Die Entscheidung: Postfach behalten, MX ändern
Das E-Mail-System zu wechseln und den Schutz zu wechseln sind zwei verschiedene Projekte. Das erste verlagert Postfächer, Verlauf, Kalender und die Konten auf den Telefonen. Das zweite betrifft nur den Weg der eingehenden E-Mails.
Dieser Weg steckt in einem DNS-Eintrag: dem MX, der sendenden Servern mitteilt, wohin die E-Mails Ihrer Domain zuzustellen sind. Verweist er auf das Gateway, empfängt dieses die Nachricht, analysiert sie und übergibt sie dann dem Postfachserver. Das gilt für:
- Microsoft 365 (Exchange Online);
- Google Workspace;
- Exchange, bei Ihnen installiert oder gehostet;
- jeden anderen E-Mail-Server, der per SMTP empfängt;
- Klytic Mail, das nur ein Fall unter vielen ist, keine Voraussetzung.
Dieser Leitfaden behandelt den Fall, dass Sie das Postfach behalten. Wenn Sie auch den Server wechseln, beschreiben die Leitfäden Migration von Microsoft 365 und Migration von Google Workspace dieses Projekt.
Wer was ändert
| Einstellung | Wo | Wer |
|---|
| MX-Eintrag der Domain | DNS-Zone, beim Registrar oder DNS-Hoster | Die Person, die das DNS verwaltet, oder der damit beauftragte Dienstleister |
| Eintragung des Gateways im E-Mail-System | Verwaltungskonsole von Microsoft 365, Google Workspace oder des Servers | Der Administrator des E-Mail-Systems |
| SPF, DKIM und DMARC | DNS-Zone | Der DNS-Verwalter, nach einer Bestandsaufnahme der Server, die für die Domain senden |
| Domains und Zustellserver | Gateway | Der Anbieter des Gateways, der die Konfiguration vorbereitet |
Das Prinzip bei Microsoft 365
Die Microsoft-Dokumentation zur Filterung durch einen Drittanbieterdienst ist eindeutig: Der MX der Domain muss auf diesen Dienst verweisen, der dann an Exchange Online zustellt. Microsoft empfiehlt einen eingehenden Connector vom Typ „Partner“, der E-Mails ablehnen kann, die nicht über den Dienst gekommen sind. Außerdem empfiehlt Microsoft, die erweiterte Filterung für Connectors zu aktivieren, damit die eigene Analyse den tatsächlichen Absender bewertet und nicht die Adresse des Gateways. Davon, die eigene Filterung für die Adressen des Drittanbieterdienstes einfach zu umgehen, rät Microsoft ab.
Das Prinzip bei Google Workspace
Google beschreibt ein „Gateway für eingehende E-Mails“: Der MX verweist auf das Gateway, dann trägt der Administrator dessen IP-Adressen in der Konsole ein. Gmail nutzt sie, um die tatsächliche Adresse des Absenders in den Headern zu finden, von der SPF und die Spam-Bewertung abhängen. Man kann auch E-Mails ablehnen, die nicht vom Gateway kommen. Google stellt klar, dass es die DMARC-Richtlinie des Absenders auf E-Mails, die über ein eingetragenes Gateway eingehen, nicht anwendet: Diese Prüfung obliegt dann dem Gateway.
Dieser Leitfaden gibt die Bildschirme dieser Konsolen nicht wieder, da sie sich ändern. Folgen Sie bei der Einstellung der unten zitierten offiziellen Seite.
Mehrere Server hinter einem einzigen Gateway
Ein häufiger Fall in einer Unternehmensgruppe: die Muttergesellschaft auf Microsoft 365, eine Tochter auf Google Workspace, eine dritte auf einem historisch gewachsenen Server. Ein einziges Gateway kann allen dreien vorgeschaltet werden.
Das Prinzip ist ein Routing pro Domain. Der MX jeder Domain verweist auf das Gateway. Für jede Domain kennt das Gateway den Server, an den es die E-Mails nach der Analyse übergibt. Die Analyse ist gemeinsam, das Ziel unterschiedlich.
