Team Data GmbH - IT-Systemhaus Osnabrück Logo
WhatsApp
0541 50798808
Fernwartung

SMTP AUTH mit Basic Auth endet: Geräte umstellen

Kurz gesagt: Microsoft schaltet Basic Authentication für SMTP AUTH in Exchange Online Ende Dezember 2026 für bestehende Mandanten standardmäßig ab. Admins können sie danach vorerst wieder einschalten, das endgültige Aus will Microsoft in der zweiten Jahreshälfte 2027 terminieren. Scanner, Multifunktionsgeräte und Programme, die mit Benutzername und Kennwort über smtp.office365.com senden, solltest du jetzt umstellen.

Stand: 03.11.2026

Wann endet Basic Authentication für SMTP AUTH?

Für fast alle anderen Protokolle in Exchange Online ist Basic Authentication längst abgeschaltet, etwa für POP, IMAP, Exchange ActiveSync, EWS und Outlook. SMTP AUTH war die Ausnahme. Ursprünglich wollte Microsoft auch hier ab März 2026 abschalten. Im Januar 2026 hat das Exchange-Team den Zeitplan aktualisiert:

ZeitpunktWas passiert
bis Dezember 2026Keine Änderung am Verhalten von SMTP AUTH mit Basic Authentication.
Ende Dezember 2026Basic Authentication für SMTP AUTH wird in bestehenden Mandanten standardmäßig deaktiviert. Admins können sie bei Bedarf wieder aktivieren.
neue Mandanten ab Ende Dezember 2026Basic Authentication für SMTP AUTH ist standardmäßig nicht verfügbar, OAuth ist die unterstützte Methode.
zweite Jahreshälfte 2027Microsoft will das endgültige Datum für die vollständige Abschaltung bekannt geben.

Die Möglichkeit, Basic Authentication wieder einzuschalten, ist eine Atempause, keine Lösung. Wer bis 2027 wartet, steht beim endgültigen Termin mit denselben Geräten wieder vor dem Problem.

Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.

Welche Geräte und Programme sind betroffen?

SMTP AUTH (authentifizierte SMTP-Übermittlung) nutzen vor allem Geräte und Programme, die selbst E-Mails erzeugen, aber keine Mailserver sind. Typisch in kleinen Unternehmen:

  • Multifunktionsgeräte und Scanner, die Scans per E-Mail verschicken.
  • Fachanwendungen, die Rechnungen, Terminerinnerungen oder Berichte versenden.
  • Überwachungs- und Backupsysteme mit Mailbenachrichtigung.
  • E-Mail-Programme, die per POP oder IMAP abrufen und per SMTP senden.

Outlook, Outlook im Web und Outlook für iOS und Android nutzen laut Microsoft kein SMTP AUTH und sind nicht betroffen. Erkennbar sind betroffene Geräte an der Konfiguration: Server smtp.office365.com, Port 587 oder 25, Benutzername und Kennwort eines Postfachs.

Wie findest du heraus, wer noch Basic Auth nutzt?

  1. Öffne das neue Exchange Admin Center und gehe zu Reports > Mail Flow.
  2. Öffne den Bericht SMTP AUTH Clients.
  3. Im Bereich Messages sent using SMTP Auth siehst du je Absenderadresse die Spalte Authentication Protocol. „Basic Auth“ (TlsAuthLogin) bedeutet Handlungsbedarf, „Modern Auth“ (XOAUTH2) ist bereits umgestellt.
  4. Standardmäßig zeigt der Bericht die letzten 7 Tage. Erweitere den Zeitraum auf bis zu 90 Tage, damit du auch Geräte findest, die selten senden, etwa für Monatsberichte.
  5. Mit Export lädst du die Liste als CSV herunter und ordnest jede Absenderadresse einem Gerät oder Programm zu.

Der Bericht zeigt außerdem, welche TLS-Version die Geräte nutzen. Das ist wichtig, denn SMTP AUTH verlangt TLS 1.2 oder 1.3.

Welche Alternativen gibt es?

