Kein Postfix, kein Microsoft 365: Der Mail-Client zeigt direkt auf mx.signaturehub.de:2587, jeder Mitarbeiter bekommt eigene Zugangsdaten. Inklusive der drei Einschränkungen, die man vorher kennen muss.

Fast jede Anleitung zu zentraler Signaturverwaltung setzt etwas voraus, das viele Firmen gar nicht haben: einen eigenen Mailserver oder ein Microsoft-365-Abo. Wer seine Postfächer bei STRATO, IONOS, Hetzner oder All-Inkl liegen hat, findet dort weder eine Transport-Rule noch eine main.cf, in die sich ein Smarthost eintragen ließe. Es geht trotzdem — ohne Postfix, ohne M365. Der Mail-Client zeigt direkt auf das Gateway.

Was sich ändert — und was nicht

Geändert wird ausschließlich der Versandweg. Statt an den Postausgangsserver des Hosters übergibt das Mail-Programm die Nachricht an mx.signaturehub.de, Port 2587, mit STARTTLS. Dort läuft die Regel-Engine, die Signatur wird eingefügt, und SignatureHub stellt die Mail selbst an den Empfänger zu.

Der Posteingang bleibt vollständig unverändert beim bisherigen Anbieter. IMAP-Einstellungen, Ordnerstruktur, Webmail, Filter — nichts davon wird angefasst. Statt eines geteilten Connector-Passworts bekommt jeder Mitarbeiter eigene Zugangsdaten, auf Wunsch eine eigene pro Gerät („Gerätepasswörter"). Ein verlorenes iPhone kostet damit genau ein deaktiviertes Credential.

Schritt 1: Connector im Direct-MX-Modus

Unter „Connectoren" einen neuen Connector vom Typ SMTP-Relay anlegen. Zwei Felder entscheiden hier alles: Relay-Host leer lassen (Direct-MX-Modus, SignatureHub stellt selbst zu) und DKIM-Modus auf Sign at Hub setzen — der DKIM-Schlüssel des Hosters greift auf diesem Weg nicht mehr, weil dessen Ausgangsserver nicht mehr beteiligt ist.

Schritt 2: Mailbenutzer und Zugangsdaten

Mailbenutzer anlegen — manuell oder per CSV-Import. Danach zwei Wege zu den Zugangsdaten: als Admin über Mailbenutzer-Seite → Schlüssel-Symbol → Bezeichnung eintragen („iPhone") → Erzeugen. Oder durch den Mitarbeiter selbst im Self-Service-Portal unter „SMTP-Zugangsdaten" — der bessere Weg, weil das Passwort dann nicht über Chat oder Zettel wandert. Das Passwort wird einmalig beim Erzeugen angezeigt und lässt sich nicht nachschlagen.

Schritt 3: Werte im Mail-Programm

Postausgangsserver   mx.signaturehub.de
Port                 2587
Verschlüsselung      STARTTLS   (iOS: „SSL verwenden" einschalten)
Benutzername         wird beim Erzeugen angezeigt (i. d. R. die Mailadresse)
Passwort             wird einmalig beim Erzeugen angezeigt

Das funktioniert in Outlook für Windows und Mac, Apple Mail, iPhone, Android und Thunderbird. Erst ein Gerät umstellen und testen, dann ausrollen.

Schritt 4: SPF und DKIM

Zwei DNS-Einträge müssen mit, sonst landen die Mails im Spam. SPF muss die Hub-IP aufnehmen — den exakten Wert über die Connector-Seite oder GET /api/v1/connectors/spf/check ziehen, nicht aus einer Anleitung abschreiben, IPs ändern sich. Der DKIM-TXT-Record für „Sign at Hub" wird im Connector-Setup angezeigt und muss in die DNS-Zone der Absenderdomain.

Verifikation: Testmail an eine externe Adresse oder an mail-tester.com, dann im Header Authentication-Results auf dkim=pass, spf=pass, dmarc=pass prüfen. Im Audit-Log sollte parallel mail.processed auftauchen.

