restowbackup
Demo testenLizenz kaufen

← Alle Funktionen

IMAP-Postfach sichern, selbst gehostet

Lucas Flores Von , IT Systeme Flores UG. Zuletzt aktualisiert am

Restow sichert jedes IMAP-Postfach (IMAP-Backup), auf einem eigenen Mailserver oder bei einem Hoster, über IMAP mit TLS. Es läuft auf Ihrem eigenen Server, liest jeden Ordner inkrementell, speichert jede Nachricht byte-genau auf Speicher Ihrer Wahl und stellt Mail per IMAP-Append im ursprünglichen oder in einem anderen IMAP-Konto wieder her, oder als .eml-Dateien in einer ZIP-Datei. Es meldet sich heute mit einem Passwort an, in einem von drei Modi: ein gemeinsames Login, ein Passwort je Postfach oder ein Master-User. OAuth2 für IMAP-Quellen ist noch nicht umgesetzt; geplant. IMAP überträgt keinen Kalender und keine Kontakte. Das IMAP-Backup gibt es seit 0.1.0 in jeder Edition, Community eingeschlossen.

Eine IMAP-Quelle einrichten

Fügen Sie unter den Verbindungen des Mandanten eine Quelle der Art „IMAP-Postfach“ hinzu. Sie tragen Server, Port und Sicherheit ein, also TLS (implizit, Port 993) oder STARTTLS (Port 143); TLS ist außerhalb von Entwicklungsumgebungen Pflicht, und die Option „Keine“ ist nur für einen lokalen Testserver gedacht. Sie tragen Benutzername und Passwort des Kontos ein und testen die Verbindung vor dem Speichern: Ein fehlgeschlagener Test nennt die Ursache (der Server hat Benutzername oder Passwort abgelehnt, der Server hat die Anmeldung vorübergehend abgelehnt, keine Antwort rechtzeitig, ein fehlgeschlagener TLS-Handshake, kein STARTTLS auf diesem Port, ein Name, der sich nicht auflösen lässt, eine abgelehnte Verbindung). Das Passwort wird mit dem Mandantenschlüssel versiegelt und nie wieder angezeigt; wo der Anbieter App-Passwörter anbietet, sind sie die bessere Wahl.

Ein IMAP-Server hat kein Verzeichnis, aus dem sich die Konten lesen ließen, also fügen Sie die Konten von Hand oder aus einer CSV-Datei hinzu (Spalten login, name und email, dazu ein optionales password), unter Verzeichnis, „Konten hinzufügen“. Ein Passwort in der CSV wird sofort versiegelt und nie im Klartext gespeichert oder protokolliert. Ein neu hinzugefügtes Konto bekommt sein erstes Backup sofort eingereiht, und ein Backup-Job der Art „Mail & SaaS“ deckt IMAP-Konten zusammen mit Postfächern und OneDrives ab.

Drei Arten der Anmeldung

Eine Quelle nutzt genau einen dieser Modi, für alle ihre Postfächer:

Modus So funktioniert es
Gemeinsame Anmeldung Die Vorgabe. Ein Login und ein Passwort an der Quelle gelten für jedes Postfach darunter. Das passt zu einem App-Passwort oder einem Backup-Konto, das Ihr Anbieter alle Postfächer öffnen lässt.
Ein Passwort je Postfach Für Hoster, bei denen jedes Postfach ein eigenes Passwort hat und es keinen Master-Account gibt, etwa Hetzner, IONOS oder all-inkl. Die Quelle selbst hat keinen Login zum Testen: Sie fügen die Postfächer hinzu und nutzen dann im Reiter Verzeichnis je Postfach „Passwort setzen“ und „Anmeldung testen“. Ein Postfach ohne funktionierendes Passwort wird als „Nicht geschützt“ angezeigt und erst gesichert, wenn eines gesetzt ist.
Master-User Ein Master-Account meldet sich als jedes Postfach an, entweder in der Form master*postfach, die Dovecot nutzt (das Trennzeichen lässt sich ändern), oder per SASL PLAIN mit einer Autorisierungs-ID. Ihr IMAP-Server muss eines von beiden unterstützen. Bei der SASL-Form prüft Restow, ob der Server AUTH=PLAIN anbietet, und schlägt laut fehl, wenn nicht, statt unbemerkt das falsche Postfach zu sichern.

Ein gespeichertes Passwort reist nie zu einem anderen Server als dem, für den es versiegelt wurde. Ändern Sie Host oder Port einer Quelle mit einem Passwort je Postfach, verwirft Restow sofort das versiegelte Passwort jedes Postfachs, und jedes zeigt „Nicht geschützt“, bis Sie es neu setzen.

