Hilfe können Clients oder Browser überprüfen, ob sie mit dem gewünschten Server verbunden sind, und sie können die Verbindung mit dem Server durch SSL, TLS oder HTTPS verschlüsseln und damit schützen

In diesem Abschnitt sind alle SSL-Zertifikate aufgeführt, die Sie angelegt haben. SecurityGateway erstellt Zertifikate mit einer Eigensignatur. Dies bedeutet, dass der Ersteller des Zertifikats, auch Certificate Authority (CA) genannt, dem Eigentümer des Zertifikats entspricht. Diese Vorgehensweise ist zulässig, es ist aber möglich, dass manche Benutzer beim Verbindungsaufbau über den HTTPS-URL von SecurityGateway gefragt werden, ob sie die Verbindung mit der Ziel-Site aufbauen und/oder das Zertifikat installieren wollen. Diese Abfrage erscheint, weil die CA, die das Zertifikat erstellt hat, bei den Benutzern noch nicht in die Liste der vertrauten CAs eingetragen ist. Installiert ein Benutzer das Zertifikat, und stuft er die SecurityGateway-Domäne als eine vertrauenswürdige CA ein, so erscheinen die Warnmeldungen beim Verbindungsaufbau nicht mehr. Ob die Warnmeldungen überhaupt angezeigt werden, und ob die Benutzer überhaupt besondere Maßnahmen treffen müssen, hängt unter anderem von dem verwendeten Browser und seinen Sicherheitseinstellungen ab.

SSL-Zertifikate erstellen und löschen

Um ein neues Zertifikat zu erstellen, klicken Sie in der Symbolleiste am oberen Rand des Abschnitts Zertifikat auswählen auf Neu. Hierdurch öffnet sich das Dialogfenster SSL-Zertifikat (nähere Informationen hierzu finden Sie weiter unten). Um ein bestehendes Zertifikat zu löschen, wählen Sie das Zertifikat, und klicken Sie danach auf Löschen.

SSL-Zertifikat aktivieren

Um ein SSL-Zertifikat zu aktivieren, aktivieren Sie in der Spalte Aktiv das Kontrollkästchen, das zu dem gewünschten Zertifikat gehört, und klicken Sie danach auf Speichern.

Let's Encrypt konfigurieren

Falls Sie Let's Encrypt als Zertifizierungsstelle einsetzen, können Sie die Verwaltung Ihrer Zertifikate automatisieren. Klicken Sie auf Let's Encrypt konfigurieren, um die Seite Aktualisierung für Let's Encrypt durch PowerShell aufzurufen. Sie können dort das erforderliche PowerShell-Skript einfach konfigurieren und ausführen. Das Skript befindet sich im Verzeichnis "SecurityGateway\LetsEncrypt". Nähere Informationen finden Sie im Abschnitt Nutzung von Let's Encrypt zur Verwaltung Ihres Zertifikats weiter unten.

Freigabeliste für STARTTLS

Mithilfe dieser Option können Sie IP-Adressen, Hosts und Domänennamen erfassen, die von der Nutzung von STARTTLS ausgenommen sind. STARTTLS wird beim Versand an eine hier erfasste Gegenstelle nicht genutzt. STARTTLS wird auch bei eingehenden Verbindungen von Hosts und IP-Adressen auf dieser Liste nicht als verfügbares Protokoll gemeldet.

Pflichtliste für STARTTLS

Mithilfe dieser Option können Sie Hosts und IP-Adressen erfassen, für die die Nutzung von STARTTLS zwingend erforderlich ist. Ist STARTTLS nicht verfügbar, oder tritt ein Fehler auf, so wird die jeweilige Nachricht nicht an die Gegenstelle übermittelt.

SSL-Zertifikat

Dieses Dialogfenster wird für die Erstellung neuer SSL-Zertifikate genutzt. Um ein neues Zertifikat anzulegen, klicken Sie auf der Seite Verschlüsselung in der Symbolleiste des Abschnitts Zertifikat auswählen auf Neu, und geben Sie dann die Daten für das Zertifikat ein. Nachdem Sie die Eingabe beendet haben, klicken Sie auf Speichern und Beenden, um das Zertifikat zu erzeugen.

