Software & Collaboration
Zimbra
Zimbra ist eine server-seitige E-Mail- und Groupware-Plattform (Webmail, Kalender, Kontakte) für den Betrieb auf eigener Infrastruktur, quelloffen und kommerziell.
- Open-Source- und kommerzielle Edition
- Mail- und Groupware-Plattform
- Webmail, Kalender, Kontakte
- IMAP/POP/SMTP, EAS, CalDAV
- Striktes Patch-Management nötig
Zimbra (Zimbra Collaboration, kurz ZCS) ist eine server-seitige E-Mail- und Groupware-Plattform für den Betrieb auf eigener Infrastruktur. Sie vereint Mailserver, Webmail, Kalender, Kontakte, Aufgaben und eine Dateiablage und positioniert sich als datensouveräne Alternative zu Microsoft Exchange und Microsoft 365.
Dieser Artikel erklärt die Architektur und ihre Komponenten, die beiden Editionen samt Lizenzfragen, den aktuellen Versionsstand (Zimbra 10 „Daffodil“), die Client-Anbindung über offene Protokolle und ActiveSync, die Sicherheitslage mit Konsequenzen für den Betrieb sowie die Migration aus Exchange.
1. Architektur und Komponenten
Zimbra ist kein einzelner Dienst, sondern ein abgestimmter Stack quelloffener Bausteine. Den Mailtransport übernimmt Postfix als MTA; Amavis reicht Nachrichten an die Content-Prüfung weiter (ClamAV für Viren, SpamAssassin für Spam). Der Mailbox-Server läuft als Java-Anwendung in einem Jetty-Servlet-Container und verwaltet Speicher, Index und die Webanwendung. Das zentrale Verzeichnis für Benutzer, Domänen, Aliase und Gruppen ist OpenLDAP; der Zimbra Proxy (Nginx) terminiert IMAP/POP/HTTP, eine MariaDB hält Metadaten, ein Lucene-Index sorgt für die Volltextsuche.
Zimbras Stärke und seine Betriebslast sind dieselbe Sache: Es orchestriert einen ganzen Strauß bekannter Open-Source-Komponenten. Wer Zimbra betreibt, betreibt Postfix, OpenLDAP, Jetty, Nginx, MariaDB, ClamAV und Lucene gleichzeitig, samt deren Updates.
2. Editionen und Lizenz
Zimbra gibt es in zwei Modellen. Die Open Source Edition stellt den Server-Kern unter GPLv2 (Frontend-Teile unter der Common Public Attribution License) bereit und deckt Mail, Kalender, Kontakte, Dateiablage und das Webmail ab. Die kommerzielle Linie, heute als Standard und Professional geführt (vormals Network Edition), ergänzt natives ActiveSync, Backup/Restore, Admin-Werkzeuge, den Outlook-Connector (ZCO), Archiving sowie Hersteller-Support.
Open Source Edition ohne offizielle Binärpakete
Seit Version 9 stellt der Hersteller für die Open Source Edition keine offiziellen, fertig gebauten Binärpakete mehr bereit. Das letzte offiziell kostenlos herunterladbare Release war 8.8.15 (Ende des allgemeinen Supports Ende 2023; einzelne kritische Patches kamen noch 2024). Der Quellcode bleibt auf GitHub verfügbar; wer die freie Edition produktiv nutzen will, muss selbst bauen oder auf Community-Builds ohne Herstellergarantie ausweichen. Diesen Punkt vor einer Einführung klären.
3. Versionsstand und Modern Web Client
Aktuell ist die Linie Zimbra 10 unter dem Codenamen „Daffodil“ (10.1.x, allgemein verfügbar seit Juli 2024). Version 10.0 hat das Ende des allgemeinen Supports erreicht, Version 9 (Codename Kepler) ebenso, 8.8.15 ist abgekündigt. Neben dem klassischen Webmail bietet Zimbra seit Version 9 einen Modern Web Client mit responsivem Design, Offline-Modus und überarbeiteter Kalender- und Mailansicht, der ab Version 10 als primäre Oberfläche weiterentwickelt wird.
4. Clients und Protokolle
Zimbra spricht die gängigen offenen Protokolle, sodass nahezu jeder Client passt:
- IMAP/POP3/SMTP klassische Mail-Clients und Standard-Mailfluss.
