Warum das Mailserver-Zertifikat zählt
Bei klassischem, opportunistischem STARTTLS prüft der sendende Server das vorgelegte Zertifikat oft gar nicht — Hauptsache, die Verbindung ist verschlüsselt. Diese Nachlässigkeit ist historisch bedingt und der Grund, warum abgelaufene oder selbstsignierte Zertifikate auf Mailservern jahrelang unbemerkt bleiben.
Das ändert sich, sobald MTA-STS im enforce-Modus oder DANE ins Spiel kommt: Dann wird das Zertifikat streng geprüft, und ein abgelaufenes oder auf den falschen Hostnamen ausgestelltes Zertifikat führt zu abgelehnter Zustellung. Genau deshalb lohnt es sich, den Zustand zu kennen, bevor Absender anfangen, ihn durchzusetzen.
Was AnalyzeMy.Email prüft
Es wird eine echte SMTP-Verbindung zu den beiden wichtigsten MX-Hosts aufgebaut, STARTTLS ausgehandelt und das Zertifikat im Original ausgewertet — zuerst gegen die System-CAs verifiziert, bei Fehlschlag zusätzlich unverifiziert geparst, damit auch bei ungültigen Zertifikaten alle Details sichtbar werden:
- Subject (Common Name und Organisation) und Issuer (Organisation und CN)
- SAN-Liste — alle Subject Alternative Names des Zertifikats
- Hostname-Match — passt der MX-Hostname auf CN oder einen SAN-Eintrag, inklusive Wildcard-Auswertung?
- Chain-Verifizierung gegen die System-CAs und Erkennung selbstsignierter Zertifikate
- Gültigkeitsfenster von
not_beforebisnot_after, verbleibende Tage, abgelaufen oder noch nicht gültig - Seriennummer und Signaturalgorithmus
- Schlüsseltyp und -stärke — RSA, EC, DSA, Ed25519 oder Ed448 mit Bit-Angabe
- Ausgehandelte TLS-Version, Cipher-Suite und Bit-Stärke der Verbindung
Häufige Befunde
- Hostname-Mismatch: Das Zertifikat ist auf
server42.hoster.deausgestellt, der MX heißt abermail.deinedomain.de. Unter MTA-STS enforce führt das zur Ablehnung. - Selbstsigniert: Verschlüsselt zwar, aber ohne jede Authentizität — ein Man-in-the-Middle bliebe unbemerkt.
- Abgelaufen: Bei opportunistischem TLS oft folgenlos, unter DANE oder MTA-STS ein sofortiger Zustellstopp.
- Kette unvollständig: Der Server liefert das Intermediate-Zertifikat nicht mit. Manche Clients bauen die Kette selbst, andere scheitern.
- Schwacher Schlüssel: RSA unter 2048 Bit sollte ausgetauscht werden.
Praxistipp
Setze das Zertifikat auf den MX-Hostnamen aus, nicht auf die Maildomain. Wer mail.deinedomain.de als MX veröffentlicht, braucht diesen Namen im Zertifikat — deinedomain.de allein reicht nicht. Automatisiere die Erneuerung und lass den Mailserver nach dem Renewal neu laden, sonst hält er das alte Zertifikat im Speicher.