Kein Parameter oder Kapitel entspricht deinem Suchbegriff. Bitte Suchfeld leeren, um wieder alle 12 Kapitel einzublenden.
Kapitel 01
Systemarchitektur, Hot-Reload & Firewall-Port-Matrix
SharpMailserver bündelt ESMTP, IMAP4rev2, JMAP, CalDAV/CardDAV, WBXML Mobile Push, ManageSieve, Webmail PWA und GoBD-Archivierung in einem einzigen nativen Prozess (~40 MB Leerlauf-RAM). Nahezu alle Betriebsparameter im Admin-Cockpit (/admin/) werden im laufenden Betrieb ohne Dienst-Neustart übernommen und im Cluster automatisch synchronisiert.
Praxis-Tipp & Architektur-Hinweis:
Öffne in der Firewall nur die wirklich benötigten Ports. Für reinen TLS-Betrieb genügen die 5 Pflicht-Ports 25, 443, 465, 587 und 993. Port 143 (IMAP STARTTLS) sollte nur aktiviert werden, wenn ältere interne Geräte kein implizites TLS auf Port 993 beherrschen.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
ServerHostName (#pNetwork) |
Öffentlicher FQDN des Mailservers für ESMTP-Banner (220), ausgehendes EHLO/HELO, Autodiscover und TLS-Prüfungen. Sofortiger 0-ms-Hot-Reload. |
mail.<DefaultDomain> |
Immer auf einen dedizierten Subdomain-Host wie mail.firma.de setzen, der exakt mit dem öffentlichen Reverse-DNS-(PTR)-Eintrag übereinstimmt. |
TCP 25 (ESMTP MX Inbound & Outbound) |
Server-zu-Server-Empfang von fremden Mailservern (MX) sowie direkter ausgehender Versand an Ziel-MX-Server inklusive STARTTLS und BDAT/CHUNKING. |
Aktiv (Pflicht) / Enabled |
Eingehend und ausgehend frei schalten (keine Hoster-Sperre). Niemals Benutzer-Passwort-Logins ohne TLS über Port 25 erlauben (standardmäßig gesperrt). |
TCP 443 (HTTPS: Webmail, Admin, Push, DAV) |
Bedient SharpMail Webmail PWA (/mail/), Admin-Cockpit (/admin/), JMAP, CalDAV/CardDAV (/dav/), Mobile Push (/Microsoft-Server-ActiveSync) und Sende-API. |
Aktiv (Pflicht) / Enabled |
Direkt über Kestrel mit Let's Encrypt betreiben oder hinter einem Reverse-Proxy/HAProxy mit X-Forwarded-For bzw. PROXY-Protokoll terminieren. |
TCP 465 (SMTPS) & TCP 587 (Submission) |
Authentifizierte Postausgangs-Einlieferung für E-Mail-Programme, Smartphones, Scanner und Multifunktionsgeräte (465 implizites TLS, 587 STARTTLS). |
Beide aktiv / Both enabled |
Für neue Clients bevorzugt Port 465 (implizites TLS ab dem ersten Byte) nutzen; Port 587 für Drucker/ERP-Systeme mit STARTTLS parallel offen halten. |
TCP 993 (IMAPS) & TCP 143 (IMAP) |
IMAP4rev2-Postfachzugriff inklusive Echtzeit-IDLE-Push (< 5 ms) und Apple-Notizen-Synchronisation (993 implizites TLS, 143 STARTTLS). |
993 aktiv, 143 optional |
Port 993 zwingend offen halten; Port 143 im öffentlichen Internet nach Möglichkeit geschlossen lassen, um Klartext-Fehlkonfigurationen auszuschließen. |
TCP 80 (ACME HTTP-01) & TCP 4190 (Sieve) |
Port 80 beantwortet automatische Let's-Encrypt-HTTP-01-Challenges (/.well-known/acme-challenge/*); Port 4190 erlaubt entfernte Sieve-Regelpflege. |
Optional / Optional |
Port 80 offen halten, sofern Let's Encrypt direkt auf dem Mailserver genutzt wird. Port 4190 nur öffnen, wenn Desktop-Clients Sieve direkt pflegen. |
Kapitel 02
DNS-Perfektion (10/10), Reverse-DNS (FCrDNS) & Wildcard-DNS-Fallen
Große Provider wie Gmail, Microsoft 365, t-online und GMX/Web.de bewerten die Zustellbarkeit maßgeblich anhand konsistenter DNS-Einträge. Im Bereich TLS & DNS-Berater (#pTls) generiert SharpMailserver für jede angelegte Domain kopierfertige Einträge und prüft sie live gegen öffentliche DNS-Resolver.
