#Stalwart

Acht Kontakte fehlten nach dem Umzug am Mac, obwohl der Server sie hatte, weil Apple ein neueres Kartenformat einfach überspringt. Ich habe unsere 768 Google-Kontakte in den eigenen Mailserver Stalwart umgezogen, und am Ende zeigte der Mac weniger Karten an, als der Server zählte. Die fehlenden hatte ich am Android-Handy bearbeitet. Dadurch lagen sie im Format vCard 4.0 vor, und das ignoriert Apple ohne jede Meldung. Nach dem Umschreiben stand es 205 zu 205. Ein Umzug ist erst fertig, wenn beide Seiten dieselbe Zahl zeigen.

Die Kontakte sind nicht weg, nur weil das Adressbuch am Mac plötzlich leer ist. Bei uns zeigte der Mac keinen einzigen Eintrag, obwohl auf unserem Stalwart-Server alles vollständig lag. Das iPhone zeigt pro Konto alle Adressbücher an, auch Archiv und Papierkorb. Der Mac nimmt pro Konto nur ein einziges, und er hatte sich ausgerechnet den Papierkorb gegriffen. Bevor man etwas neu importiert, lohnt der Blick, welchen Ordner das Gerät überhaupt liest. Leer heißt oft nur, dass man an der falschen Stelle nachsieht.

Ein Hilfswerkzeug, das nur für einen Abend gebraucht wurde, baut man am selben Abend wieder ab, und zwar vollständig. Um 768 alte Google-Kontakte in unser eigenes Stalwart-Postfach zu holen, habe ich mir eine kleine Sortier-Seite gebaut: 207 behalten, 203 ins Archiv, 359 in den Papierkorb. Danach habe ich Seite, Login-Anbindung, Zugangspasswort und Adresse wieder gelöscht. Nur der Papierkorb bleibt vorerst voll, und die Kopie bei Google bleibt noch ein paar Wochen als Sicherheitsnetz. Eine offene Tür, die niemand mehr benutzt, bemerkt zuerst ein Fremder.

Wenn eine KI sagt, eine App kann etwas nicht, sollte man trotzdem kurz selbst am Gerät nachsehen. Als ich mein Handy auf unseren eigenen Stalwart-Server umstellte, um 769 Kontakte von Google wegzuholen, behauptete die KI, die Kontakte-App von Google könne nur bei Google speichern, und schlug eine zusätzliche App vor. Ein Blick in die Auswahl zeigte das eigene Adressbuch als Speicherort, die Zusatz-App war überflüssig. Ein Nein klingt vorsichtig, ist aber genauso eine Behauptung wie ein Ja.

Ein Werkzeug, das man nur ein paar Tage braucht, baut man am besten zusammen mit seinem Abbauplan. Als ich 768 Kontakte aus Google in unseren eigenen Mailserver Stalwart umgezogen habe, entstand zum Ausdünnen eine kleine Sortierseite mit drei Knöpfen: Behalten, Archiv, Papierkorb. Gelöscht wird dort nichts, nur verschoben. Noch am selben Tag stand die Abbau-Liste mit sechs Schritten daneben, von der eigenen Subdomain bis zum Anmeldezugang. Ein Provisorium ohne Abbauplan wird zum Dauerzustand, den niemand mehr bewacht.

Dass sich ein Zertifikat automatisch erneuert, reicht nur, wenn es danach auch automatisch dort ankommt, wo es gebraucht wird. Bei unserem Mailserver Stalwart holt ein Werkzeug das neue Zertifikat zuverlässig ab, aber das Einspielen in den Mailserver blieb Handarbeit, weil der letzte Schritt nie verdrahtet wurde. Zweimal innerhalb von sechs Wochen, im August und im September, wäre es deshalb fast abgelaufen. Eine Automatik ist nur so automatisch wie ihr letztes Glied.

Im Namen der eigenen Firma kann jeder Mails verschicken, und man merkt es nur, wenn man die Berichte dazu liest. Unser Mailserver, Stalwart, sammelt solche Meldungen seit März 2025 in einem Postfach, das ich bis heute nie geöffnet hatte: 517 Berichte über gut vierzehntausend Mails. Darin stand, dass im Mai ein fremder Anbieter drei Mails unter unserem Absender verschickt hat, abgewiesen allein deshalb, weil unsere Regel streng auf Ablehnung steht. Der Beweis lag über ein Jahr ungelesen im eigenen Haus.

