Stand: 2026-11-03. Geltung: verifizierte M01-Produktionskomponenten auf OMNISRV; M02-Migration ausdrücklich noch ohne Mail-Cutover. Diese Seite ist ein Entwurf und ersetzt keine Betriebsfreigabe.

OmniMail nimmt E-Mail für omnisrv.de an, prüft Empfänger und Inhalt vor der endgültigen Annahme, stellt lokale Post zu und vermittelt autorisierten Ausgangsverkehr. Postfix, Rspamd, ClamAV, Redis und Stalwart sind getrennte Dienste. HOME0 und autorisierte WireGuard-Clients erreichen die freigegebenen internen Clientdienste; die Stalwart-Verwaltung ist nicht öffentlich. BIND, Caddy, Zertifikats-Kurier, Monitoring und Borg-Recovery sind angeschlossene Betriebsdienste.

Die Adressen stammen aus Docker-Inspect vom 03.11.2026; die tatsächliche Freigabe einzelner Wege richtet sich zusätzlich nach Host-/Bridge-Policies. Codenamen weiterer Komponenten werden erst nach aktueller Quellenprüfung ergänzt.

Die Pfeile beschreiben nur belegte Dienste und Transportbeziehungen. Sie erteilen keine allgemeine Netzfreigabe. VOE-/OM-LINK-Nummern der Mailkette sind noch nicht vollständig verbindlich zugeordnet; deshalb tragen diese Kanten bewusst keine erfundenen Leitungsnummern.

Die aktive Alois-Konfiguration ruft die Empfänger-Policy bei 10.0.71.20:10031 auf und Rspamd als Milter bei 10.0.70.20:11332. Der laufende Hildegard-Policy-Code prüft RCPT gegen Stalwart 10.0.40.10:25. Rspamd bindet ClamAV 10.0.70.21:3310 ein. Der Postfix-Transport führt omnisrv.de von Alois zu Hildegard und von dort zu Stalwart. Unbekannte Empfänger und unerlaubtes Relay werden abgewiesen; die Schutzregeln bleiben maßgeblich.

Autorisierte Stalwart-Sendungen gehen über Hildegard zu Alois und von dort zu externen MX. Die bestehenden Ausgangstests an iCloud, Outlook und STRATO sowie SPF/DKIM/DMARC wurden in M01-DEPLOY-010 protokolliert; das ist kein Freibrief für beliebige Absender oder Ziele.

Die öffentlichen Zonen für wehrs.berlin und moewe.berlin werden von ns1.omnisrv.de und ns2.omnisrv.de bedient. Beim direkten Parent-Readback vom 03.11.2026 16:41 CET führte wehrs.berlin zusätzlich sns.serverkompetenz.de, das für die Zone REFUSED lieferte. Der MX-Cutover beider Berliner Domains bleibt gesperrt; bisherige STRATO-Mailzustellung nicht als umgestellt darstellen. Interne DNS-Zonen und Forwarder sind getrennt von öffentlichen Zonen.

Der Zertifikats-Kurier prüft und verteilt Zertifikate an geschützte Zielverzeichnisse; private Schlüssel gehören nicht in dieses Wiki oder Git. Stalwart-IMAPS und Submission sind über die autorisierten internen Wege erreichbar. Die Adminoberfläche liegt intern auf stalwart.cdf.omnisrv.de; HOME0 und ein echter WireGuard-Mobilfunkzugang wurden in M01-DEPLOY-012D getestet. Hostdienste übernehmen Boot-Gates, Netzregeln, Zertifikatskontrolle, Update-Zyklen, Monitoring und Missbrauchsschutz. Alarmierung erfolgt über das bestehende System-Meister-Konto; Zugangsdateien bleiben ausschließlich im Secret-Bereich.

Die OmniMail-Mailbox- und Konfigurationsdaten werden über die vorhandenen Borg-Verträge gesichert. Der isolierte Recovery-Versuch M01-DEPLOY-015C-B wies wichtige Daten und den Wiederanlauf nach; sein Gesamtstatus blieb PARTIAL_WITH_OPEN_ISSUES. Ein vollständiger produktiver Host-Recovery-Nachweis ist daraus nicht abzuleiten. Keine Archivdaten oder Passwörter in dieser Dokumentation ablegen.

• Produktivquellen: OmniMail-Feature-Branch feature/m00-gazette-implementation-20261103, Manifest 70-PRODUKTIONSQUELLEN/SOURCE-MANIFEST.md.
• Live-Belege: Docker-Inspect, Postfix-Konfiguration und Bind-Mounts vom 03.11.2026; M01-DEPLOY-010, M01-DEPLOY-012D, M01-DEPLOY-015C-B sowie M02-003/004 und aktueller Parent-Readback.
• Offen: vollständiger dynamischer Konfigurationsabzug von Stalwart/Caddy/BIND ohne Secrets, lückenlose VOE-Leitungsnummern, Berliner Delegationskorrektur und gesonderte Mail-Cutover-Abnahme.