Alternative zum eigenen Mailserver: Kontrolle ohne SMTP-Betrieb

Einen eigenen Mailserver zu betreiben heißt, den SMTP-Stack selbst zu fahren: den Mail Transfer Agent, den IMAP-Speicher, die Spam-Engine, TLS-Zertifikate, DNS-Authentifizierungseinträge, Reverse DNS, Backups und die Reputation einer IP-Adresse, von der große Empfänger noch nie gehört haben. Was Sie dafür bekommen, ist vollständige Verfügungsgewalt. Was es kostet, ist nicht die Einrichtung — die ist ein gutes Wochenende. Es ist das Rinnsal danach, dauerhaft.

Ich will fair damit umgehen, denn ich habe eigene Mail betrieben, und die Leute, die es tun, liegen mit dem, was sie wollen, nicht falsch. Sie liegen oft falsch mit dem, was sie dafür in Kauf nehmen müssen.

Was kostet ein eigener Mailserver wirklich?

Kein Geld. Aufmerksamkeit, in kleinen unvorhersehbaren Portionen, konzentriert auf den einen Teil, den Sie nicht kontrollieren: ob die Server anderer Leute Ihre Mail annehmen.

Fangen wir mit der Installation an, der leichteren Hälfte. SPF, DKIM und DMARC, die zueinander passen. Ein PTR-Eintrag, der zum HELO-Namen stimmt, also eine IP, deren Reverse DNS Sie selbst setzen dürfen. Zertifikate, die sich über Jahre allein erneuern, ohne dass ein Mensch hinsieht. MTA-STS und TLS-Reporting, wenn eingehendes TLS erzwungen und nicht bloß opportunistisch sein soll. Das Patchen eines Mail-Daemons, der direkt im Internet steht. Ein Spam-Stack, der Korpus-Training und Feinabstimmung braucht. Backups, aus denen Sie einmal wirklich zurückgespielt haben, statt Backups, die Sie konfiguriert haben.

Jetzt die harte Hälfte. Viele Clouds sperren ausgehenden Port 25 standardmäßig — Google Cloud öffnet ihn überhaupt nicht, AWS verlangt einen Antrag, Azure blockt ihn für die meisten Abonnementtypen —, und bei europäischen VPS-Anbietern ist er häufig erst nach einer Freischaltung nutzbar; Ihre Hostwahl ist also eingeschränkt, bevor Sie anfangen. Eine frische IP in einem kleinen Block wird von großen Empfängern gegraylistet, verzögert oder abgewiesen, egal wie korrekt Ihre Konfiguration ist, und sie warmzufahren ist eine Sache von Wochen mit niedrigem, gleichmäßigem, erwünschtem Volumen. Blocklisten brauchen Monitoring, denn vom Eintrag erfahren Sie durch eine Bounce-Nachricht, üblicherweise von genau dem Empfänger, auf den es ankam. Seit Februar 2024 verlangen Google und Yahoo authentifizierte Mail, DMARC für Massenversender, Abmeldung mit einem Klick und eine Spam-Beschwerderate unter etwa 0,3 Prozent — eine Untergrenze, die weiter steigt und nach der niemand Sie gefragt hat.

Der Normalzustand ist vielleicht eine Stunde im Monat. Der schlechte Zustand ist ein Samstag, an dem Sie einem Reputationssystem beweisen, dass Sie kein Spammer sind, während Ihre Rechnungen unzugestellt liegen bleiben. Diese Varianz ist der eigentliche Preis, und sie sinkt nicht mit Können. Sie sinkt mit einer Volumenhistorie, die sich nicht fälschen lässt.

Was wollten Sie eigentlich vom Selbsthosten?

Fast immer drei Dinge, und keines davon ist der Mailserver: Verfügungsgewalt über das Archiv, Mail auf der eigenen Domain und die Freiheit zu gehen.

Verfügungsgewalt heißt, die Bytes liegen dort, wo niemand sie Ihnen wegnehmen kann — kein gesperrtes Konto, das zwölf Jahre Korrespondenz mitnimmt, keine Jurisdiktion, die am Sitzland eines Anbieters hängt, kein Exportticket. Die eigene Domain heißt, die Adressen gehören Ihnen, und der Anbieter ist ein Implementierungsdetail statt Ihrer Identität. Portabilität heißt, das Archiv liegt in einem Format, das Sie auch mit etwas anderem als der Software des Anbieters lesen können.

Es gibt ein viertes, leiseres Motiv: keine Datenquelle sein. Kein Scannen, keine Werbeprofile, kein Modelltraining auf dem Inhalt Ihres Postfachs.

Sehen Sie sich diese Liste an und achten Sie darauf, was fehlt. Niemand wollte einen MTA betreiben. Niemand wollte Meinungen über Greylisting haben. Der Daemon war die Maut, nicht das Ziel.

