Einleitung
Wer einen klassischen Mailserver betreibt, kennt häufig die grundlegenden Bestandteile: Ein SMTP-Server nimmt Nachrichten entgegen, ein Mail Delivery Agent stellt sie zu und ein IMAP-Server ermöglicht den Zugriff auf gespeicherte E-Mails.
Bei einer vollständigen Groupware-Plattform ist die Architektur allerdings deutlich komplexer.
Neben der reinen E-Mail-Verarbeitung müssen Kalender, Kontakte, Aufgaben, Freigaben, Stellvertretungen und gemeinsame Postfächer bereitgestellt werden. Hinzu kommen unterschiedliche Kommunikationsprotokolle für Microsoft Outlook, Smartphones, Webbrowser und andere Anwendungen.
Genau diese Anforderungen erfüllt grommunio durch das Zusammenspiel verschiedener spezialisierter Komponenten.
Die Plattform setzt dabei nicht auf einen einzigen großen Serverprozess, sondern auf eine modulare Architektur. Unterschiedliche Dienste übernehmen klar definierte Aufgaben und kommunizieren über standardisierte Protokolle sowie interne Schnittstellen miteinander.
Eine zentrale Rolle spielt die Groupware-Engine Gromox, die unter anderem Exchange-kompatible Kommunikationsfunktionen bereitstellt.
Ergänzt wird sie durch Komponenten für den Mailtransport, die Datenhaltung, die Benutzerverwaltung und die browserbasierte Nutzung.
Für Administratoren ist das Verständnis dieser Architektur besonders wichtig. Nur wer die Aufgaben der einzelnen Dienste kennt, kann Fehler systematisch eingrenzen, Ressourcen richtig dimensionieren und eine sichere Betriebsumgebung aufbauen.
In diesem Artikel betrachten wir die wichtigsten Bestandteile der grommunio-Plattform und verfolgen beispielhaft den Weg einer E-Mail durch das System.
1. Die Gesamtarchitektur von grommunio
grommunio besteht aus mehreren logisch getrennten Funktionsbereichen.
Dazu gehören insbesondere:
- Mailtransport und Nachrichtenannahme
- Groupware-Backend und Postfachverwaltung
- Datenbanken und Dateispeicher
- Webserver und Reverse-Proxy-Funktionen
- Outlook-Anbindung über MAPI/HTTP
- Mobile Synchronisierung über Exchange ActiveSync
- Webbasierte Benutzeroberflächen
- Administration und Benutzerverwaltung
- Authentifizierung und Verzeichnisintegration
- Zusätzliche Kollaborationsdienste
Diese Komponenten bilden gemeinsam die Kommunikationsplattform.
1.1 Frontend und Backend
Eine grundlegende Unterscheidung besteht zwischen Frontend und Backend.
Das Frontend bezeichnet die Schnittstellen, über die Benutzer und Administratoren auf das System zugreifen.
Dazu gehören beispielsweise grommunio-web, grommunio-admin, Microsoft Outlook und mobile Anwendungen.
Das Backend verarbeitet und speichert die eigentlichen Informationen.
Hierzu gehören E-Mails, Kalenderobjekte, Kontakte, Aufgaben, Postfachinformationen und Berechtigungen.
Zwischen beiden Ebenen befinden sich verschiedene Kommunikationsdienste.
Ein Outlook-Client verwendet beispielsweise MAPI/HTTP, während ein Smartphone über Exchange ActiveSync kommunizieren kann.
Ein gewöhnlicher IMAP-Client benötigt dagegen keinen Exchange-kompatiblen Zugriff.
1.2 Warum ist diese Trennung sinnvoll?
Die Aufteilung ermöglicht eine klare Zuordnung technischer Aufgaben.
Wenn beispielsweise der Zugriff über die Weboberfläche ausfällt, bedeutet das nicht zwangsläufig, dass auch die SMTP-Kommunikation gestört ist.
Ebenso kann der Mailtransport funktionieren, während die Outlook-Anbindung aufgrund eines Problems mit dem MAPI-Dienst nicht erreichbar ist.
Für die Fehleranalyse ist diese Unterscheidung entscheidend.
Administratoren sollten deshalb nicht nur überwachen, ob der Server eingeschaltet ist, sondern ob die einzelnen Kommunikationswege tatsächlich funktionieren.
2. Gromox – Das zentrale Groupware-Backend
Eine der wichtigsten technischen Komponenten von grommunio ist Gromox.
Gromox ist eine Open-Source-Groupware-Engine, die zentrale Exchange-kompatible Funktionen bereitstellt.
Sie bildet einen wesentlichen Bestandteil der serverseitigen Verarbeitung von Groupware-Daten.
2.1 Welche Aufgaben übernimmt Gromox?
Gromox stellt unter anderem Funktionen für folgende Bereiche bereit:
- Verwaltung von Postfachdaten
- Verarbeitung von E-Mail-Objekten
- Kalenderinformationen
- Kontakte
- Aufgaben
- Ordnerstrukturen
- Öffentliche Ordner
- Berechtigungen
- MAPI-basierte Kommunikation
- Zugriff auf Groupware-Daten
Dabei werden nicht sämtliche Informationen als einfache E-Mail-Dateien behandelt.
Ein Groupware-Objekt besitzt zusätzliche Eigenschaften.
