Wer hätte das gedacht:

apt install rspamd redis

Mit dem configwizard von Rspamd kann man dann gleich noch Passwörter vergeben, DKIM Keys erstellen, etc.

rspamadm configwizard

Wenn man sich nicht sicher ist, default nehmen.

Jetzt noch schnell den Nginx als reverse proxy aufsetzen, und eine Konfiguration ähnlich dieser hier aufsetzen und nach /etc/nginx/sites-enabled verlinken:

server {
        listen 80;
        listen [::]:80;
        listen 443 ssl http2;
        listen [::]:443 ssl http2;

        server_name mail.domain.tld;

        ssl_certificate /etc/letsencrypt/live/mail.domain.tld/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/mail.domain.tld/privkey.pem;

        add_header Strict-Transport-Security max-age=15768000;

        location /rspamd/ {
                proxy_pass http://localhost:11334/;
                proxy_set_header Host $host;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }

        if ($ssl_protocol = "") {
            return 301 https://$server_name$request_uri;
        }
}