Das SMTP-Protokoll transportiert Ihre E-Mails von einem Client oder einer Anwendung zum Server des Empfängers, und jede Verbindung läuft über einen bestimmten Port. Für die Übermittlung von einem E-Mail-Client oder einem Versandskript verwenden Sie standardmäßig Port 587 mit STARTTLS. Port 465 arbeitet mit implizitem TLS und ist ebenfalls eine gültige Option. Port 25 dient der Übertragung zwischen Servern und wird bei den meisten Internetanbietern und Cloud-Hostern blockiert. Port 2525 hilft aus, wenn 587 von einem fremden Netzwerk gefiltert wird. Ein einziger Befehl reicht, um in 2 Minuten den richtigen Port zu überprüfen.
Die 4 SMTP-Ports und ihr tatsächlicher Einsatz
Jeder Port entspricht einer festen Rolle in der Versandkette, die von den Protokollnormen vorgegeben wird. Port 25 ist der historische Port des Protokolls, reserviert für die Übertragung von Server zu Server (MTA zu MTA): Ein Mailserver, der eine Nachricht an einen anderen Mailserver weiterleitet, nutzt diesen Port, niemals ein E-Mail-Client oder eine Anwendung, die eine E-Mail übermittelt. Port 587 wurde 2007 normiert (RFC 4409, seitdem durch RFC 6409 ersetzt), speziell für die authentifizierte Übermittlung, mit einer Verschlüsselung, die nach dem Verbindungsaufbau über den Befehl STARTTLS aktiviert wird. Port 465 hat eine bewegtere Geschichte. In den 1990er Jahren für SMTP über SSL vergeben, galt er fast 20 Jahre lang zugunsten von 587 als veraltet, bevor er offiziell rehabilitiert wurde. Die RFC 8314, im Januar 2018 von der IETF veröffentlicht, führt Port 465 als offiziellen Port für die Übermittlung mit implizitem TLS wieder ein und empfiehlt ihn sogar noch vor 587 als langfristige technische Richtung.
Die RFC 8314 bezeichnet die Verwendung von Klartext für die Übermittlung und den Zugriff auf Nachrichten als überholt und empfiehlt die Verschlüsselung bereits beim Verbindungsaufbau statt ihrer nachträglichen Aktivierung während des Austauschs (IETF, Januar 2018).
Port 2525 unterliegt keiner IETF-Normierung. Man nutzt ihn als Ausweichlösung, wenn ein Netzwerk 587 und 25 filtert, und die meisten kommerziellen E-Mail-Router unterstützen ihn, ohne dass dieser Port bei allen Anbietern garantiert ist.
STARTTLS oder implizites TLS: der konkrete Unterschied
STARTTLS öffnet die Verbindung im Klartext, dann sendet der Client den Befehl STARTTLS, um zu einem verschlüsselten Kanal zu wechseln, bevor Anmeldedaten und Nachrichteninhalt ausgetauscht werden. Implizites TLS verschlüsselt bereits beim ersten TCP-Handshake: Zu keinem Zeitpunkt fließen Daten im Klartext, auch nicht während der Verhandlung. Die RFC 8314 begründet diese Wahl mit dem Abhörrisiko während des kurzen Klartextfensters vor dem STARTTLS-Befehl, ein Fenster, das ein aktiver Angreifer im Netzwerk ausnutzen kann, um eine unverschlüsselte Verbindung zu erzwingen. Ein falsch konfigurierter Client kann ein SMTP-Passwort ungeschützt versenden, wenn der Server Versuche ohne STARTTLS nicht ablehnt. Das ist der einzige Unterschied zwischen den beiden Mechanismen aus Sicht der Verbindungssicherheit.
Warum Port 25 ausgehend blockiert ist
Die Sperre ist beabsichtigt: Sie ist Teil einer Richtlinie gegen ausgehenden Spam. Internetanbieter für Privatkunden filtern ausgehende Verbindungen auf Port 25 an ihren Routern, um zu verhindern, dass kompromittierte Geräte in ihrem Netz direkt Spam ins Internet weiterleiten. Bei Cloud-Anbietern gilt dieselbe Logik: Laut der offiziellen AWS-Dokumentation wird der ausgehende Datenverkehr auf Port 25 standardmäßig für alle EC2-Instanzen und Lambda-Funktionen blockiert, sofern keine ausdrückliche Freigabe über ein Support-Ticket beantragt wurde. Auch europäische Hosting-Anbieter wenden bei einem Teil ihres Shared-Hosting-Angebots eine vergleichbare Beschränkung an. Der Fehlschlag ist systematisch. Eine Anwendung, die auf einem VPS oder einem Privatkunden-Router gehostet wird und versucht, direkt über Port 25 zu versenden, scheitert unabhängig von der Qualität ihrer DNS-Konfiguration oder ihres Inhalts. Die Lösung ist nicht, diese Sperre zu umgehen, sondern die Nachricht über 587 oder 465 zu übermitteln, Ports, die dieselben Netzwerke offen lassen.
