Ein Catch-all-Postfach weist den Mailserver an, jede Nachricht an Ihre Domain anzunehmen, auch wenn der Empfänger nicht existiert. Statt typo@yourdomain.com mit Fehler 550 abzulehnen, nimmt der Server sie an. Das hilft bei Tippfehlern, öffnet aber auch Spam, Phishing und Verzeichnisangriffen eine Tür. Zustellung oder Wiederherstellung ist nicht garantiert.
Ohne Schutzmaßnahmen kann ein Catch-all die Absenderreputation innerhalb kurzer Zeit belasten. Die Einrichtung ist nicht schwierig, doch der sichere Betrieb erfordert klare Grenzen.
Dieser Leitfaden beschreibt drei Isolationsmuster für Microsoft 365, Linux und Google Workspace. Prüfen Sie zunächst, ob Sie die Funktion brauchen; unsere Übersicht zu Domain-Catch-all-E-Mail hilft dabei.
Was ist ein Catch-all-Postfach?
Ein Catch-all-Postfach ist ein einzelner Eingang für Nachrichten an nicht vorhandene Adressen Ihrer Domain. Eine Mail an misspelled-name@yourdomain.com wird nicht abgewiesen, sondern in dieses Postfach zugestellt, sofern die übrige Zustellkette sie annimmt.
Der Server akzeptiert damit sehr viel mehr Verkehr. Spam-Bots, Phishing und automatisierte Verzeichnisscans erhalten ebenfalls eine Antwort 250 OK. Ohne Isolation vermischt sich dieser Verkehr mit echter Mail und kann die Reputation belasten.
Grundregel: Nie in einen primären Eingang leiten
Catch-all-Verkehr kann Directory-Based Edge Blocking (DBEB) umgehen, sodass die Nutzlast vor der Empfängerprüfung angenommen wird. Eine Weiterleitung an ceo@company.com oder ein anderes aktives Postfach schafft ein Sicherheitsrisiko.
Alle folgenden Muster beruhen auf demselben Prinzip: Catch-all-Verkehr von produktiver Mail isolieren.
Muster 1: Quarantäne-Postfach (Microsoft 365 / Exchange)
Dieses Muster passt zu Organisationen, die Catch-all-Mail aus rechtlichen oder Discovery-Gründen aufbewahren müssen, aber keine ständigen Benachrichtigungen wünschen. Aufbewahrung, Zugriff und Datenschutz müssen separat festgelegt werden.
Funktionsweise
- Annahme - Der Server akzeptiert Mail an unbekannte Empfänger.
- Kennzeichnung - Eine Transportregel erkennt externe Nachrichten ohne gültigen Benutzer.
- Unterdrückung - Die Regel setzt den Spam Confidence Level (SCL) auf 9.
- Speicherung - Die Nachricht geht an ein gemeinsames Postfach wie
catchall-sink@yourdomain.com.
PowerShell-Einrichtung
Setzen Sie die Domain im Exchange Admin Center auf "Internal Relay", wodurch DBEB deaktiviert wird. Führen Sie anschließend aus:
# Create the sink (shared mailbox - no license needed)
New-Mailbox -Shared -Name "CatchAll Sink" -PrimarySmtpAddress catchall-sink@yourdomain.com
# Create the transport rule
New-TransportRule -Name "Catch-All Routing & Suppression"
-FromScope "NotInOrganization"
-SentTo "catchall-sink@yourdomain.com"
-RedirectMessageTo "catchall-sink@yourdomain.com"
-SetSCL 9
-ExceptIfRecipientBelongsTo "All Valid Users Group"Warum SCL 9? Ohne diese Einstellung füllt sich das Postfach mit Benachrichtigungen. SCL 9 ordnet die Nachrichten dem Junk-Ordner zu. Prüfen Sie ihn regelmäßig nach Ihrer Aufbewahrungsrichtlinie.
Muster 2: Markierter Nachrichtenstrom (Postfix / Linux)
Bei einem eigenen Postfix/Dovecot-System kann ein separates Postfach unnötig sein. Fügen Sie stattdessen einen Header ein und sortieren Sie mit Client- oder Sieve-Regeln.
Funktionsweise
- Annahme -
luser_relayakzeptiert Nachrichten an unbekannte lokale Empfänger. - Änderung - Der MTA fügt den Header
X-Catch-All: Truehinzu. - Filterung - Sieve-Regeln verschieben die Nachricht in einen eigenen Ordner.
Postfix-Konfiguration
# /etc/postfix/main.cf
# Route unknown local users to a specific alias
luser_relay = catchall_alias
# /etc/postfix/virtual
# Map the alias to a real user
catchall_alias realuser@yourdomain.comWichtig: luser_relay funktioniert nur für lokale Domains. Verwenden Sie für mehrere virtuelle Domains virtual_alias_maps mit Platzhalter:
# /etc/postfix/virtual
@example.com realuser@example.comWenn Sie neben Catch-all-Regeln eine E-Mail-Weiterleitung einrichten, dürfen sich virtuelle Maps nicht widersprechen. Überschneidungen führen häufig zu fehlgeleiteten Nachrichten.
