Zwei mögliche Positionen für den Filter
Jedes Business-E-Mail-System filtert bereits. Microsoft 365, Google Workspace, ein Exchange-Server oder ein gehosteter Server haben einen integrierten Antispam und Antivirus. Dieser Filter ist für die Plattform konzipiert, auf der er läuft: Seine Regeln, Berichte und Protokolle leben in dieser Plattform und gehen mit ihr, sobald man den Anbieter wechselt.
SMTP-Gateway. Ein Mailserver, der dem Postfach vorgeschaltet ist. RFC 5321, die den E-Mail-Transport im Internet beschreibt, bezeichnet einen Server, der eine Nachricht empfängt und weiterleitet, als „Mail Transfer Agent“ (MTA). Der MX-Eintrag der Domain verweist auf das Gateway: Es ist also der erste Server, den die absendenden Server kontaktieren.
Nach der Analyse übergibt das Gateway die Nachricht an den Postfachserver. Die Benutzer sehen es nicht. Sie behalten ihr E-Mail-Programm, ihr Webmail und ihr Smartphone.
Praktische Folge: Das Gateway hängt nicht vom Postfach ab. Man kann den Mailserver wechseln, ohne den Filter zu wechseln, oder den Filter verstärken, ohne den Server zu wechseln. Es sind zwei getrennte Anschaffungen, die getrennt entschieden werden.
Vor oder nach der Zustellung
Ein Filter kann zu zwei Zeitpunkten eingreifen, und die Wahl ist nicht neutral.
- Vor der Zustellung. Die Nachricht wird während der Übertragung analysiert. Wird sie als gefährlich eingestuft, gelangt sie nicht ins Postfach. Ein manipulierter Anhang kann entfernt und durch eine Hinweisnachricht ersetzt werden. Eine zweifelhafte Nachricht kommt in Quarantäne, statt zugestellt zu werden.
- Nach der Zustellung. Die Nachricht liegt bereits im Postfach, wenn die Analyse zu einem Ergebnis kommt oder wenn eine neue Information eintrifft, zum Beispiel ein Link, der einige Stunden später gemeldet wird. Das Tool muss sie dann wieder entfernen. In der Zwischenzeit konnte der Benutzer sie öffnen, klicken oder den Anhang weiterleiten.
Beide Ansätze werden oft kombiniert: eine vorgelagerte Analyse und danach ein Schutz, der beim Klicken weiterwirkt, weil eine beim Empfang saubere Website später manipuliert werden kann. Keiner der beiden beansprucht, alles zu stoppen.
Klytic setzt die Analyse aus einem einfachen Grund vor das Postfach: Was nicht zugestellt wird, muss nicht zurückgeholt werden. Das ersetzt nicht den menschlichen Reflex, wenn eine glaubwürdige Nachricht alle Prüfungen besteht, wie beim CEO-Betrug.
Warum einen Sicherheits-MTA vor den Server schalten
- Ein spezialisiertes Werkzeug. Das Gateway verwaltet weder Kalender noch Speicher. Seine Regeln betreffen Absender, Inhalt und Anhänge und lassen sich Domain für Domain einstellen.
- Ein Schutz, der bestehen bleibt. Er übersteht einen Wechsel des Postfachservers und kann mehrere Server gleichzeitig abdecken: eine Tochtergesellschaft, ein älteres E-Mail-System, eine neue Plattform.
- Eine nachvollziehbare Entscheidung an einem Ort. Jede Nachricht trägt die Begründung der Entscheidung, unabhängig davon, welcher Server sie danach empfängt.
- Eine zweite Meinung. Der integrierte Filter des E-Mail-Systems arbeitet hinter dem Gateway weiter.
Was es kostet: ein zusätzliches Zwischenglied auf dem Weg. Es muss beim Postfachserver hinterlegt werden, sonst sieht dieser alle E-Mails von einer einzigen Adresse kommen und beurteilt den tatsächlichen Absender falsch. Außerdem müssen SPF, DKIM und DMARC überprüft werden. Die Seite Das vorhandene E-Mail-System schützen beschreibt diese Einstellungen.