Vorteil: eine einheitliche Filterrichtlinie oder unterschiedliche Einstellungen je Domain und alle Entscheidungen an einem Ort einsehbar. Vorzubereiten ist: Bei einer Domain, deren Postfächer auf zwei Server verteilt sind, muss man Adresse für Adresse wissen, wohin zugestellt wird. Dieser Fall wird vor der Umstellung geprüft.
Was sich ändert und was nicht
Unverändert bleiben: die Adressen, die Postfächer, der Verlauf, das E-Mail-Programm, das Webmail, die Telefone. Der integrierte Filter des E-Mail-Systems arbeitet weiter. Rechte und interne Freigaben bleiben die der Plattform.
Es ändert sich:
- Der erste Server, der die E-Mails empfängt. Er sieht die ursprüngliche Verbindung und prüft die Authentifizierung des Absenders.
- Der Postfachserver sieht den Absender nicht mehr direkt, sondern das Gateway. Daher die oben beschriebene Eintragung.
- Die Nachrichten tragen die Entscheidungs-Header des Gateways: Ein Administrator kann darin lesen, warum eine Nachricht zugestellt oder zurückgehalten wurde.
- Leitet das Gateway auch ausgehende E-Mails weiter, muss der SPF-Eintrag der Domain es autorisieren und die DKIM-Signatur dafür veröffentlicht werden. Die Bedeutung dieser Mechanismen wird in SPF, DKIM und DMARC erklärt.
Wenn Sie eines Tages auch den Postfachserver wechseln, kann das Gateway bestehen bleiben: Nur sein Zustellserver ändert sich. Der Leitfaden ein E-Mail-System ohne Unterbrechung migrieren bleibt für diesen Tag maßgeblich, auch für SPF, DKIM und DMARC.
Die Einrichtung, Schritt für Schritt
- Bestandsaufnahme: Domains, Postfachserver jeder Domain, Anwendungen, die im Namen der Domain E-Mails senden.
- Vorbereitung des Gateways durch seinen Anbieter: akzeptierte Domains, Zustellserver, Ausgangsregeln.
- Eintragung des Gateways im E-Mail-System (eingehender Connector oder Gateway für eingehende E-Mails), sofern die Plattform dies vorsieht.
- Vorherige Senkung der TTL des MX, dann Änderung des MX. Während der Dauer des DNS-Caches stellt ein Teil der Absender noch direkt an den Postfachserver zu: Das ist normal.
- Kontrolle: Eine von einer externen Adresse gesendete Nachricht muss mit den Entscheidungs-Headern des Gateways ankommen.
- Überwachung der Quarantäne in den ersten Tagen, um Fehlalarme freizugeben und die Regeln anzupassen.
Der Rückweg ist einfach: den alten MX wiederherstellen. Er wird wie bei einer Migration vorbereitet, mit einer Person, die befugt ist, ihn zu beschließen.
Was das Gateway nicht tut
Es sieht die E-Mails, die es durchlaufen, und nur diese. Es sieht weder Nachrichten zwischen zwei Postfächern derselben Plattform, die diese nicht verlassen, noch in einem Online-Speicher geteilte Dateien, noch die Anmeldungen der Benutzer.
Es ersetzt daher nicht die internen Einstellungen von Microsoft 365 oder Google Workspace: Rechte, Zwei-Faktor-Authentifizierung, Anmeldewarnungen, Regeln für automatische Weiterleitung. Ein gestohlenes Konto ist zuerst eine Angelegenheit des E-Mail-Systems. Der Leitfaden Spam, Phishing, Malware und kompromittiertes Konto grenzt die Themen ab.
Schließlich kann ein Absender, der die technische Adresse des Postfachservers kennt, versuchen, direkt an ihn zuzustellen, ohne über den MX zu gehen. Das ist der Grund für die von Microsoft (Partner-Connector) und Google (Ablehnung von E-Mails außerhalb des Gateways) angebotene Absperrung.
Häufige Fragen
Muss man die Benutzer informieren?
