Mail und Web-Ausgang. Betrieben, nicht eingekauft.
Wir betreiben den Mail-Weg und den Web-Ausgang mit eigenen Systemen — einem eigenen Mail-Stack und einem eigenen Forward-Proxy statt eines zugekauften Gateways. Das ist kein Produkt im Katalog. Es ist die Schicht, auf der wir arbeiten, und der Grund, warum wir sagen können, wie sie sich verhält.
Warum diese Seite kein Produkt beschreibt
Wir haben diese Schicht früher als Paket verkauft — E-Mail-Sicherheit hier, Web-Proxy dort. Das hat nie zu dem gepasst, was wir tatsächlich machen. Kunden kaufen keinen Filter, sie geben einen Betriebsbereich ab. Also beschreiben wir, was wir können, und nicht, was in einer Preistafel stand.
Der Mail-Weg
Wir betreiben Mail selbst, auf einem eigenen Stack auf Basis von mailcow — Postfix als MTA, Dovecot für IMAP und Zustellung, Rspamd für Filterung und Signatur. Dazu kommt ein eigener Dienst, den wir gebaut haben und selbst einsetzen: Er wertet eingehende Nachrichten mit Sprachmodellen aus, dort wo Regeln und Reputationslisten an ihre Grenzen kommen — Nachrichten, die formal sauber sind, aber inhaltlich eine Aufforderung transportieren, die niemand erwartet hat.
Der wichtigere Teil ist unspektakulär: die Absenderauthentifizierung muss stimmen. SPF, DKIM und DMARC bis zur wirksamen Durchsetzung, MTA-STS und TLS-Reporting für den Transportweg, DANE dort, wo die Zone signiert ist, ARC für Wege über Verteiler und Weiterleitungen. Das ist Fleißarbeit und sie ist an fast jedem Mandat dieselbe Geschichte: Es gibt einen DMARC-Eintrag, er steht seit drei Jahren auf p=none, und niemand liest die Berichte.
Der Web-Ausgang
Für ausgehenden Web-Verkehr betreiben wir einen eigenen Proxy mit SOCKS- und HTTPS-Unterstützung, statt Squid oder ein Appliance-Gateway zu betreiben. Der Grund ist derselbe wie beim Mail-Stack: Wir wollen bestimmen, was terminiert wird, was weitergereicht wird und was protokolliert wird — und wir wollen das Verhalten erklären können, wenn jemand fragt, warum eine Verbindung nicht zustande kam.
Ausgehender Verkehr über einen definierten Weg ist auch der Punkt, an dem Segmentierung im Alltag hält. Ein Server, der nur über den Proxy nach außen darf, hat einen beschreibbaren Ausgang. Einer mit direkter Route hat keinen.
Was Sie davon haben
Sie bekommen keine Lizenz, sondern jemanden, der diese Schicht betreibt und übergibt. Wenn Sie Mail und Web-Ausgang selbst behalten wollen, richten wir ein, dokumentieren und bilden Ihr Team aus. Wenn Sie es abgeben wollen, betreiben wir es weiter.
Was wir in diesem Bereich machen
-
DMARC bis zur Durchsetzung
Bestandsaufnahme aller sendenden Systeme, SPF und DKIM sauber ziehen, Berichte auswerten, schrittweise auf Zurückweisung stellen — ohne legitime Absender abzuschneiden.
-
Transportsicherheit für Mail
MTA-STS, TLS-Reporting und DANE einrichten und überwachen, damit der Transportweg nicht still auf unverschlüsselt zurückfällt.
-
Betrieb eines eigenen Mail-Stacks
Postfix, Dovecot und Rspamd als betriebener Dienst, inklusive Filterregeln, Quarantäne-Prozess und Wiederherstellung.
-
Inhaltliche Prüfung eingehender Nachrichten
Auswertung mit Sprachmodellen dort, wo Regeln und Reputationslisten nicht mehr greifen — als Hinweis an den Empfänger, nicht als stille Löschung.
-
Forward-Proxy für den Web-Ausgang
Eigener SOCKS- und HTTPS-Proxy mit Richtlinien, Protokollierung und definierten Ausnahmen statt einer Appliance, deren Verhalten niemand erklären kann.
-
Ausgang als Segmentierungsmittel
Server und Netze bekommen einen einzigen beschreibbaren Weg nach außen; alles andere fällt auf und ist damit behandelbar.
Woran wir arbeiten
| Mail-Stack | mailcow · Postfix · Dovecot · Rspamd · eigener Auswertungsdienst |
|---|---|
| Mail-Standards | SPF · DKIM · DMARC · MTA-STS · TLS-RPT · DANE · ARC |
| Web-Ausgang | Eigener Proxy mit SOCKS- und HTTPS-Unterstützung |
| Betriebsmodell | In Ihrer Infrastruktur oder bei uns · Übergabe an Ihr Team vorgesehen |
| Automatisierung | Ansible und Terraform für Konfigurationsstände und Rollout |
| Was es nicht ist | Kein Lizenzprodukt, keine Appliance, keine Preistafel |
Was dazu oft gefragt wird
-
Ersetzt das Microsoft 365 oder Google Workspace?
Nein, und meistens ist das auch nicht die Frage. Die Absenderauthentifizierung, die Transportsicherheit und der Umgang mit eingehenden Nachrichten sind unabhängig davon, wo die Postfächer liegen. Wenn Sie einen eigenen Stack wollen, betreiben wir ihn; wenn Sie bei einem Anbieter bleiben, härten wir den Weg davor und dahinter. -
Warum ein eigener Proxy statt eines etablierten Produkts?
Weil wir erklären können müssen, warum eine Verbindung zustande kam oder nicht. Bei einem zugekauften Gateway endet die Erklärung oft bei einer Kategorie-Datenbank, die jemand anders pflegt. Wenn Sie ein bestehendes Produkt einsetzen, betreiben wir das — die eigene Implementierung ist eine Option, keine Bedingung. -
Lesen Sie unsere E-Mails mit?
Die Auswertung läuft im Zustellweg auf Ihrer Seite, nicht als Kopie bei uns. Der Zweck ist die Einordnung einer Nachricht, nicht ihre Ablage. Was verarbeitet wird und wie lange, wird vor der Einführung schriftlich festgelegt — inklusive der Beteiligung Ihres Datenschutzbeauftragten und, wo nötig, des Betriebsrats. -
Können wir das später selbst betreiben?
Ja, das ist der Normalfall in unseren Mandaten. Konfiguration liegt als Code vor, der Betrieb ist dokumentiert, die Einarbeitung Ihres Teams gehört dazu.
Steht Ihr DMARC-Eintrag noch auf p=none?
Das ist in den meisten Häusern der schnellste erkennbare Befund, und er ist in Wochen zu beheben statt in Quartalen. Wir sehen uns den Mail-Weg und den Web-Ausgang an und sagen Ihnen, was tatsächlich offen ist.