Zustellung

Aktualisiert am 2026-08-09

Das Relay antwortet erst dann mit 250 OK, wenn die Nachricht mit einem fsync auf der Festplatte liegt und ihr Warteschlangeneintrag committet ist. Ab diesem Moment darf das Gerät seine Kopie löschen, denn die Zustellung liegt jetzt in der Verantwortung des Relays.

Die Zustellung läuft danach im Hintergrund mit einem eskalierenden Wiederholungsplan. Eine Nachricht, die 24 Stunden lang fehlschlägt, wird aussortiert (Dead-Lettering) statt endlos weiterversucht, und ihr Inhalt bleibt 30 Tage erhalten, damit sie nach Behebung der Ursache erneut gesendet werden kann. Fehler werden mit dem Klartextgrund erfasst, nicht nur mit einem Statuscode.

Anhänge ab etwa 3 MB durchlaufen automatisch eine Upload-Session. Das Gerät bemerkt den Unterschied nicht.

Hinweise zur Sicherheit

• Gerätepasswörter und Provider-Secrets sind ruhend (at rest) geschützt. Secrets werden mit AES-256-GCM verschlüsselt; unter Windows wird der Schlüssel mit DPAPI auf Maschinenebene verpackt, und das Datenverzeichnis trägt eine ACL, die nur SYSTEM, Administratoren und dem Konto, das es erstellt hat, Zugriff gewährt.
• Das schützt nicht vor einem lokalen Administrator. Alles, was das Relay entschlüsseln kann, kann auch Code entschlüsseln, der als Administrator auf derselben Maschine läuft. Das liegt in der Natur eines Dienstes, der startet, ohne dass jemand eine Passphrase eintippt. Was es schützt, ist eine gestohlene Festplatte, eine kopierte Sicherung oder eine exfiltrierte Datenbankdatei.
• Wiederholte fehlgeschlagene Logins von einer Adresse werden gedrosselt. Geräte mit gespeichertem Passwort lösen das nie aus; ein Techniker, der ein Passwort ein paar Mal von Hand eintippt, könnte es auslösen und muss dann einige Minuten warten.
• Unverschlüsseltes SMTP auf Port 25 ist standardmäßig aus, und Authentifizierung wird auf jedem Listener verweigert, der nicht verschlüsselt ist, sofern Sie den Klartext-Listener nicht ausdrücklich aktivieren.