Wenn das Mailprogramm nur noch eine Fehlermeldung zeigt, möchte ich zuerst wissen, wie weit die Verbindung überhaupt kommt. Antwortet der Server? Klappt TLS? Wird die Anmeldung angenommen?

Mit telnet und openssl lässt sich das direkt prüfen. So kann ich den Mailclient zunächst außen vor lassen und die einzelnen Schritte getrennt ansehen.

Wichtig: Echte Zugangsdaten gehören nur in eine verschlüsselte Verbindung. Die Telnet-Aufrufe hier dienen dazu, die Erreichbarkeit und die Antwort des Dienstes zu prüfen.

SMTP: Antwortet der Dienst?

Für einen ersten Test verbinde ich mich mit Port 25 des SMTP-Servers:

telnet ihr-smtp-server.de 25

Bei einem erreichbaren Server sieht die Begrüßung etwa so aus:

Trying 94.xx.xx.xxx...
Connected to ihr-smtp-server.de.
Escape character is '^]'.
220 ihr-smtp-server.de ESMTP Postfix

Die 220 zeigt, dass der SMTP-Dienst antwortet. Mit EHLO frage ich danach seine angebotenen Funktionen ab:

EHLO ihre-domain.de

Eine mögliche Antwort:

250-ihr-smtp-server.de
250-PIPELINING
250-SIZE 51200000
250-ETRN
250-STARTTLS
250-AUTH PLAIN LOGIN CRAM-MD5
250-ENHANCEDSTATUSCODES
250-8BITMIME
250 DSN

Hier werden unter anderem STARTTLS und AUTH angeboten. Die Liste kann vor und nach dem Aufbau von TLS unterschiedlich aussehen. Dass ein Server vor TLS noch keine Anmeldung anbietet, kann also beabsichtigt sein.

Die Verbindung mit TLS prüfen

Mit OpenSSL kann ich auf Port 25 eine Verbindung aufbauen und anschließend STARTTLS aushandeln:

openssl s_client -connect ihr-smtp-server.de:25 -starttls smtp -crlf

Für den Submission-Port 587 lautet der Aufruf:

openssl s_client -connect ihr-smtp-server.de:587 -starttls smtp -crlf

Nach dem TLS-Handshake folgt erneut EHLO ihre-domain.de. Jetzt lässt sich prüfen, welche Funktionen der Server innerhalb der verschlüsselten Verbindung anbietet.

OpenSSL gibt dabei auch Zertifikatsinformationen und das Ergebnis seiner Prüfung aus. Ein erfolgreicher Verbindungsaufbau allein bestätigt noch nicht, dass das Zertifikat zum verwendeten Servernamen passt. Für eine ausdrückliche Prüfung des Namens gibt es die Option -verify_hostname. Prüfungsfehler führen bei s_client außerdem erst mit -verify_return_error zum Abbruch. Die Einzelheiten stehen in der OpenSSL-Dokumentation.

POP3: Begrüßung und Anmeldung auseinanderhalten

Ob ein POP3-Dienst auf Port 110 erreichbar ist, lässt sich mit Telnet prüfen:

telnet ihr-pop3-server.de 110

Bei Dovecot ist diese Begrüßung typisch:

+OK Dovecot ready.

Ein Anmeldedialog besteht aus USER und PASS; mit QUIT wird die Sitzung beendet:

USER ihre@mailadresse.de
+OK
PASS Ihr-Passwort
+OK Logged in.
QUIT

Die Angaben im Beispiel sind Platzhalter. Eine echte Anmeldung sollte erst nach dem Aufbau von TLS erfolgen. Auf Port 995 beginnt die Verschlüsselung direkt beim Verbindungsaufbau:

openssl s_client -connect ihr-pop3-server.de:995 -crlf

Für STARTTLS auf Port 110 wird der Aufruf entsprechend ergänzt:

openssl s_client -connect ihr-pop3-server.de:110 -starttls pop3 -crlf

Nach dem Handshake können die Anmeldebefehle über die verschlüsselte Verbindung eingegeben werden.

IMAP: Die Kennung gehört zum Befehl

Für IMAP auf Port 143 nutze ich ebenfalls STARTTLS:

openssl s_client -connect ihr-imap-server.de:143 -starttls imap -crlf

IMAP erwartet vor jedem Befehl eine Kennung. Im Beispiel heißen sie a1 und a2. Der Server verwendet dieselbe Kennung in seiner Antwort, sodass sich Anfrage und Ergebnis zuordnen lassen:

a1 LOGIN "ihre@mailadresse.de" "Ihr-Passwort"
a1 OK Logged in
a2 LOGOUT

Auf Port 993 beginnt TLS dagegen direkt mit der Verbindung:

openssl s_client -connect ihr-imap-server.de:993 -crlf

Danach lässt sich derselbe LOGIN-Test durchführen. Eine passende OK-Antwort auf die Anmeldung bestätigt, dass sie in dieser Sitzung angenommen wurde.

Wo geht die Fehlersuche weiter?

Nach diesen Tests ist meist klarer, an welcher Stelle die Verbindung scheitert:

  • Keine Verbindung: Servernamen, DNS, Port, Firewall und den laufenden Dienst prüfen.
  • Abbruch beim TLS-Aufbau: Die konkrete Fehlermeldung ansehen und Serverkonfiguration, Zertifikat sowie TLS-Unterstützung prüfen.
  • Verbindung steht, Anmeldung scheitert: Benutzername, Passwort und die angebotenen Anmeldeverfahren kontrollieren.
  • Anmeldung klappt: Die Einstellungen im Mailprogramm mit den getesteten Werten vergleichen, etwa Servername, Port und Verschlüsselungsart.

Damit ist noch nicht der gesamte Mailverkehr geprüft. Ob Nachrichten tatsächlich zugestellt werden, erfordert weitere Tests und gegebenenfalls einen Blick in die Logs. Für die Frage, warum sich ein Mailprogramm nicht verbinden oder anmelden kann, hat man mit diesen Ergebnissen aber schon eine deutlich bessere Grundlage.

Der Beitrag erschien ursprünglich am 20. August 2025 im Blog von Webhosting Franken und wurde für diesen Blog überarbeitet.

← Zurück zu allen Beiträgen