SMTP Basic Auth Abschaltung bei Microsoft 365: Ihr Fahrplan

Seit September 2022 deaktiviert Microsoft sukzessive die Basic Authentication in Exchange Online — darunter auch SMTP AUTH mit Benutzername und Passwort. Viele Unternehmen haben das verschlafen und merken es erst, wenn plötzlich der Netzwerkdrucker keine Scan-Mails mehr verschickt oder die Buchhaltungssoftware aufhört, E-Mails zu senden.

Dieser Artikel zeigt, was sich ändert, welche Systeme betroffen sind und wie Sie die Umstellung strukturiert angehen.

Zum Zeitplan: SMTP AUTH war lange die letzte Ausnahme — als Microsoft 2022/23 die Basic Authentication für POP, IMAP, EWS und die übrigen Protokolle abschaltete, blieb SMTP zunächst verschont. Diese Schonfrist läuft aus. Verlassen Sie sich für Ihren konkreten Mandanten nicht auf Datumsangaben in Blogartikeln, sondern schauen Sie im Microsoft 365 Message Center nach — dort stehen die für Sie geltenden Termine. Der Abschnitt weiter unten zeigt, wie Sie in fünf Minuten feststellen, ob Sie überhaupt betroffen sind.

Was ist SMTP Basic Auth — und warum schaltet Microsoft es ab?

SMTP Basic Authentication bedeutet: Eine Anwendung oder ein Gerät sendet E-Mails über smtp.office365.com mit Benutzername + Passwort im Klartext (Base64-kodiert). Das klingt nach einem alten Problem — und ist es auch.

Die Gründe für die Abschaltung:

Kein MFA möglich: Basic Auth umgeht Multi-Faktor-Authentifizierung komplett
Credential Stuffing: Gestohlene Passwörter können direkt für SMTP missbraucht werden
Telemetrie: Microsoft erkennt, dass über 99% der Brute-Force-Angriffe auf Exchange über Basic Auth laufen

Welche Systeme sind typischerweise betroffen?

In unserer Beratungspraxis sehen wir immer wieder die gleichen Kandidaten:

System-Typ	Beispiele
Multifunktionsdrucker / Scanner	HP, Ricoh, Konica Minolta, Kyocera
ERP-Systeme	SAP, DATEV, Sage, Microsoft Dynamics alt
Buchhaltungssoftware	sevdesk, lexoffice (ältere Versionen), Lexware
Monitoring-Tools	Nagios, Zabbix, PRTG
Webanwendungen	PHP-Mailer, ältere WordPress-Plugins
CRM-Systeme	Ältere Salesforce On-Premise Installationen
Ticketsysteme	OTRS, Zammad ältere Versionen

Kurz: Jedes System, das eine E-Mail über Exchange Online sendet und dafür statische Zugangsdaten verwendet, ist potenziell betroffen.

Sind Sie betroffen? So finden Sie es heraus

Raten Sie nicht — messen Sie. Es gibt zwei verlässliche Wege, und beide brauchen nur ein paar Minuten.

Über die Anmeldeprotokolle in Entra ID. Das ist der genaueste Weg, weil dort jede einzelne Verbindung auftaucht:

Entra ID (früher Azure AD) → Überwachung → Anmeldeprotokolle
Auf die Registerkarte Anmeldungen von Nicht-interaktiven Benutzern wechseln — Geräte und Anwendungen erscheinen nicht in der Standardansicht, das übersehen viele
Filter setzen: Client-App = Authentifizierter SMTP
Zeitraum auf die letzten 30 Tage stellen

Was Sie jetzt sehen, ist Ihre Liste. Jedes Konto darin gehört zu einem System, das umgestellt werden muss. Notieren Sie sich zusätzlich die IP-Adressen — daran erkennen Sie, welcher Drucker oder Server dahintersteckt.

Über die Postfach-Einstellungen. Prüfen Sie per PowerShell, für welche Postfächer SMTP AUTH überhaupt noch freigeschaltet ist:

Get-CASMailbox -ResultSize unlimited |
  Where-Object { $_.SmtpClientAuthenticationDisabled -eq $false } |
  Select-Object DisplayName, PrimarySmtpAddress

Und die Einstellung auf Mandantenebene:

Get-TransportConfig | Select-Object SmtpClientAuthenticationDisabled

Steht dort False, ist SMTP AUTH im Mandanten noch erlaubt. Das ist Ihr Zeitfenster.

Die vier Wege aus der Basic Authentication

Je nach System kommt ein anderer infrage:

Option 1: OAuth 2.0 Modern Authentication (empfohlen)

Für Anwendungen, die OAuth 2.0 unterstützen: Statt Benutzername/Passwort wird ein App-Registrierung in Entra ID erstellt und ein Token verwendet.

Voraussetzungen:

Anwendung muss OAuth 2.0 / Modern Auth unterstützen
App-Registrierung in Entra ID (Azure AD)
Berechtigung SMTP.Send oder Mail.Send

Entra ID → App-Registrierungen → Neue Registrierung
→ API-Berechtigungen → Microsoft Graph → Mail.Send
→ Zertifikat oder Client Secret erstellen

Viele moderne Anwendungen (Outlook, Teams, neuere ERP-Versionen) unterstützen das bereits — es muss nur konfiguriert werden.

