Wenn die Gmail-Einrichtung in Quixec trotz korrektem App-Passwort fehlschlägt, liegt die Ursache nicht immer bei Benutzername oder Passwort. In manchen Netzwerken blockieren Pi-hole, AdGuard Home, Firewalls oder DNS-Filter wichtige Google-Dienste.

Besonders wichtig ist dabei nicht nur Gmail selbst, sondern die Zertifikatsprüfung von Google.

Warum pki.goog wichtig ist

Gmail-Verbindungen laufen verschlüsselt über TLS. Damit der Mailclient der Verbindung vertrauen kann, wird geprüft, ob das verwendete Zertifikat gültig und nicht gesperrt ist.

Google Trust Services stellt dafür Sperrstatusinformationen über OCSP und CRL bereit. Google beschreibt selbst, dass CRLs und OCSP-Antworten öffentlich bereitgestellt werden. Außerdem weist Google darauf hin, dass OCSP für viele Zertifikatsketten schrittweise eingestellt wird und CRLs wichtiger werden. (Google Trust Services)

Diese Domains sollten nicht blockiert werden

Für Gmail und Google Workspace sollten insbesondere folgende Ziele erreichbar sein:

imap.gmail.com
smtp.gmail.com
accounts.google.com
mail.google.com
*.pki.goog

Besonders wichtig:

ocsp.pki.goog
crl.pki.goog

In Pi-hole oder AdGuard Home ist eine Regex- oder Wildcard-Freigabe für pki.goog sinnvoll, zum Beispiel sinngemäß:

(\.|^)pki\.goog$

Wichtiger Port-Hinweis

Die Zertifikatsprüfung über OCSP und CRL läuft typischerweise über HTTP auf TCP-Port 80, nicht über Port 443.

Das ist normal und kein Sicherheitsfehler. Die eigentliche Gmail-Verbindung bleibt verschlüsselt. Die Sperrlisten- und Statusabfragen werden aber bewusst unverschlüsselt bereitgestellt, damit für die Prüfung einer verschlüsselten Verbindung nicht wiederum eine weitere Zertifikatsprüfung nötig wird.

Typisches Fehlerbild

Wenn crl.pki.goog oder ocsp.pki.goog blockiert wird, kann der Mailclient die Zertifikatsgültigkeit nicht sauber prüfen. Je nach System, Bibliothek oder Sicherheitseinstellung kann die Verbindung dann komplett scheitern.

Typische Symptome sind:

  • Verbindungstest schlägt fehl
  • TLS- oder Zertifikatsfehler
  • Anmeldung bricht ab
  • Timeout trotz korrekter Zugangsdaten
  • Gmail funktioniert im Browser, aber nicht im IMAP-Client

Empfehlung

Wenn Gmail in Quixec nicht funktioniert, obwohl IMAP aktiviert und ein korrektes App-Passwort eingetragen wurde, prüfen Sie die Logs von Pi-hole, AdGuard Home oder Ihrer Firewall.

Werden pki.goog, ocsp.pki.goog oder crl.pki.goog blockiert, sollten diese Domains freigegeben werden. In vielen Fällen reicht bereits die Freigabe von *.pki.goog, damit der Verbindungstest anschließend erfolgreich ist.