staybb
Goto Top

EMail Adresse auf Grey-List gelandet? eMail Verschlüsselung nicht aktiv

Hallo,

ich habe bei einem eMail Account in Outlook folgende Problematik die Tage festgestellt.

Eine eMail Postfach in Outlook 2016 war so konfiguriert, das keine SMTP-Authentifizierung aktiviert war und der IMAP Port auf 143 und SMTP auf Port 25 eingestellt war.
Nun gab es das Problem, dass die betroffene Person keine eMails gleichzeitig an mehrere Absender Adressen verschicken konnte. Outlook lieferte die Meldung "453 Remote side deferred recipient" und die Mails gingen nicht an den Absender raus.
Meine Vermutung ist, das ihre Mail Adresse auf einen grey Filter gelandet ist und sie somit nur "begrenzt" in zeitlichen Abständen eMails versenden kann. Wäre dies eine Mögliche Erklärung für die Meldung?

Ich hatte dann SMTP-Authentifizierung aktiviert in Outlook und den SMTP Port auf 587 und TLS gestellt. IMAP habe ich auf 143 gelassen. Bevor ich auf TLS umgestellt hatte, war garkeine Anmeldung an dem Mailserver mehr möglich und Outlook lieferte beim
Einrichtungstest für Mail die selbige Meldung mit "453 Remote side deferred recipient". AUch hatte ich in unverschlüsselter Einstellung auch folgende Meldung einmal erhalten: "573 Swisscom Antispam:
Authentifizierte Verbindung nicht moeglich."

Seltsamerweise ging bis auf die Beschränkung von mehreren eMail Absendern gleichzeitig, das eMail Konto ohne Probleme. Kann es sein das der Server erst jetzt agiert hat und das Postfach bis dahin immer unverschlüsselt versenden konnte?

Dann noch eine allgemeine Frage zu der Portkonfiguration in Outlook. Der E-Mail Server unterstützt ja eMail-Verschlüsselung. Wenn nun in Outlook aber nur Port 25 für SMTP und IMAP der Port 143 aktiviert ist. Versendet dann der Server dieser eMail Adresse immer unverschlüsselt oder nutzt er trotzdem STARTTLS, da er ja eigentlich verschlüsseln kann?

Also sollte man in Outlook immer direkt den Port 587 und Port 993 aktivieren wenn der E-Mail Server Verschlüsselung bietet oder?

Nun ist noch das Problem das ständig beim Start von Outlook eine zweimal eine Internetssicherheitswarnung auftauch. Man muss dann zweimal mit JA bestätigen damit sich Outlook mit dem Server verbinden. In dem Zertifikat steht ein ganz andere Server wie der, der in Outlook als Mailserver hinterlegt ist drin. Vermutlich weil es ein Großanbieter von E-Mail Servern ist und das Zertifikat nicht für diese Domaine ausgestellt wurde, kann das sein?
Auch das Installieren des Zertifikates unter Vertrauenswürdige Stammzertifikate hat leider nichts gebracht, die Meldung erscheint immer beim Starten von Outlook. Was kann man noch tun damit die Meldung nicht immer erscheint?

outlook3

Content-Key: 298319

Url: https://administrator.de/contentid/298319

Printed on: April 16, 2024 at 21:04 o'clock

Member: Sheogorath
Sheogorath Mar 05, 2016 at 20:32:56 (UTC)
Goto Top
Moin,

Erstmal ist greylisting ein einfacher Vorgang bei Mailservern, die so gesehen keine externe Listen benötigt. Man merkt sich einfach intern, wer schonmal versucht hat eine Mail zuzustellen.

Das ganze funktioniert so, dass ein Mailserver versucht eine E-Mail zuzustellen und der Zielmailserver diese Email erstmal temporär ablehnt. Der Zielmailserver merkt sich allerdings den Zustellversuch und hat ein eingestelltes Zeitfenster. Nach einer gewissen Zeit versucht der Mailserver nun erneut die E-Mail an den Zielmailserver zu schicken und wird nun nicht mehr vertröstet sondern zugelassen und die Mail kommt ganz normal an.