Welche Server Restow erreichen kann

Restow verbindet sich von seinem eigenen Server aus, für den Verbindungstest wie für jedes Backup und jeden Restore. Ein Mandanten-Administrator darf deshalb nur öffentliche Server eintragen: Loopback, private Netze und lokale Namen (Container-Namen, .local, .internal) werden abgelehnt, beim Speichern der Quelle wie beim Verbinden. Ein Server in Ihrem Netz ist eine Entscheidung des Betreibers: entweder für die ganze Installation über eine Installationseinstellung oder für eine Quelle durch einen Provider-Administrator, der den Host speichert, was ihn für diese Quelle freigibt, bis jemand anderes Host oder Port ändert. Link-Local-Adressen (Cloud-Metadaten) sind nie erlaubt. Der Server muss außerdem auf dem eingetragenen Port erreichbar sein; siehe Netzwerk und Ports.

Microsoft 365 und Outlook.com haben die IMAP-Anmeldung mit Benutzername und Passwort abgeschaltet. Restow warnt, wenn Sie einen Microsoft-IMAP-Host eintragen, und verweist auf eine Microsoft-365-Verbindung, die dieselben Postfächer über Microsoft Graph sichert (siehe die Übersicht Microsoft-365- und IMAP-Backup).

Wie ein Backup läuft

Restow listet die Ordner (LIST und LSUB, Sonderordner erkannt am Flag SPECIAL-USE) und liest jeden Ordner inkrementell nach UIDVALIDITY und UIDNEXT. Ändert ein Server die UIDVALIDITY eines Ordners, wird der Ordner wieder vollständig gelesen, und die Deduplizierung nach Message-ID und Hash verhindert, dass der Speicher die Mail doppelt hält. Jede Nachricht wird mit BODY.PEEK[] geholt, was das Gelesen-Flag nicht setzt, und byte-genau als RFC 5322 gespeichert, mit getrennt festgehaltenen Flags und dem internen Datum. Mail, die auf dem Server gelöscht wurde, erkennt Restow beim nächsten Lauf durch den Vergleich der UIDs, und die Sicherungsstände davor behalten sie.

Ein Backup nutzt höchstens zwei Verbindungen je Konto, weil viele Server sie begrenzen. Alles wird in Chunks zerlegt, innerhalb des Mandanten dedupliziert und verschlüsselt (AES-256-GCM, ein Schlüssel je Mandant), bevor es Ihren Speicher erreicht. Eine Nachricht, die der Server auflistet, aber nicht ausliefert, wird als Warnung mit der Ursache gemeldet, und eine fehlgeschlagene Anmeldung wird als solche benannt, mit dem, was zu tun ist.

Seit 0.4.7 gilt eine Anmeldung, die der Server vorerst ablehnt (zu viele offene Verbindungen für das Konto, ein ausgefallenes Anmelde-Backend oder ein Antwortcode wie [UNAVAILABLE], [INUSE] oder [LIMIT]), nicht mehr als falsches Passwort. Sie ist eine vorübergehende Ursache, imap.server_limit, die Restow von selbst wiederholt, und der Verbindungstest sagt „Der Server hat die Anmeldung vorübergehend abgelehnt“. Eine Download-Grenze, die der Server bei einem Lesebefehl meldet ([LIMIT], [OVERQUOTA] oder ein Quota-Text), wird ebenfalls als imap.server_limit gemeldet und nicht als volles Postfach: Sie lässt den Ordner als Ganzes scheitern, und der nächste Lauf macht dort weiter, statt eines Fehlers je Nachricht (eine Grenze, die der Server ohne einen solchen Code oder Text meldet, kostet weiterhin einen Fehler je Nachricht). Nachrichten, die während der Sicherung gelöscht oder verschoben wurden, zählen nicht als Fehler. Ein Lauf, dessen Verbindung zu oft abbrach, scheitert als imap.connection_lost, ebenfalls eine vorübergehende Ursache, statt als „Die Ursache konnte nicht erkannt werden“.

Was gesichert wird und was nicht

Wiederherstellung

Im Restore-Explorer erscheint ein IMAP-Konto mit seinen Ordnern, Suche und Mail-Vorschau. Ist das Konto einer Person zugeordnet, steht es unter dieser Person als „E-Mail (IMAP)“. Sie stellen eine Nachricht, einen Ordner oder ein ganzes Konto wieder her:

Ein Restore ersetzt nie ein Original. „Beide behalten“ (die Vorgabe) legt alles in einen neuen Ordner, „Vorhandene überspringen“ lässt Mail, die schon da ist (erkannt an ihrer Message-ID), und stellt nur wieder her, was fehlt. Einen Modus, der überschreibt, gibt es nicht: Die API lehnt ihn für ein IMAP-Ziel ab, und im Zielkonto wird nie etwas gelöscht, überschrieben oder verschoben. Ein Benutzer mit der Rolle „user“ sieht und stellt nur die eigenen Daten wieder her; stellt ein Administrator Mail eines anderen wieder her, gibt er einen Grund an, und das Audit-Log hält es als im Auftrag dieser Person ausgeführt fest.

