E-Mail-Verwaltung¶

Die E-Mail-Verwaltung umfasst Postfächer, Weiterleitungen, Autoresponder, DKIM-Einstellungen und Spamfilter-Konfiguration.

Übersicht¶

Postfächer¶

Die Postfach-Tabelle zeigt alle E-Mail-Accounts:

Spalte	Beschreibung
E-Mail	Vollständige E-Mail-Adresse
Domain	Zugehörige Domain
Kunde	Zugeordneter Kunde
Quota	Speicherbelegung / Maximum in MB
Status	Aktiv oder Deaktiviert
Autoresponder	Aktiv/Inaktiv
Erstellt	Erstellungsdatum

Weiterleitungen¶

Spalte	Beschreibung
Quelle	Quell-E-Mail-Adresse
Ziel	Zieladresse(n)
Kunde	Zugeordneter Kunde
Erstellt	Erstellungsdatum

Postfach erstellen¶

Klicken Sie auf Postfach erstellen
Füllen Sie das Formular aus:

Feld	Pflicht	Beschreibung
Benutzername	Ja	Lokaler Teil der E-Mail (vor dem @)
Domain	Ja	Domain auswählen
Passwort	Ja	Postfach-Passwort
Quota (MB)	Nein	Speicherlimit (0 = unbegrenzt)

Klicken Sie auf Erstellen

Das System legt automatisch an:

E-Mail-Postfach mit Speicherplatz
Konfigurationseinträge für Senden und Empfangen
Verzeichnisstruktur für E-Mail-Ablage

Webmail-Zugang

Nach der Erstellung kann das Postfach sofort über das Webmail (SOGo) genutzt werden — direkt über den Server-Hostnamen unter /webmail oder, wenn für die Domain aktiviert, unter webmail.<domain>. Kalender und Kontakte sind über dieselbe Oberfläche verfügbar.

Postfach auf dem Gerät einrichten¶

Jedes neue Postfach erhält automatisch eine Willkommens-E-Mail (in der Sprache des Kunden) mit einer Schritt-für-Schritt-Anleitung für iPhone/iPad/Mac und Android — sie landet als erste Nachricht direkt im Postfach. Abschaltbar über die Panel-Einstellung mailbox_welcome_email.

Zusätzlich zeigt der Zugangsdaten-Dialog (Info-Symbol in der Postfach-Zeile) alles zum Einrichten:

Apple (iPhone, iPad, Mac): Ein signiertes Konfigurationsprofil (.mobileconfig) als Download-Button oder QR-Code richtet E-Mail (sowie Kalender & Kontakte) in einem Schritt ein — ohne manuelles Eintippen von Servern.
Android: IMAP/SMTP-Daten zum manuellen Anlegen, plus DAVx⁵ (Play Store) für Kalender & Kontakte über die angezeigte Adresse.
Manuell (alle Clients): Posteingang IMAP 993 (SSL/TLS), Postausgang SMTP 587 (STARTTLS), Benutzername = vollständige E-Mail-Adresse.

Postfach bearbeiten¶

Klicken Sie auf das Bearbeiten-Symbol
Ändern Sie Quota oder Status
Klicken Sie auf Speichern

Passwort ändern¶

Klicken Sie auf das Schlüssel-Symbol in der Aktionsspalte
Geben Sie das neue Passwort ein
Bestätigen Sie die Änderung

Postfach aktivieren / deaktivieren¶

Klicken Sie auf den Status-Schalter in der Aktionsspalte
Deaktivierte Postfächer können keine E-Mails senden oder empfangen

Postfach löschen¶

Klicken Sie auf das Löschen-Symbol
Bestätigen Sie die Löschung

E-Mails werden gelöscht

Beim Löschen eines Postfachs werden alle E-Mails unwiderruflich entfernt.

Autoresponder¶

Der Autoresponder sendet automatische Antworten auf eingehende E-Mails (z. B. Abwesenheitsbenachrichtigung).

Autoresponder konfigurieren¶

Klicken Sie auf das Uhr-Symbol in der Aktionsspalte eines Postfachs
Füllen Sie das Formular aus:

Feld	Pflicht	Beschreibung
Aktiviert	Ja	Autoresponder ein-/ausschalten
Betreff	Ja	Betreff der automatischen Antwort
Nachricht	Ja	Text der automatischen Antwort
Startdatum	Nein	Ab wann der Autoresponder aktiv sein soll
Enddatum	Nein	Bis wann der Autoresponder aktiv sein soll

Klicken Sie auf Speichern

Zeitsteuerung

Wenn Start- und Enddatum gesetzt sind, ist der Autoresponder nur in diesem Zeitraum aktiv. Ohne Datumsangabe ist er dauerhaft aktiv.