Ein Kalendereintrag enthält beispielsweise Beginn und Ende, Teilnehmer, Erinnerungen, Wiederholungsinformationen und weitere Attribute.
Ein Kontakt enthält dagegen Namen, Adressen, Telefonnummern und andere strukturierte Daten.
Die Groupware-Engine muss diese unterschiedlichen Objekttypen verwalten und für die jeweiligen Clients bereitstellen.
2.2 MAPI als internes Datenmodell
Eine wichtige Grundlage ist die Messaging Application Programming Interface, kurz MAPI.
MAPI beschreibt ein Modell zur Verwaltung von Nachrichten und anderen Groupware-Objekten.
Dabei geht es nicht ausschließlich um den Transport von E-Mails.
Vielmehr werden Nachrichten, Ordner, Eigenschaften, Empfänger und weitere Objekte über definierte Strukturen dargestellt.
Diese Architektur ist insbesondere für die Kommunikation mit Microsoft Outlook interessant.
Gromox ermöglicht es, entsprechende Funktionen serverseitig bereitzustellen, ohne Microsoft Exchange selbst einsetzen zu müssen.
2.3 Gromox ist nicht der gesamte Mailserver
Eine wichtige Unterscheidung:
Gromox übernimmt zentrale Groupware-Funktionen, ist aber nicht mit der vollständigen grommunio-Plattform gleichzusetzen.
Für den Betrieb werden weitere Dienste benötigt.
Dazu gehören insbesondere Mailtransport, Webserver, Datenbanken und administrative Komponenten.
Erst ihr Zusammenspiel ergibt eine vollständig nutzbare Kommunikationsplattform.
3. Der Mailserver und die Verarbeitung von E-Mails
Die E-Mail-Verarbeitung gehört zu den wichtigsten Aufgaben von grommunio.
Dabei muss zwischen dem Transport einer Nachricht und dem Zugriff auf das Postfach unterschieden werden.
3.1 SMTP für den Nachrichtentransport
Das Simple Mail Transfer Protocol, kurz SMTP, ist der Standard für die Übertragung von E-Mails zwischen Mailservern.
In einer typischen grommunio-Installation übernimmt Postfix zentrale Aufgaben des SMTP-Mailtransports.
Postfix kann beispielsweise:
- Eingehende E-Mails entgegennehmen
- Ausgehende Nachrichten versenden
- Nachrichten an andere Mailserver weiterleiten
- Mailwarteschlangen verwalten
- Transportregeln berücksichtigen
- Nachrichten an nachgelagerte Komponenten übergeben
Postfix ist damit ein wichtiger Bestandteil des Mailflows.
3.2 Der Weg einer eingehenden E-Mail
Angenommen, ein externer Absender verschickt eine Nachricht an einen Benutzer der Organisation.
Zunächst ermittelt der sendende Mailserver anhand des MX-Eintrags im DNS, welcher Server für die Empfängerdomain zuständig ist.
Anschließend wird eine SMTP-Verbindung aufgebaut.
Der empfangende Mailserver prüft die Nachricht und übergibt sie gegebenenfalls an weitere Sicherheitskomponenten.
Dazu können Spamfilter, Malware-Prüfungen oder Richtlinien für eingehende Nachrichten gehören.
Nach erfolgreicher Verarbeitung wird die Nachricht dem zuständigen Postfach zugeordnet und über die dafür vorgesehenen Zustellmechanismen gespeichert.
Anschließend kann der Benutzer über Outlook, Webmail oder einen anderen Client darauf zugreifen.
3.3 Der Weg einer ausgehenden E-Mail
Beim Versand erfolgt die Verarbeitung in umgekehrter Richtung.
Ein Benutzer erstellt beispielsweise eine Nachricht in Outlook.
Der Client übermittelt die Nachricht über die dafür vorgesehene Groupware-Schnittstelle.
Die serverseitigen Komponenten übernehmen anschließend die weitere Verarbeitung und übergeben die Nachricht an den Mailtransport.
Postfix stellt sie schließlich dem zuständigen Zielsystem zu oder übermittelt sie an einen konfigurierten Smarthost.
Dabei müssen unter anderem folgende Aspekte berücksichtigt werden:
- Empfängerauflösung
- Transportregeln
- TLS-Verschlüsselung
- DNS-Auflösung
- SPF, DKIM und DMARC
- Fehlerbehandlung
- Warteschlangenverwaltung
Gerade bei größeren Installationen ist es sinnvoll, den gesamten Mailflow zu dokumentieren.
4. Datenhaltung – Wo speichert grommunio seine Informationen?
Eine Groupware-Plattform benötigt unterschiedliche Arten von Daten.
Dazu gehören sowohl strukturierte Verwaltungsinformationen als auch umfangreiche Postfachinhalte.
grommunio verwendet dafür mehrere Speichermechanismen.
4.1 MariaDB als Datenbankkomponente
MariaDB gehört zu den zentralen Datenbanktechnologien innerhalb der Plattform.
Sie wird unter anderem für administrative und systembezogene Informationen eingesetzt.
Hierzu gehören je nach Komponente beispielsweise Benutzer-, Domain- und Konfigurationsdaten.
Die Datenbank ist damit ein wichtiger Bestandteil des Betriebs.