Seit 0.4.7 scheitert ein IMAP-Restore, dessen Verbindung abbricht, und wird auf einer neuen Verbindung wiederholt, wo die Prüfung der Message-ID überspringt, was schon angehängt wurde, statt als „abgeschlossen“ mit allen übrigen Elementen als fehlgeschlagen zu enden.

Nachweislich wiederherstellbar

Eine Restore-Prüfung, im Backup-Job eingestellt (standardmäßig wöchentlich), liest eine zufällige Stichprobe von Nachrichten des neuesten Sicherungsstands über den Restore-Pfad zurück und vergleicht sie mit den beim Backup festgehaltenen Hashes; jedes Konto wird in der Wiederherstellbarkeit neben Postfächern und Rechnern bewertet. Der Release-Smoke, der jedes Release prüft, sichert ein IMAP-Konto und stellt es wieder her und vergleicht die Mail Byte für Byte. Siehe die Seite zur Verifizierung. Jeder neue Sicherungsstand wird auch auf Anzeichen von Ransomware beurteilt, anhand der Menge der Änderungen sowie von Kompression und Deduplizierung; siehe die Seite zur Ransomware-Erkennung.

Ein IMAP-Konto archivieren (Business und höher)

Ein Backup ist kein Archiv. Seit 0.4.4 kann in Business und Service Provider ein Mail-Job IMAP-Konten auch archivieren. Es gibt zwei Wege, die zusammen laufen dürfen, und was beide erfassen, wird einmal archiviert. „IMAP-Archivierung“ gleicht das Konto laufend über IMAP ab und nutzt IMAP IDLE, wo der Server es anbietet, sonst prüft sie in Abständen; sie ist zeitnah und nicht vollständig. „Weiterleitung an die Archivadresse“ lässt den Anbieter eine Kopie jeder eingehenden und ausgehenden Mail an eine Adresse von Restow schicken (eine BCC-Map in Postfix oder mailcow, eine Sieve-Regel), was die Mail beim Transport erfasst. Mit IDLE bleibt eine Verbindung je Konto offen, und während eines Durchlaufs und eines Backups kann ein Konto bis zu vier zugleich nutzen; stellen Sie bei einem Anbieter mit knappem Limit die Quelle auf „Nur in Abständen prüfen“. Einzelheiten stehen auf der Seite So kommt Mail ins Archiv. Seit 0.4.7 hält eine Nachricht, die der Server ablehnt oder nicht ausliefert, ihren Ordner oder den ganzen Durchlauf nicht mehr auf: Die übrigen Nachrichten werden erfasst, und nach drei Durchläufen gibt die Erfassung diese Nachricht auf, was nur das Worker-Log nennt, nicht die Oberfläche. Ein abgelehnter Ordner kostet für den Durchlauf nur diesen Ordner, Ordner, die ein Durchlauf nicht erreichte, behalten ihren Stand (ältere Mail wird nach einem unterbrochenen Durchlauf nicht mehr übersprungen), und ein Limit des Kontos beendet den Durchlauf mit erhaltenem Stand. Eine Beobachtung, die der Server mit einem NO auf EXAMINE oder IDLE ablehnt, wird nach Minuten wiederholt (mit Verdopplung bis zu einer Stunde), statt den Server einen Tag lang für einen ohne IDLE zu halten. Die IMAP-Archivierung wurde gegen einen simulierten IMAP-Server und das Dovecot der Release-Prüfungen getestet und die Weiterleitung gegen den Empfänger selbst, nicht gegen einen echten Hoster, Postfix, mailcow oder Google Workspace.

Benannte Grenzen, nicht versteckte

Editionen

Backup und Restore von IMAP gehören zum Community-Kern und sind daher in jeder Edition: Community, Business und Service Provider. Die Community Edition ist kostenlos und hat kein Postfachlimit. IMAP-Archivierung und weitergeleitete Kopien brauchen Business oder Service Provider. Was jede Edition hinzufügt, steht auf der Seite Preise.

Häufig gefragt

Wie sichert Restow ein IMAP-Postfach?

Es verbindet sich vom Restow-Server aus über TLS mit dem IMAP-Server und liest die Ordner inkrementell: Je Ordner verfolgt es UIDVALIDITY und UIDNEXT, ein Lauf holt also nur neue Mail. Jede Nachricht wird byte-genau (RFC 5322) gespeichert, mit ihren Flags und ihrem internen Datum, auf den Speicher Ihrer Wahl, dedupliziert und verschlüsselt. Mail, die auf dem Server gelöscht wurde, fällt beim nächsten Lauf auf und bleibt in den Sicherungsständen davor.