Zertifikat erstellen

Host-Name

Tragen Sie hier den Hostnamen ein, zu dem Ihre Benutzer eine Verbindung herstellen (z.B. "mail.example.com").

Name der Organisation/Firma

Tragen Sie hier den Namen oder Organisation oder die Firma des "Eigentümers" des Zertifikats ein.

Alternative Hostnamen (mehrere Einträge durch Kommata trennen)

SecurityGateway unterstützt keine getrennten Zertifikate für jede Domäne — vielmehr müssen sich alle Domänen ein Zertifikat teilen. Falls die Benutzer auch zu anderen Hostnamen Verbindungen herstellen, und falls das Zertifikat auch für diese Hostnamen gültig sein soll, so müssen diese Domänennamen hier eingetragen und durch Kommata von einander getrennt werden. Jokerzeichen, wie etwa "*.example.com", sind zulässig.

Schlüssellänge

Wählen Sie hier die gewünschte Schlüssellänge aus, die der Schlüssel für das Zertifikat erhalten soll. Je länger der Schlüssel ist, desto sicherer sind die übermittelten Daten. Bitte beachten Sie aber, dass manche Anwendungen Schlüssel mit einer Länge über 512 nicht unterstützen.

Land/Region

Wählen Sie das Land oder die Region aus, in der sich Ihr Server befindet.

Nutzung eines Zertifikats eines anderen Ausstellers

Auch ein gekauftes oder sonst von einer anderen Stelle als SecurityGateway ausgestelltes Zertifikat kann verwendet werden. Es muss dazu mithilfe der Microsoft-Management-Konsole in den Zertifikatsspeicher eingelesen werden, den SecurityGateway verwendet. Sobald das Zertifikat in den Windows-Zertifikatsspeicher importiert wurde, sollte es in SecuritGateway sichtbar sein und damit genutzt werden können. Um ein Zertifikat zu importieren, gehen Sie folgendermaßen vor:

Nutzung von Let's Encrypt zur Verwaltung Ihres Zertifikats

Let's Encrypt ist eine Zertifizierungsstelle, die mithilfe eines automatischen Verfahrens unentgeltliche Zertifikate für die Transportverschlüsselung Transport Layer Security (TLS) zur Verfügung stellt. Dieses Verfahren soll die derzeit erforderlichen umfangreichen Arbeiten ersetzen, die zur manuellen Erstellung, Prüfung, Signatur, Installation und Erneuerung von Zertifikaten für sichere Websites erforderlich sind. Klicken Sie auf der Seite Verschlüsselung auf Let's Encrypt konfigurieren, um die Seite Aktualisierung für Let's Encrypt durch PowerShell aufzurufen. Sie können dort das erforderliche PowerShell-Skript einfach konfigurieren und ausführen. Das Skript befindet sich im Verzeichnis "SecurityGateway\LetsEncrypt".

Aktualisierung für Let's Encrypt durch PowerShell

Diese Seite ermöglicht es Ihnen, das PowerShell-Skript für die automatische Verwaltung von Zertifikaten durch Let's Encrypt einfach zu konfigurieren und auszuführen. Das Skript befindet sich im Verzeichnis "SecurityGateway\LetsEncrypt". Wenn Sie mithilfe dieser Seite das Skript konfigurieren und ausführen, wird damit die Konfiguration von Let's Encrypt ebenfalls automatisch durchgeführt. Es werden unter anderem auch die erforderlichen Dateien im Verzeichnis Templates von SecurityGateway abgelegt, damit die Challenge http-01 abgeschlossen werden kann. Das Skript verwendet den Hostnamen des HTTP-Servers als Domäne für das Zertifikat. Falls die genannte Option nicht konfiguriert ist, dann verwendet das Skript die Standard-Domäne. Das Skript ruft das Zertifikat ab, importiert es in Microsoft Windows, und konfiguriert SecurityGateway mithilfe des XMLRPC-API so, dass SecurityGateway das Zertifikat verwendet.

Beachte: Zur Nutzung von Let's Encrypt sind PowerShell Ab Version 5.1 und das .NET Framework ab Version 4.7.2 erforderlich. Außerdem müssen die HTTP-Ports in SecurityGateway so konfiguriert sein, dass SecurityGateway auf eingehende Verbindungen auf Port 80 reagiert, da sonst die HTTP-Challenge nicht erfolgreich abgeschlossen und das Skript nicht erfolgreich ausgeführt werden können.

