Gut sortiert, sicher zugestellt: Mit UCS zum perfekten Mailserver

Mit der UCS-Mailserver-App bauen Sie Ihr eigenes Postamt auf: Postfix und Dovecot sorgen für Versand und Empfang, während ClamAV und SpamAssassin Ihre Postfächer vor Viren und Spam schützen. Die Fetchmail-App erweitert das System und holt wie ein Postbote E-Mails aus externen Konten direkt ins lokale System.

Im Univention App Center finden Sie die Mailserver-App. Klicken Sie einfach auf Installieren und folgen Sie den Anweisungen – das war’s! Ob Sie den Mailserver auf einem UCS Primary Directory Node oder einer anderen Serverrolle einrichten, liegt ganz bei Ihnen. Unser Tipp: Der Primary Directory Node ist besonders geeignet, da er optimal auf die häufigen LDAP-Zugriffe abgestimmt ist. Für kleinere Installationen empfehlen wir, den Mailserver nicht direkt auf einem Primary Directory Node zu installieren. Der Primary Directory Node ist das führende System Ihrer UCS-Domäne, auf dem alle Domänendaten wie Benutzer, Gruppen und SSL-Sicherheitszertifikate zentral gespeichert werden. Stattdessen eignet sich ein Replica Directory Node besser. Hier werden die Domänendaten als Nur-Lese-Kopie bereitgestellt, und die Dienste greifen lokal auf den LDAP-Datenbestand zu. Das macht Replica Directory Nodes ideal für standortspezifische Server oder die Verteilung lastintensiver Dienste wie Mailserver.

Sobald Sie die Installation starten, zeigt Ihnen das System an, welche Pakete auf Ihrem UCS-Server eingerichtet oder aktualisiert werden. Mit dabei sind unter anderem der IMAP-Dienst Dovecot, die Virenschutz-Tools AMaViS und ClamAV sowie die Spam-Filter Apache SpamAssassin und Postgrey.

Postfix kümmert sich um den gesamten Mail-Transport auf Ihrem UCS-System. In der Grundeinstellung verarbeitet der Mail Transfer Agent (MTA) nur lokale E-Mails – alles bleibt also intern. Sobald Sie die Mailserver-App installieren, öffnet sich das System für den Austausch mit der Außenwelt. Jede eingehende Nachricht wird geprüft: Postfix stellt sicher, dass nur E-Mails an Benutzer*innen oder Alias-Adressen aus dem LDAP-Verzeichnis zugestellt werden.

Und wie sieht es mit ausgehenden Mails aus? In der Voreinstellung verbindet sich Postfix direkt mit dem Mailserver der Ziel-Domain, um die Nachricht zuzustellen. Alternativ können Sie einen Mail-Relay-Server einrichten. Denken Sie dabei an einen „Zwischenpostboten“, der die Zustellung übernimmt. Diese Option eignet sich besonders gut, wenn Sie den Relay-Server Ihrer Firmenzentrale oder Ihres Internet-Providers nutzen möchten.

Hinweis: Das Kapitel „Konfiguration des Mailservers“ in unserem Handbuch erklärt detailliert, wie Sie Größenlimits für E-Mails festlegen, Sicherheitsfeatures wie Viren- und Spam-Filter einrichten, Relay-Hosts konfigurieren, eine zentrale Archivierung aktivieren und weitere Einstellungen vornehmen, wie die Anpassung der SMTP-Ports, die Verwaltung von Quarantänen und die Feinabstimmung der Verbindungs- und Ressourcenlimits.