Praxis-Tipp & Architektur-Hinweis:
Achtung bei Wildcard-DNS (*.firma.de -> Webserver-IP): Ein Wildcard-Eintrag lenkt nicht explizit angelegte Subdomains wie autodiscover.firma.de oder mta-sts.firma.de unbemerkt auf den Webserver statt auf den Mailserver! Lege für autodiscover, autoconfig und mail immer explizite A/AAAA- oder CNAME-Einträge an.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
Reverse-DNS (PTR) & FCrDNS |
Ordnet deiner öffentlichen IPv4- (und IPv6-) Adresse beim Server-Hoster exakt den ServerHostName zu (Forward-Confirmed Reverse DNS). |
Beim Hoster zu setzen / ISP panel |
PTR muss exakt auf mail.firma.de zeigen und mail.firma.de wieder zurück auf dieselbe IP (A/AAAA). Ohne FCrDNS lehnen t-online und GMX Mails sofort ab. |
SPF TXT (v=spf1) |
Legt fest, welche IPv4-/IPv6-Adressen und MX-Hosts im Namen deiner Domain E-Mails versenden dürfen (RFC 7208). |
v=spf1 mx a -all |
Explizite Server-IPs aufnehmen (z. B. v=spf1 mx ip4:198.51.100.10 ip6:2001:db8::10 -all) und maximal 10 DNS-Lookups einhalten. Mit -all scharf schalten. |
Dual-DKIM (RSA-2048 + Ed25519) |
Kryptografische Signatur ausgehender E-Mails im Header DKIM-Signature, damit Empfänger Authentizität und Unversehrtheit prüfen können. |
RSA-2048 (s1) aktiv |
Im Domain-Editor 1-Klick-DKIM erzeugen: RSA-2048 für maximale Kompatibilität mit allen Altsystemen, optional ergänzt um Ed25519 (RFC 8463). |
DMARC (_dmarc.<domain>) |
Verbindet SPF und DKIM (Alignment) und weist Empfänger an, wie mit gefälschten Absendern verfahren wird, inklusive XML-Berichten an SharpMailserver. |
v=DMARC1; p=quarantine; ... |
In Woche 1-2 mit p=quarantine und rua=mailto:dmarc@firma.de starten, Berichte im Cockpit prüfen und danach auf p=reject umstellen. |
Autodiscover, Autoconfig & DNS-SRV |
Ermöglicht Outlook, Apple Mail, Thunderbird und Smartphones die vollautomatische Kontoeinrichtung allein anhand der E-Mail-Adresse. |
Auf Port 443 integriert |
Expliziten CNAME autodiscover.<domain> -> mail.<domain> sowie SRV-Einträge (_imaps._tcp, _submission._tcp, _caldavs._tcp, _carddavs._tcp) anlegen. |
Kapitel 03
Echtes Dual-Stack IPv6 ([::]) & Happy-Eyeballs MX-Zustellung
Ab Version 1.2.4 arbeiten sämtliche TCP-Listener (ESMTP 25/465/587, IMAP 143/993 und ManageSieve 4190) sowie Kestrel standardmäßig im echten Dual-Stack-Modus ([::] mit DualMode = true). Ein einziger Socket akzeptiert gleichzeitig natives IPv6 und IPv4, wobei IPv4-mapped Adressen (::ffff:x.x.x.x) sauber für SPF, Greylisting und Logs normalisiert werden.
