SMTP verstehen: E-Mail-Versand Schritt für Schritt

SMTP steht für Simple Mail Transfer Protocol, auf Deutsch etwa einfaches E-Mail-Übertragungsprotokoll. Ein Protokoll legt Regeln für den Austausch zwischen Programmen fest. SMTP überträgt Nachrichten vom Mailprogramm zum Versanddienst und zwischen Mailservern. Ein Server ist ein Programm, das einen Dienst anbietet. Das Programm, das diesen Dienst anfragt, heißt Client.

IMAP steht für Internet Message Access Protocol, POP für Post Office Protocol. Beide ermöglichen den Zugriff auf gespeicherte E-Mails. Sie übernehmen in diesem Ablauf nicht die Weiterleitung zu fremden Mailservern. Ein Postfach ist der Speicherbereich für die Nachrichten eines Empfängers.

Die Tabelle unterscheidet vier Rollen, also Aufgabenbereiche im E-Mail-System. Die englischen Namen erklären die Abkürzungen. Software, also ein Programm oder mehrere Programme, kann mehrere Rollen übernehmen. Für diese Rollen sind deshalb keine getrennten Rechner nötig.

Ein SMTP-Dialog ist der Austausch von Befehlen und Antworten zwischen Client und Server. Im folgenden verkürzten Dialog steht C für Client und S für Server. Die Verbindung und die Begrüßung sind bereits erfolgreich abgeschlossen. Die Kopfzeilen der Nachricht sind ausgelassen; gezeigt wird ihr kurzer Inhalt.

MAIL FROM legt die Rückadresse für Meldungen über Transportprobleme fest. Diese Adresse muss nicht dem Verfasser gehören. RCPT TO nennt jeweils einen Empfänger für den Transport. Diese Angaben bilden den Transportumschlag, also die Zustellangaben außerhalb der eigentlichen Nachricht. Sie können von den sichtbaren Kopfzeilen abweichen: „From“ zeigt einen Absender an, „To“ einen Empfänger. Aus MAIL FROM folgt kein Nachweis, wer den Text geschrieben hat.

DATA kündigt die Nachrichtendaten an. Der Client darf sie erst nach der Antwort 354 senden. Eine Zeile mit einem einzelnen Punkt beendet die Nachrichtendaten. Das anschließende 250 bestätigt, dass der Server die Verantwortung für die Nachricht übernimmt. Das ist eine Annahmebestätigung. Eine Lesebestätigung würde dagegen bestätigen, dass der Empfänger die Nachricht gelesen hat; das sagt dieses 250 nicht aus.

Für die Weiterleitung betrachtet der MTA den Teil hinter @ in der Adresse aus RCPT TO. Dieser Teil heißt Empfängerdomain. DNS steht für Domain Name System. Dieser Namensdienst liefert Einträge zu Domainnamen. Ein MX-Eintrag, kurz für Mail Exchange, nennt einen Mailserver für eine Domain und einen Zahlenwert für seine Bevorzugung.

Bei mehreren nutzbaren MX-Einträgen wird der kleinere Zahlenwert bevorzugt. Der Wert beschreibt die Reihenfolge, keine Geschwindigkeit. Bei gleichen Werten wird ohne weiteren Grund zur Bevorzugung zufällig verteilt. Scheitert ein Verbindungsversuch, kann der MTA weitere passende Zieladressen versuchen.

Der MX-Eintrag liefert einen Servernamen. Zu diesem Namen wird anschließend eine IP-Adresse gesucht. IP steht für Internet Protocol; eine IP-Adresse ist eine Netzwerkadresse, über die der Server erreicht werden kann. Ein MX-Eintrag enthält also nicht selbst die fertige IP-Adresse.

Gibt es für eine existierende Domain keine MX-Einträge, wird die Empfängerdomain selbst als möglicher Servername verwendet und nach ihrer IP-Adresse gesucht. Sind dagegen MX-Einträge vorhanden, aber alle unbrauchbar, gilt diese Ersatzregel nicht: Das ist ein Fehler. Auch eine nicht existierende Domain ist ein Fehler. Bei einem vorübergehenden DNS-Fehler wird die Nachricht aufbewahrt und die Suche später erneut versucht.

TLS steht für Transport Layer Security. Es verschlüsselt die Daten einer Verbindung und ermöglicht die Prüfung des Gegenübers. Für die sichere Abgabe an den Versandserver muss der Client dessen Zertifikat prüfen. Ein Zertifikat ist ein digitaler Nachweis, mit dem der Client unter anderem prüft, ob er mit dem erwarteten Server verbunden ist. Eine verschlüsselte Verbindung zu einem ungeprüften Gegenüber reicht dafür nicht.

SMTP-Auth dient der Authentifizierung: der Prüfung einer behaupteten Identität. Der Client weist dem Versandserver eine Identität nach, etwa mit den Zugangsdaten eines Kontos. Das verschlüsselt die Nachricht nicht und beweist nicht, wer ihren Text geschrieben hat. Für die hier betrachtete Anmeldung mit Zugangsdaten wird zuerst eine passend geprüfte TLS-Verbindung hergestellt.

STARTTLS ist ein SMTP-Befehl zum Wechsel zu TLS. Die Verbindung beginnt zunächst ohne TLS. Der Server kann mit „250 STARTTLS“ mitteilen, dass er den Wechsel unterstützt. Danach können die Programme TLS aushandeln, also die geschützte Verbindung vereinbaren. Beim impliziten TLS beginnt diese Aushandlung dagegen direkt beim Verbindungsaufbau.

Ein Angreifer zwischen Client und Server kann die zunächst ungeschützte STARTTLS-Ankündigung entfernen oder den Wechsel stören. Das Unterdrücken dieses Wechsels heißt STARTTLS-Stripping. Erlaubt die Einstellung danach unverschlüsselten Versand, kann die Nachricht ohne TLS übertragen werden. Verlangen beide Seiten korrekt erfolgreiches TLS, wird der Versandversuch stattdessen abgebrochen. Der Angriff erzwingt dann keinen Klartextversand und knackt nicht die Verschlüsselung.

Für die Abgabe vom MUA an den MSA haben STARTTLS und implizites TLS bei korrekter Umsetzung und verpflichtendem TLS keine wesentlich unterschiedlichen Sicherheitseigenschaften. TLS schützt jeweils eine Verbindung, nicht automatisch weitere Transportabschnitte oder gespeicherte Kopien. Ende-zu-Ende-Verschlüsselung schützt dagegen den Inhalt zwischen Absender und Empfänger, sodass zwischengeschaltete Mailserver ihn nicht lesen können.