Was die beiden Richtlinien verlangen
Die Technische Richtlinie BSI TR-03108 „Sicherer E-Mail-Transport“ beschreibt, wie Mailserver Nachrichten verschlüsselt austauschen: STARTTLS mit mindestens TLS 1.2, gültige Zertifikate, eine mit DNSSEC signierte Zone für die Domain und die Mailserver, DANE-Einträge, damit Absender die Verschlüsselung nicht auf Klartext herunterhandeln lassen, und TLS-RPT für Fehlerberichte. MTA-STS ist dort ein optionaler Baustein neben DANE.
Die BSI TR-03182 „E-Mail-Authentifizierung“ schützt den Absendernamen: genau ein SPF-Eintrag mit hartem Abschluss, DKIM-Schlüssel für RSA-SHA256 und Ed25519-SHA256, DMARC mit quarantine oder reject und mindestens einer Adresse für Sammelberichte. Für Domains, die keine Mails versenden, verlangt sie einen Null-MX, „v=spf1 -all“ und DMARC reject.
Was der Schnellcheck prüft
Der Schnellcheck nutzt dieselben Prüfungen wie die dauerhafte Überwachung von DomainWarn und dieselben Kriterien wie unser Compliance-Bericht. Die Kriterien sind angelehnt an BSI TR-03108 und TR-03182; geprüft wird nur, was von außen über DNS und die Mailserver sichtbar ist.
- Mailserver (MX): STARTTLS, ausgehandelte TLS-Version und Zertifikat. Diese Verbindungen über Port 25 baut der Check nur auf, wenn der Prüfstandort sie erlaubt; sonst stehen die drei Kriterien als „nicht prüfbar“ da.
- DNSSEC: Ist die Zone der Domain signiert und die Kette gültig, und liegen auch die Mailserver in einer signierten Zone?
- DANE: TLSA-Einträge für jeden Mailserver in einer signierten Zone.
- MTA-STS (SOLL, optional): Richtlinie im Modus enforce, die alle MX abdeckt. Zählt nicht in die Zusammenfassung.
- TLS-RPT: gültiger Eintrag mit Berichtsadresse per mailto.
- Mailprogramme: veröffentlichte Zugänge per SRV und Autoconfig, verschlüsselt und mit implizitem TLS (SUBMISSIONS, IMAPS).
- SPF, DKIM und DMARC nach TR-03182, dazu der Schutz von Domains ohne Mailversand.
So liest du das Ergebnis
Jedes Kriterium nennt seine Kennung aus der Richtlinie, etwa TR-03108-03-M, und die Stufe: MUSS oder SOLL. Darunter stehen der Beleg (was der Check gesehen hat) und, wenn etwas fehlt, die Empfehlung.
- Erfüllt: Der Check hat das Kriterium von außen bestätigt.
- Teilweise: Ein Teil fehlt, etwa ein DKIM-Schlüssel für Ed25519 neben RSA oder TLSA-Einträge nur für einen von zwei Mailservern.
- Nicht erfüllt: Das Kriterium fehlt oder ist falsch eingerichtet.
- Nicht prüfbar: Der Check konnte es nicht feststellen, etwa weil die Domain keine Mails empfängt, das Zeitlimit erreicht war oder Port 25 nicht freigegeben ist.
- Nicht anwendbar: Gilt für diese Domain nicht, etwa die Vorgaben für Domains ohne Mailversand bei einer Domain, die Mails verschickt.
Wie gezählt wird
Die Zusammenfassung oben zählt wie der Compliance-Bericht: Optionale Kriterien (MTA-STS) und nicht anwendbare zählen nicht mit, nicht prüfbare schon. „11 von 14 erfüllt“ heißt also: Von 14 Kriterien, die für die Domain gelten, hat der Check 11 bestätigt.
Was der Schnellcheck nicht kann
Der Check ist eine automatisierte Prüfung von außen. Er ersetzt keine Prüfung durch das BSI oder eine Prüfstelle und keine Zertifizierung. Ausgehende Mailserver, interne Systeme und organisatorische Vorgaben der Richtlinien sieht er nicht, und das Ergebnis gilt für den Moment der Abfrage.
Dauerhaft im Blick behalten
Ein DNS-Eintrag ist schnell geändert, ein Zertifikat läuft ab, ein neuer Mailserver kommt ohne TLSA-Eintrag dazu. DomainWarn prüft die Domains deiner Kunden regelmäßig, meldet Änderungen, erstellt den Compliance-Bericht als PDF und zeigt mit dem Siegel „E-Mail-Sicherheit geprüft“, dass die Domain laufend überwacht wird.