Port 587: Der umfassende Leitfaden für sichere E-Mail-Submission, Konfiguration und Best Practices

Pre

In der Welt der mailbasierenden Kommunikation ist Port 587 eine zentrale Schnittstelle zwischen Client-Programmen, wie Outlook oder Thunderbird, und dem zuständigen Mail-Server. Richtig konfiguriert, bietet Port 587 eine sichere, authentifizierte Submission von E-Mails und schützt sowohl Absender als auch Empfänger vor Missbrauch. Dieser Leitfaden erklärt, was Port 587 genau bedeutet, warum es unverzichtbar ist, wie es sich von anderen Ports unterscheidet und welche Schritte für eine sichere Implementierung notwendig sind. Dabei nehmen wir auch praktische Beispiele aus der Praxis, Konfigurationsdetails für gängige Mail-Server und bewährte Vorgehensweisen unter die Lupe, damit Unternehmen und IT-Administratoren sofort handlungsfähig sind.

Was ist Port 587 und welchen Zweck erfüllt er?

Port 587 dient als Submission-Port für SMTP – dem Protokoll, das E-Mails zwischen Clients und Servern transportiert. Im Gegensatz zu Port 25, dem klassischen Server-zu-Server-Port, ist Port 587 speziell für die Authentifizierung von Endnutzern vorgesehen. Das bedeutet: Benutzer melden sich am Mail-Server an, dürfen danach nur Emails versenden, die an autorisierte Empfänger gehen. Diese Authentifizierung setzt typischerweise SASL (Simple Authentication and Security Layer) ein und erfolgt in der Regel verschlüsselt per STARTTLS.

Die Bedeutung von Port 587 liegt darin, dass er Missbrauch durch Spammern und Open-Relay-Situationen deutlich reduziert. Ohne Authentifizierung könnten fremde Absender den Server als Relais nutzen und massenhaft Spam verschicken. Port 587 regelt diesen Prozess, indem er sicherstellt, dass nur berechtigte Nutzer, die sich authentifizieren, Mails versenden dürfen. Aus diesem Grund wird Port 587 von vielen Hosting-Anbietern, privaten Servern und Cloud-basierten E-Mail-Diensten bevorzugt genutzt.

Port 587 im Vergleich zu Port 25 und Port 465

Um die Funktion von Port 587 wirklich zu verstehen, lohnt ein kurzer Blick auf die verwandten Ports:

Port 25: SMTP-Server-zu-Server-Verkehr

Port 25 ist der ursprüngliche SMTP-Port, der für interserver-Kommunikation gedacht ist. Er wird häufig von Mail-Servern verwendet, um E-Mails von anderen Mail-Servern zu empfangen oder weiterzuleiten. In vielen Netzwerken ist Port 25 standardmäßig offen, auch für die Weiterleitung an andere Domains. Allerdings ist er nicht für die direkte Submission von Endnutzer-E-Mails gedacht, da hier keine starke Authentifizierung vorgesehen ist. In modernen Setups wird Port 25 oft hinter einer Firewall blockiert oder nur von autorisierten Servern genutzt.

Port 465: SMTPS (historisch, verschlüsselter Transport)

Port 465 wurde in der Vergangenheit als verschlüsselter SMTP-Port genutzt (SMTPS). Dieser Port wurde später historisch aufgegeben, und viele Systeme setzten wieder auf STARTTLS über Port 25 oder Port 587. Heutzutage wird Port 465 von einigen Anbietern noch unterstützt, aber die empfohlene Praxis ist Port 587 mit STARTTLS oder expliziter TLS-Verschlüsselung, um eine klare Authentication und Upgrade-Mechanismen sicherzustellen.

