Lesen Sie die Mailserver Ihrer Domain aus MX, erhalten Sie die MTA-STS-Richtliniendatei, den _mta-sts-Eintrag und den TLS-Reporting-Eintrag in einem Durchgang und sehen Sie, was Ihre Domain heute veröffentlicht. Kostenlos, ohne Anmeldung.
MTA-STS (Mail Transfer Agent Strict Transport Security, RFC 8461) sagt sendenden Mailservern, dass Ihre Domain E-Mails nur über eine verschlüsselte Verbindung mit gültigem Zertifikat annimmt, und an welchen Servern. Ohne MTA-STS ist die Verschlüsselung zwischen Mailservern freiwillig: Ein Angreifer auf dem Weg kann das TLS-Angebot entfernen und die E-Mails im Klartext mitlesen, ohne dass der Absender es merkt.
MTA-STS besteht aus einer Richtliniendatei auf einem Webserver und einem TXT-Eintrag, der sie ankündigt. TLS-RPT (RFC 8460) ergänzt eine Berichtsadresse, an die Absender melden, wenn sie nicht sicher zustellen konnten. Der Generator schreibt alle drei.
1. Mailserver laden. Geben Sie die Domain ein und klicken Sie auf „Veröffentlichten Eintrag laden“. Der Generator liest die MX-Einträge und trägt sie als mx-Zeilen der Richtlinie ein. Hosts desselben Anbieters lassen sich mit einem Platzhalter wie *.mail.protection.outlook.com zusammenfassen.
2. Richtliniendatei veröffentlichen. Sie gehört nach https://mta-sts.example.com/.well-known/mta-sts.txt, als reiner Text über HTTPS, mit einem Zertifikat, das für mta-sts.example.com gilt. Die Subdomain braucht einen A- oder CNAME-Eintrag auf einen beliebigen Webserver, der die Datei ausliefern kann.
3. Die beiden TXT-Einträge veröffentlichen. _mta-sts mit v=STSv1; id=... kündigt die Richtlinie an; _smtp._tls mit v=TLSRPTv1; rua=mailto:... nennt die Adresse für die täglichen TLS-Berichte.
4. Mit testing starten, dann enforce. Im Modus testing melden Absender Probleme, stellen aber weiter zu. Nach zwei Wochen sauberer TLS-Berichte stellen Sie die Datei auf mode: enforce um und ändern die id im TXT-Eintrag, damit Absender die neue Fassung holen.
| Zeile | Bedeutung |
|---|---|
version: STSv1 |
Immer dieser Wert. |
mode: testing |
testing meldet nur, enforce verweigert unsichere Zustellung, none zieht eine Richtlinie zurück. |
mx: mx1.example.com |
Eine Zeile je Mailserver, der E-Mails empfangen darf. Ein Platzhalter deckt genau eine Ebene ab. |
max_age: 604800 |
Sekunden, die ein Absender die Richtlinie zwischenspeichern darf. Höchstens 31557600, ein Jahr. |
Die Zeilen sind mit CRLF getrennt, so ist auch die heruntergeladene Datei geschrieben. Die id im TXT-Eintrag ist eine freie Zeichenkette bis 32 Zeichen; der Generator nimmt den aktuellen Zeitstempel, so bekommt jede neue Richtlinie automatisch eine neue id. Absender holen die Datei erst wieder, wenn sich die id ändert oder max_age abgelaufen ist.
*.example.com passt auf mx1.example.com, aber nicht auf mx1.eu.example.com.Von den 1.000 bestplatzierten .de-Domains der Tranco-Liste (Liste 467YX, gelesen am 19. Oktober 2026) empfangen 924 E-Mails. Nur 63 veröffentlichen einen MTA-STS-Eintrag und 62 einen TLS-RPT-Eintrag. Mehr als neun von zehn deutschen Domains mit Mailserver lassen sich also weiterhin unbemerkt auf unverschlüsselte Zustellung herabstufen. MTA-STS ist einer der wenigen Mailschutz-Bausteine, die nur eine kleine Datei und zwei DNS-Einträge kosten.
