senn-techDer EU-Mail-Stack: Bulwark + Stalwart + Proxmox Mail Gateway statt M365
Gehostetes Microsoft 365 ist der Weg des geringsten Widerstands für Geschäfts-Mail — und für ein europäisches KMU der Weg mit den meisten still geschluckten Kompromissen. Die Daten liegen in einer US-betriebenen Cloud, der Client ist das, was Redmond ausliefert, und „Souveränität“ endet am Login-Bildschirm. Es gibt inzwischen eine saubere, moderne Alternative, vollständig aus offenen, selbst hostbaren Bausteinen — und der eine kommerzielle Anker darin, Proxmox Mail Gateway, ist EU-Fabrikat. Wir betreiben einen solchen Stack selbst; hier ist, wie die drei Teile zusammenpassen.
Drei Schichten, ein Pfad
Der Stack bildet direkt ab, was Mail eigentlich tut, nämlich empfangen und filtern, speichern, präsentieren:
- Proxmox Mail Gateway (PMG) sitzt am Rand. Jede eingehende Nachricht passiert zuerst es: Anti-Spam, Anti-Virus, Greylisting und Richtlinienregeln laufen hier, bevor irgendetwas ein Postfach berührt. Es ist das Tor.
- Stalwart ist der Mailserver hinter dem Tor. Es hält die Postfächer und spricht das moderne Protokoll-Set: SMTP, IMAP und vor allem JMAP, den JSON-basierten Nachfolger von IMAP.
- Bulwark ist der Webmail-Client, eigens für Stalwart über JMAP gebaut. Es ist das Gesicht, das der Nutzer tatsächlich sieht.
Mail kommt über PMG herein, saubere Mail landet in Stalwart, der Nutzer liest sie in Bulwark. Jede der drei Schichten hat genau eine Aufgabe: filtern, speichern, anzeigen.
Warum Bulwark den Unterschied macht
Selbstgehostetes Webmail bedeutete jahrelang eine Oberfläche, die irgendwo um 2008 eingefroren war. Bulwark ist der Teil dieses Stacks, der das endlich bewegt. Weil es JMAP statt IMAP spricht, bekommt es einen Roundtrip pro Klick und serverseitigen Push: kein ständiges Pollen, kein Spinner, während der Client Ordner neu lädt. Threading passiert auf dem Server; Mail, Kalender, Kontakte und Dateien sind vereint; Volltextsuche, S/MIME und Sieve-Filterung sind alle da. Es ist, in den Worten des Projekts, „webmail built for the 21st century“, und es ist AGPL-3.0, selbst hostbar, per Docker-Compose mit zwei Diensten hinter einem Reverse Proxy bereitgestellt.
Warum Stalwart und PMG darunter
Bulwark ist ein Client, kein Server. Es braucht ein Postfach zum Sprechen, und Stalwart ist die natürliche Paarung. Stalwart ist ein moderner, in Rust geschriebener Mailserver, der JMAP nativ spricht, und genau das macht Bulwark schnell. Den Fall gegen Exchange haben wir in unserem Stalwart-Deep-Dive behandelt; die Kurzfassung: eine ernsthafte, produktionsreife Postfach-Schicht.
Proxmox Mail Gateway ist das Stück, das das Ganze gefahrlos exponierbar macht. Mail ist ein feindlicher Kanal; rohes Internet-SMTP soll nicht direkt auf den Postfachserver treffen. PMG ist ein ausgereiftes, offenes Filter-Gateway, dieselbe Linie wie Proxmox VE und PBS, und gehört vor Stalwart, wo es Spam und Malware vor der Zustellung ausspült. Zusammen bilden die drei eine vollständige Empfangen-Filtern-Speichern-Lesen-Pipeline, ohne eine proprietäre Schicht irgendwo darin.
Die ehrlichen Kompromisse
Das ist kein 1:1-Klon von Microsoft 365. Man kauft bewusst nicht das gebündelte Office/Teams/SharePoint-Ökosystem. Wer daran festgeschweißt ist, ersetzt mit diesem Stack nur den Mail-Anteil. Und Eigenbetrieb heißt, man besitzt die Teile, die M365 versteckt: Patching, Backups, Monitoring, Zustellbarkeit (SPF, DKIM, DMARC, IP-Reputation). Eigenbetrieb heißt: Patching, Backups und Verfügbarkeit liegen bei Ihnen. Aber für eine Organisation, die professionelle Mail mit modernem Client, auf eigener Infrastruktur, unter EU-Recht will, fügen sich die drei Teile sauber zusammen.
Unser Fazit
Bulwark + Stalwart + PMG ist die überzeugendste offene, selbstgehostete Antwort auf gehostete M365-Mail, die wir gesehen haben. PMG filtert am Rand, Stalwart hält die Postfächer, Bulwark ist der Client: drei offene Projekte, die je eine Aufgabe gut erledigen und sich zu einem Stack fügen, den man vollständig kontrolliert. Es ist dieselbe Datensouveränitäts-Haltung, die wir bei KI und dem Ort Ihrer Daten einnehmen. Die Daten verlassen das eigene Blech nie, die Oberfläche ist auf aktuellem Stand, nicht auf dem von 2008, und jede laufende Version ist eine, die man gewählt hat. Für ein KMU, das es mit Datensouveränität ernst meint, ist diese Kombination das operative Gewicht wert, das sie im Gegenzug verlangt. Wenn Sie Hilfe beim Zuschnitt der Migration brauchen, DNS, Zustellbarkeit und alles, genau das ist unser Metier.