Multi-Domain-E-Mail-Server: Architektur und Betrieb

Ein Multi-Domain-E-Mail-Server betreibt SMTP und IMAP für mehrere Domains auf gemeinsamer Infrastruktur. Entscheidend ist nicht, ob ein Server viele Domains hosten kann, denn Postfix und Dovecot tun dies seit Jahrzehnten, sondern welches Muster den ersten Zustellvorfall übersteht. Eine ungeeignete Architektur kann bei 20 Domains funktionieren und bei 100 untragbar werden.

Dieser Leitfaden erklärt drei Architekturen, ihre Grenzen und die Kauf-oder-Eigenbau-Rechnung. Den größeren Rahmen bietet Multi-Domain-Mailserver.

Was ein Multi-Domain-E-Mail-Server ist

Es handelt sich um einen Postfix/Dovecot-Stack, der über denselben SMTP-Transport, IMAP-Speicher und Adminbereich gleichzeitig client1.com, client2.com und client3.com mit vollständiger Isolation bedient. Ein Server, viele Mandanten.

Das unterscheidet sich von einem Server je Domain und vielen Servern für viele Domains. Mandantenfähigkeit spart Infrastruktur, verlangt aber sorgfältige Konfiguration. Dovecot-Authentifizierung, Postfix virtual_mailbox_domains, DKIM-Schlüssel je Domain und Kundenreputation müssen getrennt sein, sonst kann ein problematischer Mandant die Zustellbarkeit aller beeinträchtigen. Deshalb wählen viele kleine und mittlere Agenturen einen gehosteten Anbieter, denn die Konfiguration ist schwieriger als der Postfix-Transport.

Drei Architekturen und ihre Grenzen

2026 dominieren drei Muster. Jedes hat einen geeigneten Bereich und eine Grenze. Wer sie kennt, kann eine schmerzhafte Neuarchitektur in zwei Jahren vermeiden.

Viele Agenturen wechseln zu einer gehosteten Lösung, sobald der eigene Engineeringaufwand den Tarifpreis übersteigt. TrekMail Agency für derzeit pauschal $29/month verarbeitet bis zu 1,000 Domains × 1,000 Postfächer je Domain und kann ungefähr 1-2 FTE an Mail-Engineering ersetzen. Unter 500 aktiven Domains kann Hosting meist wirtschaftlicher sein.

Grundlagen der Postfix-Konfiguration

Postfix unterstützt Mandantenfähigkeit über virtual_mailbox_domains. Statt Domains in main.cf fest einzutragen, liegt die Liste je nach Größe in einer Hash-Map, SQL oder einer LDAP-Abfrage.

# /etc/postfix/main.cf
virtual_mailbox_domains = hash:/etc/postfix/vhosts
virtual_mailbox_maps    = hash:/etc/postfix/vmailbox
virtual_alias_maps      = hash:/etc/postfix/valias
virtual_transport       = lmtp:unix:private/dovecot-lmtp

vhosts enthält Domains, vmailbox ordnet Adressen Zustellpfaden zu und valias verwaltet Aliase. LMTP übergibt an Dovecot für Speicherung und Empfängerkontingente. Die DKIM-Signierung und Rotation kann OpenDKIM mit domainspezifischen Schlüsseltabellen übernehmen.

Das übliche Dovecot-Verzeichnis ist /var/vmail/<domain>/<user>/. Die Erweiterungen %d und %n in mail_location = maildir:/var/vmail/%d/%n steuern das Routing. Mit rsync lässt sich ein einzelner Mandant sichern. Die vollständige Postfix-Anleitung steht unter Multi-Domain-Mailserver.

Reputation zwischen Mandanten isolieren

Die größte Schwierigkeit ist oft nicht der Transport, sondern die Reputationsisolation. Führt ein Mandant eine problematische Kampagne aus, kann die gemeinsame Ausgangs-IP auf einer Sperrliste landen. Dann können Nachrichten aller Mandanten bei Gmail scheitern.

Drei Maßnahmen helfen. DKIM-Rotation je Domain begrenzt die Folgen eines verlorenen Schlüssels. Senderatenbegrenzung je Mandant verhindert, dass ein kompromittiertes Postfach 100K Spam in 20 Minuten versendet. Mehrere Ausgangs-IPs mit Mandanten-IP-Affinität können starke Sender auf dedizierte IPs legen. Siehe Risiken von Multi-Domain-E-Mail-Hosting.

TrekMails gehosteter Ansatz kann alle drei Muster automatisch abdecken: DKIM-Rotation je Kunde, Ratenlimits je Postfach und Konto sowie IP-Pool-Überwachung und reputationsbasiertes Routing. Selbsthoster müssen OpenDKIM-Schlüsseltabellen, einen Rotations-cron, eine Postfix-Ratenbegrenzung und einen DMARC-Parser selbst pflegen. Jede Komponente kann ein eigenes Wochenendprojekt sein.