Die mx-Zeilen müssen zu den Hostnamen in Ihren MX-Einträgen passen. Bei gehosteter Post sind die Namen des Anbieters stabil, ein Platzhalter hält die Richtlinie dann gültig, wenn ein Host dazukommt.
| Post liegt bei | mx-Zeilen in der Richtlinie |
|---|---|
| Microsoft 365 | mx: *.mail.protection.outlook.com |
| Google Workspace | mx: smtp.google.com für die aktuelle Einrichtung, oder mx: aspmx.l.google.com plus mx: *.aspmx.l.google.com für die klassische |
| Eigener Server | genau die Namen aus Ihren MX-Einträgen, z. B. mx1.example.com |
Prüfen Sie das Ergebnis gegen Ihre echten MX-Einträge, bevor Sie auf enforce umstellen. „Veröffentlichten Eintrag laden“ füllt das Feld aus MX, und sobald eine Richtlinie veröffentlicht ist, meldet die Prüfung jeden MX-Host, den sie nicht abdeckt. Denken Sie daran, dass ein Platzhalter genau eine Ebene abdeckt: *.aspmx.l.google.com passt auf alt1.aspmx.l.google.com, aber nicht auf aspmx.l.google.com selbst, darum braucht dieser Host eine eigene Zeile.
Die Datei braucht nichts außer HTTPS mit gültigem Zertifikat für mta-sts. plus Ihre Domain. Übliche Wege:
/.well-known/mta-sts.txt ab.Was Sie auch nutzen: Die Datei muss mit Status 200 ausgeliefert werden, direkt von mta-sts. plus Ihrer Domain, ohne Umleitung auf einen anderen Host. Absender folgen keinen Umleitungen, und eine umgeleitete Richtlinie gilt als nicht vorhanden.
Ja, aber einen minimalen. Absender holen eine kleine Textdatei über HTTPS von mta-sts.ihredomain. Jeder Webspace oder statische Hoster mit gültigem Zertifikat für diesen Namen reicht; die Datei ändert sich nur, wenn sich Ihre Mailserver ändern.
Bei testing prüfen Absender die Richtlinie und melden Fehler über TLS-RPT, stellen aber trotzdem zu. Bei enforce stellen sie über eine Verbindung ohne gültiges TLS zu einem gelisteten Mailserver nicht zu. Starten Sie mit testing und stellen Sie um, wenn die Berichte sauber sind.
Beide lösen dasselbe Problem auf zwei Wegen. DANE braucht DNSSEC und wird von vielen europäischen Anbietern genutzt; MTA-STS funktioniert ohne DNSSEC und wird von Gmail und Microsoft unterstützt. Beides zu veröffentlichen ist üblich und schadet nicht.
Ein JSON-Bericht je Absender und Tag: wie viele Verbindungen aufgebaut wurden, wie viele mit gültigem TLS gelangen und der Grund für jeden Fehler, etwa ein abgelaufenes Zertifikat oder ein Host, der in der Richtlinie fehlt. Nachrichteninhalte enthalten sie nicht.
Stellen Sie die Datei auf mode: none, geben Sie dem TXT-Eintrag eine neue id und lassen Sie beides mindestens für das max_age online, das Sie vorher veröffentlicht hatten. Löschen Sie die Einträge sofort, setzen Absender die zwischengespeicherte Richtlinie durch, bis sie abläuft.
Nein. Richtlinie und Einträge entstehen im Browser. „Veröffentlichten Eintrag laden“ liest MX, _mta-sts und _smtp._tls der Domain und holt die veröffentlichte Richtliniendatei, wie es jeder Absender tun würde. Nichts davon wird gespeichert.
„Veröffentlichten Eintrag laden“ fragt unseren Resolver nach den MX-Einträgen und den TXT-Einträgen unter _mta-sts und _smtp._tls und holt die Richtliniendatei von https://mta-sts. plus Ihrer Domain. Der Validator des Email Security Check vergleicht dann jede mx-Zeile einer veröffentlichten Richtlinie mit den echten MX-Hosts, sodass ein Server, den die Richtlinie nicht abdeckt, gemeldet wird, bevor enforce ihn blockieren würde.
Der Generator selbst arbeitet im Browser: Er schreibt die Richtlinie aus Modus, Servern und Cache-Dauer, die Sie wählen, nimmt einen Zeitstempel als id und baut den TLS-RPT-Eintrag aus Ihrer Berichtsadresse. Den Webserver und das Zertifikat für die Subdomain mta-sts kann er nicht einrichten, und ob Ihre Mailserver gültige Zertifikate vorzeigen, prüft er nicht; das zeigen die TLS-Berichte.