Weiterleitungen¶

Weiterleitung erstellen¶

Wechseln Sie zum Tab Weiterleitungen
Klicken Sie auf Weiterleitung erstellen

Feld	Pflicht	Beschreibung
Quelle	Ja	Quell-E-Mail-Adresse
Ziel	Ja	Zieladresse(n), kommagetrennt für mehrere

Klicken Sie auf Erstellen

Catch-All-Adresse¶

Eine Catch-All-Adresse empfängt alle E-Mails an eine Domain, für die kein explizites Postfach oder keine Weiterleitung existiert. Catch-All ist ein eigenständiges Feature mit eigenem Tab — keine Weiterleitung mit Wildcard-Adresse.

Berechtigung

Für Kunden wird Catch-All pro Paket über die Berechtigung Catch-All (perm_catch_all) freigeschaltet.

Catch-All einrichten¶

Navigieren Sie zu E-Mail > Catch-All
Klicken Sie auf Hinzufügen
Tragen Sie die Domain ein (z. B. example.com, ohne @)
Tragen Sie die Zieladresse ein (z. B. info@example.com)
Klicken Sie auf Erstellen

Erhöhtes Spam-Aufkommen

Eine Catch-All-Adresse fängt auch E-Mails an zufällige, nicht existierende Adressen der Domain auf — das erhöht das Spam-Aufkommen im Zielpostfach spürbar. Ein entsprechender Hinweis wird im Panel dauerhaft angezeigt.

Zum Deaktivieren die Catch-All-Regel in der Tabelle löschen.

Webmail¶

Jeder Postfach-Inhaber kann direkt über das Panel auf das Webmail zugreifen.

Webmail öffnen¶

Navigieren Sie zu E-Mail > Postfächer
Klicken Sie auf das Webmail-Symbol neben dem Postfach
Die Webmail-Oberfläche öffnet sich in einem neuen Tab

Weiterleitung löschen¶

Klicken Sie auf das Löschen-Symbol
Bestätigen Sie die Löschung

IMAP-Migration (E-Mails importieren)¶

Mit der IMAP-Migration können bestehende E-Mails von einem externen Mailserver in ein Postfach importiert werden — ideal beim Anbieterwechsel.

Migration starten¶

Navigieren Sie zu E-Mail > Postfächer
Klicken Sie auf den Migrieren-Button neben dem gewünschten Postfach
Füllen Sie das Migrations-Formular aus:

Feld	Pflicht	Beschreibung
IMAP-Server	Ja	Hostname des Quell-Mailservers (z. B. `imap.alter-anbieter.de`)
Port	Ja	IMAP-Port (Standard: `993` für SSL, `143` für STARTTLS)
Benutzername	Ja	Login auf dem Quell-Server (meist die vollständige E-Mail-Adresse)
Passwort	Ja	Passwort des Quell-Postfachs
SSL verwenden	Nein	SSL/TLS-Verschlüsselung aktivieren (Standard: aktiviert)

Klicken Sie auf Migration starten

Ablauf im Hintergrund

Die Migration läuft serverseitig im Hintergrund. Das Backend verwendet doveadm import mit automatischem Fallback auf imapsync, falls der Import fehlschlägt. Die Ordnerstruktur (Inbox, Sent, Drafts etc.) wird beibehalten.

Dauer

Je nach Postfachgröße kann die Migration mehrere Minuten bis Stunden dauern. Bestehende E-Mails im Zielpostfach werden nicht überschrieben — es werden nur neue Nachrichten hinzugefügt.

Vor der Migration prüfen

Stellen Sie sicher, dass der Quell-Server IMAP-Zugriff erlaubt und die Zugangsdaten korrekt sind. Einige Anbieter erfordern ein App-spezifisches Passwort (z. B. Google, Microsoft 365).

DKIM-Einstellungen¶

DKIM kann pro Domain aktiviert werden:

Navigieren Sie zur Domain-Verwaltung oder DNS > E-Mail-Sicherheit
Aktivieren Sie DKIM für die gewünschte Domain
Der DKIM-Schlüssel wird automatisch generiert
Der benötigte DNS-TXT-Record wird angezeigt

MTA-STS¶

MTA-STS (RFC 8461) weist sendende Mailserver an, bei der Zustellung an Ihre Domain TLS zu verlangen — Schutz gegen Downgrade- und Man-in-the-Middle-Angriffe. Aktivierung pro Domain unter Domains → Mail-Sicherheit → MTA-STS:

Modus wählen:
Testing – Fehler werden (via TLS-RPT) gemeldet, die Mail aber weiterhin zugestellt. Hier beginnen.
Enforce – Zustellung wird abgelehnt, wenn kein TLS ausgehandelt werden kann. Erst umschalten, wenn Testing sauber ist.
Aktivieren klicken. enconf stellt automatisch ein Zertifikat für mta-sts.<domain> aus und liefert die Policy unter https://mta-sts.<domain>/.well-known/mta-sts.txt aus.
Zwei DNS-Einträge sind erforderlich:
mta-sts.<domain> A → die Serving-IP der Domain
_mta-sts.<domain> TXT → v=STSv1; id=<Zeitstempel>

Bei Zonen auf dem enconf-eigenen DNS werden diese Einträge automatisch gesetzt. Bei externem DNS die angezeigten Einträge manuell anlegen.