- Exchange ActiveSync (EAS) native Mobil-Synchronisation, jedoch nur in der kommerziellen Edition; für die Open Source Edition behilft man sich mit Z-Push.
- EWS Exchange-Web-Services-Anbindung als separat lizenziertes Add-on der kommerziellen Edition.
- CalDAV/CardDAV Kalender und Kontakte für offene Clients.
- SOAP-API Programmierschnittstelle für Administration und Integration.
5. Sicherheitslage und Betrieb
Zwischen 2022 und 2026 war Zimbra wiederholt Ziel aktiv ausgenutzter Schwachstellen. Dazu zählen eine memcache-Injection mit Credential-Diebstahl (CVE-2022-27924), ein Authentifizierungs-Bypass (CVE-2022-37042) und eine Path-Traversal-Lücke über Amavis/cpio (CVE-2022-41352), eine als 0-day ausgenutzte XSS-Lücke (CVE-2023-37580) und eine kritische Remote-Code-Execution im postjournal-Dienst (CVE-2024-45519). Ein wiederkehrendes Muster: Angreifer beobachten öffentliche Code-Commits zu Sicherheitsfixes und nutzen die Lücke zwischen Merge und offiziellem Release aus.
Patch-Disziplin ist hier nicht optional
Wer Zimbra betreibt, braucht ein verbindliches Patch-Fenster (idealerweise wenige Tage nach einem Advisory), eine möglichst geringe Exponierung des Webmail und der Nebendienste sowie Schutzschichten wie eine vorgelagerte Filterung und CSP-Header. Eine exponierte, ungepatchte Zimbra-Instanz ist ein reales Risiko, kein theoretisches.
6. Migration aus Exchange
Für den Umstieg aus Exchange gibt es etablierte Wege: PST/OST-Export mit anschließendem Import über den Outlook-Connector, eine IMAP-Migration (etwa per IMAPsync) oder den kommerziellen Migration Wizard. Das EWS-Add-on der kommerziellen Edition ermöglicht zudem Kalender- und Kontaktfreigaben zwischen Exchange- und Zimbra-Welt während einer Übergangsphase. Als aktiv gepflegter Abkömmling der Open Source Edition positioniert sich außerdem Zextras Carbonio, ein Fork mit eigener Community-Variante.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Vollständige Mail- und Groupware-Plattform aus offenen Komponenten, on-prem und datensouverän | Open Source Edition ohne offizielle Binärpakete seit Version 9; Eigenbau oder Community-Build nötig |
| Breite Protokollunterstützung (IMAP/POP/SMTP, EAS, EWS, CalDAV/CardDAV) | Natives ActiveSync, Backup/Restore und Outlook-Connector nur in der kommerziellen Edition |
| Große internationale Nutzerbasis, lange Produkthistorie, mehrsprachig | CVE-Historie mit aktiv ausgenutzten Lücken; striktes Patch-Management zwingend |
| Etablierte Migrationswege aus Exchange (PST/OST, IMAP, EWS) | Betrieb vereint viele Einzelkomponenten und damit viele Update-Quellen |
Häufige Fragen zu Zimbra
Die Open Source Edition ist quelloffen und kostenfrei nutzbar, der Hersteller stellt seit Version 9 jedoch keine fertigen Binärpakete mehr bereit; produktiv heißt das Eigenbau oder Community-Build. Funktionen wie natives ActiveSync, Backup/Restore und Hersteller-Support stecken in der kostenpflichtigen Standard- bzw. Professional-Edition.
Zimbra deckt Mail, Kalender, Kontakte und Mobil-Sync ab und wird häufig als Exchange-Alternative eingesetzt. Outlook bindet über ActiveSync oder das EWS-Add-on an, nicht über das native MAPI-Protokoll; wer nativen Outlook-Anschluss sucht, sollte das gegen Lösungen wie grommunio abwägen.
Zimbra war mehrfach Ziel aktiv ausgenutzter Schwachstellen (unter anderem CVE-2024-45519). Sicher betreiben lässt es sich mit zeitnahem Patchen, geringer Exponierung der Webdienste und vorgelagerten Schutzschichten. Ohne strukturiertes Patch-Management ist der Selbstbetrieb riskant.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Zimbra im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.