Alle sind betroffen
Für die französische Cybersicherheitsbehörde ANSSI ist E-Mail „der wichtigste Infektionsweg für den Arbeitsplatzrechner“, und E-Mail-Systeme sind „einer der wichtigsten Angriffsvektoren, da sie sehr weit verbreitet und im Internet exponiert sind“ (Übersetzung). Phishing, manipulierter Anhang, gefälschter Überweisungsauftrag: Eine E-Mail-Adresse genügt, um ins Visier zu geraten, und ein Kleinstunternehmen ist ebenso betroffen wie ein Großkonzern.
Die ANSSI zählt den Schutz der E-Mail zu ihren zehn goldenen Regeln der digitalen Sicherheit, und ihr Maßnahmenkatalog empfiehlt den Einsatz einer Anti-Spam- und Anti-Phishing-Lösung. Ihr Leitfaden zur Anbindung eines Informationssystems an das Internet erinnert daran, dass die berufliche Nutzung von E-Mail sehr verbreitet ist, „unabhängig von Größe und Tätigkeitsbereich der Einrichtung“, und dass Antispam-Mechanismen und die Suche nach schädlichen Inhalten „umgesetzt werden müssen“ (Übersetzung).
Eine Sicherheitsfilterung der E-Mails ist also keine Option mehr. Die eigentliche Frage ist, wo sie sitzt und was sie stoppen kann, bevor die Nachricht im Postfach ankommt.
Das Gateway ergänzt den Filter des E-Mail-Systems um eine Analyse, die nicht vom Anbieter Ihrer Postfächer abhängt, um eine einheitliche Richtlinie für mehrere Server oder mehrere Gesellschaften und um Entscheidungen, die sich erklären lassen.
Kein Filter, ob integriert oder vorgeschaltet, ersetzt die Reflexe, an die die ANSSI erinnert: nicht auf einen zweifelhaften Link oder Anhang klicken, nicht auf eine verdächtige E-Mail antworten, über einen anderen Kanal überprüfen, die Zwei-Faktor-Authentifizierung aktivieren.
Was das Gateway sieht und was es speichert
Um zu entscheiden, liest ein Gateway die gesamte Nachricht: den angegebenen Absender und den sendenden Server, die Authentifizierungsergebnisse (SPF, DKIM, DMARC), den Text, die Links, die Anhänge. Daraus leitet es eine Entscheidung ab: zustellen, unter Quarantäne stellen, ablehnen oder einen unbekannten Absender zurückstellen.
Lesen ist nicht Speichern. Die richtige Frage an einen Anbieter lautet: Was bleibt, und wie lange? Für Klytic MTA unterscheidet die Antwort drei Fälle sowie die Spur der Entscheidung.
| Situation | Was gespeichert wird | Dauer |
|---|
| Normale Zustellung | Die personenbezogenen Analysedaten (Absender, Empfänger, Betreff, Text, Namen der Anhänge) werden gelöscht. Es bleiben Zeitstempel, Absenderdomain, Scores und Entscheidung. | Löschung standardmäßig nach 2 Tagen, Frist einstellbar |
| Gefährliche Nachricht in Quarantäne | Die vollständige Nachricht, verschlüsselt | Die Gültigkeitsdauer des Freigabelinks, 7 Tage |
| Postfachserver nicht erreichbar | Die Nachricht, verschlüsselt (AES-256-GCM), in der Warteschlange | Bis zur Zustellung oder zum Ablauf der Frist |
| Alle Entscheidungen | Score und Begründung, ohne den Inhalt | Technische Daten, die für Statistiken aufbewahrt werden |
„Keine Speicherung von Nachrichten im Normalbetrieb“ bedeutet also: keine dauerhafte Kopie der zugestellten E-Mails. Es bedeutet nicht „null Daten“. Das Gateway bewahrt die Spur seiner Entscheidungen auf und für einige Tage die Analysedetails. Die Fristen werden in Sicherheitsprotokolle von E-Mails aufbewahren und auswerten erläutert.