Als Erstes legen Sie Ihre Mail-Domänen über das UMC-Modul Domäne / E-Mail fest. Stellen Sie sich eine Mail-Domäne wie einen eigenen Raum vor, in dem E-Mail-Adressen, Mailinglisten und IMAP-Gruppenordner organisiert werden. Postfix unterscheidet dabei zwischen „lokalen“ und „externen“ Domänen: Nur E-Mails an „lokale“ Domänen – also die, die Sie hier einrichten – werden zugestellt. Für die Namensgebung gilt: Verwenden Sie ausschließlich Kleinbuchstaben, Zahlen, Punkte und Bindestriche. Ihre Mail-Domänen müssen übrigens nicht mit der DNS-Domäne Ihres Servers übereinstimmen.

Damit Ihre Mail-Domäne auch von außerhalb erreichbar ist, richten Sie einen MX-Record im DNS ein. Dieser Mail Exchanger Record ist wie ein digitales Hinweisschild: Er sagt allen externen Absender*innen, welcher Mailserver für die Zustellung in Ihrer Domäne zuständig ist. Meist übernimmt Ihr Internet-Provider diese DNS-Anpassung für Sie – schnell und unkompliziert. Damit steht Ihre Mail-Domäne bereit, Nachrichten aus der ganzen Welt zu empfangen.

Als Nächstes ordnen Sie über das UMC-Modul Benutzer den Anwender*innen E-Mail-Adressen zu. Unter UCS können Sie Arten von E-Mail-Adressen vergeben, um flexibel auf die Anforderungen Ihrer Organisation einzugehen. Sie funktionieren wie Schlüssel mit unterschiedlichen Zwecken:

Zusammen mit der Mailserver-App bringt UCS zuverlässige Programme zur Viren- und Malware-Erkennung auf Ihren Server. Diese arbeiten wie Türsteher: Jede eingehende und ausgehende E-Mail wird gründlich überprüft, bevor sie durchgelassen wird. Taucht dabei eine verdächtige Datei auf, landet die E-Mail sicher in Quarantäne – im Verzeichnis /var/lib/amavis/virusmails, wo sie für die Empfänger*innen unzugänglich bleibt. Anwender*innen werden per E-Mail darüber informiert, dass eine Nachricht zurückgehalten wurde. Administrator*innen können diese E-Mails dann entweder wiederherstellen oder endgültig löschen.

Zwei Helfer übernehmen diese wichtige Aufgabe und arbeiten perfekt zusammen:

• AMaViS ist die Schnittstelle zwischen dem Mailserver und den Virenscannern. Die Software empfängt alle E-Mails, leitet sie an die Scanner weiter und entscheidet anschließend, was mit den Nachrichten passieren soll. Verdächtige E-Mails sortiert AMaViS automatisch aus und organisiert den gesamten Prüfprozess.
• ClamAV übernimmt die eigentliche Virenprüfung. Es scannt E-Mails gezielt nach bekannten Viren und Malware. Erkennt ClamAV einen Virus, informiert es AMaViS, das die E-Mail dann in Quarantäne verschiebt oder löscht. Damit ClamAV immer auf dem neuesten Stand bleibt, lädt es regelmäßig aktuelle Signaturen über den Dienst Freshclam herunter – kostenlos und automatisch.

Wenn Sie Ihre Virenprüfung individuell anpassen möchten, bietet UCS Ihnen viele Optionen. Über die Software AMaViS können Sie zusätzlich zu ClamAV auch andere Virenscanner einbinden, um den Schutz noch weiter auszubauen. Sollte die Virenprüfung bereits an anderer Stelle in Ihrer Infrastruktur erfolgen, können Sie sie auch ganz abschalten. Setzen Sie dazu einfach die UCR-Variable mail/antivir auf no. Egal, welche Anpassung Sie vornehmen – denken Sie daran, Postfix und AMaViS neu zu starten, damit die Änderungen aktiv werden.

Die UCS-Mailserver-App setzt auf die zuverlässige Kombination aus SpamAssassin und Postgrey, um die Postfächer der Benutzer*innen sauber zu halten. Postgrey arbeitet dabei als Policy Server und übernimmt eine Art „Türsteher-Rolle“: Er prüft jede eingehende Nachricht und entscheidet, ob sie durchgelassen, zurückgewiesen oder genauer geprüft werden soll. Das Verfahren nennt sich Greylisting und funktioniert nach einem einfachen Prinzip.