Sieve-Filter
Trennen Sie Catch-all-Verkehr nicht manuell, sondern automatisieren Sie ihn:
if header :contains "X-Original-To" "catchall_alias" {
fileinto "Junk/CatchAll";
stop;
}Muster 3: Teilweiser Platzhalter (Regex-Routing)
Dieses Muster eignet sich, wenn kein vollständiges Catch-all nötig ist. Statt *@domain.com akzeptieren Sie nur bestimmte Muster wie sales-*@domain.com und lehnen andere ab.
Funktionsweise
Der MTA oder Anbieter akzeptiert Adressen, die einem regulären Ausdruck entsprechen, etwa sales-webinar@ und sales-q1@. Risikoreiche Ziele wie admin@ oder hr@ werden abgewiesen.
Einrichtung in Google Workspace
- Öffnen Sie Apps > Google Workspace > Gmail > Default Routing.
- Wählen Sie unter Specify Envelope Recipients die Option "Pattern Match".
- Geben Sie den regulären Ausdruck ein:
^sales-.*@yourdomain\.com$ - Ändern Sie den Envelope-Empfänger in
sales-team@yourdomain.com.
Ergebnis: sales-promo@yourdomain.com wird angenommen. admin@yourdomain.com wird mit 550 abgewiesen. Das kann die Angriffsfläche für Directory-Harvest-Angriffe deutlich reduzieren, aber nicht vollständig beseitigen.
Sollen die Adressen als E-Mail-Aliasse funktionieren, können Sie Teilplatzhalter mit Alias-Weiterleitung kombinieren. Prüfen Sie dabei Authentifizierung und Schleifenschutz.
Routing-Schleifen im Catch-all verhindern
Ein besonders riskanter Fehler ist eine Routing-Schleife. So kann sie entstehen:
- Catch-all akzeptiert Mail an
ghost@domain.com. - Eine Regel leitet sie automatisch an
external@gmail.comweiter. - Gmail weist sie wegen SPF/DMARC zurück.
- Gmail sendet den NDR an
ghost@domain.comzurück. - Catch-all nimmt die Unzustellbarkeitsnachricht an.
- Die Regel leitet sie erneut an Gmail.
- Dies wiederholt sich, bis
MaxHopCountüberschritten wird.
Typische Fehler sind 5.4.14 Hop count exceeded oder 5.4.6 Routing loop detected. Bei viel Verkehr kann dies die Ausgangswarteschlange belasten und Spam-Sperren auslösen.
Checkliste zur Vorbeugung
- Header prüfen - Stellen Sie sicher, dass Ihr MTA
X-LoopundDelivered-Toauswertet. - Automatische Antworten blockieren - Überspringen Sie Nachrichten mit dem Header
Auto-Submitted: auto-generated. - Besonderheit bei Microsoft 365 - Die Richtlinie für ausgehenden Spam blockiert externe Weiterleitung standardmäßig mit
5.7.520 Access denied. Eine Freigabe erhöht das Backscatter-Risiko. Prüfen Sie die Abwägung und aktuelle Microsoft-Dokumentation sorgfältig.
Weitere providerabhängige Risiken erklärt unser Leitfaden zur Weiterleitung von E-Mail-Aliassen.
Warum viele Catch-all-Postfächer unnötig sind
Viele Unternehmen aktivieren Catch-all, um Kosten je Benutzer zu vermeiden. Wer support@, billing@ und jobs@ braucht, aber nicht $18/month je Nutzer an Google oder Microsoft zahlen möchte, sieht darin eine Abkürzung. Die genannten Preise sind Beispiele und können sich ändern.
Tatsächlich entsteht technischer Aufwand, der auch die Reputation belasten kann.
Eine Alternative ist ein Anbieter ohne Preis je Benutzer. TrekMail verwendet nach der hier beschriebenen aktuellen Struktur gemeinsamen Speicher:
- Nano-Tarif - $0, keine Karte erforderlich.
- Starter - $3.50/mo mit 14-day Testphase.
- Pro - $10/mo mit 14-day Testphase.
- Agency - $23.25/mo mit 14-day Testphase.
Sie legen support@, billing@ und jobs@ als echte Postfächer oder Aliasse unter Ihrer Domain an. Gültig konfigurierte Verzeichniseinträge erlauben es dem Server, unbekannte Empfänger mit 550 am Rand abzuweisen. Das kann die Reputation schützen, garantiert sie aber nicht. Transportregeln, Sieve-Filter oder Regex-Routing sind dann oft nicht nötig.
Wer mehrere Domains als MSP oder wachsendes Unternehmen verwaltet, sollte Aufwand und Risiko von Catch-all-Lösungen prüfen. Die Catch-all-Funktion von TrekMail bietet ein Sicherheitsnetz, benötigt aber weiterhin passende DNS-, Authentifizierungs-, Speicher- und Spamrichtlinien.
Fazit
Ein Catch-all-Postfach ist nicht grundsätzlich schlecht. Riskant ist ein ungeschütztes Catch-all. Wählen Sie ein passendes Isolationsmuster: Quarantäne für Exchange, markierter Strom für Postfix oder Teilplatzhalter für Workspace. Vermischen Sie Catch-all-Verkehr nicht mit produktiver Mail.
Oder vermeiden Sie die Komplexität mit einem Anbieter, bei dem echte Adressen im passenden Tarif wirtschaftlich genug sind. Prüfen Sie aktuelle Preise und Grenzen vor der Entscheidung.
Ähnliche Artikel