STARTTLS, TLS und Authentifizierung auf Port 587

Eine sichere E-Mail-Submission über Port 587 setzt in der Regel zwei zentrale Bausteine voraus: eine TLS-/STARTTLS-gesicherte Verbindung und eine robuste Authentifizierung des Nutzers. STARTTLS ist eine Erweiterung des SMTP-Protokolls, die eine unverschlüsselte Verbindung zunächst aufbauen lässt und danach in eine TLS-Verschlüsselung wechselt, sobald der Server dies unterstützt. Das bietet eine gute Balance aus Kompatibilität (mit älteren Clients) und Sicherheit.

Zu den gängigsten Authentifizierungsverfahren gehören SASL-Mechanismen wie PLAIN, LOGIN oder DIGEST-MMD5, wobei PUSH- oder OAuth2-basierte Mechanismen in modernen Infrastrukturen ebenfalls an Bedeutung gewinnen. Wichtig ist, dass die Authentifizierung sicher erfolgt, idealerweise mit TLS-gesicherter Verbindung, damit Passwörter nicht im Klartext übertragen werden. Ein gut konfigurierter Port 587-Ablauf garantiert, dass authentifizierte Clients Mails senden können, während nicht authentifizierte Verbindungen an dieser Stelle entmutigt oder blockiert werden.

Warum Port 587 in modernen E-Mail-Stacks unverzichtbar ist

Unternehmen stehen heute vor der Herausforderung, E-Mail-Kommunikation zuverlässig, schnell und sicher abzuwickeln. Port 587 ist hierbei mehr als nur eine technische Spezifikation. Es bietet organisatorische Vorteile:

Darüber hinaus erleichtert Port 587 die Trennung von interner Server-Kommunikation (Transport zwischen Mail-Servern) und der Submission durch Endnutzer. So lassen sich Regeln, Quotas und Filter gezielter anwenden, ohne den gesamten E-Mail-Fluss zu beeinträchtigen. In der Praxis bedeutet das eine bessere Kontrolle über die E-Mail-Richtlinien eines Unternehmens.

Praktische Konfigurationen für gängige Mail-Server

Im Folgenden finden Sie übersichtliche Beispiele und Hinweise, wie Port 587 in drei der am häufigsten eingesetzten Mail-Server-Stacks konfiguriert wird. Die Beispiele dienen als Orientierung; in Ihrer Umgebung können Abweichungen je nach Distribution, Version oder Infrastruktur auftreten. Bitte prüfen Sie immer die aktuelle Dokumentation Ihres Mail-Servers.

Postfix

Postfix ist einer der beliebtesten Mail-Server unter Linux. Für Port 587 benötigen Sie in der Hauptkonfiguration (main.cf) und einer entsprechenden Submission-Instanz (master.cf) Einträge, die SASL-Authentifizierung und STARTTLS erzwingen:

# In main.cf
smtpd_sasl_auth_enable = yes
smtpd_sasl_type = dovecot
smtpd_sasl_path = private/auth
smtpd_tls_security_level = encrypt
smtp_tls_security_level = may
smtpd_tls_auth_only = yes
smtpd_recipient_restrictions = permit_sasl_authenticated, permit_mynetworks, reject_unauth_destination

# In master.cf (Anordnung von Submission-Port 587)
submission inet n - y - - smtpd
  -o syslog_name=postfix/submission
  -o smtpd_tls_security_level=encrypt
  -o smtpd_sasl_auth_enable=yes
  -o smtpd_relay_restrictions=permit_sasl_authenticated,permit_mynetworks,reject_unauth_destination

Diese Konfiguration erzwingt TLS, aktiviert SASL-Authentifizierung und setzt klare Relay-Beschränkungen. Wichtige Ergänzungen betreffen DKIM/SIG-Mechanismen, SPF-Integration und Rückmeldungen an Nutzer, falls die Authentifizierung fehlschlägt.