Ein Ausfall kann administrative Funktionen oder andere abhängige Dienste beeinträchtigen.
4.2 Postfachdaten und Groupware-Speicher
Die eigentlichen Postfachdaten werden über die Speichermechanismen des Groupware-Backends verwaltet.
Dabei kommen dateibasierte Strukturen und datenbankgestützte Informationen zum Einsatz.
Gromox verwendet unter anderem SQLite-basierte Datenstrukturen für Postfachinformationen.
Wichtig ist deshalb die Unterscheidung zwischen der zentralen MariaDB-Instanz und den vom Groupware-Backend verwalteten Postfachdaten.
Nicht sämtliche E-Mails und Groupware-Objekte befinden sich einfach in einer einzigen MariaDB-Datenbank.
Diese Unterscheidung spielt insbesondere beim Backup und bei der Wiederherstellung eine wichtige Rolle.
4.3 Anforderungen an den Storage
Mailserver erzeugen häufig eine Mischung aus kleinen und großen Schreib- und Leseoperationen.
Neben eigentlichen Nachrichten werden Metadaten, Indizes, Kalenderobjekte und andere Informationen verarbeitet.
Für produktive Umgebungen sollte deshalb auf geeignete Storage-Eigenschaften geachtet werden.
Wichtige Kriterien sind:
- Ausreichende I/O-Leistung
- Niedrige Latenzen
- Zuverlässige Datenträger
- Genügend freier Speicherplatz
- Überwachung des Speicherverbrauchs
- Konsistente Datensicherung
- Geeignete Wiederherstellungsverfahren
SSD-basierter Storage ist für viele Einsatzszenarien sinnvoll.
Die konkrete Dimensionierung hängt allerdings stark von Benutzerzahlen, Postfachgrößen und Zugriffsmustern ab.
5. grommunio-web – Die browserbasierte Benutzeroberfläche
Nicht jeder Benutzer möchte oder kann Microsoft Outlook einsetzen.
Deshalb stellt grommunio mit grommunio-web eine eigene Weboberfläche bereit.
Sie ermöglicht den Zugriff auf zentrale Groupware-Funktionen direkt über einen Browser.
5.1 Welche Funktionen bietet grommunio-web?
Zu den typischen Funktionen gehören:
- E-Mails lesen und versenden
- Ordner verwalten
- Kalender anzeigen und bearbeiten
- Kontakte verwalten
- Aufgaben organisieren
- Gemeinsame Postfächer verwenden
- Freigaben nutzen
- Persönliche Einstellungen verwalten
Die tatsächliche Verfügbarkeit einzelner Funktionen hängt von der eingesetzten Version und Konfiguration ab.
5.2 Kommunikation mit dem Backend
grommunio-web speichert die Postfachinformationen nicht unabhängig vom eigentlichen Groupware-Backend.
Stattdessen greift die Anwendung über die vorgesehenen Schnittstellen auf die zentral verwalteten Daten zu.
Die Kommunikation erfolgt bei der klassischen grommunio-Weboberfläche insbesondere über MAPI-nahe Backend-Schnittstellen und PHP-basierte Serverkomponenten.
Dadurch greifen Webmail und andere Groupware-Clients grundsätzlich auf denselben Postfachbestand zu.
5.3 Vorteile einer Weboberfläche
Eine browserbasierte Anwendung hat verschiedene Vorteile.
Es muss nicht auf jedem Arbeitsplatz ein vollständiger Desktop-Client installiert werden.
Updates der serverseitigen Anwendung können zentral erfolgen.
Außerdem können Benutzer von unterschiedlichen Betriebssystemen aus arbeiten.
Für Organisationen mit Windows-, Linux- und macOS-Arbeitsplätzen ist dies besonders interessant.
Allerdings muss der Webzugriff sicher konfiguriert werden.
Dazu gehören TLS, sichere Sitzungsverwaltung, geeignete Authentifizierungsverfahren und eine kontrollierte Veröffentlichung der Webdienste.
6. grommunio-admin – Die zentrale Administration
Neben der Benutzeroberfläche benötigt eine Groupware-Plattform leistungsfähige Verwaltungswerkzeuge.
grommunio stellt dafür grommunio-admin bereit.
Die Administrationskomponenten ermöglichen die zentrale Verwaltung wichtiger Systemeinstellungen.
6.1 Typische Verwaltungsaufgaben
Dazu gehören beispielsweise:
- Domains verwalten
- Benutzer anlegen und bearbeiten
- Benutzerkonten deaktivieren
- Postfachgrößen und Quotas festlegen
- Gruppen verwalten
- Administrative Berechtigungen vergeben
- Bestimmte Postfacheinstellungen konfigurieren
- Systeminformationen einsehen
6.2 Administrationsoberfläche und API
grommunio-admin umfasst nicht nur eine grafische Oberfläche.
Die Verwaltungsarchitektur beinhaltet auch API-basierte Funktionen.
Diese ermöglichen es, administrative Aufgaben über definierte Schnittstellen auszuführen.
Das ist insbesondere für größere Organisationen interessant.
Beispielsweise können Benutzerkonten über automatisierte Prozesse angelegt oder verändert werden.
Auch eine Integration in vorhandene Verwaltungswerkzeuge ist grundsätzlich möglich.
