Jede Branche hat ihre eigenen Stolpersteine. Wir kennen sie, weil wir sie in der Region täglich sehen.
- ProduktionMaschinennetze trennen, Hallen-WLAN, Wiederanlauf
- LogistikScanner, mehrere Standorte, Erreichbarkeit
- HandelKassensysteme, Filialen, Shop-Anbindung
- ArztpraxenVertraulichkeit belegen, Praxissoftware, TI
- KanzleienRechtssichere Archivierung, Mandantentrennung
- Kommunen & StadtwerkeNIS2, Netztrennung, Nachweise für die Aufsicht
- DienstleisterMobiles Arbeiten, Cloud, Zusammenarbeit
Eigene Leute an drei Standorten in Mittelfranken – deshalb sind wir im Notfall noch am selben Tag bei Ihnen.
Hand in Hand
Alles rund um Ihre IT – aus einer Hand
Von der Leitung im Serverraum bis zur KI im Arbeitsalltag: zwölf Bereiche, für jeden davon eigene Spezialisten. Was BES nicht selbst macht, übernimmt ein Haus der L&S Unternehmensgruppe – abgestimmt, nicht weitergereicht.
Basic Auth wird abgeschaltet: Was Scanner, Formulare und ERP jetzt zum Mailversand brauchen
Ende 2026 deaktiviert Microsoft die Basisauthentifizierung für den SMTP-Versand. Betroffen ist alles, was mit Benutzername und Kennwort Mails über Microsoft 365 verschickt – vom Multifunktionsgerät im Flur bis zum Rechnungslauf im ERP. Dieser Beitrag zeigt die vier Wege, die danach bleiben, und welcher zu welchem Gerät passt.
Ein Maschinenbauer in Roth, 90 Mitarbeitende. Freitagabend läuft der Rechnungslauf im ERP: 140 Rechnungen gehen als PDF an Kunden. Am Montag ruft der erste Kunde an und fragt, wo die Rechnung bleibt. Niemand hat etwas gemerkt, denn das ERP meldet keinen Fehler nach außen – es schreibt ihn in ein Protokoll, das seit Jahren niemand liest. Im Protokoll steht: 535 5.7.139 Authentication unsuccessful, basic authentication is disabled.
Das Szenario ist konstruiert. Der Fehlercode nicht. Er wird ab Ende 2026 in vielen Unternehmen auftauchen, und das Tückische daran ist nicht die Technik, sondern die Stille: Geräte und Hintergrundprozesse beschweren sich nicht. Sie hören einfach auf zu senden.
Was genau schaltet Microsoft ab?
Basisauthentifizierung – kurz Basic Auth – heißt: Ein Programm meldet sich mit Benutzername und Kennwort an, mehr nicht. Kein zweiter Faktor, keine Token, keine Möglichkeit, einer einzelnen Anwendung den Zugriff zu entziehen, ohne das Kennwort zu ändern. Wer das Kennwort abgreift, kann damit senden, so oft er will.
Microsoft hat Basic Auth deshalb schon im Oktober 2022 für fast alle Protokolle abgeschaltet: Exchange ActiveSync, POP, IMAP, Exchange Web Services und Remote PowerShell. Ein Protokoll blieb übrig: SMTP AUTH, der klassische authentifizierte Mailversand. Genau das, was Drucker, Scanner, Website-Formulare, Monitoring-Systeme und Fachanwendungen benutzen. Microsoft hat die Ausnahme damals gemacht, weil es für diese Geräte schlicht keine Alternative gab.
Diese Ausnahme läuft jetzt aus.
Der Zeitplan – und warum er schon dreimal verschoben wurde
Microsoft hat das Ende von SMTP AUTH Basic bereits für September 2025 und dann für März 2026 angekündigt und beide Male zurückgezogen. Der Grund ist derselbe geblieben: Zu viele Geräte im Markt können es nicht anders. Aktuell gilt:
| Zeitpunkt | Was passiert |
|---|---|
| bis Dezember 2026 | Keine Änderung. SMTP AUTH mit Kennwort funktioniert wie bisher. |
| Ende Dezember 2026 | Microsoft deaktiviert Basic Auth für SMTP AUTH standardmäßig. Administratoren können es manuell wieder einschalten. |
| ab Januar 2027 | Neue Mandanten bekommen Basic Auth für SMTP AUTH gar nicht mehr. |
| zweite Jahreshälfte 2027 | Microsoft kündigt das endgültige Abschaltdatum an. |
Was das praktisch bedeutet: Die Frist ist nicht akut, aber die Richtung ist entschieden. Wer Ende 2026 noch einmal den Schalter umlegt, kauft sich Monate, keine Jahre. Und der Zeitpunkt ist denkbar ungünstig gewählt – zwischen Weihnachten und Neujahr meldet sich niemand, der feststellt, dass der Scanner nicht mehr sendet.
