SMTP-Relay für Microsoft 365: Versand wieder zum Laufen bringen

Ein Gerät oder eine Anwendung verschickt seit Jahren zuverlässig Mails über Microsoft 365. Dann kommt ein Update, ein Mandantenwechsel oder eine Umstellung bei Microsoft, und plötzlich geht nichts mehr. Dieser Text erklärt, was passiert ist, welche Möglichkeiten es gibt und welche davon in der Praxis hält.

Die Fehlermeldung, die dich hergeführt hat

Fast immer ist es eine dieser drei:

Warum Microsoft 365 die Anmeldung verweigert

Bei Basic Authentication schickt ein Gerät Benutzername und Passwort mit. Wer das Passwort erbeutet, kann es überall verwenden, und eine zweite Sicherheitsstufe greift dabei nicht. Microsoft hat diesen Anmeldeweg in Exchange Online deshalb für die alten Protokolle abgeschaltet und baut ihn auch für die SMTP-Einlieferung ab. Neue Mandanten haben SMTP AUTH von vornherein deaktiviert, bestehende werden nach und nach umgestellt.

Das Problem dabei ist nicht die Entscheidung, sondern die Gegenseite. Ein Multifunktionsdrucker, eine Warenwirtschaft von 2018 oder ein Branchenprogramm kennen nur Benutzername und Passwort. Sie können kein OAuth, und sie werden es auch nie lernen, weil der Hersteller den Support längst eingestellt hat. Der Versand ist also nicht kaputt, er passt nur nicht mehr zu dem, was der Mailanbieter akzeptiert.

Die drei Wege von Microsoft, und was sie kosten

SMTP AUTH je Postfach wieder freischalten

SMTP AUTH lässt sich mandantenweit und je Postfach wieder einschalten. Das ist der schnellste Weg und der, den die meisten zuerst gehen. Er hat drei Haken. Das Postfach braucht eine Lizenz, auch wenn es nur als Absender für einen Drucker dient. Sicherheitsvorgaben wie Security Defaults oder eine Richtlinie für bedingten Zugriff kollidieren regelmäßig damit, sodass die Freischaltung nach der nächsten Änderung wieder wirkungslos ist. Und du hältst damit dauerhaft eine Anmeldung offen, die Microsoft erklärtermaßen abbaut. Es ist eine Verlängerung, keine Lösung.

Direct Send

Beim Direct Send liefert das Gerät ohne Anmeldung direkt an den Eingangsserver deines Mandanten. Das funktioniert ohne Lizenz, aber nur für Empfänger in deinen eigenen Domains. Eine Rechnung an einen Kunden geht diesen Weg nicht. Außerdem hängt die Zustellung an der Reputation der IP, von der aus gesendet wird, und die gehört bei einem Gerät im Büro meistens dem Internetanschluss und wechselt.

Der Connector mit fester IP

Ein Eingangsconnector im Exchange Admin Center nimmt Mails von einer festgelegten IP-Adresse an und leitet sie auch nach außen weiter. Das ist der offizielle Weg für Geräte, die an externe Empfänger schreiben müssen. Voraussetzung ist eine feste öffentliche IP-Adresse, die im SPF-Eintrag deiner Domain steht. Wer keine feste IP hat, scheidet hier aus. Wer eine hat, verlagert das Zustellrisiko auf sie: Landet sie auf einer Blacklist, ist wieder Stillstand, und um die Reputation dieser Adresse kümmert sich niemand außer dir.

Der vierte Weg: ein SMTP-Relay davorschalten

Statt Microsoft dazu zu bringen, ein altes Gerät zu akzeptieren, schickt das Gerät seine Mails an einen Dienst, der genau dafür gebaut ist. Es meldet sich weiterhin mit Benutzername und Passwort an, denn das kann es ja. Der Relay-Dienst nimmt die Mail an, signiert sie mit DKIM, verschlüsselt die Übertragung und liefert sie an den Empfänger aus, egal ob der im eigenen Haus sitzt oder bei einem fremden Anbieter.

Für dich ändert sich damit dreierlei. Erstens brauchst du für den Drucker keine Lizenz mehr. Zweitens bleibt deine Sicherheitsrichtlinie in Microsoft 365 unangetastet, weil dort gar keine Ausnahme mehr nötig ist. Drittens versendest du nicht mehr über eine IP-Adresse, für deren Ruf du selbst geradestehen musst. Was ein SMTP-Relay grundsätzlich macht, steht kurz auf der Startseite.

Der Preis dafür ist ein zusätzlicher Dienst im Ablauf und, je nach Anbieter, die Frage, wo deine Mails unterwegs sind. Wenn Rechnungen und Personaldaten durchlaufen, ist der Serverstandort keine Nebensache.

Einrichtung an drei Beispielen

In allen drei Fällen trägst du dieselben vier Werte ein: Server, Port, Benutzername, Passwort. Verschlüsselung auf STARTTLS, Port 587.

• Multifunktionsdrucker. In den Scan-to-Mail-Einstellungen den bisherigen Servernamen durch den des Relays ersetzen. Die Absenderadresse bleibt, wie sie ist, solange die Domain für den Versand freigegeben ist. Viele Geräte haben ein sehr kurzes Zeitlimit; wenn der erste Test scheitert, lohnt ein Blick darauf, bevor du an den Zugangsdaten zweifelst.
• Warenwirtschaft oder ERP. Meist gibt es genau eine Stelle für den Postausgangsserver. Wichtig ist, dass die Absenderadresse zu einer Domain gehört, die du im Portal bestätigt hast. Sonst weist der Relay-Dienst die Mail zurecht ab.
• WordPress oder ein Shop. Ein SMTP-Plugin einsetzen und die Zugangsdaten dort hinterlegen. Ohne Plugin verschickt PHP die Mails über die Serverfunktion des Hosters, und die landet zuverlässig im Spam.

Die vollständige Reihenfolge mit Bildern, von der Domain über die DNS-Einträge bis zur ersten geprüften Mail, steht in der Anleitung Erste Schritte.

Was mit deinen Postfächern passiert

Nichts. Ein SMTP-Relay betrifft nur den ausgehenden Weg von Geräten und Anwendungen. Postfächer, Kalender, Teams und der normale Mailversand aus Outlook bleiben unverändert in Microsoft 365. Du löst damit genau den Teil ab, den Microsoft nicht mehr bedienen will, und rührst den Rest nicht an.

Auch die Absenderadresse bleibt dieselbe. Damit die Empfänger die Mail als echt erkennen, muss der Relay-Dienst allerdings in deinem SPF-Eintrag stehen und mit DKIM signieren. Wie diese drei Verfahren zusammenspielen, erklärt der Beitrag zu SPF, DKIM und DMARC.

Kurz beantwortet

Brauche ich dann noch Microsoft 365? Ja, für alles andere. Das Relay ersetzt keine Postfächer, es übernimmt nur den Versand aus Geräten und Software.

Was ist mit dem Antwortverkehr? Antworten gehen an die Absenderadresse und landen wie gewohnt im Postfach. Unzustellbarkeitsmeldungen laufen zusätzlich im Protokoll des Relays auf, wo sie im Klartext erklärt werden.

Wie lange dauert die Umstellung? Die Einstellungen am Gerät sind eine Sache von Minuten. Was Zeit braucht, sind die DNS-Einträge, weil Änderungen dort je nach Anbieter einige Stunden brauchen, bis sie überall sichtbar sind.