Praxis-Tipp & Architektur-Hinweis:
Wichtigste IPv6-Goldregel für Mailserver: Aktiviere einen AAAA-Eintrag für mail.firma.de erst dann, wenn beim Hoster auch der IPv6-Reverse-DNS-(PTR)-Eintrag exakt auf mail.firma.de gesetzt ist und deine IPv6-Adresse im SPF-Record (ip6:...) steht! Gmail prüft IPv6-PTRs extrem strikt.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
BindAddress (Smtp / Imap / ManageSieve) |
Bestimmt die lokale IP-Bindung der Protokoll-Listener. Werte wie ::, [::], 0.0.0.0 oder * aktivieren automatisch Dual-Stack (IPv6 + IPv4). |
:: (Dual-Stack IPv6 + IPv4) |
Auf dem Standardwert :: belassen. Nur in speziellen Multi-IP-Setups auf eine einzelne dedizierte Server-IP festlegen. |
Ausgehendes Happy-Eyeballs MX |
Sortiert aufgelöste Ziel-MX-IPs intelligent nach Adressfamilie und wechselt bei IPv6-Routing-Störungen innerhalb von Sekundenbruchteilen auf IPv4. |
Automatisch aktiv / Auto |
Stelle sicher, dass auf dem Host bei vorhandenem IPv6-Interface auch der IPv6-PTR und das ausgehende Firewall-Regelwerk für TCP 25 (IPv6) gepflegt sind. |
IPv6 /64 Subnetz-Greylisting & Rate-Limit |
Fasst rotierende IPv6-Privacy-/Server-Adressen desselben /64-Subnetz-Präfixes logisch zusammen (analog zu /24 bei IPv4). |
/64 Präfix (IPv6) · /24 (IPv4) |
Standard beibehalten: Große Cloud-Sender wechseln oft zwischen IPv6-Adressen eines /64-Netzes und bestehen Greylisting dadurch ohne Verzögerung. |
Kapitel 04
pfSense, OPNsense, HAProxy & SSL-Gateways richtig betreiben
In vielen Unternehmensnetzen laufen Webserver und SharpMailserver in getrennten VLANs oder VMs hinter derselben Firewall (z. B. pfSense, OPNsense, Sophos) oder hinter einem zentralen SSL-/HAProxy-Gateway. Fehlt dort NAT-Reflection (Hairpin-NAT), verwirft die Firewall Pakete, die von innen an die eigene öffentliche WAN-IP adressiert werden.
Praxis-Tipp & Architektur-Hinweis:
Warum zeigte ein Port-Check früher 'Blocked / Timeout'? Wenn der Prüf-Endpunkt hinter derselben pfSense stand wie der Mailserver, lief der Check in eine Hairpin-NAT-Blockade, obwohl aus dem echten Internet (Mobilfunk / Kundennetze) alle Ports offen waren. SharpMailserver v1.2.4 erkennt dieses Muster automatisch und kompensiert es transparent.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
pfSense / OPNsense: Split-DNS (DNS Resolver) |
Löst mail.firma.de für interne Clients und Nachbar-Server direkt auf die interne LAN/DMZ-IP (z. B. 172.16.0.55) statt auf die öffentliche WAN-IP auf. |
Im Gateway konfigurieren |
Empfohlene Königslösung! Unter Services -> DNS Resolver -> Host Overrides mail.firma.de auf die interne Mailserver-IP setzen (maximale Geschwindigkeit, echte Quell-IPs). |
pfSense: NAT Reflection (Pure NAT) |
Erlaubt internen Geräten den Zugriff auf Port-Weiterleitungen über die öffentliche WAN-IP, falls kein Split-DNS genutzt wird. |
Deaktiviert in pfSense |
Falls interne Geräte die WAN-IP ansprechen müssen: System -> Advanced -> Firewall & NAT -> NAT Reflection mode = Pure NAT + Automatic outbound NAT for Reflection aktivieren. |
SSL-Gateway / Reverse-Proxy für Port 443 |
Terminiert HTTPS zentral am Gateway (z. B. HAProxy / Nginx / IIS ARR) und leitet Webmail, Admin, DAV und ActiveSync an SharpMailserver weiter. |
Direkt oder Reverse-Proxy |
Bei ActiveSync-Langzeit-Pings Proxy-Read-Timeout auf mindestens 900 Sekunden erhöhen und X-Forwarded-For / X-Forwarded-Proto sauber durchreichen. |
Smtp/Imap:EnableProxyProtocol (HAProxy v2) |
Liest bei vorgeschaltetem TCP-Loadbalancer (HAProxy) die echte öffentliche Client-IP aus dem PROXY-Protokoll-v1/v2-Header aus. |
false (Direktes NAT) |
Bei klassischem pfSense Port-Forwarding (DNAT) UNBEDINGT auf false lassen (sonst schlagen Verbindungen fehl)! Nur aktivieren, wenn HAProxy send-proxy-v2 sendet. |
Kapitel 05
Smartphone- & iPhone-Onboarding per QR, WhatsApp & 1-Klick Admin-Einladung
Neue Mitarbeiter sollen ihr Postfach samt Kalender, Kontakten und Notizen in unter 30 Sekunden einrichten können, ohne Servernamen, Ports oder ihr Hauptpasswort abzutippen. SharpMailserver erzeugt dafür kryptografisch PKCS#7/CMS-signierte Apple-.mobileconfig-Profile mit einem isolierten Geräte-App-Passwort.