Exim

Exim ist in vielen Hosting-Umgebungen verbreitet. Für Port 587 braucht es passende Transport- und Auth-Konfigurationen. Typische Abschnitte könnten wie folgt aussehen:

// in conf/admin/technische Konfiguration
auth_trusted_users = *
auth_plain_login:
  driver = plaintext
  public_name = PLAIN
  server_prompts = "Username:: :Password::"
  server_condition = "${if eq{$auth5}{}}{{extract}}"
  server_set_id = $auth1
  server_require_auth = true

daemon_smtp_ports = 25 : 587
daemon_smtp_smtp_authentication = true
tls_cipher = HIGH
tls_advertise_hosts = *
tls_certificate = /etc/ssl/certs/imapd.pem
tls_privatekey = /etc/ssl/private/imapd.key

Exim-Administratoren sollten außerdem sicherstellen, dass Port 587 nur authentifizierte Mails akzeptiert und that anti-spam- und anti-abuse-Richtlinien umgesetzt werden. Die Konfiguration kann je nach Version variieren, daher sind die oben genannten Parameter als Orientierung zu sehen.

Microsoft Exchange / Microsoft 365-Umgebungen

In Exchange-Umgebungen wird Port 587 für die Client-Submission typischerweise über die Empfangskingeingaben oder die Hybridkonfiguration aktiviert. Die Grundprinzipien bleiben: TLS, Authentifizierung erzwingend und klare Richtlinien für Relay. In der Praxis richten Administratoren im Exchange Admin Center die Submission- bzw. Client Access-Ports ein und setzen die Authentifizierungsoptionen entsprechend. Wichtig ist, dass Brave-TLS-Einstellungen konsistent mit den organisationalen Sicherheitsrichtlinien sind.

Sicherheits- und Compliance-Aspekte rund um Port 587

Die sichere Nutzung von Port 587 erfordert mehrere Ebenen von Schutzmaßnahmen. Hier eine kompakte Übersicht mit praktischen Empfehlungen:

Darüber hinaus ist es sinnvoll, Port 587 im Kontext der gesamten E-Mail-Sicherheitsstrategie zu betrachten. Dazu gehören regelmäßige Updates, Patch-Management der Mail-Server-Software, regelmäßige Penetrationstests und Schulungen der Benutzer, damit Phishing-Versuche oder Credential-Stuffing erkannt und abgewehrt werden können.

Schritt-für-Schritt: Wie Sie Port 587 sicher einrichten

Nachfolgend finden Sie eine praxisnahe Vorgehensweise, die Ihnen den Start erleichtert. Passen Sie die Schritte an Ihre Infrastruktur an und testen Sie jeden Schritt gründlich in einer Testumgebung, bevor Sie Änderungen in der Produktion vornehmen.

  1. Bedarf analysieren: Prüfen Sie, ob ihr Provider Port 587 unterstützt und welche Authentifizierungsoptionen angeboten werden.
  2. TLS-Zertifikat bereitstellen: Besorgen Sie ein gültiges TLS-Zertifikat (von einer anerkannten CA) und installieren Sie es auf dem Mail-Server.
  3. STARTTLS aktivieren: Konfigurieren Sie STARTTLS so, dass Verbindungen immer verschlüsselt werden, sobald möglich.
  4. SASL-Authentifizierung konfigurieren: Aktivieren Sie SASL-Authentifizierung und legen Sie sichere Mechanismen fest.
  5. Relay-Control implementieren: Beschränken Sie Relay auf authentifizierte Clients oder vertrauenswürdige Netzbereiche.
  6. Testen: Führen Sie Tests mit einem internen Client durch (Mail-Client-Setup, Port 587, TLS), prüfen Sie Zustellung, Authentifizierung und Fehlercodes.
  7. Monitoring einrichten: Aktivieren Sie Protokollierung, Alarme und Zugriffskontrollen, um Missbrauch frühzeitig zu erkennen.
  8. Dokumentieren: Halten Sie Konfigurationsänderungen, Zertifikatinformationen und Zustelllogiken schriftlich fest.
  9. Rollout: Beginnen Sie schrittweise mit einer kontrollierten Einführung, überwachen Sie Kennzahlen und nehmen Sie ggf. Anpassungen vor.

