Welcher SMTP-Port sollte verwendet werden?

Ursprünglich verwendete das Simple Mail Transfer Protocol (SMTP) den Port 25. Heute sollte SMTP stattdessen Port 465 nutzen – das ist der Standard-Port für verschlüsselte E-Mail-Übertragungen mit SMTP Secure (SMTPS).

Port 465 ist heute die empfohlene Wahl für SMTPS, da er implizites TLS verwendet und einen besseren Schutz vor bestimmten Angriffen bietet. Port 587, der STARTTLS verwendet, bleibt weit verbreitet und wird immer noch häufig für die verschlüsselte E-Mail-Übermittlung genutzt. Einige E-Mail-Dienstanbieter bieten SMTP auch über Port 2525 als Ausweichoption an, wenn Standardports durch Firewalls oder Netzwerkrichtlinien blockiert werden.

Was ist SMTP?

SMTP ist das Protokoll bzw. der Regelsatz für die Formatierung von Daten, mit dessen Hilfe E-Mails über das Internet übertragen werden. Es überträgt E-Mails von Mailserver zu Mailserver, bis sie ihr endgültiges Ziel erreichen. An dieser Stelle kommen andere Protokolle zum Einsatz, um die E-Mails abzurufen und den Nutzern das Lesen zu ermöglichen.

(Wie HTTP ist auch SMTP ein Protokoll der Anwendungsebene und läuft über TCP/IP).

Was ist ein SMTP-Port?

Die meisten Netzwerkprotokolle (wie z. B. SMTP) sind auf einen bestimmten Port ausgerichtet. In Netzwerken ist ein Port ein virtueller Ort innerhalb eines Computers.

Ein Port ist vergleichbar mit einem Briefschlitz in einem großen Gebäude, wobei jeder Briefschlitz einem anderen Bewohner gehört. Wenn Sie die Post direkt an das gesamte Gebäude adressieren, kommt der Brief vielleicht nicht an, denn der falsche Bewohner könnte die Post erhalten und wegwerfen. Stattdessen müssen Sie die Post an einen konkreten Briefschlitz des Adressaten richten. Auch ein Computer weiß nicht immer, was er mit Netzwerkdaten ohne Portangabe anfangen soll. Dafür kann der Computer aber Daten empfangen, die an einen bestimmten Port gerichtet sind. Dann leitet er sie an die richtige Anwendung oder den richtigen Prozess weiter.

Ein SMTP-Port ist der Port, der für die Verwendung durch SMTP vorgesehen ist – wie oben erwähnt, waren dies zu verschiedenen Zeitpunkten und in verschiedenen Situationen die Ports 25, 465, 587 und 2525.

Wie funktioniert SMTP Secure (SMTPS)?

SMTPS ist sicherer als normales SMTP, weil es E-Mails verschlüsselt, E-Mails authentifiziert und Eingriffe in die Daten verhindert. Für diese drei Aufgaben verwendet es das Protokoll Transport Layer Security (TLS).

• Verschlüsselung: TLS verschlüsselt Daten auf ihrem Weg durch das Netzwerk. Bei der Verschlüsselung werden sie so chiffriert, dass nur Parteien mit dem richtigen Entschlüsselungsschlüssel die Daten entziffern und anzeigen können. Das hält die Daten sicher, während sie durch nicht vertrauenswürdige Umgebungen (also das Internet) übertragen werden.
• Authentifizierung: Mit einer digitalen Signatur prüft TLS, ob der Netzwerk-Traffic wirklich von dem angegebenen Ort kommt. Ließe man diesen Schritt aus, würden Computer alle Daten von Betrügern, Angreifern oder anderen böswilligen Parteien akzeptieren.
• E-Mail-Integrität: Digitale Signaturen garantieren auch, dass Daten nicht verfälscht wurden.

Der empfohlene Standardport für SMTPS ist Port 465.

SMTPS auf Port 465

In den 1990er Jahren führten einige E-Mail-Provider SMTPS mit Secure Sockets Layer (SSL) ein; das war die ursprüngliche Version von TLS, die inzwischen veraltet ist. Zu diesem Zweck wählten sie den Port 465, jedoch ohne Genehmigung von offiziellen Internetgremien. (Die Verwendung von Ports ist standardisiert, damit die Kommunikation zwischen verschiedenen Computern und Netzwerken möglich ist.)