Selbst gehosteter oder gehosteter Server

Die Entscheidung hängt von Engineeringkapazität ab. Die Infrastruktur wirkt günstig: Ein VPS für $50/month bewältigt möglicherweise das Volumen von 50 Domains. Dazu kommen jedoch monatlich 10-40 Stunden für DKIM-Rotation, DMARC-Auswertung, Sperrlistenanträge und Reaktion auf Vorfälle um 3 a.m.

Bei 1-5 Domains kann Selbsthosting mit vorhandenem Mailingenieur passen. Bei 5-50 Domains können allein die Arbeitsstunden teurer als ein Hostingtarif sein. Bei 50-5,000 Domains kann gehostete Mandantenfähigkeit eine Größenordnung günstiger sein, außer besondere Kontrolle ist nötig. Ab 5,000+ sind meist individuelle Konditionen erforderlich.

TrekMail Agency für aktuell $29/month pauschal ($23.25 yearly) kann ungefähr 1-2 FTE ersetzen. Für Agenturen mit 50-1,000 Kundendomains ist es eine der kostengünstigen ernsthaften Optionen. Selbsthosting ist hier vor allem bei Compliancezwang oder vorhandener Kapazität sinnvoll, einschließlich Reaktion um 3 a.m. Mehr unter Multi-Domain-Mailserver.

Onboarding für einen neuen Multi-Domain-E-Mail-Server

Gehostet oder selbst betrieben folgt die Einrichtung demselben Ablauf mit sechs Schritten. Nach jedem Schritt bestätigt ein Prüfpunkt die Funktion, damit Fehler nicht erst Wochen später auffallen.

Schritt eins: Kundendomains per CSV importieren. TrekMails Massenimport verarbeitet 50 Domains in einer Transaktion und stellt TXT-Prüfungen in die Warteschlange. Bei Postfix schreiben Sie vhosts und führen postmap aus. Prüfpunkt: Jede TXT-Prüfung ist veröffentlicht und wird als grün angezeigt.

Schritt zwei: DKIM-Schlüssel je Domain bereitstellen. Gehostete Anbieter können dies automatisch erledigen; Selbsthosting benötigt OpenDKIM-Schlüsseltabellen. Prüfpunkt: Jede Domain zeigt einen DKIM-Selektor in DNS und Postfix verweist auf den richtigen Schlüssel.

Schritt drei: Postfächer per CSV oder API anlegen. Einladungen erlauben Nutzern, Passwort und 2FA selbst einzurichten. Prüfpunkt: Alle Postfächer zeigen "active", mindestens ein Nutzer hat die Einladung abgeschlossen.

Schritt vier: MX-, SPF- und DMARC-Einträge beim DNS-Anbieter jedes Mandanten veröffentlichen. MX verweist auf den Serverhostnamen, SPF enthält die Sende-IPs und DMARC beginnt im Prüfzeitraum mit p=none. Prüfpunkt: Ein Postfach je Domain empfängt externe E-Mail.

Schritt fünf: Für mindestens ein Postfach je Domain einen Rundlauftest durchführen. SPF=PASS, DKIM=PASS und DMARC=PASS sollten bei Gmail, Outlook und Yahoo erscheinen. Prüfpunkt: null Fehler in der Testmatrix.

Schritt sechs: DMARC-Berichte einlesen. Gehostete Anbieter können dies automatisch tun; Selbsthosting benötigt einen DMARC-Parser an der veröffentlichten rua-Adresse. Prüfpunkt: Tägliche DMARC-Sammelberichte werden dem richtigen Mandanten zugeordnet. Nach zwei sauberen Wochen kann die Richtlinie auf p=quarantine verschärft werden.

Nächste Schritte

Ein Multi-Domain-E-Mail-Server eignet sich für Agenturen mit vielen Kundendomains. Eigenbetrieb oder Hosting hängt von Kapazität und Betriebsdisziplin ab. Selbsthosting passt zu kleinen Umgebungen oder vorhandenem Engineering, Hosting zu vielen üblichen Größen.

Für Hosting kann TrekMail Agency zum derzeitigen Festpreis von $29/month ($23.25 bei Jahresabrechnung) 50 bis 1,000 Kundendomains ohne eigenes Mail-Infrastrukturpersonal bedienen. Innerhalb der Tarifgrenze wachsen Kosten nicht linear: Die 100. Domain hat dieselben Grenzkosten wie die 10.

Die 14-day-Testphase verlangt eine Kreditkarte; Nano umfasst kostenlos 10 Domains × 10 Postfächer zum Test des Dashboards. Anmeldung unter trekmail.net/pricing. Mandantenisolation, Massenbereitstellung und Vorfallsreaktion beschreibt Multi-Domain-E-Mail-Hosting.