Praxis-Tipp & Architektur-Hinweis:
Warum ein eigener Setup-Link (/onboarding/setup/{token}) für WhatsApp & Teams entscheidend ist: Messenger rufen versendete Links im Hintergrund vorab ab, um ein Vorschaubild zu laden. Ein klassischer Einmal-Download-Link wäre dadurch bereits entwertet, bevor der Nutzer klickt! Die SharpMailserver-Setup-Seite ignoriert Bot-/HEAD-Anfragen, maskiert Zugangsdaten für Crawler und leitet aus In-App-Browsern sauber an Safari weiter.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
Admin: Smartphone einrichten (#pUsers) |
Erzeugt direkt aus der Benutzerliste, im Konto-Editor oder unmittelbar nach dem Anlegen eines neuen Kontos einen 24h-Setup-Link für diesen Benutzer. |
24 Stunden gültig / 24h TTL |
Ideal für das Onboarding neuer Mitarbeiter: Link mit 1 Klick per WhatsApp teilen, kopieren oder direkt als Einladungs-E-Mail senden lassen. |
Profil-Modus: Exchange Push vs. IMAP + DAV |
Auf der Setup-Seite kann der Nutzer zwischen All-in-One Push (EAS-kompatibel inkl. Notizen/Erinnerungen) und Standard IMAP + CalDAV/CardDAV wählen. |
Push-Kombi-Profil empfohlen |
Auf iPhone und iPad ist das Push-Kombi-Profil besonders komfortabel (ein einziger Schalter in iOS für Mail, Kalender, Kontakte, Notizen & Erinnerungen). |
Isoliertes Geräte-App-Passwort |
Jedes erzeugte Onboarding-Profil erhält automatisch ein eigenes zufälliges App-Passwort statt des Haupt-Login-Passworts. |
Automatisch pro Gerät |
Geht ein Diensthandy verloren, widerrufst du im Konto-Editor lediglich dieses eine App-Passwort; alle anderen Geräte und 2FA bleiben unberührt. |
Download-Toleranz & Safari-Handoff |
Erlaubt dem echten Endgerät bis zu 6 Profil-Abrufe innerhalb des 24h-Fensters, damit der Wechsel vom WhatsApp-In-App-Browser zu Safari reibungslos klappt. |
Max. 6 Abrufe / 24h TTL |
Auf iOS muss das Profil in Safari geladen und anschließend unter Einstellungen -> Allgemein -> VPN & Geräteverwaltung bestätigt werden. |
Kapitel 06
SMTP-Queue, Retry-Zeitplan, ISP-Throttling, Smart-Host & Live-MX-Tester
Die ausgehende Zustell-Engine löst MX-Records parallel auf, prüft MTA-STS sowie DANE-TLSA-Einträge, signiert Nachrichten per DKIM und steuert Wiederholungsversuche bei temporären 4xx-Antworten vollautomatisch. Im Bereich Warteschlange & Routing (#pSmtpQueue) überwachst du alle Nachrichten live und kannst Ziel-Domains vorab testen.
Praxis-Tipp & Architektur-Hinweis:
Nutze den integrierten Outbound-MX, STARTTLS & DANE Live-Tester (#pSmtpQueue) bei Zustellproblemen an einzelne Geschäftspartner: Er führt einen echten, zerstörungsfreien Verbindungs-, EHLO- und TLS-Zertifikats-Test bis zum fremden MX durch, ohne eine E-Mail abzusenden.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
RetryScheduleMinutes |
Kommagetrennte Wartezeiten in Minuten zwischen Zustellversuchen, wenn ein Zielserver temporär mit 4xx (z. B. Greylisting oder volles Postfach) antwortet. |
5, 15, 60, 240, 720, 1440 |
Standard beibehalten (~41 Stunden Gesamtfenster): Der erste Retry nach 5 Minuten überwindet fremdes Greylisting schnell, spätere Stufen überbrücken Wartungsfenster. |
OutboundWorkerConcurrency |
Maximale Anzahl gleichzeitiger ausgehender SMTP-Zustell-Threads über alle Ziel-Domains hinweg. |
4 Worker |
4 bis 8 für kleine und mittlere Unternehmen; bei hohem Transaktions- oder Rechnungsaufkommen schrittweise auf 12 bis 24 erhöhen. |
MaxConnectionsPerMxIp & RatePerMinute |
Begrenzt parallele Verbindungen und Nachrichten pro Minute an denselben Ziel-ISP (z. B. Gmail, Microsoft 365, t-online), um 421-Sperren zu vermeiden. |
2 Verbindungen · 60/Min. |
Neue Server-IPs in den ersten 2 Wochen konservativ betreiben (max. 2 Verbindungen, 30-60 Mails/Min.), um eine saubere IP-Reputation aufzubauen. |
Globaler Smart-Host & Domain-Routen |
Leitet entweder den gesamten ausgehenden Verkehr über ein Relay (z. B. Hoster-Relay bei gesperrtem Port 25) oder einzelne Domains gezielt an interne Systeme. |
Direkter MX-Versand (leer) |
Direkten MX-Versand nutzen, sofern Port 25 frei und PTR sauber ist (volle DANE-Kontrolle). Smart-Host nur bei Cloud-VMs mit Port-25-Sperre aktivieren. |
Kapitel 07
SpamGuard, Smart Greylisting, DNSBL, FTRL-ML & ClamAV Antivirus
Die mehrstufige Eingangs-Pipeline kombiniert Protokoll-Vorprüfungen (SPF, DKIM, DMARC, FCrDNS, DNSBL, Smart Greylisting) mit struktureller MIME-Heuristik, einem selbstlernenden Online-FTRL-Klassifikator (pro Mandant über Benutzer-Verschiebungen in/aus Junk trainiert) und optionalem ClamAV-Echtzeit-Virenscan.