Dabei müssen die jeweils verfügbaren API-Endpunkte, Authentifizierungsmechanismen und unterstützten Funktionen berücksichtigt werden.
6.3 Administrative Zugänge absichern
Administrationsoberflächen gehören zu den besonders schützenswerten Bestandteilen einer Groupware-Plattform.
Ein kompromittierter Administratorzugang kann erhebliche Auswirkungen haben.
Deshalb sollten administrative Schnittstellen möglichst nicht uneingeschränkt aus dem Internet erreichbar sein.
Geeignete Schutzmaßnahmen sind beispielsweise:
- Zugriff über ein Verwaltungsnetz
- VPN oder vergleichbare sichere Zugangswege
- Rollenbasierte Berechtigungen
- Starke Authentifizierung
- Protokollierung administrativer Aktionen
- Regelmäßige Überprüfung von Berechtigungen
Auch die Trennung zwischen Benutzer- und Administrationszugängen ist sinnvoll.
7. MAPI/HTTP – Die Verbindung zu Microsoft Outlook
Eine der technisch interessantesten Eigenschaften von grommunio ist die Unterstützung von MAPI/HTTP.
Dieses Protokoll ermöglicht die Kommunikation zwischen geeigneten Microsoft-Outlook-Versionen und dem Groupware-Server.
7.1 Was ist MAPI/HTTP?
MAPI/HTTP transportiert MAPI-Anfragen über HTTP beziehungsweise HTTPS.
Dabei kommuniziert Outlook mit serverseitigen Endpunkten.
Über diese Verbindung werden unter anderem Informationen zu Nachrichten, Ordnern, Kalendern und anderen Groupware-Objekten ausgetauscht.
7.2 Warum ist das wichtig?
Bei einem gewöhnlichen IMAP-Konto kann Outlook hauptsächlich E-Mails synchronisieren.
Erweiterte Groupware-Funktionen müssen dann über zusätzliche Protokolle oder Erweiterungen bereitgestellt werden.
MAPI/HTTP ermöglicht dagegen eine deutlich engere Integration.
Damit lassen sich beispielsweise Kalender, Kontakte und weitere Groupware-Objekte über die Exchange-kompatible Verbindung verarbeiten.
7.3 Autodiscover
Damit Outlook die erforderlichen Verbindungseinstellungen möglichst automatisch ermitteln kann, wird Autodiscover verwendet.
Dabei sucht der Client nach geeigneten Konfigurationsinformationen für die betreffende E-Mail-Domain.
Für Administratoren sind deshalb die korrekten DNS-Einträge, HTTPS-Endpunkte und Zertifikate wichtig.
Fehler in diesem Bereich können dazu führen, dass Outlook kein Profil erstellen kann oder wiederholt nach Anmeldedaten fragt.
7.4 Grenzen der Kompatibilität
MAPI/HTTP-Unterstützung bedeutet nicht automatisch vollständige Kompatibilität mit jeder Outlook-Version.
Insbesondere das klassische Outlook für Windows und das neue Outlook für Windows unterscheiden sich technisch.
Vor einer Einführung muss deshalb geprüft werden, welche Clients und Funktionen von der eingesetzten grommunio-Version unterstützt werden.
Auch spezielle Outlook-Erweiterungen und Anwendungen mit Exchange-spezifischen Abhängigkeiten können zusätzliche Tests erfordern.
8. Exchange ActiveSync – Mobile Endgeräte integrieren
Für die Synchronisierung mobiler Endgeräte unterstützt grommunio Exchange ActiveSync.
ActiveSync ermöglicht den Austausch wichtiger Groupware-Informationen zwischen Server und kompatiblen mobilen Anwendungen.
8.1 Welche Daten können synchronisiert werden?
Typische Datenarten sind:
- E-Mails
- Kalender
- Kontakte
- Aufgaben, soweit vom Client unterstützt
Die Synchronisierung erfolgt über HTTPS.
8.2 Die ActiveSync-Komponente
In grommunio übernimmt eine dafür vorgesehene Synchronisierungskomponente die Verarbeitung der ActiveSync-Anfragen.
Diese stellt die Verbindung zwischen dem mobilen Client und den Groupware-Daten her.
Die Komponente muss dazu mit dem Backend kommunizieren und die unterschiedlichen Datenmodelle ineinander übersetzen.
8.3 Besonderheiten bei Smartphones
Nicht jede mobile Mailanwendung unterstützt Exchange ActiveSync.
Bei iOS und iPadOS stehen entsprechende Möglichkeiten über die unterstützten Systemeinstellungen und Anwendungen zur Verfügung.
Bei Android hängt die Unterstützung stärker von der verwendeten App ab.
Deshalb sollte die mobile Anbindung mit den tatsächlich eingesetzten Endgeräten getestet werden.
8.4 Sicherheitsaspekte
Mobile Endgeräte können verloren gehen oder kompromittiert werden.
Deshalb müssen neben der technischen Synchronisierung auch organisatorische Sicherheitsanforderungen berücksichtigt werden.
Dazu gehören beispielsweise Gerätesperren, Verschlüsselung, Mobile Device Management und die Trennung privater und dienstlicher Daten.
Welche ActiveSync-Geräterichtlinien tatsächlich unterstützt und durchgesetzt werden können, muss gesondert geprüft werden.
