#Stalwart

Postfächer für Maschinen sollten nicht denselben Login bekommen wie Menschen. Unsere Benachrichtigungs-Adressen leben als lokale Konten direkt im Mailserver Stalwart, während jeder Mitarbeiter zusätzlich einen Zugang im zentralen Verzeichnis Authentik hat. So hängt ein nächtlicher Versand nicht am persönlichen Konto eines Menschen, der morgen den Betrieb verlassen könnte. Was automatisch läuft, soll niemandem gehören außer dem Betrieb selbst.

Im Mailprogramm funktioniert das normale Passwort nicht, weil zentraler Login und Postfach zwei verschiedene Türen sind. Bei uns meldet sich der Mensch über Authentik per Single Sign-on an, doch unser Mailserver Stalwart lehnt genau dieses Passwort im Mailprogramm ab. Erst ein eigenes App-Passwort, das nur ein einziges Mal angezeigt wird, lässt das Programm durch. Ein Schlüssel für die Haustür ist eben kein Schlüssel für den Tresor.

Angreifer, die fuer jeden Login-Versuch die Adresse wechseln, sperrt man nicht einzeln, sondern als ganzes Netz. Unser Mailserver Stalwart bannt eine Adresse erst nach hundert Fehlversuchen, doch die Probierversuche kamen aus einem ganzen Adressblock, jede Adresse genau einmal, alle dreissig Sekunden eine neue. So lief der Zaehler nie voll. Erst die Sperre des kompletten Blocks in der Hetzner-Firewall brachte Ruhe. Wer nur das einzelne Tuerschloss zaehlt, uebersieht, dass der Angreifer die ganze Strasse hat.

Damit ihr niemand den Stecker ziehen kann. Wir haben Mail, Passwortverwaltung, Dateien und Projektverwaltung, bei uns Stalwart, Vaultwarden, Nextcloud und OpenProject, auf eigene Server geholt. Das ist mehr Arbeit als alles zu mieten, denn Sicherungen und Aktualisierungen liegen dann bei mir. Aber was man mietet, kann einem gekündigt oder verteuert werden. Eigentum ist ein Tausch von Bequemlichkeit gegen Unabhängigkeit.

Weil ein falsch gesetzter Schalter, den niemand dokumentiert hat, genauso wirkt wie ein großer Defekt. Bei der Mail-Einrichtung lag es am Ende an einem einzigen Port, 465 statt 587, der anders sein musste als überall beschrieben. Stunden hingen an einer Zeile. Wer sie findet und aufschreibt, schenkt dem nächsten den ganzen Tag.