Der Weg, Schritt für Schritt
- Ein absendender Server sucht den MX Ihrer Domain. Er findet das Gateway und übergibt ihm die Nachricht.
- Das Gateway prüft den Absender (Authentifizierung, Reputation), die Nachricht (Links, Text, bekannte Szenarien) und dann die Anhänge.
- Saubere Nachricht: Es stellt sie Ihrem E-Mail-System zu, welches auch immer das ist: Microsoft 365, Google Workspace, Exchange, Klytic Mail oder ein anderer Server.
- Gefährliche Nachricht: Sie kommt in die verschlüsselte Quarantäne. Der Empfänger wird benachrichtigt und kann sie über einen Link freigeben, falls es sich um einen Irrtum handelt.
- Abgelehnte Nachricht: Der absendende Server erhält eine Ablehnung und informiert seinen Benutzer.
- Ihr Postfachserver antwortet nicht: Die Nachricht wartet verschlüsselt und wird zugestellt, sobald der Server wieder verfügbar ist.
Dieser Weg beruht auf dem normalen Verhalten von SMTP: Ein Server, der einen temporären Fehler erhält, behält die Nachricht und versucht es erneut. Der Ratgeber E-Mail-System ohne Unterbrechung migrieren erklärt, warum dieser Mechanismus verhindert, dass bei einer MX-Umstellung E-Mails verloren gehen.
Häufige Fragen
Braucht ein kleines Unternehmen eine Sicherheitsfilterung?
Ja. E-Mail-Angriffe wählen ihr Ziel nicht nach seiner Größe aus. Das Gateway ist eine Möglichkeit, diese Filterung einzurichten, ohne das E-Mail-System zu wechseln: siehe Das vorhandene E-Mail-System schützen.
Ersetzt ein Gateway den Filter von Microsoft 365 oder Google Workspace?
Nein. Der integrierte Filter arbeitet dahinter weiter. Die Anbieter beschreiben, wie man ein Gateway hinterlegt, damit ihre eigene Analyse korrekt bleibt: siehe Das vorhandene E-Mail-System schützen.
Verzögert das Gateway die Zustellung?
Die Analyse fügt einen Schritt hinzu. Der sichtbare Fall ist gewollt: Ein unbekannter Absender kann kurz zurückgestellt werden, was automatisierte Sendungen fernhält, die nie einen neuen Versuch unternehmen.
Kann man das E-Mail-System wechseln und das Gateway behalten?
Ja. Der MX verweist weiterhin auf das Gateway; nur der Zustellserver ändert sich. Der Ablauf einer Umstellung steht in E-Mail-System ohne Unterbrechung migrieren.
Was geschieht mit einer irrtümlich zurückgehaltenen Nachricht?
Sie liegt in der Quarantäne und ist nicht gelöscht. Siehe Quarantäne, Fehlalarme und Meldungen.
Was ist der Unterschied zu einem dedizierten oder lokal installierten E-Mail-System?
Das ist eine Frage des Postfachs, nicht des Filters. Sie wird in E-Mail in der Cloud, dediziert oder in Ihren Räumlichkeiten behandelt.
Wo Klytic ansetzt
Klytic MTA ist ein solches Gateway. Es kann eigenständig, ohne Klytic Mail, abonniert werden und stellt an Klytic Mail, Microsoft 365, Google Workspace, Exchange oder jeden anderen Mailserver zu.
- Basis: Authentifizierung und Reputation (SPF, DKIM, DMARC auch für weitergeleitete Nachrichten, Alter der Domains, Blacklists), Antispam, Antivirus, Anti-Phishing, ähnliche Domains und Anzeigename, manipulierte Makros und PDFs, verschlüsselte Quarantäne und Freigabe, DKIM-Signatur ausgehender E-Mails, Rückruf vor dem Versand, S/MIME-Signatur ausgehender E-Mails für ein E-Mail-System, das sie nicht unterstützt, sofern der Kunde sie aktiviert und seinen Schlüssel anvertraut (die Bereitstellung des Zertifikats ist optional), KI-Arbitrage bei mehrdeutigen Nachrichten, Score und Begründung in den Headern.