9. IMAP, POP3 und SMTP – Klassische Mailprotokolle
Neben Exchange-kompatiblen Schnittstellen unterstützt grommunio auch klassische E-Mail-Protokolle.
Damit können unterschiedliche Mailclients angebunden werden.
9.1 IMAP
IMAP ermöglicht den Zugriff auf serverseitig gespeicherte Nachrichten.
Ein Client kann beispielsweise Ordner anzeigen, Nachrichten lesen und den Status von E-Mails synchronisieren.
IMAP ist besonders interessant für Anwendungen wie Thunderbird oder andere standardkonforme Mailprogramme.
9.2 POP3
POP3 dient dem Abruf von Nachrichten.
Das Protokoll ist technisch einfacher als IMAP und wird häufig für ältere Anwendungen verwendet.
Für moderne Groupware-Umgebungen ist IMAP normalerweise die flexiblere Wahl.
POP3 sollte nur aktiviert werden, wenn es tatsächlich benötigt wird.
9.3 SMTP Submission
Für den Versand durch E-Mail-Clients wird häufig SMTP Submission verwendet.
Dabei authentifiziert sich der Client gegenüber dem Server und übermittelt die ausgehende Nachricht.
Der übliche Port ist 587.
Die Verbindung sollte durch TLS geschützt werden.
9.4 Protokolle gezielt bereitstellen
Aus Sicherheitsgründen sollten nicht automatisch sämtliche verfügbaren Protokolle aktiviert werden.
Wenn eine Organisation beispielsweise ausschließlich Outlook über MAPI/HTTP und mobile Geräte über ActiveSync verwendet, kann geprüft werden, ob zusätzliche IMAP- oder POP3-Zugänge überhaupt erforderlich sind.
Jeder unnötig veröffentlichte Dienst vergrößert die potenzielle Angriffsfläche.
10. Webserver und Reverse Proxy
Die browserbasierten Komponenten von grommunio benötigen eine HTTP- beziehungsweise HTTPS-Infrastruktur.
In typischen Installationen wird hierfür Nginx eingesetzt.
Der Webserver stellt unterschiedliche Endpunkte bereit und leitet Anfragen an die zuständigen Anwendungen weiter.
10.1 Welche Dienste laufen über HTTPS?
Hierzu gehören beispielsweise:
- grommunio-web
- grommunio-admin
- MAPI/HTTP
- Autodiscover
- Exchange ActiveSync
- Weitere webbasierte Dienste
Dabei handelt es sich nicht zwangsläufig um vollständig getrennte Webserver.
Mehrere Dienste können über gemeinsame HTTPS-Endpunkte beziehungsweise unterschiedliche URL-Pfade erreichbar sein.
10.2 Reverse-Proxy-Funktionen
Ein Reverse Proxy nimmt eingehende Verbindungen entgegen und leitet sie an interne Dienste weiter.
Dabei kann er unterschiedliche Aufgaben übernehmen.
Beispielsweise:
- TLS-Terminierung
- Weiterleitung anhand von Hostnamen
- Weiterleitung anhand von URL-Pfaden
- Zugriffsbeschränkungen
- Protokollierung
- Sicherheitsheader
- Lastverteilung bei geeigneter Architektur
10.3 Zusätzlicher Reverse Proxy
In größeren Organisationen kann es sinnvoll sein, einen vorgeschalteten Reverse Proxy zu verwenden.
Dabei muss allerdings auf die besonderen Anforderungen der Exchange-kompatiblen Protokolle geachtet werden.
Nicht jede Standardkonfiguration für Webanwendungen eignet sich automatisch für MAPI/HTTP oder ActiveSync.
Insbesondere Timeouts, Authentifizierung, Request-Größen und die korrekte Weiterleitung von HTTP-Headern können relevant sein.
11. Netzwerkkommunikation und wichtige Ports
Für den sicheren Betrieb von grommunio ist es wichtig zu wissen, welche Netzwerkverbindungen benötigt werden.
Dabei muss grundsätzlich zwischen öffentlich erreichbaren Diensten, internen Kommunikationswegen und administrativen Schnittstellen unterschieden werden.
Die folgenden Ports beschreiben typische Kommunikationswege. Welche davon tatsächlich verwendet werden, hängt von der jeweiligen Installation und Konfiguration ab.
11.1 Port 25 – SMTP zwischen Mailservern
Port 25 wird für den klassischen SMTP-Nachrichtentransport verwendet.
Über diesen Port kommunizieren Mailserver miteinander, um E-Mails zu übertragen.
Wenn grommunio E-Mails direkt aus dem Internet empfangen soll, muss der zuständige SMTP-Empfangsserver erreichbar sein.
In vielen Organisationen wird der eingehende Mailverkehr allerdings zunächst über ein vorgeschaltetes Mail-Security-Gateway geleitet.
In diesem Fall muss nicht zwangsläufig der eigentliche grommunio-Server direkt aus dem Internet erreichbar sein.
11.2 Port 587 – SMTP Submission
Port 587 wird typischerweise für den authentifizierten Versand von E-Mails durch Mailclients verwendet.
Die Verbindung kann über STARTTLS verschlüsselt werden.
Dieser Port ist insbesondere für Clients relevant, die ihre Nachrichten über SMTP versenden.
Bei einer nativen Outlook-Anbindung über MAPI/HTTP erfolgt die Kommunikation mit dem Groupware-Backend dagegen über HTTPS.