SMTPS wurde seitdem durch zusätzliche definierende Dokumente, die als RFCs bekannt sind, aktualisiert. Im Jahr 2011 wurde RFC 6409 der Port 587 für die Verwendung mit SMTPS zugewiesen, weshalb einige Dienste diesen Port nutzen. Jedoch empfahl RFC 8314 im Jahr 2018 die Implementierung von SMTPS über implizites TLS am Standardport 465.

SMTPS vs. Ende-zu-Ende-Verschlüsselung von E-Mails

SMTPS ist zwar sicherer und privater als der Verzicht auf Verschlüsselung oder Authentifizierung, aber es verschlüsselt E-Mails nur auf dem Weg vom Absender zum Mailserver und zwischen den Mailservern. Ein Mailserver auf dem Pfad einer E-Mail empfängt die E-Mail in unverschlüsselter Form, verschlüsselt sie dann erneut und leitet sie an den nächsten Server weiter. Als würde die Post Ihre Briefsendung in jedem Postamt aus dem Umschlag herausnehmen und in einen neuen verpacken, sodass der Inhalt des Umschlags für kurze Zeit offen liegt.

Einige E-Mail-Absender bevorzugen die Ende-zu-Ende-Verschlüsselung (E2EE). E2EE garantiert, dass nur der Absender und der Empfänger die E-Mail in entschlüsselter Form sehen können. Der Inhalt der E-Mail bleibt vor allen Vermittlern verborgen, auch vor den Mailservern auf dem Pfad der E-Mail. Der Briefumschlag bleibt also bis zum Eintreffen beim Empfänger verschlossen.

SMTPS enthält kein E2EE. Stattdessen können für E2EE andere Protokolle verwendet werden, z. B. Pretty Good Privacy (PGP) oder Secure/Multipurpose Internet Mail Extensions (S/MIME). Weitere Informationen finden Sie unter Was ist E-Mail-Verschlüsselung?

Welche Ports verwenden POP3 und IMAP?

SMTP versendet E-Mails. Das Post Office Protocol (POP3) sowie das Internet Message Access Protocol (IMAP) rufen E-Mails ab und erlauben den Empfängern das Lesen oder Herunterladen. Wie bei SMTP gibt es auch bei diesen Protokollen sowohl verschlüsselte (über TLS) als auch unverschlüsselte Versionen:

• Unverschlüsseltes IMAP verwendet Port 143, verschlüsseltes IMAP verwendet Port 993
• Unverschlüsseltes POP3 verwendet Port 110, verschlüsseltes POP3 verwendet Port 995

Wann wird Port 2525 verwendet?

Einige E-Mail-Dienste bieten SMTP-Zustellung über Port 2525 an, falls die oben genannten Ports blockiert sind. Dieser Port ist jedoch kein Standardport für E-Mails und wird nicht offiziell mit SMTP in Verbindung gebracht.

Gründe für eine Blockierung von E-Mail-Ports

Einige Server unterstützen nicht alle Versionen von SMTP und anderen E-Mail-Protokollen. So sind ältere Dienste nicht unbedingt für den Empfang von TLS-verschlüsseltem Traffic an Port 465 oder Port 587 konfiguriert. Auch verweigern Netzwerkadministratoren manchmal den Zugang zu diesen Ports, um Angriffs-Traffic und Spam zu blockieren oder die Nutzer vom Betreiben ihrer eigenen Mailserver abzuhalten.

Die Blockierung von Port 25 oder anderen E-Mail-Ports verhindert zwar einige Spam- und Phishing-Angriffe, aber böswillige und unerwünschte E-Mails schleichen sich dennoch ein. Vor allem raffinierte BEC-Angriffe (Business Email Compromise) tarnen sich oft im legitimen E-Mail-Traffic. Um dem entgegenzuwirken, stoppt Cloudflare Email Security ausgeklügelte E-Mail-basierte Angriffe, indem es Bedrohungen im Voraus erkennt. Lesen Sie mehr über Cloudflare Email Security.