Die Idee dahinter ist, schlecht gebaute Spamtools abzuhalten einfach Mails an Mailserver zu verschicken. Diese sind in der Regel nicht so gebaut, dass sie Mails erneut zustellen und somit kommt der Spam am Zielmailserver nie an.


Dass man keine mehreren Leute gleichzeitig adressieren kann, kann eine Spamschutzmaßnahme deines Anbieters sein. Sodass du z.B. nur an eine bestimmte Anzahl an Empfänger E-Mails verschicken kannst. Gängige Grenzen hierfür wären 5 oder 10 Empfänger. Das verhindert Massenspam an ganze Adressbüchern im Falle von Würmern.

Und was deinen Screenshot angeht: Da liegt einfach ein Problem mit dem SSL Zertifikat vor. Prüfe mal ob der DNS Name mit dem im Zertifikat hinterlegten übereinstimmt.

Gruß
Chris
Member: staybb
staybb Mar 05, 2016 at 21:13:20 (UTC)
Goto Top
Also das heisst jeder aufgesetzte E-Mail Server hat die Grey-Listening Funktion bereits aktiviert? Was mich wunder ist, wenn ich eine Mail an eine Adresse sende, an die ich noch nie zuvor eine Mail gesendet hatte, kommt diese binnen unter einer Minute auch an.
Ich lese immer das der greylist filter 10minuten aktiv sei. Aber wie kann es dann sein, dass meine eMail unter einer Minute trotzdem ankommt?


Zitat von @Sheogorath:


Und was deinen Screenshot angeht: Da liegt einfach ein Problem mit dem SSL Zertifikat vor. Prüfe mal ob der DNS Name mit dem im Zertifikat hinterlegten übereinstimmt.


Würde ein ipconfig /flushdns etwas bringen, sollte der DNS Eintrag auf dem PC falsch sein ?
Member: Sheogorath
Sheogorath Mar 05, 2016 at 21:24:13 (UTC)
Goto Top
Moin,

nein, nicht alle haben Greylisting aktiviert. Es ist ein wenig eine Glaubensfrage ob man es nutzt oder nicht. In der Regel reicht auch DMARC, Hostname überprüfung und DNSBLs um den meisten Spam abzuwenden.

Größere Anbieter nutzen eher selten Greylisting.

Und nein, ein flushen des DNS Caches hilft da leider nichts. Es geht um den DNS Namen des Mailservers. Dieser muss mit dem im Zertifikat hinterlegten übereinstimmen. Tut er dies nicht, gilt dies als Verletzung des Zertifikates und wirft hässliche Meldungen.

Gruß
Chris
Member: staybb
staybb Mar 05, 2016 at 21:45:27 (UTC)
Goto Top
Zitat von @Sheogorath:

Moin,

nein, nicht alle haben Greylisting aktiviert. Es ist ein wenig eine Glaubensfrage ob man es nutzt oder nicht. In der Regel reicht auch DMARC, Hostname überprüfung und DNSBLs um den meisten Spam abzuwenden.

Größere Anbieter nutzen eher selten Greylisting.

Und nein, ein flushen des DNS Caches hilft da leider nichts. Es geht um den DNS Namen des Mailservers. Dieser muss mit dem im Zertifikat hinterlegten übereinstimmen. Tut er dies nicht, gilt dies als Verletzung des Zertifikates und wirft hässliche Meldungen.

Gruß
Chris

Alles klar dann macht es Sinn. Also ich habe den DNS Namen des Zertifikates und des Mailservers verglichen. Diese weichen komplett ab.
Wie kann nun die Meldung unterdrückt werden, da der eMail Nutzer ja keine Möglichkeit hat das Zertifikat abändern zu lassen.
Member: Sheogorath
Sheogorath Mar 05, 2016 at 21:51:46 (UTC)
Goto Top
Moin


Zitat von @staybb:
Alles klar dann macht es Sinn. Also ich habe den DNS Namen des Zertifikates und des Mailservers verglichen. Diese weichen komplett ab.
Wie kann nun die Meldung unterdrückt werden, da der eMail Nutzer ja keine Möglichkeit hat das Zertifikat abändern zu lassen.