Let's-Encrypt-Zertifikat automatisch aktualisieren

Diese Option bewirkt, dass ein SSL/TLS-Zertifikat mithilfe des Skripts für Let's Encrypt automatisch erstellt und aktualisiert wird. Das Zertifikat wird alle 10 bis 60 Tage aktualisiert. Dieser Zeitraum wird durch die Option Aktualisierungsintervall in Tagen weiter unten festgelegt.

Aktuelles Kennwort

Wenn Sie Ihr Kennwort angeben, wird ein API-Token erstellt, mit dem das Skript auf das XML-API von SecurityGateway zugreifen kann. Das Kennwort wird nicht gespeichert. Dies ist nicht erforderlich, wenn Sie nur bestehende Einstellungen aktualisieren.

Hostnamen (mehrere Einträge durch Kommata trennen)

Falls Sie in das Zertifikat auch alternative Hostnamen aufnehmen wollen, tragen Sie diese Hostnamen in dieses Feld ein, und trennen Si mehrere Hostnamen durch Kommata. Sie müssen den Hostnamen des HTTP-Servers nicht in diese Liste eintragen. Ein Beispiel hierzu: Falls Ihr Hostname "mail.example.com" lautet und Sie den alternativen Hostnamen "imap.example.com" aufnehmen wollen, dann tragen Sie hier nur "imap.example.com" ein. Falls Sie keine alternativen Hostnamen in das Zertifikat aufnehmen wollen, lassen Sie dieses Feld leer. Beachte: Falls Sie hier alternative Hostnamen eintragen, dann muss die HTTP-Challenge von Let's Encrypt für alle diese Hostnamen erfolgreich abgeschlossen und damit nachgewiesen werden, dass Ihr Server alle diese Hostnamen kontrolliert. Schlägt die Challenge auch nur für einen Hostnamen fehl, dann schlägt damit zugleich der gesamte Vorgang für alle Hostnamen fehl.

E-Mail-Adresse des Administrators für Benachrichtigungen

Falls Sie über Fehler benachrichtigt werden wollen, die während einer Aktualisierung über Let's Encrypt auftreten, geben Sie hier die E-Mail-Adresse des Administrators an, der die Benachrichtigungen erhalten soll.

ECDSA-Zertifikat verwenden

Falls Sie statt eines RSA-Zertifikats ein ECDSA-basiertes Zertifikat nutzen wollen, aktivieren Sie diese Option.

Staging-Server verwenden

Falls Sie Let's Encrypt testen müssen, aktivieren Sie diese Option, um den Staging-Server zu verwenden.

Aktualisierungsintervall in Tagen (10-60)

Diese Option bestimmt, wie oft Ihre Zertifikate aktualisiert werden sollen. Zulässige Intervalle reichen von 10 bis 60 Tage. Die Voreinstellung beträgt 60 Tage.

Jetzt aktualisieren

Um das Skript sofort auszuführen, klicken Sie auf diese Schaltfläche.

Veraltete Zertifikate entfernen (d.s. Zertifikate, die seit mehr als 30 Tagen abgelaufen sind)

Per Voreinstellung entfernt SecurityGateway alle alten Zertifikate, die seit mehr als 30 Tagen abgelaufen sind. Falls Sie diese Zertifikate nicht automatisch entfernen lassen wollen, deaktivieren Sie diese Option.

Protokolldatei für das Let's-Encrypt-Skript anzeigen

Um die Protokolldatei für das Let's-Encrypt-Skript anzuzeigen, klicken Sie auf diese Schaltfläche.

Zeit in Tagen bis zur nächsten Aktualisierung

Hier wird die Zeit bis zur nächsten automatischen Aktualisierung des Zertifikats in Tagen angezeigt. Diese Zeit wird auf Grundlage der Option Aktualisierungsintervall in Tagen (10-60) weiter oben berechnet.

Befehlszeile

Hier wird der Inhalt der Befehlszeile angezeigt, die zum Ausführen des Skripts verwendet wird. Die Befehlszeile wird in Echtzeit aktualisiert, wenn Sie auf dieser Seite Änderungen vornehmen.