Hinzu kommt: Am 1. Oktober 2026 hat Microsoft bereits begonnen, Exchange Web Services zu blockieren. Viele Unternehmen haben dort dieselben Geräte auf dem Tisch gehabt. Wer die EWS-Umstellung sauber gemacht hat, hat die halbe Inventur für dieses Thema schon erledigt.
Was in der Praxis betroffen ist
Aus unserer Betreuungspraxis in Mittelfranken sind das die üblichen Verdächtigen:
- Multifunktionsgeräte und Scanner mit „Scan to Mail" – mit Abstand der häufigste Fall
- Website-Formulare: Kontaktformulare, Bewerbungsformulare, Shop-Bestätigungen, meist über ein SMTP-Plugin im CMS
- ERP- und Warenwirtschaftssysteme: Rechnungs-, Mahn- und Lieferscheinversand
- CRM-Systeme: Angebote, Serienmails, Terminbestätigungen
- Zeiterfassung und Lohnsysteme: Abrechnungen, Urlaubsanträge, Benachrichtigungen
- Monitoring und Backup-Software: Statusmeldungen und Alarme – fallen besonders unangenehm aus, weil ausgerechnet die Warnung ausbleibt
- Telefonanlagen mit Voicemail-to-Mail
- Alarm- und Gebäudetechnik: USV, Kühlung, Zutrittskontrolle, Brandmeldeanlagen
- Selbstgebaute Skripte, die irgendwann einmal jemand geschrieben hat und die seitdem laufen
Erfahrungsgemäß fällt bei der Inventur mindestens ein System auf, an das vorher niemand gedacht hat. Am häufigsten: die USV im Serverraum und ein Formular auf einer alten Landingpage.
Die vier Wege, die bleiben
Es gibt nicht die Lösung. Es gibt vier, und die Wahl hängt daran, was das Gerät kann und wer die Mail empfangen soll.
1. SMTP AUTH mit moderner Authentifizierung (OAuth)
Der direkte Nachfolger. Das Gerät meldet sich weiterhin an smtp.office365.com an, aber mit einem Token statt mit einem Kennwort.
| Server, Port | smtp.office365.com, Port 587 |
| Verschlüsselung | TLS 1.2 oder 1.3 |
| Voraussetzung | lizenziertes Postfach und ein Gerät, das OAuth beherrscht |
| Empfänger | intern und extern |
| Grenzen | 10.000 Empfänger pro Tag, 30 Nachrichten pro Minute |
| Ablage | landet in „Gesendete Elemente" |
Der Haken: Die wenigsten Drucker können OAuth, und nachrüsten kann das nur der Hersteller. Für Software – ERP, CRM, CMS-Plugins – ist es dagegen oft nur eine Frage des Updates.
2. SMTP-Relay über einen Connector
Der robusteste Weg für Geräte, die kein OAuth lernen werden. Das Gerät sendet unauthentifiziert an den Mail-Endpunkt Ihres Mandanten; ausgewiesen wird es über die feste öffentliche IP-Adresse oder über ein TLS-Zertifikat, hinterlegt in einem Eingangsconnector.
| Server, Port | MX-Endpunkt des Mandanten (ihredomain-de.mail.protection.outlook.com), Port 25 |
| Voraussetzung | statische öffentliche IP oder passendes TLS-Zertifikat, dazu ein Connector in Exchange Online |
| Postfach | keines nötig – nur eine akzeptierte Domain |
| Empfänger | intern und extern |
| Grenzen | höher als bei SMTP AUTH |
| Ablage | nicht in „Gesendete Elemente" |
Das ist für die meisten Mittelständler der richtige Weg für Drucker und Altgeräte: keine Lizenz, kein Kennwort im Gerät, externe Empfänger möglich. Voraussetzung ist eine feste IP – bei einem Geschäftsanschluss der Normalfall, bei Kabelanschlüssen nicht immer. Der SPF-Eintrag muss die IP enthalten, sonst landen die Mails im Spam.