Der Host mta-sts.<domain> muss vor der Aktivierung öffentlich auflösen, damit das Zertifikat per HTTP-Validierung ausgestellt werden kann.

TLS-RPT¶

TLS-RPT (RFC 8460) ist die ideale Ergänzung zum MTA-STS-Testmodus: Es weist sendende Server an, Probleme bei der TLS-Aushandlung zu melden, damit Sie sehen, ob die verschlüsselte Zustellung tatsächlich funktioniert. Aktivierung pro Domain unter Domains → Mail-Sicherheit → TLS-RPT:

Report-Adresse (rua) angeben — eine E-Mail (mailto:) oder eine https://-URL. Standard ist die Admin-E-Mail.
Aktivieren klicken. Es wird nur ein DNS-Eintrag benötigt (kein Zertifikat):
_smtp._tls.<domain> TXT → v=TLSRPTv1; rua=mailto:<Adresse>

Bei enconf-verwalteten Zonen wird der Eintrag automatisch gesetzt, bei externem DNS manuell anlegen. Die Berichte treffen dann als tägliche Zusammenfassungen bei der angegebenen Adresse ein.

DMARC-Berichte¶

DMARC-Aggregatberichte (RFC 7489) zeigen Ihnen, wer in Ihrem Namen E-Mails versendet und ob SPF/DKIM bestehen — die beste Möglichkeit, Spoofing und Zustellprobleme zu erkennen. enconf sammelt und wertet diese Berichte direkt im Panel aus. Aktivierung pro Domain unter Domains → Mail-Sicherheit → DMARC-Berichte:

Aktivieren klicken. enconf legt automatisch ein unsichtbares System-Postfach dmarc@<domain> an (erscheint nicht in der Postfach-Liste) und setzt den _dmarc-Eintrag mit rua=mailto:dmarc@<domain>:
_dmarc.<domain> TXT → v=DMARC1; p=none; rua=mailto:dmarc@<domain>; fo=1

Bei enconf-verwalteten Zonen wird der Eintrag automatisch gesetzt (Monitoring-Modus p=none); die Policy können Sie später unter DNS → E-Mail-Sicherheit verschärfen, ohne die rua zu verlieren. 2. Empfangende Server (Google, Microsoft, …) senden ihre Tagesberichte an die Adresse. Ein Hintergrund-Worker holt sie alle 30 Minuten ab, entpackt und wertet die XML-Berichte aus. 3. In der Mail-Sicherheits-Ansicht sehen Sie eine Zusammenfassung (Anzahl Berichte, Nachrichten, Erfolgsquote) und die letzten Berichte je meldendem Anbieter.

Erste Berichte

Die ersten Berichte treffen üblicherweise innerhalb von 24 Stunden ein, sobald der DNS-Eintrag öffentlich aktiv ist.

Spam-Einstellungen¶

enconf nutzt rspamd als Spamfilter. Die Konfiguration erfolgt pro Domain:

Einstellungen¶

Einstellung	Beschreibung
Spam-Score-Schwelle	Ab welchem Score eine E-Mail als Spam markiert wird
Spam-Aktion	`markieren`, `quarantäne` oder `ablehnen`
Greylisting	Temporäres Ablehnen unbekannter Absender

Whitelist / Blacklist¶

Whitelist: E-Mails von diesen Adressen werden nie als Spam behandelt
Blacklist: E-Mails von diesen Adressen werden immer als Spam behandelt

E-Mail-Rate-Limiting¶

Um Spam-Versand über kompromittierte Accounts zu verhindern:

Einstellung	Beschreibung
Max. E-Mails/Stunde (gesamt)	Limit für alle Postfächer zusammen
Max. pro Postfach/Stunde	Limit pro einzelnem Postfach
Max. pro Domain/Stunde	Limit pro Domain

Diese Limits werden im Hosting-Paket konfiguriert.

Kompromittierte Konten (Auto-Sperre)¶

Als Teil des Mail-Zustellbarkeits-Schutzes überwacht enconf den ausgehenden Versand pro Postfach. Beginnt ein einzelnes Postfach plötzlich, ungewöhnlich viele Mails zu versenden — typisch für ein gekapertes/kompromittiertes Konto, das Spam verschickt —, greift enconf automatisch ein:

Erkennung: abnormes Ausgangs-Volumen aus einem einzelnen Postfach.
Automatische Reaktion: der Versand für dieses Postfach wird sofort gesperrt und ein Benachrichtigungs-Ereignis mail_account_compromised ausgelöst, das den Administrator informiert.

