On-Premises betreiben: Verbindungen nach außen und was ohne sie ausfällt
Welche ausgehenden Verbindungen eine Conbool-Box braucht, wozu jede dient und welcher Schutz still schwächer wird, wenn sie fehlt. Mit Selbsttest für den Betreiber.
Eine Conbool-Box läuft im Netz des Betreibers und braucht nach außen nur wenige Verbindungen. Jede davon hat einen Zweck, und bei jeder gilt: fällt sie weg, meldet die Box das nicht von selbst. Diese Seite nennt die Ziele, damit die Firewall sie zulässt und der Betreiber weiß, was er beim Wegfall verliert.
Verbindungen nach außen
| Ziel | Port | Zweck | Folge bei Wegfall |
|---|---|---|---|
registry.conbool.com | 443 | Container-Images für Updates, Signaturprüfung mit cosign | Kein Update möglich, laufender Betrieb unverändert |
mailer-api.conbool.com | 443 | Reputationsabfragen bei Spamhaus für IP, Domäne, Link und Dateihash über den zentralen Proxy | Reputation fällt aus, Nachrichten bekommen keinen Reputationsbefund; seit 05.09.2026 wird kein „sauber“ mehr zwischengespeichert, aber die Prüfung bleibt stumm |
docs.conbool.com | 443 | Hilfetexte in der Oberfläche | Nur Hilfe betroffen |
database.clamav.net und die Spiegel von SaneSecurity, URLhaus, malware.expert | 443 | Virensignaturen, stündlich | Signaturen altern, der Scanner läuft mit altem Stand weiter |
| OpenPhish und PhishTank | 443 | Phishing-Feeds der rspamd-Engine | Feeds altern still |
github.com | 443 | Sprachdaten für die Texterkennung in Bildern, einmalig beim ersten Start des Dienstes | OCR in der DLP liefert keine Treffer |
| Heartbeat zu Conbool | 443 | Zustand und Versionsstand der Box für den Support | Support sieht die Box nicht, Updates werden nicht angeboten |
| DNS | 53 | Auflösung, Authentifizierung mit SPF, DKIM, DMARC und DANE | Ohne DNS keine Zustellung und keine Authentifizierung |
| SMTP nach außen | 25 | Ausgehende Zustellung | Keine ausgehende Post |
Ein HTTP-Proxy ist für die Signaturupdates nicht vorgesehen. Wer die Box nur über einen Proxy nach außen lässt, betreibt sie mit alternden Signaturen.
Was die Box selbst nicht meldet
Drei Ausfälle bleiben ohne eigene Prüfung unsichtbar: veraltete Signaturen, fehlende Reputationsabfragen und ein stehender Heartbeat. Der tägliche Schutzzustand in der Richtlinienliste und im Lagebild zeigt seit 05.09.2026, ob eine Richtlinie greift und ob der MX auf die Box zeigt, nicht aber, ob die Feeds aktuell sind.
Ein Selbsttest für den Betreiber, einmal wöchentlich:
docker exec conbool-onprem-clamav clamdscan --versionzeigt das Datum der Signaturen. Liegt es mehr als zwei Tage zurück, fehlt die Verbindung zu den Signaturquellen.- In der Nachrichtenverfolgung eine beliebige eingehende Nachricht öffnen. Fehlt in den Befunden jede Zeile zur Reputation, obwohl der Absender extern ist, fehlt die Verbindung zu
mailer-api.conbool.com. conbool-onprem update --checkmeldet je Komponente, ob ein Update vorliegt. Seit 05.09.2026 sind die Scoring-Engine und der Virenscanner in dieser Prüfung enthalten.
Was die Box nicht kann
Der Klickschutz prüft beim Klick die Reputation über denselben Proxy wie der Mailer. Ohne Verbindung zu mailer-api.conbool.com bleibt es beim Urteil vom Zustellzeitpunkt. Die nachträgliche Entfernung aus Postfächern und die Meldung über das Outlook-Add-in setzen Exchange Online voraus und stehen auf einer Box ohne Microsoft-365-Anbindung nicht zur Verfügung.
Ausgehende Post aus dem eigenen Netz
Seit 05.09.2026 nimmt die Box ausgehende Nachrichten nur von Absendern mit einer verifizierten Domäne des Mandanten an. Interne Anwendungen, die mit einer anderen Absenderdomäne über die Box senden sollen, brauchen entweder eine verifizierte Domäne oder den Schalter MAILER_ONPREM_ACCEPT_ANY_LOCAL_FROM=true in der Datei host.env. Der Schalter öffnet die Box für jede Anwendung im Netz als Relay und gehört deshalb nur dorthin, wo das Netz selbst abgeschottet ist.