Welcher Port je nach Anbieter zu verwenden ist
Die folgende Tabelle listet ausschließlich die für die Übermittlung akzeptierten Ports auf. Die genaue Serveradresse Ihres Anbieters finden Sie in unserem Leitfaden, um den SMTP-Server Ihres E-Mail-Kontos zu finden.
| Anbieter | Akzeptierte Ports | Anmerkung |
|---|---|---|
| Gmail | 587, 465 | 587 von Google empfohlen, Authentifizierung bei beiden Ports Pflicht |
| Outlook / Microsoft 365 | 587 | 465 wird vom Microsoft-365-SMTP-Relay nicht unterstützt |
| Yahoo | 587, 465 | Zwei-Faktor-Authentifizierung erfordert ein App-Passwort |
| GMX | 587, 465 | 587 mit STARTTLS als Standardempfehlung, 465 als SSL-Alternative |
| web.de | 587 | Authentifizierung mit vollständiger E-Mail-Adresse als Benutzername erforderlich |
| T-Online | 587 | 587 mit STARTTLS als einzig offiziell empfohlener Port |
| Vodafone/Kabel Deutschland | 587, 465 | 587 in erster Linie empfohlen, 465 als Ausweichlösung, falls SSL direkt blockiert ist |
| 1&1 IONOS | 587, 465 | 587 STARTTLS wird vom Anbieter vorrangig empfohlen |
| Strato | 465, 587 | 465 in direktem SSL, 587 in STARTTLS je nach Mail-Tarif |
Prüfen, ob ein SMTP-Port offen ist
Zwei Befehle genügen, um zu überprüfen, ob ein Port antwortet, bevor Sie eine Konfiguration blind ändern. Mit installiertem OpenSSL führen Sie openssl s_client -connect smtp.beispiel.com:587 -starttls smtp in einem Terminal aus. Eine Antwort, die mit 220 gefolgt vom Servernamen beginnt, bestätigt, dass der Port lauscht und die STARTTLS-Verhandlung akzeptiert. Ohne OpenSSL genügt telnet für einen einfachen Test: telnet smtp.beispiel.com 587. Eine Ausgabe mit 220 mail.beispiel.com ESMTP ready bedeutet, dass die TCP-Verbindung zustande kommt. Bleibt die Eingabeaufforderung mehrere Sekunden leer und schließt sich dann, wird der Port irgendwo zwischen Ihrem Rechner und dem Server gefiltert, häufig durch eine lokale Firewall oder einen Privatkunden-Router. Dieser Test dauert weniger als 2 Minuten und erspart es, blind zu raten, welches Element der Kette den Versand tatsächlich blockiert.
SMTP-Verbindungsfehler verstehen
3 Meldungen tauchen am häufigsten auf, wenn ein Versand fehlschlägt. Jede weist auf eine andere Ursache hin.
- Connection timed out: Die TCP-Verbindung kommt nie zustande. Der Port wird durch eine Firewall, einen Router des Internetanbieters oder eine Cloud-Sicherheitsregel blockiert, noch bevor der Mailserver erreicht wird. Testen Sie einen anderen Port (587, falls 25 fehlschlägt, 2525, falls auch 587 fehlschlägt), statt die Zugangsdaten zu ändern.
- Connection refused: Der Zielrechner antwortet, aber auf diesem bestimmten Port lauscht nichts. Der SMTP-Server existiert, aber der Dienst ist nicht auf dieser Portnummer konfiguriert oder läuft auf einer anderen Netzwerkschnittstelle. Prüfen Sie mit dem oben genannten openssl-Befehl, welcher Port tatsächlich offen ist, bevor Sie die Client-Konfiguration ändern.
- Must issue a STARTTLS command first: Der Server verlangt eine Verschlüsselung, und der Client versucht, Anmeldedaten im Klartext zu senden. Der zu korrigierende Parameter ist die Sicherheit auf Client-Seite, STARTTLS auf 587 oder SSL/TLS auf 465. Die Portnummer bleibt korrekt.
Eine Fehlermeldung, die eine Zeitüberschreitung oder eine Ablehnung erwähnt, betrifft nahezu immer den Port oder die Firewall, niemals den Inhalt der E-Mail. Eine Meldung zur Authentifizierung oder Verschlüsselung betrifft den Sicherheitsparameter der Verbindung, unabhängig von der Portnummer. Diese Unterscheidung erspart es, SPF, DKIM, DMARC oder den Nachrichteninhalt neu zu konfigurieren, obwohl das Problem eine Ebene darunter liegt, auf der Transportebene.
Bleibt Ihr eigener Server trotz korrekt geöffnetem Port auf Client-Seite gefiltert, können Sie mit einem SMTP-Relay die Sperre umgehen, ohne Ihre Infrastruktur anzutasten.
Der richtige Port öffnet die Verbindung. Für den weiteren Verlauf garantiert er nichts: Nachrichten, die normal versendet werden, aber im Spam-Ordner landen, deuten auf die Authentifizierung der Absenderdomain und auf die Sauberkeit der versendeten Kontaktliste hin.