Option 2: App-Passwörter — nur als Notnagel

Wenn für ein Konto MFA aktiv ist und die Anwendung kein OAuth kann, lassen sich App-Passwörter erzeugen:

Mein Konto (myaccount.microsoft.com)
→ Sicherheitsinformationen
→ App-Passwort hinzufügen

Zwei Einschränkungen, die man kennen muss, bevor man diesen Weg einschlägt:

App-Passwörter gehören zur alten MFA pro Benutzer. Sie stehen nur zur Verfügung, wenn das Konto über die klassische Benutzer-MFA abgesichert ist. Wird MFA über Richtlinien für bedingten Zugriff oder über die Sicherheitsstandards erzwungen, gibt es keine App-Passwörter — diese Verfahren unterstützen sie ausdrücklich nicht.

Und der wichtigere Punkt: Ein App-Passwort ist technisch weiterhin Basic Authentication. Sobald SMTP AUTH für das Postfach oder den Mandanten abgeschaltet wird, hilft es nicht mehr. Es verschafft Ihnen Zeit, löst das Problem aber nicht.

Wer heute noch umstellt, sollte diesen Weg überspringen und gleich zu Option 3 oder 4 gehen.

Option 3: SMTP-Relay via Exchange Online (für Drucker und Geräte)

Drucker und Scanner können kein OAuth. Die Lösung: direktes SMTP-Relay über Exchange Online, das keine Authentifizierung benötigt — dafür aber auf bestimmte IP-Adressen beschränkt ist.

Konfiguration:

In Exchange Admin Center → Nachrichtenfluss → Connectors: Eingehenden Connector für Ihre Server-IP erstellen
Drucker/Scanner auf your-tenant.mail.protection.outlook.com:25 umstellen (kein SMTP AUTH, kein TLS-Zertifikat nötig)
Absenderadresse muss eine gültige M365-Adresse oder eine akzeptierte Domain sein

Smtp-Server: [tenant].mail.protection.outlook.com
Port: 25
Auth: Keine
TLS: Optional

Diese Methode ist explizit für solche Szenarien vorgesehen und wird von Microsoft empfohlen.

Option 4: Dedizierter SMTP-Relay-Dienst

Für komplexe Umgebungen mit vielen Legacy-Systemen: Dienste wie SendGrid, Postmark oder Brevo (ehem. Sendinblue) als SMTP-Relay.

Vorteil: Basic Auth funktioniert weiter — aber gegenüber dem Relay-Dienst, nicht gegenüber Microsoft. Das Relay selbst nutzt moderne Authentifizierung zu Office 365.

Wichtig dabei: Wenn ein fremder Dienst in Ihrem Namen versendet, müssen Sie ihn in Ihrem SPF-Eintrag eintragen und dort DKIM einrichten. Sonst landen die Mails im Spam — ein Fehler, der oft erst Wochen später auffällt, weil niemand meldet, dass eine Rechnung nicht angekommen ist.

Fehlermeldungen und was sie bedeuten

Wenn nach der Umstellung etwas klemmt, sagt die Fehlermeldung meistens ziemlich genau, woran es liegt:

535 5.7.139 Authentication unsuccessful, SmtpClientAuthentication is disabled for the mailbox SMTP AUTH ist für dieses Postfach abgeschaltet. Entweder für dieses eine Konto wieder freigeben (als Übergang) oder das System auf Option 3 oder 4 umstellen.

550 5.7.708 Service unavailable. Access denied, traffic not accepted from this IP Die sendende IP-Adresse ist Microsoft unbekannt oder gesperrt. Beim direkten Relay heißt das meist: Der eingehende Connector fehlt oder enthält die falsche IP. Prüfen Sie, ob Ihr Anschluss eine feste öffentliche IP-Adresse hat — bei wechselnder IP funktioniert dieser Weg grundsätzlich nicht.

550 5.7.64 TenantAttribution; Relay Access Denied Der Connector greift, aber die Absenderadresse gehört nicht zu einer akzeptierten Domäne Ihres Mandanten. Häufig bei Geräten, in denen noch eine alte Adresse hinterlegt ist.

5.7.57 Client not authenticated to send mail Das Gerät sendet ohne Anmeldung an einen Endpunkt, der eine erwartet. Meist steht smtp.office365.com statt der Relay-Adresse [tenant].mail.protection.outlook.com im Gerät.

Ihr Aktionsplan

Sofort:

Inventar aller Systeme erstellen, die SMTP verwenden (Exchange Admin Center → Reports → E-Mail-Aktivität zeigt Basic-Auth-Verbindungen)
In Entra → Sign-In-Protokolle nach Legacy-Authentifizierungs-Verbindungen suchen

Kurzfristig (innerhalb 4 Wochen): 3. Systeme kategorisieren (OAuth-fähig / App-Passwort / SMTP-Relay) 4. Für jeden System-Typ die passende Lösung implementieren und testen

Mittelfristig: 5. Basic Auth in Ihrem Tenant vollständig deaktivieren 6. Conditional Access Policy aktivieren: “Block Legacy Authentication”

Haben Sie Drucker, ERP-Systeme oder andere Anwendungen, die nach der Umstellung nicht mehr mailen? Wir helfen — wir kennen die meisten Szenarien aus der Praxis und finden schnell die passende Lösung.