Mailcow bringt als E-Mail-Server-Software bereits einen soliden Satz an Sicherheitsfunktionen mit. Ob diese Funktionen tatsächlich die Anforderungen des BSI-IT-Grundschutzes erfüllen, hängt aber nicht nur von der Software ab, sondern auch davon, wie und wo sie betrieben wird. Wir ordnen ein, welche Grundschutz-Anforderungen Mailcow selbst abdeckt und was im Managed Hosting zusätzlich hinzukommt.
Das Wichtigste vorab Mailcow deckt zentrale Grundschutz-Bausteine wie Zugangskontrolle, Verschlüsselung der Übertragungswege und Schutz vor Schadsoftware bereits als Software ab. Andere Anforderungen – physische Sicherheit, Netzwerksicherheit, Patch-Management – hängen zusätzlich vom Betrieb ab. Diese Einordnung bezieht sich auf den Stand zum Zeitpunkt der ursprünglichen Veröffentlichung im Oktober 2023.
Was der BSI-IT-Grundschutz ist
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist ein etabliertes Rahmenwerk für Informationssicherheit, das sich an die jeweilige Organisation anpassen lässt. Er bündelt Maßnahmen und Empfehlungen zu einer ganzheitlichen Sicherheitsstrategie.
Berücksichtigt werden dabei nicht nur technische Aspekte, sondern auch organisatorische und personelle Faktoren. Dazu zählen unter anderem die Verschlüsselung sensibler Daten und ein laufendes Schwachstellenmanagement, also die kontinuierliche Anpassung von Sicherheitsmaßnahmen an aktuelle Bedrohungen.
Wie Mailcow-Funktionen und Managed Hosting zusammenwirken
Die folgende Übersicht ordnet zentrale Grundschutz-Anforderungen danach ein, was Mailcow als Software bereits selbst leistet und was im Betrieb als Managed Hosting bei zunicode zusätzlich abgedeckt wird.
| Anforderung | Mailcow (Software) | zunicode Managed Hosting |
|---|---|---|
| Zugangskontrolle | Authentifizierung und rollenbasierte Berechtigungen für Postfächer und Ressourcen. | Zusätzliche Absicherung wie Zwei-Faktor-Authentifizierung lässt sich im Rahmen des Hostings auf Kundenwunsch ergänzen. |
| Physische Sicherheit | Als reine Softwarelösung von der physischen Sicherheit der Betriebsumgebung abhängig. | Betrieb in einem nach ISO 27001 zertifizierten Rechenzentrum, das die physische Sicherheit der Server sicherstellt. |
| Datensicherung und Wiederherstellung | Unterstützt die regelmäßige Sicherung von E-Mail-Daten. | Sicherung nach Herstellervorgaben über die von Mailcow bereitgestellten Funktionen. |
| Kryptografische Maßnahmen | Verschlüsselt Datenübertragungen per TLS, mit optionaler Integration von PGP oder S/MIME. | Die Grundverschlüsselung der Übertragungswege ist Teil des Betriebs; die individuelle Konfiguration von PGP oder S/MIME liegt außerhalb des Hosting-Pakets in Kundenverantwortung. |
| Incident-Management | Protokolliert sicherheitsrelevante Aktivitäten und macht sie über die Administrationskonsole zugänglich. | Unterstützung bei der Einordnung dieser Protokolle im Rahmen des Supports. |
| Security Awareness | Stellt Sicherheitshinweise und Richtlinien für Nutzende in der Administrationskonsole bereit. | Beratung zu organisatorischen Awareness-Maßnahmen auf Anfrage. |
| Schutz vor Schadsoftware | Integriert Antivirus- und Anti-Spam-Filter zur Erkennung von Schadsoftware und unerwünschten E-Mails. | Bestandteil der Standardkonfiguration im Managed Hosting. |
| Netzwerksicherheit | Lässt sich in eine überwachte Netzwerkinfrastruktur mit Intrusion Detection und Prevention integrieren. | Netzwerkzugriffe aus dem Internet werden durch eine vorgeschaltete Firewall eingeschränkt. |
| Software-Sicherheit | Wird regelmäßig aktualisiert; Verantwortung für die zugrunde liegende Server- und Betriebssystemsoftware bleibt bei der betreibenden Organisation. | Feature- und Sicherheitsupdates von Mailcow und Betriebssystem werden nach erfolgreichem Test zeitnah eingespielt. |
| Datenschutz | Bietet Mechanismen zur Einhaltung von Datenschutzvorgaben, unter anderem zur Verschlüsselung von E-Mails. | Betrieb ausschließlich in deutschen Rechenzentren. |
Fazit
Diese Gegenüberstellung bildet eine Grundlage für die Informationssicherheit einer Mailcow-Instanz – sie ersetzt keine vollständige Sicherheitsstrategie. Der IT-Grundschutz lässt sich auf eine Vielzahl von Kontexten anwenden, von Netzwerken über Server bis zur E-Mail-Kommunikation. Je nach Anforderungen und Risiken der jeweiligen Organisation können zusätzliche Maßnahmen notwendig sein; ein pauschales Sicherheitskonzept für alle Fälle gibt es nicht.
Quellen
- BSI: IT-Grundschutz – Grundlagen, Methodik und Zielsetzung des IT-Grundschutzes.
- Mailcow: offizielle Dokumentation – Funktionsumfang und Konfiguration der eingesetzten Sicherheitsmechanismen.
Quellen abgerufen am 8. August 2026. Dieser Beitrag spiegelt den Stand der Mailcow-Funktionen und der Grundschutz-Einordnung zum Zeitpunkt der ursprünglichen Veröffentlichung im Oktober 2023 wider, ist keine Rechtsberatung und ersetzt keine eigene, aktuelle Sicherheitsbewertung.