Praxis-Tipp & Architektur-Hinweis:
Keine Angst vor E-Mail-Verlust durch Fehlalarme: Alles zwischen JunkThreshold (4,5) und RejectThreshold (9,0) wird niemals gelöscht, sondern sauber mit Header X-Spam-Status versehen im Junk-Ordner zugestellt. Mit dem interaktiven Spam-Analyzer (#pSpam) kannst du jede .eml-Nachricht jederzeit nachrechnen.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
JunkThreshold & RejectThreshold (#pSpam) |
Ab JunkThreshold landet eine E-Mail im Junk-Ordner; ab RejectThreshold wird sie bereits im SMTP-Dialog mit 550 5.7.1 abgewiesen. |
Junk: 4.5 · Reject: 9.0 |
4,5 / 9,0 ist die ideale Balance. Senke RejectThreshold niemals unter 7,5, damit legitime Newsletter mit unsauberem HTML höchstens im Junk landen. |
SubjectPrefix ([SPAM]) |
Stellt erkannten Junk-Nachrichten optional ein sichtbares Präfix im Betreff voran (hilfreich für reine POP3- oder einfache Weiterleitungs-Ziele). |
Deaktiviert (Ordner-Routing) |
Bei IMAP, Webmail und Mobile Push ausgeschaltet lassen, da E-Mails sauber im Junk-Ordner liegen und der Originalbetreff beim Verschieben in den Posteingang sauber bleibt. |
Smart Greylisting (GreylistingEnabled) |
Bittet unbekannte Kombinationen aus Sender-Netz (/24 bzw. /64), Absender und Empfänger beim allerersten Kontakt um einen kurzen Wiederholungsversuch (451). |
Aktiv · 240 s Wartezeit |
Unbedingt aktiviert lassen! Blockiert über 85 % aller Einweg-Spam-Bots vor dem Datentransfer, während SPF/DKIM-verifizierte Absender sofort ohne Wartezeit passieren. |
DNSBL-Zonen & DnsblScore |
Prüft die einliefernde Server-IP gegen Echtzeit-Sperrlisten. Ein Treffer addiert DnsblScore auf den Gesamt-Spamwert statt blind hart abzulehnen. |
zen.spamhaus.org, bl.spamcop.net (3.5) |
Wichtig bei Spamhaus: Dein Server muss einen eigenen rekursiven Resolver (z. B. lokales Unbound/Windows-DNS) nutzen, keinen offenen DNS wie 8.8.8.8 oder 1.1.1.1! |
ClamAV Antivirus (TCP INSTREAM) |
Streamt eingehende E-Mails speicherschonend an einen lokalen oder im Netzwerk erreichbaren clamd-Dienst und weist Viren/Trojaner mit 554 ab. |
Deaktiviert · 127.0.0.1:3310 |
Bei aktiviertem clamd über den 1-Klick-Button im Cockpit sowohl PING als auch den harmlosen EICAR-Signatur-Selbsttest ausführen. |
Kapitel 08
OutboundGuard, ESMTP-Limits, Tarpit & Fail2Ban / Auto-Ban
Zwei Gefahren bedrohen jeden Mailserver im Internet: Brute-Force-Passwortangriffe von außen und ein einzelnes kompromittiertes Benutzerpasswort von innen, über das Angreifer tausende Phishing-Mails versenden wollen (was die eigene Server-IP binnen Minuten auf weltweite Sperrlisten brächte). SharpMailserver schützt beide Richtungen ab Werk.