- Erweitert: alles aus Basis, plus CEO-Betrug und Finanzbetrug, erneute Analyse von Links beim Klicken, manipulierte HTML-Dateien, die DMARC-Konsole und in ein SIEM exportierbare Protokolle.
Der Dienst wird in der Klytic-Cloud, auf einer dedizierten Instanz oder auf Ihren Servern bereitgestellt. Die Klytic-Cloud wird in jeder geografischen Zone gehostet, die der anwendbaren Rechtsordnung entspricht, vorbehaltlich der Verfügbarkeit der Dienste, insbesondere in Europa oder auf Mauritius. Die Inbetriebnahme dauert in der Regel 24 bis 48 Stunden: Klytic bereitet die Konfiguration vor, dann ändern Sie den MX-Eintrag Ihrer Domain, oder Klytic übernimmt das für Sie.
Was Klytic MTA nicht tut: Es ersetzt weder Ihr E-Mail-System noch dessen Konten und Berechtigungen, und es sieht nur die E-Mails, die es durchlaufen. Zu Microsoft 365 und anderen E-Mail-Systemen siehe Das vorhandene E-Mail-System schützen.
Diese Seite beschreibt eine allgemeine Architektur. Die genaue Einstellung hängt von Ihrem E-Mail-System und Ihren Domains ab.
Quellen
Abgerufen im Oktober 2026.
- RFC 5321, Simple Mail Transfer Protocol: SMTP-Server fungieren als Transfer Agents (MTA); Zwischenhosts werden in der Regel über den MX-Eintrag im DNS bestimmt. rfc-editor.org
- Klytic, Seite Klytic MTA: Module der Angebote Basis und Erweitert, Optionen, Bereitstellungsmodi, Inbetriebnahme über den MX-Eintrag, Speicherung von Nachrichten beschränkt auf Warteschlange und Quarantäne. klytic.com
- ANSSI, „10 règles d’or en matière de sécurité numérique“ (10 goldene Regeln der digitalen Sicherheit): Die 6. Regel, „Protégez votre messagerie électronique“ (Schützen Sie Ihre E-Mail), beschreibt Phishing und empfiehlt, zweifelhaften Links und Anhängen zu misstrauen, über einen anderen Kanal zu überprüfen und die Zwei-Faktor-Authentifizierung zu aktivieren. cyber.gouv.fr
- ANSSI, „Guide d’hygiène informatique“ (Leitfaden zur IT-Hygiene), Version 2.0, September 2017, Maßnahme 24 „Protéger sa messagerie professionnelle“ (Die geschäftliche E-Mail schützen): „E-Mail ist der wichtigste Infektionsweg für den Arbeitsplatzrechner“ (Übersetzung). messervices.cyber.gouv.fr
- ANSSI, MonServiceSécurisé, Maßnahmenkatalog, Maßnahme „Mettre en œuvre une solution d’anti-spam et d’anti-hameçonnage“ (Eine Anti-Spam- und Anti-Phishing-Lösung einsetzen): „E-Mail-Systeme sind einer der wichtigsten Angriffsvektoren, da sie sehr weit verbreitet und im Internet exponiert sind“ (Übersetzung). monservicesecurise.cyber.gouv.fr
- ANSSI, „Recommandations relatives à l’interconnexion d’un système d’information à Internet“ (Empfehlungen zur Anbindung eines Informationssystems an das Internet), ANSSI-PA-066, Version 3.0, 19. Juni 2020, Kapitel 5 „Sécurisation du service de messagerie électronique“ (Absicherung des E-Mail-Dienstes): E-Mail „ist zu einem der wichtigsten Vektoren für Cyberangriffe geworden“ (Phishing, schädliche Anhänge); § 5.2.3: Antispam-Mechanismen und die Suche nach schädlichen Inhalten „müssen umgesetzt werden“ (Übersetzung). messervices.cyber.gouv.fr
