So funktioniert’s
Ein Mailserver soll Mails nur in zwei Fällen annehmen: für Empfänger seiner eigenen Domains und zum Weiterleiten, wenn sich der Absender angemeldet hat (SMTP-Auth, meist über Port 587) oder aus einem vertrauenswürdigen Netz kommt. Ein Open Relay leitet dagegen jede Mail an jede Adresse weiter.
Früher war das der Normalzustand; seit den Anti-Spam-Empfehlungen in RFC 2505 sperren alle gängigen Mailserver das Relaying standardmäßig. Heute entsteht ein offenes Relay meist durch Fehlkonfiguration: zu weit gefasste vertrauenswürdige Netze, ein Smarthost ohne Anmeldung oder ein Formular-Skript, das beliebige Empfänger zulässt.
Prüfen lässt sich das mit einem SMTP-Dialog von einer externen IP aus: Eine Mail mit fremdem Absender an eine fremde Domain muss der Server mit einer Fehlermeldung wie 554 5.7.1 Relay access denied ablehnen.
Warum gefährlich
Spammer finden offene Relays über automatisierte Scans schnell und verschicken darüber massenhaft Spam und Phishing. Die IP-Adresse landet auf Blacklists wie Spamhaus, danach lehnen Empfänger auch die legitimen Mails des Unternehmens ab.
Dazu kommen Last auf dem Server, volle Warteschlangen, Tausende Rückläufer und im Zweifel ein Hoster, der die IP oder den ganzen Server sperrt.
So vermeidest du es
- Relaying nur für angemeldete Benutzer erlauben (SMTP-Auth über Port 587 oder 465) und vertrauenswürdige Netze so eng wie möglich fassen.
- Nach jeder Änderung an der Mailserver-Konfiguration einen Relay-Test von einer externen IP machen.
- Kontaktformulare und Skripte so bauen, dass sie nur an fest hinterlegte Empfänger senden.
- Transaktionsmails der Website über einen Mailanbieter mit Anmeldung verschicken statt über einen selbst betriebenen Server.
- Mail-Logs und Warteschlange auf ungewöhnliche Mengen überwachen.
So erkennt DomainWarn es
Einen Open-Relay-Test führt DomainWarn nicht durch, das prüft DomainWarn nicht direkt. Der SMTP-Check verbindet sich zwar mit bis zu fünf MX-Hosts auf Port 25 und prüft Banner, STARTTLS, TLS-Version und Zertifikat, übergibt aber nie eine Mail: kein Absender, kein Empfänger und damit kein Relay-Versuch.
Indirekt hilft der Blacklist-Check: Wird ein offenes Relay missbraucht, landet die Mailserver-IP meist schnell auf Listen wie Spamhaus ZEN, SpamCop, Barracuda oder PSBL. DomainWarn meldet eine gelistete Mailserver-IP als kritisch und eröffnet den Incident „Auf Blacklist gelistet“.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.