Praxis-Tipp & Architektur-Hinweis:
Unter IP-Sperren & Auto-Ban (#pRules) siehst du live alle aktuell geblockten Angreifer-IPs und kannst eigene Büro- oder Gateway-IPs als feste Whitelist hinterlegen, damit ein Tippfehler vieler Kollegen hinter derselben Firmen-NAT-IP niemals das Büro aussperrt.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
Auto-Ban / Fail2Ban (8 Versuche / 10 Min.) |
Zählt fehlgeschlagene Logins über SMTP, IMAP, Webmail, ActiveSync und CalDAV/CardDAV pro Quell-IP und sperrt Angreifer automatisch. |
8 Fehlversuche -> 30 Min. Sperre |
Aktiv lassen und feste Firmen-/VPN-IPs als Allow-Regel in #pRules eintragen. Einzelne Fehl-Sperren lassen sich mit 1 Klick sofort aufheben. |
TarpitDelayMs (SMTP-Verzögerung) |
Bremst fehlerhafte SMTP-Befehle, ungültige Empfänger (Directory Harvesting) und abgelehnte Auth-Versuche gezielt um Millisekunden aus. |
1500 ms (1,5 Sekunden) |
1500 bis 2000 ms macht Massen-Passwortscanner wirtschaftlich unbrauchbar, ohne reguläre Benutzer im Normalbetrieb jemals zu bremsen. |
MaxMessageSizeMb |
Maximale Gesamtgröße einer E-Mail inklusive Base64-Codierung der Anhänge (ca. +33 % Overhead gegenüber der reinen Dateigröße). |
50 MB (~36 MB Netto-Anhang) |
50 MB harmoniert optimal mit Gmail und Exchange Online (ebenfalls 35-50 MB Limit). Höhere Werte führen oft trotzdem zu Ablehnungen beim Empfänger. |
OutboundGuard (Konto-Ratenlimit) |
Begrenzt die ausgehende Versandrate pro authentifiziertem Benutzerkonto pro Stunde/Tag und stoppt kompromittierte Postfächer sofort. |
Aktiv (pro Konto steuerbar) |
Normale Mitarbeiterkonten auf moderate Limits belassen; für Newsletter- oder Rechnungssysteme dedizierte API-Keys (/api/v1/send) verwenden. |
Kapitel 09
Let's Encrypt ACME v2 (0 ms SNI), MTA-STS, DANE & BIMI
SharpMailserver verwaltet TLS-Zertifikate vollautomatisch über Let's Encrypt ACME v2 und lädt erneuerte Zertifikate ohne Verbindungsabbruch (0 ms SNI Hot-Reload) gleichzeitig in HTTPS, SMTPS, STARTTLS, IMAPS und ManageSieve.
Praxis-Tipp & Architektur-Hinweis:
Besonderheit bei DANE (TLSA): Unser ACME-Manager behält auf Wunsch den bestehenden privaten ECDSA/RSA-Schlüssel über Zertifikatserneuerungen hinweg stabil bzw. nutzt den empfohlenen Selector 1 (SubjectPublicKeyInfo). Dadurch bleibt dein DNS-TLSA-Hash (3 1 1) auch bei der 60-Tage-Erneuerung gültig!
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
ACME SAN-Domains (#pTls) |
Liste aller Hostnamen im TLS-Zertifikat (z. B. mail.firma.de, autodiscover.firma.de). Erneuert automatisch 30 Tage vor Ablauf. |
ServerHostName vorausgewählt |
Nur Hostnamen anhaken, deren A/AAAA-Record tatsächlich auf diesen Mailserver zeigt! Zeigt autodiscover.firma.de auf einen anderen Webserver, schlägt HTTP-01 fehl. |
MTA-STS & TLS-RPT (RFC 8461 / 8460) |
Weist fremde Mailserver per HTTPS-Policy an, E-Mails an deine Domain ausschließlich TLS-verschlüsselt mit gültigem Zertifikat zuzustellen. |
Integrierter Policy-Endpunkt |
Zuerst im mode: testing mit TLS-RPT-Berichten starten; sobald keine Zertifikatswarnungen auftreten, auf mode: enforce umstellen. |
DANE TLSA (_25._tcp.<ServerHostName>) |
Verankert den öffentlichen TLS-Schlüssel DNSSEC-gesichert im DNS, sodass Downgrade- und Man-in-the-Middle-Angriffe unmöglich werden. |
3 1 1 <SPKI-SHA256-Hash> |
Nur veröffentlichen, wenn deine Domain beim Registrar aktiv DNSSEC-signiert ist, und stets den im Cockpit angezeigten 3-1-1-SPKI-Eintrag verwenden. |
BIMI Markenlogo (default._bimi) |
Zeigt dein geprüftes Firmenlogo im SVG-Tiny-PS-Format direkt neben deinen E-Mails in unterstützten Postfächern an. |
Integrierter SVG-Sanitizer |
Setzt DMARC auf p=quarantine (100 %) oder p=reject voraus. Logo im Cockpit hochladen und automatisch nach SVG-Tiny-PS bereinigen lassen. |
Kapitel 10
Transaktionale Sende-API, API-Keys, SCIM 2.0, OIDC & Pflicht-Signaturen
Shops, Ticketsysteme, Monitoring und ERP-Lösungen sollten niemals das persönliche Passwort eines Mitarbeiters mitbenutzen. Unter API, SSO & Transport (#pApiAuth) erstellst du dedizierte API-Schlüssel für REST- und SMTP-Versand, verwaltest zentrale Pflicht-Fußzeilen (Impressum/Disclaimer) und überblickst SSO-Anbindungen.