Fehlerbehebung: Häufige Probleme mit Port 587 und wie man sie löst

Bei der Arbeit mit Port 587 treten gelegentlich Probleme auf. Hier sind typische Ursachen und Hinweise zur Lösung:

Eine strukturierte Fehleranalyse umfasst das Prüfen der Logs auf dem Mail-Server, die Validierung von Zertifikaten und Schlüsseln, das Durchführen von Verbindungs-Tests mit Tools wie openssl s_client oder Telnet (mit TLS-Unterstützung), sowie die Koordination mit dem Provider, falls Netzwerkkomponenten beteiligt sind.

Leistung, Skalierung und Betrieb rund um Port 587

Eine leistungsfähige E-Mail-Infrastruktur muss neben Sicherheit auch zuverlässig skalieren. Port 587 beeinflusst die Performance in mehreren Bereichen:

Für kleinere Organisationen kann es sinnvoll sein, Port 587 in Verbindung mit Cloud-basierten E-Mail-Diensten oder gehosteten MTA-Lösungen zu nutzen. Diese Optionen bieten oft robuste Sicherheitsfeatures, automatische Updates und einfachere Skalierung, während interne Infrastrukturressourcen geschont bleiben. Große Unternehmen sollten hingegen eine redundante Architektur mit Load-Balancern, Failover-Mustern und regelmäßigen Backups implementieren.

Migration und Update-Strategien: Vom alten Setup zu Port 587

Viele Organisationen verwenden noch Port 25 oder gar kein Submission-Setup. Eine Migration zu Port 587 erfordert sorgfältige Planung:

Durch diese schrittweise Vorgehensweise minimieren Sie Risiken, vermeiden Downtimes und erhöhen die Chance auf eine erfolgreiche Umsetzung von Port 587 in Ihrem E-Mail-Ökosystem.

Best Practices: Sicherheits- und Betriebsrichtlinien rund um Port 587

Um das Maximum aus Port 587 herauszuholen, empfiehlt sich eine Kombination aus technischen Maßnahmen und organisatorischen Richtlinien. Hier eine kompakte Liste bewährter Vorgehensweisen:

Ausblick: Port 587 als Bestandteil moderner E-Mail-Infrastruktur

Port 587 bleibt auch in den kommenden Jahren ein zentraler Baustein moderner E-Mail-Systeme. Mit der fortschreitenden Einführung von OAuth-basierter Authentifizierung, verbesserten TLS-Standards und strengeren Anti-Spam-Maßnahmen entwickelt sich das Submission-Verfahren weiter. Unternehmen profitieren von einer sichereren, besser nachvollziehbaren und zuverlässigeren E-Mail-Kommunikation, die sich nahtlos in Compliance- und Datenschutzanforderungen integrieren lässt. Wer Port 587 heute konsequent implementiert, legt den Grundstein für eine robuste, zukunftsfähige Mail-Infrastruktur – nicht nur in Österreich, sondern weltweit.

Zusammenfassung: Warum Port 587 zentral bleibt

Port 587 steht für sichere, authentifizierte E-Mail-Submission, die Schutz vor Missbrauch, bessere Zustellbarkeit und klare Richtlinien für den E-Mail-Verkehr bietet. Durch STARTTLS, SASL-Authentifizierung und restriktive Relay-Regeln wird der Missbrauch minimiert und die Kommunikation zuverlässig. Für Administratoren bedeutet dies: klare Konfigurationen, regelmäßige Wartung, umfassende Sicherheit und eine gute Benutzererfahrung. Mit einem durchdachten Migrationsplan, praxisnahen Konfig-Beispielen und robustem Monitoring wird port 587 zur stabilen Grundlage jeder modernen E-Mail-Infrastruktur.