Du bohrst am falschen Ende :D

Du solltest den Servernamen den du in Outlook hinterlegt hast an das Zertifikat anpassen.

Dann sollte auch deine Fehlermeldung verschwinden face-smile

Gruß
Chris
Member: staybb
staybb Mar 06, 2016 at 01:13:10 (UTC)
Goto Top
Ok dann werde ich das einmal versuchen. Bedeutet dies aber das aktuell mehrere MX DNS Einträge noch auf den gleichen Mailserver hinverweisen? Da der jetzt eintgetragene DNS Server ja auch funktioniert, nur das Zertifikat auf den neuen DNS ausgestellt wurde oder?
Member: Sheogorath
Sheogorath Mar 06, 2016 at 03:01:05 (UTC)
Goto Top
Moin,

ich glaube du wirfst gerade viel durcheinander.

MX einträge sind dazu da Mails zuzustellen. Sie sollten immer auf dein FQDN bzw, FQHN des Mailservers verweisen und Forward wie Reverse per DNS aufzulösen sein. zu diesem FQDN sollte auch der Name im Zertifikat passen, es ist aber durchaus möglich, dass der Server mehrere DNS Namen hat und diese ebenfalls im Zertifikat hinterlegt sind. Über einen dieser Namen musst/solltest du nun deine Mails abrufen.

Z.B. kann in deinem Zertifikat mx1.example.com und imap.example.com Dann wäre vermutlich mx1.example.com der FQDN der auch als MX Eintrag hinterlegt wäre und imap.example.com die Adresse über die du deine Mails abrufst. Du könntest dies aber ebenso über mx1.example.com machen.

Nun zu deinen Fragen:
Bedeutet dies aber das aktuell mehrere MX DNS Einträge noch auf den gleichen Mailserver hinverweisen?
Nein, das ist davon erst mal unabhängig, aber natürlich ist nicht ausgeschlossen dass mehrere MX einträge auf diesen Mailserver verweisen. Du kannst es schlicht und ergreifend nicht am Zertifikat oder dem von dir angegeben Namen zum Abrufen der Mails ableiten, da es nichts miteinander zu tun hat.

Da der jetzt eintgetragene DNS Server ja auch funktioniert, nur das Zertifikat auf den neuen DNS ausgestellt wurde oder?
Es geht hier nicht um die DNS Server sondern um den DNS Namen den du verwendest um den Server anzusprechen. Dieser wird gegen die im Zertifikat hinterlegten DNS Namen des Server geprüft um sicherzustellen, dass der Server auch der ist, den du am anderen Ende haben willst und nicht irgendein falscher von einem Hacker/Betrüger/Geheimagenten, der deinen Mailverkehr abgreifen möchte.

Schau einfach welche Namen im Zertifikat hinterlegt sind und trage diese jeweils ein Eingangs- und Ausgangsserver in deinem Outlook ein. Schon sollte die Meldung verschwinden und alles funktionieren ;)

Gruß
Chris
Member: staybb
staybb Mar 06, 2016 at 18:21:21 (UTC)
Goto Top
Moin Chris,

danke für die Antworten. Dann werde ich dies einmal austesten wenn ich per Remote mich wieder verbinden kann und nochmal Feedback geben.

Noch eine generelle allgemeine Frage. Unverschlüsselter eMail Verkehr wurde eigentlich komplett abgestellt oder? Wie kann es dann sein, dass das betroffene eMail Postfach bis vor ein paar Tagen noch unverschlüsselt über Port 25 Mails versenden konnte?

Leider fehlt mir da noch ein bisschen KnowHow. Aber wenn der Mailserver Verschlüsselung anbietet und in Outlook die unverschlüsselten Ports 143 (Imap) und 25 (SMTP) hinterlegt sind, wird dann immer unverschlüsselt versendet? Müssen explizit die sicheren Ports eingetragen sein, damit die Mails verschlüsselt rausgehen?