Stellen Sie sich vor, jemand klingelt an Ihrer Tür. Wenn Sie die Person nicht kennen, bitten Sie sie, später noch einmal vorbeizukommen. Genau so macht es Postgrey mit unbekannten Absendern: Beim ersten Versuch lehnt der Server die Nachricht ab und wartet, ob der Absender es erneut versucht. Seriöse Mailserver wiederholen ihren Zustellversuch, während Spamserver in den meisten Fällen einfach aufgeben. Mit diesem cleveren Ansatz sorgt Postgrey dafür, dass unerwünschte Nachrichten gar nicht erst im Posteingang landen.

Falls Sie Postgrey nicht benötigen, können Sie das Greylisting auch deaktivieren. Dazu setzen Sie die UCR-Variable mail/postfix/greylisting auf no. Besonders in internen Netzwerken, in denen der UCS-Mailserver eingesetzt wird, kann Greylisting hinderlich sein, da die Verzögerung hier keinen zusätzlichen Schutz bringt.

SpamAssassin arbeitet wie ein cleverer Scanner, der jede eingehende E-Mail genau unter die Lupe nimmt. Absenderdaten, Form und Inhalt werden analysiert, und die Software vergibt Punkte für verdächtige Merkmale – beispielsweise für bestimmte Schlagworte oder fehlerhafte Kodierungen. Je mehr Punkte eine Nachricht sammelt, desto wahrscheinlicher ist es, dass sie Spam ist. Wird eine festgelegte Punktzahl überschritten, klassifiziert SpamAssassin die Nachricht als Spam und verschiebt sie automatisch in den entsprechenden Ordner.

SpamAssassin bietet flexible Anpassungsmöglichkeiten; mit der Univention Configuration Registry (UCR) können Sie zentrale Einstellungen bequem konfigurieren – hier ein Überblick über die wichtigsten Optionen:

• Größe der zu prüfenden E-Mails: Standardmäßig prüft SpamAssassin nur E-Mails bis zu einer Größe von 300 KByte. Um diese Grenze zu ändern, verwenden Sie die UCR-Variable mail/antispam/bodysizelimit.
• Ordner für Spam-Nachrichten: Als Spam erkannte Nachrichten landen nicht im Posteingang, sondern in einem separaten Ordner, deren Name die Variable mail/dovecot/folder/Spam festlegt.
• Schwellwert für Spam-Erkennung: Den Punkteschwellwert, ab dem eine Nachricht als Spam gilt, konfigurieren Sie über die UCR-Variable mail/antispam/requiredhits. Der Standardwert liegt bei 5 und ist für die meisten Szenarien optimal. Sie können ihn jedoch anpassen, falls Ihre Umgebung andere Anforderungen hat. Ein niedrigerer Wert erkennt mehr Spam, kann aber auch zu Fehlalarmen führen.
• Lernen mit Bayes-Klassifikation: Für eine noch genauere Erkennung nutzt SpamAssassin die Bayes-Klassifikation. Diese Methode „lernt“ aus den Gewohnheiten der Benutzer*innen. Verschieben Sie unerwünschte Nachrichten in den Ordner Spam und legitime E-Mails in den Ordner Ham (konfigurierbar über mail/dovecot/folder/ham). UCS wertet diese Ordner täglich aus, passt die Filter an und speichert die Daten in einer gemeinsamen Datenbank. Die tägliche Auswertung lässt sich mit der UCR-Variable mail/antispam/learndaily steuern.

Tipp: Mit DNS-basierten Blocklisten (DNSBL) können Sie Spam schon frühzeitig abwehren. Der Mailserver prüft, ob die IP-Adresse des Absenders auf einer Blockliste steht, und lehnt verdächtige Nachrichten direkt ab. Für Details und Konfigurationsanleitungen werfen Sie einen Blick ins UCS-Handbuch, Kapitel 14.5.