Wie meldet sich Restow an den Postfächern an?

Heute mit einem Passwort, in einem von drei Modi je Quelle: ein gemeinsames Login für alle Postfächer (die Vorgabe), ein eigenes Passwort je Postfach oder ein Master-Konto, das sich als jedes Postfach anmeldet, in der Dovecot-Form master*postfach oder als SASL PLAIN mit einer Autorisierungs-ID. OAuth2 für IMAP-Quellen ist noch nicht umgesetzt; geplant.

Kann ich Microsoft 365, Outlook.com oder Gmail über IMAP sichern?

Microsoft 365 und Outlook.com nicht: Microsoft hat dort die IMAP-Anmeldung mit Benutzername und Passwort abgeschaltet, eine solche Verbindung kann sich deshalb in keinem Anmeldemodus anmelden, und Restow sagt das, wenn Sie einen Microsoft-IMAP-Host eintragen. Sichern Sie Postfächer aus Microsoft 365 stattdessen über eine Microsoft-365-Verbindung. Bei Gmail und Google Workspace meldet sich Restow mit einem Passwort an, das Google für IMAP akzeptiert; ob dafür ein App-Passwort nötig ist, hängt von Googles Regeln für das Konto ab, die Restow nicht sehen kann, und IMAP muss für das Konto erlaubt sein.

Werden Kalender und Kontakte gesichert?

Nein. IMAP überträgt nur E-Mail, keinen Kalender und keine Kontakte.

Kann ich einen IMAP-Server in meinem eigenen Netz sichern?

Nur durch eine Entscheidung des Betreibers. Restow verbindet sich von seinem eigenen Server aus, und ein Mandanten-Administrator darf nur öffentliche Server eintragen: Loopback, private Netze und lokale Namen werden abgelehnt. Ein interner Server wird für die ganze Installation durch eine Installationseinstellung erlaubt oder für eine Quelle durch einen Provider-Administrator, der ihren Host freigibt.

Wie wird Mail in ein IMAP-Konto wiederhergestellt?

Per IMAP-Append in einen Zielordner, mit dem ursprünglichen Datum und den ursprünglichen Flags; fehlt der Ordner, wird er angelegt. Mit „Beide behalten“ (die Vorgabe) kommt alles in einen neuen, eindeutig benannten Ordner, und nichts Vorhandenes wird berührt; mit „Vorhandene überspringen“ bleibt Mail, die schon da ist (erkannt an ihrer Message-ID), unberührt, und es wird nur fehlende Mail wiederhergestellt. Kein Modus überschreibt, ersetzt, löscht oder verschiebt etwas im Zielkonto. Mail lässt sich auch als .eml-Dateien in einer ZIP-Datei herunterladen.

Was, wenn mein Hoster jedem Postfach ein eigenes Passwort gibt?

Nutzen Sie den Modus „Ein Passwort je Postfach“. Sie legen die Postfächer von Hand oder per CSV-Import an (Spalten login, name und email, dazu ein optionales password) und setzen und testen das Passwort jedes Postfachs im Reiter Verzeichnis. Ein Postfach ohne funktionierendes Passwort wird als „Nicht geschützt“ angezeigt und erst gesichert, wenn eines gesetzt ist.

Kann Restow IMAP-Mail auch archivieren?

Ja, seit 0.4.4, in Business und Service Provider: Ein Mail-Job kann ein IMAP-Konto für das Archiv abgleichen (mit IMAP IDLE, wo der Server es anbietet) und Kopien übernehmen, die der Mailanbieter weiterleitet. Die IMAP-Archivierung ist zeitnah und nicht vollständig; eine weitergeleitete Kopie wird beim Transport erfasst. Das Backup ohne diese Editionen funktioniert wie oben beschrieben.

Gehört das IMAP-Backup zur Community Edition?

Ja. Es gehört zum Community-Kern und ist daher seit 0.1.0 in jeder Edition, und die Community Edition hat kein Postfachlimit. Restow ist eine Beta: Betreiben Sie es neben Ihrer bestehenden Sicherung, bis Sie selbst daraus wiederhergestellt haben.

Dokumentation

Die Dokumentation hat die Einzelheiten: Quellen verbinden, IMAP (die drei Anmeldemodi, Archivierung, weitergeleitete Kopien), Erste Schritte (IMAP Schritt für Schritt verbinden) und Backup und Restore.

Microsoft-365- und IMAP-Backup, die Übersicht →

Mail-Import und -Export und das Archiv →

So funktioniert der Restore →