Nachdem das Konto abgesichert wurde (Postfach-Passwort zurücksetzen), kann der Administrator das Postfach wieder freischalten.

Weiterleitungen & Verteiler: SPF-Problem und SRS¶

Bei einer Weiterleitung (Forwarder) oder einem Verteiler bleibt der ursprüngliche Absender erhalten (Envelope-Sender). Wird die Mail dann an einen SPF-strengen Empfänger (Gmail, Zoho, Outlook) weitergereicht, prüft dieser die SPF der fremden Absender-Domain gegen die IP Ihres Servers — der dort nicht autorisiert ist → Ablehnung (SPF Policy Failure). Das betrifft jeden weiterleitenden Mailserver und lässt sich nicht über die SPF der eigenen Domains beheben.

Lösung: SRS (Sender Rewriting Scheme)¶

SRS schreibt beim Weiterleiten nur den technischen Envelope-Absender auf eine eigene Domain um (der sichtbare From: bleibt der echte Absender). Der Empfänger prüft dann die SPF Ihrer SRS-Domain → besteht.

Aktivierung: Einstellungen → Mail → SRS aktivieren + eine SRS-Domain angeben. (SRS läuft auf dem Mailserver; es gibt genau einen Mail-Gateway pro Installation — daher eine zentrale Einstellung, nicht pro Web-Server.)

Wird einmal pro Server eingerichtet und deckt danach alle Domains automatisch ab (neue Domains inklusive).
Eigene gehostete Domains werden nicht umgeschrieben — nur weitergeleitete fremde Absender.
Für die SRS-Domain sind zwei DNS-Einträge nötig (das Panel zeigt sie an):
- MX → auf diesen Server (damit Bounces zurückkommen)
- SPF, der den Ausgang autorisiert: bei Direktversand v=spf1 a mx ~all, bei vorgeschaltetem Gateway v=spf1 include:<gateway> ~all

Hinweis zu striktem DMARC

SRS repariert SPF. Verändert ein vorgeschalteter Gateway die Mail (Betreff-Tag, Footer), kann die Original-DKIM-Signatur brechen — dann ist zusätzlich ARC nötig (rspamd signiert ARC bereits).

ARC-Sealing (Weiterleitungen bei striktem DMARC)¶

SRS repariert SPF bei Weiterleitungen. Für Empfänger mit striktem DMARC (Gmail, Zoho, Outlook) reicht das aber nicht immer: DMARC verlangt, dass SPF oder DKIM zur From:-Domain aligned ist. Beim Weiterleiten ist SPF nach SRS nicht mehr aligned, und die Original-DKIM-Signatur kann brechen, sobald die Mail unterwegs verändert wird → DMARC schlägt fehl.

ARC (Authenticated Received Chain) löst das: Der weiterleitende Server versiegelt die Mail und dokumentiert kryptografisch „als ich diese Mail erhielt, waren SPF/DKIM/DMARC gültig". Empfänger, die ARC auswerten, akzeptieren die Weiterleitung dann trotz gebrochenem direktem DMARC (lokaler Policy-Override). Genau so akzeptiert z. B. Gmail weitergeleitete Mail.

Was enconf tut¶

ARC-Sealing ist automatisch aktiv (rspamd, keine Einstellung nötig):

Weitergeleitete/relayte Mail wird beim Eingang versiegelt (sign_inbound), und zwar mit der lokalen Weiterleitungs-Domain (deren DKIM-Schlüssel bereits existiert und im DNS veröffentlicht ist).
Die vorhandene Verteiler-/Weiterleitungs-Domain braucht dafür ein gültiges DKIM (unter Mail-Sicherheit pro Domain einsehbar/aktivierbar) — das ist derselbe Schlüssel, mit dem der ARC-Seal erzeugt wird.
Es sind keine zusätzlichen DNS-Einträge nötig, solange DKIM der Weiterleitungs-Domain gesetzt ist.

Grenzen¶

ARC hilft nur bei Empfängern, die ARC auswerten (Gmail, Microsoft/Outlook, Zoho). Kleine/eigene Server ignorieren ARC teils — dort bleibt DKIM-Erhalt bzw. SRS die Absicherung.
ARC ist ergänzend zu SRS, kein Ersatz: SRS deckt SPF-only-Empfänger ab, ARC die DMARC-strengen.

Zusammenspiel

SRS (SPF beim Weiterleiten) + ARC (DMARC beim Weiterleiten) + DKIM pro Domain ergeben zusammen maximale Zustellbarkeit von Weiterleitungen und Verteilern. Alle drei sind in enconf integriert; DKIM und ARC laufen automatisch, SRS wird einmalig pro Server aktiviert.