Was ist der Unterschied bei SMTP und IMAP Port? SMTP ist ja bei ausgehenden Mails. IMAP bei eingehenden. Was ist wenn nur der SMTP Port 587 verschlüsselt in Outlook hinterlegt ist und der Standard Port 143 (Imap unverschlüsselt) hinterlegt ist. Gehen dann nur unverschlüsselt Mails raus und nur unverschlüsselte rein? Oder wie muss man sich das vorstellen?

Sorry für die Anfängerfragen.
Member: Sheogorath
Sheogorath Mar 06, 2016 at 19:54:15 (UTC)
Goto Top
Moin,

Unverschlüsselter eMail Verkehr wurde eigentlich komplett abgestellt oder?
Nein, nicht wirklich, aber er ist auf dem Rückzug, was auch gut so ist :D

Wie kann es dann sein, dass das betroffene eMail Postfach bis vor ein paar Tagen noch unverschlüsselt über Port 25 Mails versenden konnte?
Ja, das kann sein, das hängt vom Betreiber des Mailservers und dessen Konfigurationen ab.

Aber wenn der Mailserver Verschlüsselung anbietet und in Outlook die unverschlüsselten Ports 143 (Imap) und 25 (SMTP) hinterlegt sind, wird dann immer unverschlüsselt versendet?

Das hat weniger etwas mit den Ports zu tun, als eher mit deiner Konfiguration von Outlook. Es kann dank STARTTLS möglich sein, dass auf dem Gleichen Port eine unverschlüsselte und eine verschlüsselte Kommunikation möglich ist. Ob das der Fall ist, kann dir nur dein Mailserverbetreiber sagen. Gegebenfalls solltest du dort mal Nachfragen oder ins FAQ schauen. Meist werden ja Einstellungen für Mailclients mit Anleitungen irgendwo öffentlich hinterlegt.

Gehen dann nur unverschlüsselt Mails raus und nur unverschlüsselte rein? Oder wie muss man sich das vorstellen?
Nun ja, dein Mailclient baut eine Verbindung zu dem Mailserver auf. Ob dies Plaintext (unverschlüsselt) oder verschlüsselt passiert, hängt von der Konfiguration des Clients ab und davon ob der Mailserver eine verschlüsselte Kommunikation anbietet. Über diese dann verschlüsselte oder unverschlüsselte Verbindung authentifizierst du dich gegenüber des Mailservers.

Problem ist aber auch: Der Mailserver speichert die Mails ja hauptsächlich zwischen was auch bedeutet, dass die Mails ja zum Mailserver übertragen werden müssen. Wenn hier einer von beiden Mailservern keine Verschlüsselung anbietet fließt deine E-Mail dennoch unverschlüsselt durchs Internet. Und auch dort wurde sie ja irgendwie verschickt oder abgerufen. Auch dort könnte also irgendwo Verschlüsselung fehlen.

Du siehst es gibt viele Stellen wo deine Mail eben doch mal Plaintext übertragen werden kann.

Jetzt noch zu deinen restlichen Fragen:
Was ist der Unterschied bei SMTP und IMAP Port? SMTP ist ja bei ausgehenden Mails. IMAP bei eingehenden. Was ist wenn nur der SMTP Port 587 verschlüsselt in Outlook hinterlegt ist und der Standard Port 143 (Imap unverschlüsselt) hinterlegt ist.

Nun ja, wie gesagt, es kommt auf die Einstellungen an. Im Moment geht man dazu über einfach auf den Standardports verschlüsselten Zugriff einzurichten auch diversen Gründen. Nehmen wir an du setzt deine Einstellungen Eben auf verschlüsselt für SMTP und unverschlüsselt für IMAP dann würden deine E-Mails verschlüsselt zum Mailserver übertragen werden, aber du würdest dein Postfach unverschlüsselt abrufen. Definitiv keine Lösung die man haben möchte.

Schau am besten einfach mal bei deinem Mailserverbetreiber nach Einrichtungsguides für die einzelnen Clients. Du solltest fündig werden ;)

Gruß
Chris