Praxis-Tipp & Architektur-Hinweis:
Intelligenter Duplikatschutz bei Pflicht-Signaturen: SharpMailserver prüft vor dem Anhängen einer globalen HTML-/Text-Fußzeile, ob der Impressumsblock bereits im Antwortverlauf enthalten ist. So entstehen bei längeren E-Mail-Ketten keine zehnfachen Fußzeilen-Türme!
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
API-Schlüssel (POST /api/v1/send & SMTP) |
Mandanten-gebundene Schlüssel (smk_live_...) mit Argon2id-Speicherung für schnellen JSON-E-Mail-Versand inklusive Anhängen und DKIM-Signatur. |
Pro Anwendung getrennt |
Pro Dienst (z. B. Shop, CRM, Backup-Alarm) einen eigenen API-Key anlegen, damit Schlüssel einzeln rotiert oder gesperrt werden können. |
Globale Pflicht-Signatur / Disclaimer |
Fügt ausgehenden E-Mails automatisch das gesetzliche Unternehmens-Impressum (HGB / GmbHG) sowohl im HTML- als auch im Text-Teil an. |
Optional aktivierbar |
Sowohl HTML- als auch Reintext-Variante hinterlegen und den Duplikatschutz aktiviert lassen, damit Antworten sauber bleiben. |
Globales System-Sieve-Skript |
Wird bei jeder eingehenden Zustellung zentral VOR den persönlichen Sieve-Regeln des Benutzers ausgeführt (RFC 5228). |
Deaktiviert (leer) |
Ideal für unternehmensweite Regeln wie das automatische Sortieren von [EXT]- oder Rechnungs-Mails; das Cockpit validiert die Syntax vor dem Speichern. |
OIDC Single Sign-On & SCIM 2.0 |
Bindet Microsoft Entra ID, Keycloak, Authentik oder Okta für passwortloses Webmail-SSO sowie automatische Benutzer-Provisionierung (/scim/v2) an. |
Lokale Auth + Passkeys aktiv |
Für maximale Sicherheit WebAuthn Passkeys (FIDO2) im Webmail aktivieren; bei zentralem Identity-Provider OIDC + SCIM Bearer-Token koppeln. |
Kapitel 11
Persistente Nachrichtenverfolgung (Message Trace) & GoBD-WORM-Archiv
Wenn ein Kunde anruft ('Meine Rechnung kam nicht an!'), zählt jede Sekunde. Die Nachrichtenverfolgung (#pMessageTrace) zeigt dir sofort mit Zeitstempel, Quell-IP, TLS-Status, Spam-Score und exakter Gegenstellen-Antwort, ob die Mail zugestellt, verzögert oder abgewiesen wurde. Parallel sichert das GoBD-Journal geschäftsrelevante E-Mails revisionssicher.