Ihre Adressen ändern sich nicht. Informieren Sie sie jedoch, dass sie Quarantänehinweise erhalten können: siehe Quarantäne, Fehlalarme und Meldungen.
Muss man den Filter von Microsoft 365 oder Google abschalten?
Nein. Microsoft empfiehlt, die eigene Analyse aktiv zu lassen und so einzustellen, dass sie den tatsächlichen Absender sieht, statt sie zu umgehen.
Wie lange dauert die Umstellung?
Die Änderung des MX selbst wirkt im Rhythmus des DNS-Caches. Die Vorbereitung hängt von der Zahl der Domains und Server ab. Für Klytic MTA siehe den folgenden Abschnitt.
Verändert ein vorgeschaltetes Gateway die Zustellbarkeit unserer Sendungen?
Nur wenn es auch ausgehende E-Mails weiterleitet. Dann müssen SPF und DKIM es berücksichtigen: siehe SPF, DKIM und DMARC.
Warum nicht einfach das E-Mail-System wechseln?
Das ist eine andere Entscheidung, mit anderen Kriterien. Sie wird in eine europäische geschäftliche E-Mail-Lösung wählen behandelt.
Wo Klytic steht
Klytic MTA wird vor Ihr vorhandenes E-Mail-System geschaltet: Microsoft 365, Google Workspace, Exchange, Klytic Mail oder jeden anderen Server. Es setzt kein Klytic-Postfach voraus.
- Inbetriebnahme: in der Regel 24 bis 48 Stunden. Klytic bereitet die Konfiguration vor; Sie ändern den MX-Eintrag Ihrer Domain, oder Klytic erledigt das für Sie. Die Eintragung des Gateways in der Konsole von Microsoft 365 oder Google Workspace nimmt der Administrator dieses E-Mail-Systems vor; sie wird bei der Inbetriebnahme mit Klytic vorbereitet.
- Bereitstellung: Klytic-Cloud, dedizierte Instanz oder Server des Kunden. Für besondere Anforderungen lassen sich mit Klytic weitere Architekturen entwerfen, zum Beispiel eine Filterung in der Cloud mit einem bei Ihnen installierten Relay oder mehrere Regionen.
- Angebote: Basis und Erweitert. Basis umfasst Authentifizierung, Antispam, Antivirus, Phishing, ähnliche Domains, Quarantäne, DKIM-Signatur ausgehender E-Mails und Rückruf vor dem Versand. Erweitert ergänzt Finanzbetrug, Klickschutz, DMARC-Konsole und den Export der Protokolle in ein SIEM.
- Test: 30 Tage kostenlos, ohne Wechsel des E-Mail-Systems.
Klytic MTA verwaltet weder die Rechte noch die Konten Ihres aktuellen E-Mail-Systems und verspricht keine Gleichwertigkeit mit den in Microsoft 365 oder Google Workspace integrierten Sicherheitswerkzeugen: Es wird ihnen vorgeschaltet.
Diese Seite beschreibt ein Prinzip. Die Konsolen von Microsoft und Google entwickeln sich weiter: Für die konkreten Schritte ist ihre offizielle Dokumentation maßgeblich.
Quellen
Abgerufen im Oktober 2026.
- Microsoft Learn, „Manage mail flow using a third-party cloud service with Exchange Online“: Der MX muss auf den Drittanbieterdienst verweisen; eingehender Connector vom Typ Partner; erweiterte Filterung für Connectors statt Umgehung der Filterung. learn.microsoft.com
- Google Workspace-Hilfe, „Set up an inbound mail gateway“: MX auf das Gateway, Eintragung seiner IP-Adressen, mögliche Ablehnung von E-Mails außerhalb des Gateways; die DMARC-Richtlinie des Absenders wird von Gmail auf über das Gateway empfangene E-Mails nicht angewendet. knowledge.workspace.google.com
- RFC 5321, SMTP: Zwischenhosts werden in der Regel über den MX-Eintrag im DNS bestimmt. rfc-editor.org
- Klytic, Seite Klytic MTA: Module der Angebote Basis und Erweitert, Optionen, Bereitstellungsmodi, Inbetriebnahme über den MX. klytic.com