Mailinglisten sind eine einfache Möglichkeit, E-Mails innerhalb einer Gruppe zu teilen. Jede Liste hat eine eigene E-Mail-Adresse, und alle Nachrichten, die an diese Adresse gesendet werden, erreichen automatisch die Mitglieder. Im UMC-Modul E-Mail legen Sie Mailinglisten unter dem Objekttyp Mailingliste an. Geben Sie einen Namen, eine Beschreibung (optional) und die E-Mail-Adresse der Liste ein – der Domänenteil muss zu einer verwalteten Mail-Domäne gehören. Mitglieder lassen sich flexibel hinzufügen, auch externe E-Mail-Adressen sind möglich. In der Grundeinstellung kann jede*r an die Liste schreiben.

Manchmal gibt es E-Mails, die erst einen Umweg über externe Postfächer nehmen, bevor sie bei Ihnen landen. Hier kommt Fetchmail ins Spiel – Ihr persönlicher Zustelldienst für externe Nachrichten. Wie ein Postbote holt Fetchmail die Mails von externen POP3- oder IMAP-Postfächern ab und liefert sie direkt an die Postfächer der Benutzer*innen Ihrer UCS-Domäne. Das ist besonders praktisch, wenn Sie Ihren Mailserver nicht direkt ins Internet stellen möchten, um Angriffe, Spam oder zusätzlichen Pflegeaufwand zu vermeiden. Fetchmail bietet hier die ideale Lösung: Die Mails bleiben sicher beim Provider, und Fetchmail holt sie regelmäßig ab – so profitieren Sie von einer zentralen und sicheren E-Mail-Verwaltung innerhalb Ihrer UCS-Domäne.

Die Einrichtung ist einfach: Installieren Sie die App Fetchmail über das Univention App Center. Danach finden Sie unter den erweiterten Einstellungen im Benutzer-Modul alles, was Sie für den Abruf brauchen. Im Bereich Mailabruf von externen Servern geben Sie die Zugangsdaten zum externen Postfach ein: Benutzername, Passwort, das verwendete Protokoll (IMAP oder POP3) und den Namen des Mailservers. Aktivieren Sie bei Bedarf eine verschlüsselte Verbindung – schließlich sollen Ihre Nachrichten sicher unterwegs sein. Entscheiden Sie außerdem, ob Fetchmail die Mails auf dem externen Server löscht oder eine Kopie dort hinterlässt.

Für erweiterte Anforderungen, wie die Zustellung an mehrere Empfänger*innen oder die Anpassung von Header-Daten, bietet Fetchmail zusätzliche Optionen im Bereich Mailabruf von externen Servern (Multi). Hier legen Sie fest, welche Domänen die Mails erreichen sollen oder wie Fetchmail die Adressen verarbeitet. Fetchmail arbeitet zuverlässig im Hintergrund: Sobald mindestens ein Postfach eingerichtet ist, holt Fetchmail die E-Mails alle zwanzig Minuten ab – wie ein Postbote, der pünktlich seine Runde macht.

Ob Sie Mail-Domänen verwalten, Spam filtern, Virenschutz einrichten oder externe Postfächer anbinden – Univention Corporate Server bietet Ihnen dafür die passenden Lösungen. Mit UCS richten Sie Mailinglisten ein, integrieren externe Nachrichten über Fetchmail und halten Ihre Postfächer mit SpamAssassin und Postgrey frei von unerwünschten E-Mails – effizient und einfach.

Haben Sie schon Erfahrungen mit den Apps Mailserver und Fetchmail gesammelt oder Fragen zu bestimmten Funktionen? Hinterlassen Sie uns einen Kommentar unter diesem Blogbeitrag oder diskutieren Sie in unserem Forum. Wir freuen uns auf Ihr Feedback!