3. Direct Send
Dasselbe Prinzip ohne Connector: Das Gerät sendet an den MX-Endpunkt, ohne sich auszuweisen.
| Server, Port | MX-Endpunkt des Mandanten, Port 25 |
| Voraussetzung | keine Anmeldung, keine Lizenz |
| Empfänger | nur interne Postfächer – externe Empfänger werden abgewiesen |
| Ablage | nicht in „Gesendete Elemente" |
Klingt bequem, ist aber der Weg mit der kürzesten Haltbarkeit. Direct Send wurde 2025 massenhaft für Phishing missbraucht – Angreifer konnten damit Mails verschicken, die wie interne Nachrichten aussahen. Microsoft hat daraufhin den Schalter RejectDirectSend eingeführt, der seit September 2025 allgemein verfügbar ist. Er steht noch auf „aus", aber jede halbwegs gehärtete Umgebung schaltet ihn ein.
Unsere Empfehlung: Direct Send nur als Übergang, und nur für reinen Innenverkehr wie Scan-to-Mail an Kollegen. Wer ihn produktiv einsetzt, baut auf einer Funktion auf, die aus Sicherheitsgründen irgendwann zugemacht wird.
4. High Volume Email
Der unterschätzte Ausweg – und der einzige, bei dem Basic Auth weiterlebt. High Volume Email ist ein eigener Dienst für Geräte und Anwendungen, die viele Mails an die eigene Belegschaft schicken.
| Authentifizierung | Basic Auth bis September 2028, OAuth ebenfalls möglich |
| Empfänger | nur interne Postfächer |
| Konten | bis zu 100 HVE-Konten pro Mandant |
| Kosten | seit der allgemeinen Verfügbarkeit nach Verbrauch abgerechnet |
Für den alten Scanner, der nur ins Haus scannt, ist das die Lösung mit dem geringsten Aufwand: Konto anlegen, Zugangsdaten im Gerät eintragen, fertig – und fast zwei weitere Jahre Ruhe. Für Rechnungen an Kunden taugt es nicht, weil externe Empfänger nicht gehen.
Welcher Weg passt zu welchem Gerät?
| Ausgangslage | Empfehlung |
|---|---|
| Drucker scannt nur an Kollegen, kann kein OAuth | High Volume Email, alternativ Connector |
| Drucker schickt auch nach außen | SMTP-Relay über Connector |
| ERP, CRM, CMS-Plugin mit aktuellem Update | SMTP AUTH mit OAuth |
| Fachanwendung ohne OAuth, sendet nach außen | SMTP-Relay über Connector |
| Monitoring, USV, Alarmtechnik | High Volume Email oder Connector |
| Keine feste öffentliche IP vorhanden | OAuth, wo möglich; sonst feste IP beim Provider beantragen |
Was Sie jetzt tun sollten – in dieser Reihenfolge
1. Sichtbar machen, wer überhaupt sendet. In den Anmeldeprotokollen von Microsoft Entra lässt sich filtern, welche Clients sich noch mit Basisauthentifizierung anmelden. Das ist der einzige verlässliche Ausgangspunkt. Raten hilft hier nicht – und die Liste ist regelmäßig länger als erwartet.
2. Jedes System einer Kategorie zuordnen. Wer empfängt die Mails: nur interne Postfächer oder auch Kunden und Lieferanten? Diese eine Frage entscheidet bereits über die Hälfte der Fälle.
3. Hersteller in die Pflicht nehmen. Fragen Sie konkret: Gibt es eine Firmware oder Version, die OAuth unterstützt? Ab wann? Ist sie im Wartungsvertrag enthalten? Bei Druckern älter als fünf Jahre lautet die Antwort meist Nein – dann steht die Entscheidung zwischen Connector, High Volume Email und Gerätetausch an.
4. Technische Voraussetzungen klären. Haben Sie eine feste öffentliche IP? Stimmt Ihr SPF-Eintrag? Ist DKIM eingerichtet? Diese drei Punkte entscheiden, ob der Connector überhaupt infrage kommt und ob die Mails später ankommen statt im Spam zu landen.