11.3 Port 465 – SMTP über implizites TLS
Port 465 wird ebenfalls für den authentifizierten E-Mail-Versand verwendet.
Im Unterschied zu Port 587 beginnt die Verbindung hier unmittelbar mit TLS.
Ob dieser Port benötigt wird, hängt von den verwendeten Clients und der Serverkonfiguration ab.
11.4 Port 143 – IMAP
Port 143 ist der klassische IMAP-Port.
Er ermöglicht den Zugriff auf serverseitig gespeicherte E-Mails.
Die Verbindung kann über STARTTLS abgesichert werden.
Wenn IMAP angeboten wird, sollte eine unverschlüsselte Anmeldung verhindert werden.
11.5 Port 993 – IMAP über TLS
Port 993 stellt IMAP über eine unmittelbar verschlüsselte TLS-Verbindung bereit.
Dieser Port wird häufig für moderne IMAP-Clients verwendet.
Dazu gehören beispielsweise Thunderbird und andere standardkonforme E-Mail-Anwendungen.
11.6 Port 110 – POP3
Port 110 ist der klassische POP3-Port.
POP3 dient hauptsächlich dem Abruf von E-Mails.
Da das Protokoll für moderne Groupware-Szenarien nur eingeschränkt geeignet ist, sollte geprüft werden, ob es überhaupt benötigt wird.
11.7 Port 995 – POP3 über TLS
Port 995 ermöglicht den verschlüsselten Zugriff über POP3.
Auch hier gilt, dass der Dienst nur bereitgestellt werden sollte, wenn entsprechende Clients vorhanden sind.
11.8 Port 80 – HTTP
Port 80 wird für unverschlüsselte HTTP-Verbindungen verwendet.
In einer modernen grommunio-Installation sollte der eigentliche Benutzerzugriff grundsätzlich über HTTPS erfolgen.
HTTP kann beispielsweise für Weiterleitungen auf HTTPS oder für bestimmte Verfahren der Zertifikatsvalidierung benötigt werden.
11.9 Port 443 – HTTPS
Port 443 gehört zu den wichtigsten Netzwerkports der Plattform.
Über HTTPS können verschiedene Dienste bereitgestellt werden.
Dazu gehören insbesondere:
- grommunio-web
- MAPI/HTTP
- Exchange ActiveSync
- Autodiscover
- Administrationsoberflächen, sofern entsprechend veröffentlicht
Die Kommunikation wird über TLS abgesichert.
Gerade für Outlook und mobile Endgeräte ist die korrekte HTTPS-Konfiguration entscheidend.
11.10 Port 22 – SSH
Port 22 wird typischerweise für die Administration des Linux-Servers über SSH verwendet.
Dieser Zugang sollte möglichst nicht uneingeschränkt aus dem Internet erreichbar sein.
Empfehlenswert ist die Beschränkung auf ein internes Verwaltungsnetz oder einen gesicherten VPN-Zugang.
Zusätzlich sollten starke Authentifizierungsverfahren und geeignete Zugriffsbeschränkungen eingesetzt werden.
11.11 Port 3306 – MariaDB
MariaDB verwendet standardmäßig den TCP-Port 3306.
Die Datenbankkommunikation sollte ausschließlich über vertrauenswürdige interne Verbindungen erfolgen.
Bei einer lokalen Installation kann die Kommunikation auch über Unix-Sockets stattfinden.
Eine öffentliche Freigabe des Datenbankports ist für einen üblichen grommunio-Betrieb nicht erforderlich.
11.12 Interne Kommunikationswege
Neben diesen bekannten Ports verwendet grommunio weitere interne Schnittstellen.
Dazu gehören beispielsweise Verbindungen zwischen:
- Groupware-Backend und Verwaltungsdiensten
- Webanwendungen und Backend-Komponenten
- Mailtransport und Postfachverwaltung
- Synchronisierungsdiensten und Groupware-Backend
- Anwendungen und Datenbanken
Diese Verbindungen können über lokale Sockets, interne TCP-Ports oder andere definierte Schnittstellen erfolgen.
Welche konkreten Verbindungen erforderlich sind, hängt von der eingesetzten Version und Architektur ab.
Wichtig: Nicht jeder technisch vorhandene Port muss über eine Firewall erreichbar sein. Für produktive Systeme sollte eine möglichst restriktive Freigabestrategie verwendet werden.
12. Das Zusammenspiel der Komponenten in der Praxis
Um die Architektur besser zu verstehen, betrachten wir drei typische Abläufe.
12.1 Ein Benutzer öffnet Outlook
Zunächst startet der Benutzer Microsoft Outlook.
Der Client verwendet die hinterlegte Kontokonfiguration und verbindet sich über HTTPS mit den vorgesehenen MAPI-Endpunkten.
Die serverseitigen Komponenten authentifizieren den Benutzer und verarbeiten die Anfragen.
Anschließend werden die benötigten Informationen aus dem Groupware-Backend bereitgestellt.
Outlook kann daraufhin beispielsweise Ordner, E-Mails und Kalenderinformationen anzeigen.
12.2 Ein Benutzer öffnet Webmail
Der Benutzer ruft die Webadresse des grommunio-Servers auf.
Die HTTPS-Verbindung erreicht den Webserver.