Wann ist ein eigener Mailserver die richtige Entscheidung?

In fünf Situationen, und die sind echt.

Wenn die Mail das eigene Netz nie verlässt. Interne Benachrichtigungen, Cron-Ausgaben, Ticketsysteme, Monitoring-Alarme — ein lokaler MTA, der an lokale Postfächer ausliefert, umgeht jedes Zustellbarkeitsproblem, weil es keine externen Empfänger zu überzeugen gibt.

Wenn Sie Kontrolle auf Protokollebene brauchen, die gehostete Dienste nicht herausgeben: ungewöhnliches Routing, eigenes Sieve in großem Umfang, Richtlinien je Domain, Anbindung an etwas Altes und Tragendes.

Wenn Regulierung oder ein Air Gap verlangt, den gesamten Weg selbst zu betreiben, und keine vertragliche Verfügungsgewalt physische Kontrolle ersetzt.

Wenn Sie ohnehin überwachte Infrastruktur mit Rufbereitschaft betreiben. Wenn Prometheus schon alarmiert und schon jemand einen Pager trägt, ist Mail ein Grenzkostenposten und keine neue Disziplin.

Und wenn der Betrieb selbst der Punkt ist. Zu lernen, wie Mail funktioniert, indem man sie betreibt, ist ein wirklich guter Einsatz eines Wochenendes, und davon würde ich niemandem abraten.

Zwei leichtere Varianten verdienen eine Erwähnung, weil sie den größten Teil des Problems lösen. Nur-Empfang selbst zu hosten ist einfach — für eingehende Mail gibt es keine Reputationsanforderung. Und ausgehend über einen authentifizierten Smarthost zu relayen, während Ihr eigener IMAP-Speicher bleibt, gibt genau den schwersten Teil ab und lässt Ihnen den Rest.

Was ist der Mittelweg?

Verwaltetes Routing plus Speicher, der Ihnen gehört. Ein Anbieter übernimmt die MX-Einträge, die Prüfung von SPF, DKIM und DMARC, die Spamfilterung und die Versandreputation; jede Nachricht wird verschlüsselt und in Objektspeicher in Ihrem eigenen Konto geschrieben — Ihren S3- oder R2-Bucket, Ihren WebDAV-Server, notfalls ein Git-Repository.

Die Trennung folgt den Fehlerfolgen, und deshalb hält sie. Das Archiv zu verlieren ist endgültig und nicht behebbar. Ein falsches Spam-Urteil ist ein Ärger, den Sie am Dienstag korrigieren. Über die ausgehende Reputation entscheiden Fremde mit Daten, an die Sie nicht herankommen. Die umkehrbaren, fachintensiven Probleme an jemanden abzugeben, dessen Vollzeitjob sie sind, und das unumkehrbare selbst zu behalten, wäre meine Wahl selbst dann, wenn Selbsthosten kostenlos wäre.

Konkret bekommen Sie das: Backup wird Bucket-Versionierung und eine Lifecycle-Regel statt eines Feature-Wunsches. Migration wird ein Umbiegen des Schreibers statt einer Extraktion des Archivs. Region und Jurisdiktion werden zwei Einstellungen, die Sie getrennt wählen. Und verschwindet der Routing-Dienst nächsten Monat, verlieren Sie eine Oberfläche, kein Jahrzehnt Mail.

Was gibt der Mittelweg nicht her?

Vier Dinge, und etwas anderes zu behaupten wäre unehrlich.

Sie vertrauen weiterhin einem Routing-Betreiber. Spamfilterung muss die Nachricht lesen, also existiert Ihr Klartext im Arbeitsspeicher eines fremden Rechners, bevor er im Ruhezustand verschlüsselt wird. Jeder Dienst, der Ihre Mail filtert und gleichzeitig behauptet, sie nie zu sehen, beschreibt etwas, das nicht funktionieren kann.

Transportmetadaten bleiben offen. SMTP verhandelt zwischen den Hops im Klaren, also sind Envelope-Adressen, Zeitstempel und der Weg einer Nachricht für jedes Relay sichtbar, das sie anfasst. Wo eine Nachricht ruht, sagt nichts darüber, wie sie gereist ist.

Den Mailserver dürfen Sie nicht verändern. Wer Postfix patchen will, ist hier an der falschen Adresse.

Und Verfügungsgewalt reicht Ihnen die Verantwortung weiter, die mit der Macht kommt. Eine zu freizügige Bucket-Policy veröffentlicht Ihre Mail. Ein gelöschter Bucket löscht Ihre Mail. Niemand wird sie aus dem Backup wiederherstellen, das Sie nicht angelegt haben. Das ist der Deal, und es ist derselbe Deal, den Selbsthosten anbietet — abzüglich des Teils, in dem ein Reputationssystem, das Sie nie getroffen haben, darüber entscheidet, ob Ihre Mail ankommt.