5. Umstellen und testen – vor Dezember. Nicht am 20. Dezember. Jede Umstellung braucht einen Testversand an eine externe Adresse und einen Blick in die Nachrichtenverfolgung.
Der Fehler, den wir gerade oft sehen
Die Ankündigung wird gelesen, das Postfach eines Mitarbeiters wird auf moderne Anmeldung umgestellt, der Haken wird gesetzt – und das Thema ist abgelegt. Übersehen wird dabei regelmäßig das Servicekonto: ein Postfach, das vor Jahren für den Drucker angelegt wurde, auf das niemand schaut und dessen Kennwort in vier Geräten und zwei Anwendungen steht. Genau dieses Konto ist der Grund, warum die Umstellung in der Praxis selten eine Stunde dauert.
Der zweite häufige Fehler: Das Kennwort des Servicekontos wird geändert, weil es irgendwo in einer Richtlinie steht – und niemand weiß mehr, in welchen Geräten es überall hinterlegt war. Bevor Sie an den Konten drehen, machen Sie die Inventur.
Inventarbogen für alle sendenden Geräte, Entscheidungsbaum, die Konfigurationswerte für alle vier Versandwege und eine Checkliste für die Umstellung. Tragen Sie Ihre E-Mail-Adresse ein, dann schicken wir Ihnen die Unterlage sofort zu. Kein Newsletter, keine Weitergabe.
Unterwegs zu Ihnen. Die Unterlage liegt in ein bis zwei Minuten in Ihrem Postfach – schauen Sie notfalls im Spam-Ordner nach.
Häufige Fragen
Betrifft mich das, wenn wir noch einen eigenen Exchange Server haben?
Nicht direkt. Die Abschaltung gilt für Exchange Online. Wer lokal einen Exchange oder einen anderen Mailserver betreibt, ist davon unberührt – allerdings ist ein lokaler Exchange als reiner Mail-Relay für Drucker inzwischen ein eigenes Risiko, weil die Serverrolle regelmäßig Ziel von Angriffen ist.
Können wir Basic Auth nicht einfach Ende 2026 wieder einschalten?
Ja, Microsoft lässt das ausdrücklich zu. Es ist aber eine Verlängerung, kein Ausweg: Das endgültige Abschaltdatum wird in der zweiten Jahreshälfte 2027 angekündigt. Wer den Schalter umlegt, sollte die Zeit zum Umbau nutzen und nicht zum Vergessen.
Was kostet High Volume Email?
Der Dienst wird seit der allgemeinen Verfügbarkeit nach Verbrauch abgerechnet. Für ein Unternehmen mit ein paar Geräten und Scan-to-Mail bewegt sich das im Rahmen – die genauen Konditionen prüfen wir im Einzelfall, weil sie von Mandant und Volumen abhängen.
Reicht nicht ein App-Kennwort?
Nein. App-Kennwörter sind selbst Basisauthentifizierung, nur mit einem anderen Kennwort. Sie sind ein Hilfsmittel für Konten mit Mehrfaktor-Anmeldung und verschwinden mit derselben Abschaltung.
Wie finden wir heraus, welche Geräte betroffen sind?
Über die Anmeldeprotokolle in Microsoft Entra, gefiltert auf Clients mit Basisauthentifizierung. Dort stehen Zeitpunkt, Konto und IP-Adresse – und über die IP-Adresse findet sich das Gerät im Netz. Wer möchte, dass wir das übernehmen: Das ist Teil unserer Microsoft 365 Beratung & Härtung.
Wir übernehmen das für Sie
Als IT-Dienstleister für Schwabach, Nürnberg und Weißenburg machen wir in Microsoft 365 genau diese Inventur: Welche Geräte und Anwendungen senden noch mit Kennwort, welcher Weg passt zu welchem, was muss am Connector, am SPF-Eintrag und an den Geräten geändert werden. Im Anschluss stellen wir um und testen jede Strecke einzeln.
Wenn Sie wissen wollen, wie groß das Thema bei Ihnen ist: Im Erstgespräch klären wir das in 30 Minuten. Mitbringen müssen Sie nichts – die Liste holen wir uns aus Ihrem Mandanten.
