Spieleplattform Steam: E-Mail-Server können kein TLS

Ein Leser schrieb an den Steam-Support folgende E-Mail:

Als ich meine E-Mail Adresse von @mailbox.org zu @secure.mailbox.org ändern wollte, war dies leider nicht möglich. Die Endung @secure.mailbox.org garantiert eine Transportverschlüsselung zwischen Ihrem und meinem E-Mail Server/Provider und verweigert ansonsten den Versand. Die Bestätigungsmail für die Änderung konnte also bereits nicht zu mir gelangen.

Ich möchte Sie daher darauf aufmerksam machen, dass die Zustellung von E-Mails durch das Fehlen einer durchgängigen Transportverschlüsselung, zumindest für das Übertragen personenbezogener Daten, nach DSGVO nicht zulässig ist und man als Steam-Nutzer über diesen Umstand normalerweise auch nichts erfährt.

Ich habe deshalb die E-Mail Benachrichtigungen vorerst einmal abgestellt und würde mich freuen, wenn Sie eine durchgängige Transportverschlüsselung sicher stellen könnten.

Die Antwort vom Steam-Support:

Das hängt leider nicht von uns ab sondern vom E-Mail-Anbieter. Wenn Sie auf Ihre E-Mail-Adresse keine E-Mails erhalten können, dann empfehle ich Ihnen, einen anderen Anbieter zu verwenden.

Wir würden Ihnen raten, einen bekannten Anbieter wie z.B. Gmail, Yahoo oder Outlook zu wählen.

Bitte sagen Sie mir Bescheid, sollten Sie dabei Hilfe benötigen.

Reaktion des Lesers:

Danke für die Antwort, aber ich glaube, Sie haben mein Anliegen bzw. das technische Problem nicht verstanden.

Mein E-Mail Anbieter mailbox.org garantiert eine verschlüsselte Transportverbindung zum E-Mail Provider von Steam, sofern die Endung @secure.mailbox.org von mir verwendet wird. Wenn der E-Mail Server von Steam diese verschlüsselte Verbindung zum Server von mailbox.org nicht akzeptiert, so wird die E-Mails zurückgewiesen.

Es liegt also definitiv am E-Mail Provider/Server von Steam, dass keine durchgängige Transportverschlüsselung verwendet werden kann. Es werden somit Daten zwischen beiden Providern im Klartext übertragen, was weder im Interesse von Steam, noch deren Kunden sein kann.

[…]

Das ging dann noch etwas hin und her bis der englische Support sinngemäß antwortete:

Thanks for sending your suggestions. This is not a feature that is
currently supported by Steam.

Kann es sein, dass die E-Mail-Server von Steam im Jahr 2019 noch immer kein Versand via Transport Layer Security (TLS) unterstützen? Ich wollte das verifizieren (CheckTLS, CryptCheck) und habe die Domain steampowered.com geprüft, die von Steam verwendet wird. Das Ergebnis:

TLS is not an option on this server

WTF Valve!?

Update: Stefan konnte etwas Lichts in Dunkle bringen:

Steampowered verwendet insgesamt 12 Server zum versenden von E-Mails: smtp01.steampowered.com bis smtp12.steampowered.com

Diese unterstützen TLS: host=smtp05.steampowered.com ciphers=“version=TLSv1.2, cipher=DHE-RSA-AES256-SHA256, bits=256″

Der im DNS angegebene Mailserver (smtp.steampowered.com) dient, sehr wahrscheinlich, nur für entsprechende Bounces und nicht für den Empfang regulärer E-Mails.

Auf die Lösung des Rätsels brachte mich Peer Heinlein von mailbox.org:

Wir von mailbox.org prüfen ja nicht eingehend deren Server. Hier liegt ja kein Irrtum von uns vor. Wir prüfen da nix, wir lassen nur eben inbound keine unverschlüsselten E-Mails zu. Sondern deren sendendes System verwendet ausgehend eben tatsächlich kein STARTTLS und kann darum nicht zustellen.

Ausgehend SSL einzurichten ist stets trivial. Wenn das ein üblicher Mailserver ist, dann könnte Steampower das mit einer Config-Zeile aktivieren.

Die Steam-Server prüfen bzw. sprechen nach außen also kein STARTTLS.

Der Kuketz-Blog ist spendenfinanziert! Mitmachen ➡