Die drei Einschränkungen

Der Gesendet-Ordner trägt keine Signatur. Die IMAP-Kopie legt der Client ab, bevor die Mail das Gateway erreicht. Der Empfänger sieht die Signatur, der Absender in seinem eigenen Gesendet-Ordner nicht. Das gilt bei jeder serverseitigen Lösung — eine Ausnahme gibt es aber, siehe unten.
Kein Rück-Relay zum Hoster. Der Smarthost-Pfad kennt kein SMTP-AUTH, STRATO & Co. verlangen aber eins. Direct-MX ist damit der einzige mögliche Modus: Der Ausgangsserver des Hosters ist raus, deshalb auch dessen DKIM.
Interne Mails laufen mit durch. Anders als bei M365 oder Exchange, wo Postfach-zu-Postfach am Connector vorbeigeht, nimmt hier jede Mail denselben Weg. Wer keine Signatur an Kollegen will, setzt die Regel auf recipient_is_external.

Warum Queue und Retry trotzdem stimmen

Wenn der Hoster als Ausgangsserver wegfällt, wer übernimmt dann Wiederholversuche bei Greylisting? Im Direct-MX-Modus übergibt der Gateway an die lokale Postfix-Queue, mit Retry und Backoff. Greylisting beim Empfänger ist damit unproblematisch, der Anwender sieht keinen Sendefehler. Einen 4xx bekommt der Client nur, wenn der Hub selbst nicht annimmt — Rate-Limit oder Auth-Sperre.

Absenderbindung und Brute-Force-Schutz

Eine mit Gerätepasswort angemeldete Session darf ausschließlich als die Adressen ihres Mitarbeiters senden, Primäradresse plus Aliase. Geprüft werden MAIL FROM und der From:-Header; passt einer nicht, antwortet der Gateway mit 550 5.7.1. Ein Connector-Credential für einen Kunden-MTA hat diese Bindung bewusst nicht.

Fehlversuche werden pro Kombination aus Benutzer und IP gezählt: ab 10 Fehlversuchen in 5 Minuten ist dieses eine Credential 15 Minuten gesperrt. Zusätzlich gibt es eine IP-weite Schwelle von 50, die Credential-Spraying abfängt. Ein einzelnes Gerät mit veraltetem Passwort sperrt damit nicht das ganze Büro-NAT aus. Widerruf geht über „Zugangsdaten deaktivieren"; der Gateway übernimmt das beim nächsten Cache-Refresh, spätestens nach 30 Sekunden.

Ausnahme Thunderbird: Signatur auch im Gesendet-Ordner

Für die erste Einschränkung gibt es einen Ausweg, wenn Thunderbird 128 oder neuer im Einsatz ist. Das SignatureHub-Add-on setzt die Signatur bereits im Verfassen-Fenster — die IMAP-Kopie im Gesendet-Ordner enthält sie damit. Vorlage und Regeln kommen weiterhin aus dem Backend. Doppelte Signaturen verhindert ein Marker: Findet der Gateway ihn, überspringt er seine eigene Injektion. Installation direkt aus Thunderbird über addons.thunderbird.net/addon/signaturehub.

Ein Detail: Steht in den Konten-Einstellungen von Thunderbird noch ein eigener Signaturtext, hängen beide untereinander — das Feld muss leer sein. Für Outlook gilt das nicht, wenn die Postfächer per IMAP oder POP angebunden sind: Office-Add-Ins brauchen ein Exchange-Postfach. Outlook mit STRATO-, IONOS- oder All-Inkl-Konto bleibt beim Serverweg. Apple Mail ebenfalls — MailKit bietet keine API für den Verfassen-Text.

Fazit

Zentrale Signaturen sind kein Privileg von Firmen mit eigener Mail-Infrastruktur. Was es braucht, ist eine Einstellung im Mail-Programm, zwei DNS-Records und die Bereitschaft, den Gesendet-Ordner ohne Signatur zu akzeptieren — oder Thunderbird einzusetzen. Der Aufwand liegt bei einer halben Stunde plus dem Ausrollen auf die Geräte.

E-Mail-Signaturen ohne eigenen Mailserver — Postfächer bei STRATO, IONOS & Co.