Dieser stellt die Webanwendung bereit und verarbeitet beziehungsweise vermittelt die Anfragen an die zuständigen Backend-Komponenten.
Nach erfolgreicher Anmeldung kann der Benutzer auf seine Groupware-Daten zugreifen.
Dabei werden grundsätzlich dieselben zentral verwalteten Postfachinformationen verwendet wie bei anderen unterstützten Groupware-Clients.
12.3 Eine E-Mail trifft von außen ein
Ein externer Mailserver verbindet sich über SMTP mit dem zuständigen Empfangssystem.
Die Nachricht wird angenommen und gegebenenfalls durch Sicherheitskomponenten überprüft.
Anschließend erfolgt die Zustellung in das entsprechende Postfach.
Die Groupware-Daten stehen danach über die verschiedenen unterstützten Zugriffsmöglichkeiten bereit.
Ob der Empfänger Outlook, Webmail oder ein Smartphone verwendet, spielt für den grundsätzlichen Eingang der Nachricht keine Rolle.
13. Authentifizierung und Verzeichnisdienste
Neben der eigentlichen Datenverarbeitung benötigt grommunio eine zuverlässige Benutzerverwaltung.
Dabei müssen verschiedene Aufgaben unterschieden werden.
Die Benutzerverwaltung legt fest, welche Konten und Postfächer existieren.
Die Authentifizierung überprüft dagegen, ob ein Benutzer tatsächlich berechtigt ist, sich anzumelden.
Die Autorisierung entscheidet anschließend, auf welche Ressourcen zugegriffen werden darf.
13.1 Lokale Benutzerverwaltung
In kleineren Umgebungen können Benutzer direkt über die grommunio-Verwaltung angelegt werden.
Das ist insbesondere für Testinstallationen und überschaubare Organisationen interessant.
13.2 LDAP und Active Directory
In größeren Infrastrukturen ist häufig bereits ein zentraler Verzeichnisdienst vorhanden.
grommunio kann in entsprechende LDAP-basierte Umgebungen integriert werden.
Dabei können Verzeichnisinformationen für die Benutzerverwaltung und Authentifizierung genutzt werden.
Die genaue Konfiguration hängt von der eingesetzten Version und dem vorhandenen Verzeichnisdienst ab.
13.3 Berechtigungen
Die Berechtigungsverwaltung ist ein besonders wichtiger Bestandteil einer Groupware-Plattform.
Beispielsweise muss festgelegt werden, wer auf ein gemeinsames Postfach zugreifen darf.
Auch Kalenderfreigaben und Stellvertretungen benötigen entsprechende Berechtigungen.
Diese Rechte müssen serverseitig durchgesetzt werden.
Eine reine Ausblendung von Funktionen innerhalb der Benutzeroberfläche wäre dafür nicht ausreichend.
14. Zusätzliche Kollaborationskomponenten
Neben den klassischen Groupware-Funktionen bietet grommunio weitere Anwendungen.
Hierzu gehören beispielsweise grommunio Chat, Meet, Files und Office.
Diese Dienste erweitern die Plattform um zusätzliche Möglichkeiten zur Zusammenarbeit.
14.1 Eigenständige Funktionsbereiche
Solche Komponenten besitzen teilweise eigene technische Abhängigkeiten.
Sie können zusätzliche Datenbanken, Dienste oder Schnittstellen benötigen.
Deshalb sollte zwischen dem Kernsystem für E-Mail und Groupware sowie den ergänzenden Kollaborationsdiensten unterschieden werden.
14.2 Auswirkungen auf die Architektur
Mit jeder zusätzlichen Anwendung steigen die Anforderungen an die Infrastruktur.
Dazu gehören beispielsweise:
- Arbeitsspeicher
- CPU-Leistung
- Speicherplatz
- Netzwerkbandbreite
- Zertifikatsverwaltung
- Monitoring
- Backup
- Sicherheitsupdates
Insbesondere Videokonferenzen können andere Ressourcenanforderungen besitzen als klassische E-Mail-Dienste.
Für die Dimensionierung ist deshalb entscheidend, welche Komponenten tatsächlich eingesetzt werden sollen.
15. Monitoring der einzelnen Komponenten
Eine modulare Architektur benötigt ein entsprechend differenziertes Monitoring.
Es reicht nicht aus, lediglich die Erreichbarkeit des Servers zu prüfen.
Stattdessen sollten die wichtigsten Funktionen einzeln überwacht werden.
15.1 Systemressourcen
Dazu gehören:
- CPU-Auslastung
- Arbeitsspeicher
- Storage-Auslastung
- I/O-Leistung
- Netzwerkverkehr
- Verfügbare Dateisystemkapazität
15.2 Mailtransport
Beim Mailtransport sind insbesondere Warteschlangen und Zustellfehler interessant.
Eine stark anwachsende Mailqueue kann beispielsweise auf DNS-Probleme, nicht erreichbare Zielserver oder eine fehlerhafte Konfiguration hinweisen.
15.3 Groupware-Dienste
Auch die Erreichbarkeit der Groupware-Endpunkte sollte überwacht werden.
Ein erfolgreicher HTTPS-Verbindungsaufbau allein bedeutet noch nicht, dass sich ein Benutzer anmelden oder auf sein Postfach zugreifen kann.