Microsoft nennt mehrere Wege. Welcher passt, hängt davon ab, was das Gerät kann und an wen es senden muss:

  • SMTP AUTH mit OAuth: Unterstützt das Gerät oder Programm moderne Authentifizierung, bleibt alles wie gehabt, nur die Anmeldung läuft über OAuth. Das ist die erste Wahl, wenn ein Firmware- oder Software-Update OAuth nachrüstet.
  • SMTP-Relay über einen Connector: Das Gerät sendet über Port 25 an den MX-Endpunkt deiner Domain (Format firma-de.mail.protection.outlook.com für die Domain firma.de). Microsoft 365 erkennt es an einem TLS-Zertifikat oder an einer festen, nicht geteilten öffentlichen IP-Adresse. Dafür legst du im Exchange Admin Center unter Mail flow > Connectors einen Connector an. Ein lizenziertes Postfach ist nicht nötig, Empfänger außerhalb der Firma sind möglich. Dynamische IP-Adressen werden nicht unterstützt.
  • High Volume Email: Für Mails nur an interne Empfänger.
  • Azure Communication Services Email: Für interne und externe Empfänger.
  • Eigener Mailserver vor Ort: Gibt es einen lokalen Exchange Server, kann das Gerät dort per Basic Authentication oder über ein anonymes Relay (kein offenes Relay) senden.
  • Direct Send: Nur an Empfänger im eigenen Microsoft-365-Mandanten und laut Microsoft nur für erfahrene Admins. Microsoft arbeitet daran, Direct Send standardmäßig abzuschalten. Für neue Einrichtungen raten wir davon ab.
  • Microsoft Graph: Für selbst entwickelte Anwendungen ist der Versand über die Graph-API eine Alternative.

Wie gehst du bei der Umstellung vor?

  1. Liste aus dem Bericht exportieren und jedem Absender ein Gerät oder Programm zuordnen.
  2. Beim Hersteller prüfen, ob es ein Update mit OAuth-Unterstützung gibt. Bietet ein Gerät nur Port 465 an, unterstützt es laut Microsoft die nötigen TLS-Versionen für SMTP AUTH nicht.
  3. Für Geräte ohne OAuth einen Relay-Connector mit Zertifikat oder fester IP-Adresse einrichten und die IP-Adresse in den SPF-Eintrag der Domain aufnehmen, damit die Mails nicht im Spam landen.
  4. Jedes Gerät nach der Umstellung mit einer Testmail prüfen.
  5. Den Bericht nach einigen Wochen erneut ansehen. Taucht kein „Basic Auth“ mehr auf, bist du durch.

Übrigens: Sind in deinem Mandanten die Sicherheitsstandards (Security Defaults) aktiv, funktioniert SMTP AUTH mit Basic Authentication schon heute nicht. Mandanten, die nach Januar 2020 angelegt wurden, haben SMTP AUTH ohnehin deaktiviert, es lässt sich nur je Postfach einschalten.

So unterstützen wir dich

Wir prüfen den SMTP-AUTH-Bericht deines Mandanten, ordnen die Absender den Geräten zu und stellen Scanner und Programme auf OAuth oder einen Relay-Connector um. Das erledigen wir für Unternehmen in Osnabrück und Umgebung vor Ort, sonst per Fernwartung. Mehr zu unserer Betreuung von Microsoft 365.

Häufige Fragen

Funktioniert mein Scanner ab Januar 2027 nicht mehr?

Wenn er per Benutzername und Kennwort über smtp.office365.com sendet, schlägt der Versand nach der Standard-Deaktivierung Ende Dezember 2026 fehl, bis du umstellst oder Basic Authentication wieder einschaltest.

Kann ich Basic Authentication für SMTP AUTH wieder aktivieren?

In bestehenden Mandanten ja, laut Exchange-Team vorerst. Das endgültige Abschaltdatum will Microsoft in der zweiten Jahreshälfte 2027 bekannt geben.

Helfen App-Kennwörter?

Nein. App-Kennwörter beruhen auf Basic Authentication und fallen mit ihr weg.

Brauche ich für ein SMTP-Relay eine Lizenz?

Nein, beim Relay über einen Connector braucht das Gerät kein lizenziertes Postfach. Es braucht aber ein Zertifikat oder eine feste öffentliche IP-Adresse.

Quellen