Praxis-Tipp & Architektur-Hinweis:
Tipp für Steuerprüfung & Datenschutz: Lege für externe Prüfer oder Datenschutzbeauftragte niemals ein Voll-Admin-Konto an, sondern nutze die dedizierte Rolle ComplianceAuditor. Sie gewährt reinen Lese- und Exportzugriff auf das GoBD-Archiv und die Verfahrensdokumentation, ohne Systemeinstellungen ändern zu können.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
Nachrichtenverfolgung (#pMessageTrace) |
Durchsuchbares Protokoll aller ein- und ausgehenden SMTP-/API-Transaktionen inklusive Status-Filter und 1-Klick-CSV-Export. |
Aktiv (Echtzeit-SignalR) |
Nach Absender, Empfänger oder Message-ID filtern, um Zustellnachweise (250 OK vom Ziel-MX) sekundenschnell als CSV zu dokumentieren. |
Domain GoBD-Aufbewahrung (RetentionDays) |
Steuert die unveränderbare WORM-Archivierungsdauer pro Domain inklusive kryptografischer SHA-256-Verkettung aller Journaleinträge. |
3650 Tage (10 Jahre GoBD) |
Für geschäftliche Domains im deutschen Rechtsraum auf 3650 Tagen (10 Jahre gem. § 147 AO / § 257 HGB) belassen; SHA-256-Kette regelmäßig im Cockpit prüfen. |
ZUGFeRD / XRechnung & Scan-OCR |
Extrahiert Rechnungsnummern, IBANs, Beträge und Lieferanten aus eingebettetem EN-16931-XML sowie gescannten PDF-Belegen für die Volltextsuche. |
Automatisch aktiv |
Ermöglicht es Buchhaltung und Prüfern, elektronische Rechnungen direkt nach Rechnungsnummer oder USt-IdNr. im Archiv zu finden. |
S3 Object Lock & Verfahrensdokumentation |
Lagert komprimierte Zstandard-Blobs optional in S3-Speicher (Hetzner, AWS, MinIO, Wasabi) im COMPLIANCE-Modus aus und erzeugt die GoBD-Dokumentation. |
Lokaler Blob-Store (+ S3 optional) |
GoBD-Verfahrensdokumentation nach jeder größeren Konfigurationsänderung im Bereich GoBD-Archiv neu exportieren und zu den Revisionsunterlagen nehmen. |
Kapitel 12
Storage-Engines (SQLite, MS SQL Server, PostgreSQL 18), Cluster & Updater
SharpMailserver trennt strukturierte Metadaten und Volltext-Indizes sauber von deduplizierten, Zstandard-komprimierten Roh-Nachrichten (-62 % Speicherbedarf). Du hast die freie Wahl zwischen drei erstklassig unterstützten Datenbank-Engines ohne externe Zusatzdienste wie Redis, Elasticsearch oder Kafka.
Praxis-Tipp & Architektur-Hinweis:
Vor jedem In-Place-Update prüft der integrierte 1-Klick-Updater im Admin-Cockpit (#pSystem) automatisch die kryptografische SHA-256-Prüfsumme des offiziellen Release-Archivs. Deine appsettings.Production.json, Let's-Encrypt-Zertifikate und das Datenverzeichnis bleiben bei jedem Update garantiert unangetastet.
| Einstellung / Ort |
Was macht diese Option? |
Standardwert |
Best Practice im Betrieb |
SQLite WAL (Storage:Provider = Sqlite) |
Eingebettete Hochleistungs-Engine im Write-Ahead-Logging-Modus inklusive FTS5-Volltextsuche ohne externen Datenbankdienst. |
Standard für Einzelserver |
Perfekt für Einzelserver, Mittelstand, VM/Proxmox und Appliances bis ca. 250 aktive Postfächer auf lokalem NVMe/SSD-Speicher (keine SMB-Netzlaufwerke für WAL!). |
Microsoft SQL Server (SqlServer) |
Native Anbindung an SQL Server 2019-2025, SQL Server Express, Linux-Container und Azure SQL inklusive sp_getapplock-Cluster und eigener Präfixsuche. |
READ_COMMITTED_SNAPSHOT auto |
Beste Wahl in Microsoft-Rechenzentren: Funktioniert sofort auch auf SQL Server Express ohne installiertes Full-Text-Search-Feature. |
PostgreSQL 18 (Postgres) |
Skalierbare Multi-Node-Engine mit Echtzeit-Push über LISTEN/NOTIFY (< 2 ms), UNLOGGED-Koordinationstabellen und pg_try_advisory_lock. |
Empfohlen für Linux-Cluster |
Referenz-Architektur für große Installationen (500 bis 100.000+ Postfächer) und horizontale Active-Active-Cluster über mehrere Rechenzentrums-Nodes. |
1-Klick-System-Updater (#pSystem) |
Vergleicht die laufende Version mit /api/releases/latest und aktualisiert Windows-Dienst, Linux-systemd oder macOS-Installation auf Knopfdruck. |
SHA-256-geprüft |
Updates bequem außerhalb von Haupt-Versandspitzen per 1 Klick im Cockpit (oder per install.sh --update / MSI-Assistent) einspielen. |
