Stand: Juli 2026

Zusammenfassung: Nach dieser Anleitung veröffentlicht deine Route-53-Hosted-Zone einen TLS-RPT-Record und empfängt tägliche Berichte über die verschlüsselte Zustellung.

Voraussetzungen

  • Eine öffentliche Hosted Zone in Amazon Route 53
  • Ein Ziel für die Berichte (Auswertungsdienst oder Postfach)

Was ist TLS-RPT?

TLS-RPT (SMTP TLS Reporting, RFC 8460) ist ein DNS-TXT-Record unter _smtp._tls.deine-domain. Empfangende Server schicken an die dort genannte Adresse tägliche Sammelberichte über die TLS-Zustellung. Es erzwingt nichts — es zeigt dir, ob deine MTA-STS- oder DANE-Absicherung greift. Als reiner DNS-Dienst ist Route 53 zum Veröffentlichen ideal.

Schritt-für-Schritt-Anleitung

1. Berichtsadresse festlegen

Ein TLS-RPT-Auswertungsdienst bereitet die JSON-Berichte auf und macht daraus eine lesbare Übersicht.

2. TXT-Record in der Route-53-Konsole anlegen

Öffne deine Hosted Zone und klicke auf Create record:

FeldWert
Record name_smtp._tls
Record typeTXT
Value"v=TLSRPTv1; rua=mailto:tlsrpt@beispiel.de"

Es gilt die Route-53-Regel wie für jeden TXT-Record: Der Wert gehört in doppelte Anführungszeichen („A TXT record contains one or more strings that are enclosed in double quotation marks”). Der Record name ist die Subdomain _smtp._tls — für die Root-Domain ließe man das Feld leer, hier steht stattdessen der Subhost drin. Danach auf Create records klicken.

3. Zusammen mit MTA-STS oder DANE

TLS-RPT berichtet nur; die eigentliche Durchsetzung der verschlüsselten Zustellung liefern MTA-STS oder — bei DNSSEC-signierter Zone — DANE. Kombiniere TLS-RPT mit einem davon, damit du auch Rückmeldung über die Wirkung der Durchsetzung bekommst.

4. Warten, bis die Änderung aktiv ist

Laut AWS-Doku gilt „Changes generally propagate to all Route 53 name servers within 60 seconds” — Resolver-Caches ziehen nach, sobald die TTL abläuft.

Ergebnis prüfen

Prüfe deine Konfiguration mit dem kostenlosen MXAudit-Scanner.

dig TXT _smtp._tls.beispiel.de +short

Häufige Fehler

Anführungszeichen vergessen. Im Value-Feld von Route 53 gehört der TXT-Wert in doppelte Anführungszeichen.

rua auf ein normales Postfach. Die Berichte sind JSON — nutze einen Auswertungsdienst, nicht dein persönliches Postfach.

TLS-RPT allein. Es berichtet nur; die Durchsetzung liefern MTA-STS oder DANE.