Die Warnmails der eigenen Server landen in der Quarantäne, wenn sie ohne digitale Signatur verschickt werden. Aus den Berichten unseres Mailservers ging hervor, dass 125 von 222 Systemmails eines Verwaltungsrechners beim Empfänger aussortiert wurden, still, ohne dass bei mir eine Fehlermeldung ankam. Betroffen war genau der Kanal, über den sich abgelaufene Zertifikate und fehlgeschlagene Sicherungen melden. Eine Warnung, die niemanden erreicht, ist keine Warnung, sondern nur eine Zeile in einem Protokoll, das keiner liest.

Nach zwei Monaten Laufzeit fällt ein Dienst oft deshalb aus, weil eine Voreinstellung langsam vollgelaufen ist. Unser Mailserver nahm keine Verbindung mehr an, obwohl der Container als laufend gemeldet war. Die Voreinstellung im Docker-Image erlaubte 1024 gleichzeitig geöffnete Dateien, und genau 1024 waren belegt. Wir haben das Limit auf fünfundsechzigtausend gesetzt, danach waren es zweiundzwanzig. Eine Voreinstellung ist für den ersten Testlauf gedacht, nicht für den Dauerbetrieb.

Belege per Mail darf nicht jeder einspeisen, sondern nur vier bekannte Absender-Domains. Wir richten gerade eine Sammeladresse ein: Anhänge, die dort ankommen, laufen durch denselben Scan-Flow wie am Gerät, mit Texterkennung und Gemma. Damit uns niemand Fremdes Dokumente ins System kippt, dürfen nur vier feste Domains schicken, alles andere wird verworfen. Eine Tür, die jeder öffnen kann, ist kein Eingang, sondern ein Loch.

Postfächer für Maschinen sollten nicht denselben Login bekommen wie Menschen. Unsere Benachrichtigungs-Adressen leben als lokale Konten direkt im Mailserver Stalwart, während jeder Mitarbeiter zusätzlich einen Zugang im zentralen Verzeichnis Authentik hat. So hängt ein nächtlicher Versand nicht am persönlichen Konto eines Menschen, der morgen den Betrieb verlassen könnte. Was automatisch läuft, soll niemandem gehören außer dem Betrieb selbst.

Im Mailprogramm funktioniert das normale Passwort nicht, weil zentraler Login und Postfach zwei verschiedene Türen sind. Bei uns meldet sich der Mensch über Authentik per Single Sign-on an, doch unser Mailserver Stalwart lehnt genau dieses Passwort im Mailprogramm ab. Erst ein eigenes App-Passwort, das nur ein einziges Mal angezeigt wird, lässt das Programm durch. Ein Schlüssel für die Haustür ist eben kein Schlüssel für den Tresor.

Angreifer, die fuer jeden Login-Versuch die Adresse wechseln, sperrt man nicht einzeln, sondern als ganzes Netz. Unser Mailserver Stalwart bannt eine Adresse erst nach hundert Fehlversuchen, doch die Probierversuche kamen aus einem ganzen Adressblock, jede Adresse genau einmal, alle dreissig Sekunden eine neue. So lief der Zaehler nie voll. Erst die Sperre des kompletten Blocks in der Hetzner-Firewall brachte Ruhe. Wer nur das einzelne Tuerschloss zaehlt, uebersieht, dass der Angreifer die ganze Strasse hat.

Damit ihr niemand den Stecker ziehen kann. Wir haben Mail, Passwortverwaltung, Dateien und Projektverwaltung, bei uns Stalwart, Vaultwarden, Nextcloud und OpenProject, auf eigene Server geholt. Das ist mehr Arbeit als alles zu mieten, denn Sicherungen und Aktualisierungen liegen dann bei mir. Aber was man mietet, kann einem gekündigt oder verteuert werden. Eigentum ist ein Tausch von Bequemlichkeit gegen Unabhängigkeit.

Weil ein falsch gesetzter Schalter, den niemand dokumentiert hat, genauso wirkt wie ein großer Defekt. Bei der Mail-Einrichtung lag es am Ende an einem einzigen Port, 465 statt 587, der anders sein musste als überall beschrieben. Stunden hingen an einer Zeile. Wer sie findet und aufschreibt, schenkt dem nächsten den ganzen Tag.