15.4 Datenbanken
Für Datenbanken sollten unter anderem Verfügbarkeit, Speicherplatz, Fehlerprotokolle und gegebenenfalls Replikationszustände überwacht werden.
15.5 Zertifikate
Abgelaufene TLS-Zertifikate können zu erheblichen Problemen führen.
Deshalb sollte ihre Gültigkeit automatisch überwacht werden.
Das gilt insbesondere für öffentlich erreichbare HTTPS-Dienste und SMTP-Verbindungen.
16. Sicherheit durch Architektur und Netztrennung
Die Architektur einer Groupware-Plattform hat unmittelbare Auswirkungen auf die Informationssicherheit.
Ein öffentlich erreichbarer Mailserver ist grundsätzlich ein attraktives Angriffsziel.
Deshalb sollten Sicherheitsmaßnahmen bereits bei der Planung berücksichtigt werden.
16.1 Minimale Angriffsfläche
Nur tatsächlich benötigte Dienste sollten von außen erreichbar sein.
Interne Datenbanken und Verwaltungsdienste gehören grundsätzlich nicht in eine öffentliche Netzwerkzone.
16.2 Administrative Trennung
Administrationszugänge sollten möglichst über gesonderte Verwaltungsnetze erreichbar sein.
Für besonders kritische Umgebungen können zusätzliche Zugangskontrollen sinnvoll sein.
16.3 Verschlüsselte Kommunikation
Öffentlich erreichbare Web- und Groupware-Endpunkte sollten ausschließlich über geeignete TLS-Verbindungen verwendet werden.
Auch die Kommunikation zwischen internen Komponenten muss anhand des Schutzbedarfs bewertet werden.
16.4 Regelmäßige Updates
Da grommunio aus verschiedenen Komponenten besteht, müssen Sicherheitsupdates für mehrere Softwarebestandteile berücksichtigt werden.
Dazu gehören das Betriebssystem, der Webserver, die Datenbanken, die Groupware-Engine und zusätzliche Anwendungen.
Ein professionelles Patchmanagement muss deshalb die gesamte Plattform betrachten.
17. Warum Administratoren die Architektur verstehen müssen
Im täglichen Betrieb entstehen Fehler häufig nicht innerhalb einer einzelnen Anwendung, sondern an den Übergängen zwischen verschiedenen Komponenten.
Einige Beispiele verdeutlichen dies.
Outlook kann keine Verbindung herstellen, Webmail funktioniert aber weiterhin
Mögliche Ursachen liegen dann unter anderem bei den MAPI-Endpunkten, der Outlook-Konfiguration, Autodiscover oder der spezifischen Authentifizierung.
E-Mails können empfangen, aber nicht versendet werden
Hier sollten insbesondere SMTP Submission, der ausgehende Mailtransport, DNS und mögliche Smarthost-Konfigurationen untersucht werden.
Die Weboberfläche ist nicht erreichbar, der Mailtransport funktioniert aber
In diesem Fall sind zunächst Webserver, PHP-Anwendung, Reverse Proxy und zugehörige Dienste zu prüfen.
Smartphones synchronisieren nicht mehr
Dann kommen unter anderem ActiveSync, HTTPS, Authentifizierung und die verwendete mobile Anwendung als Fehlerursachen infrage.
Diese Beispiele zeigen, warum ein modularer Aufbau sowohl Vorteile als auch zusätzliche Anforderungen an die Administration mit sich bringt.
Wer die Kommunikationswege kennt, kann Störungen wesentlich gezielter eingrenzen.
18. Fazit: Eine modulare Plattform mit klar getrennten Aufgaben
grommunio ist technisch deutlich komplexer als ein gewöhnlicher Mailserver.
Die Plattform kombiniert klassische E-Mail-Protokolle mit Exchange-kompatiblen Groupware-Funktionen und browserbasierten Anwendungen.
Eine zentrale Rolle übernimmt Gromox als Groupware-Backend.
Postfix kümmert sich in typischen Installationen um den SMTP-Mailtransport.
MariaDB und weitere Speichermechanismen verwalten unterschiedliche Datenbestände.
grommunio-web stellt eine browserbasierte Benutzeroberfläche bereit, während grommunio-admin administrative Aufgaben ermöglicht.
MAPI/HTTP sorgt für die Anbindung geeigneter Outlook-Versionen.
Exchange ActiveSync ermöglicht die Synchronisierung kompatibler mobiler Endgeräte.
Nginx und weitere Webkomponenten stellen die erforderlichen HTTP- und HTTPS-Endpunkte bereit.
Erst das Zusammenspiel dieser Bestandteile ergibt eine vollständige Groupware-Plattform.
Für Administratoren bedeutet das: Eine erfolgreiche Installation allein reicht nicht aus.
Auch die Kommunikationswege, Abhängigkeiten, Sicherheitsanforderungen und Speichermechanismen müssen verstanden werden.
Dieses Wissen bildet die Grundlage für eine stabile, sichere und langfristig wartbare grommunio-Umgebung.
Die entscheidende Erkenntnis lautet: grommunio ist kein einzelner Mailserverdienst, sondern eine integrierte Plattform aus mehreren spezialisierten Komponenten.
Wer diese Architektur verstanden hat, kann die nächsten Schritte deutlich gezielter planen.
