Microsoft 365 und deaktiviertes SMTP AUTH: was wird aus Drucker, Scanner und Anwendungen?
Wenn SMTP AUTH in Microsoft 365 ausgeschaltet ist, können Geräte und Anwendungen, die mit Benutzername und Passwort über ein Postfach mailen — Multifunktionsgeräte, Scanner, Alarmanlagen, NAS-Systeme, Monitoring, ältere Unternehmenssoftware — plötzlich nicht mehr versenden. Sie können diese Geräte einzeln wieder zulassen, mit allen Einschränkungen eines Postfachs, oder Sie verlagern alle automatischen E-Mails auf ein SMTP-Relay mit eigenem Login pro Anwendung. Letzteres ist in der Regel die nachhaltige Lösung: Ihre Mitarbeiter arbeiten weiter in Microsoft 365, die Geräte mailen über das Relay.
Was genau passiert
Microsoft baut die klassische Anmeldung mit Benutzername und Passwort Schritt für Schritt ab, weil sie keine Zwei-Faktor-Authentifizierung unterstützt und daher ein beliebtes Ziel ist. In neuen Umgebungen ist die Anmeldung für ausgehende E-Mails über SMTP standardmäßig ausgeschaltet, und Microsoft hat angekündigt, dass die verbleibenden Ausnahmen mit der Zeit ebenfalls verschwinden. Das Symptom ist immer dasselbe: Ein Gerät, das jahrelang gescannte Dokumente gemailt hat, meldet plötzlich einen Authentifizierungsfehler. Oder eine Unternehmensanwendung, die Rechnungen versendet hat, protokolliert „authentication unsuccessful“ und stoppt. Niemand hat etwas geändert; die Einstellung auf Seiten von Microsoft hat sich geändert.
Warum es Geräte trifft
Ein Drucker oder Scanner kennt nur eine Art zu mailen: einen Servernamen, einen Port, einen Login und ein Passwort. Das gilt auch für die meisten Alarmanlagen, Kamerasysteme, Backup-Software und ältere ERP-Pakete. Sie unterstützen keine moderne Anmeldung mit Tokens, und der Hersteller wird sie nicht mehr nachrüsten. Das Gerät ist nicht kaputt; es spricht nur eine Sprache, die Microsoft 365 nicht mehr hören will.
Die Optionen im Überblick
Option 1: SMTP AUTH pro Postfach wieder aktivieren
Das geht, solange Microsoft es zulässt. Sie legen ein separates Postfach pro Gerät an, aktivieren dort die Einstellung und hoffen, dass es weiter funktioniert. Die Nachteile: Die Versandlimits eines Postfachs gelten auch für das Gerät, jedes Postfach kostet eine Lizenz oder erfordert eine Ausnahme, und Sie bauen auf eine Funktion, deren Abschaltung angekündigt ist. Für einen Scanner ist das eine vorübergehende Lösung; für zehn Anwendungen ist es Wartungsaufwand.
Option 2: direkte Zustellung ohne Anmeldung
Microsoft bietet Möglichkeiten, von einer festen IP-Adresse ohne Login an die eigene Organisation zu mailen. Praktisch für interne Benachrichtigungen, aber begrenzt: Es funktioniert von einer festen Adresse aus, oft nur an Ihre eigenen Postfächer oder mit strengen Limits nach außen, und es erfordert Konfiguration in der Verwaltungsumgebung, mit der nicht jeder vertraut ist.
Option 3: ein Relay für alle automatischen E-Mails
Sie geben jedem Gerät und jeder Anwendung einen eigenen Login auf einem Relay. Der Scanner, die Alarmanlage und das Rechnungsprogramm versenden über Port 587 mit STARTTLS, genau wie immer, nur an einen anderen Servernamen. Das Relay versendet mit SPF und DKIM für Ihre Domain, führt pro Nachricht ein Protokoll und kennt keine Postfachlimits. Microsoft 365 bleibt, was es ist: die Umgebung, in der Ihre Leute mailen und Besprechungen abhalten. Warum diese Trennung auch unabhängig von SMTP AUTH sinnvoll ist, lesen Sie auf der Seite über transaktionale E-Mails.
Wie Sie umstellen
- Erstellen Sie eine Liste von allem, was über Microsoft 365 mailt, ohne dass ein Mensch dahintersteht. Fragen Sie beim IT-Partner, beim Lieferanten der Alarmanlage und beim Buchhalter nach; die Liste ist immer länger als gedacht.
- Legen Sie pro Anwendung einen Login auf dem Relay an. Ein Login pro Gerät, damit Sie einen widerrufen können, ohne den Rest zu berühren.
- Fügen Sie das Relay Ihrem SPF-Eintrag hinzu und aktivieren Sie DKIM für Ihre Domain. Ihre bestehenden Einträge für Microsoft 365 bleiben stehen; Sie ergänzen, Sie ersetzen nicht.
- Ändern Sie pro Gerät Servername, Port und Login. Senden Sie eine Testnachricht an eine externe Adresse, nicht an sich selbst.
- Prüfen Sie in der ersten Woche im Protokoll des Relays, ob alles ankommt.
Was Sie nicht tun sollten
Das geteilte Passwort eines Mitarbeiters im Scanner hinterlegen. Das funktioniert, bis dieser Mitarbeiter sein Passwort ändert oder das Unternehmen verlässt, und es gibt einem Gerät auf dem Flur Zugriff auf ein komplettes Postfach. Ein Relay-Login kann nur versenden, und nur das, was Sie zulassen.
Häufig gestellte Fragen
Ändert sich etwas für meine Mitarbeiter?
Nein. Outlook, Teams und die Webmail funktionieren weiter wie immer. Nur Geräte und Anwendungen erhalten einen anderen Ausgangsserver.
Was ist mit Anwendungen, die moderne Anmeldung unterstützen?
Die können bei Microsoft 365 bleiben. Aber auch dann gelten die Versandlimits eines Postfachs; für größere Volumen ist ein Relay ohnehin der bessere Weg.
Kann ich die Absenderadresse behalten?
Ja. Der Scanner versendet weiterhin von scanner@ihrefirma.be; nur der Weg, den die Nachricht nimmt, ändert sich.