SMTP AUTH

Definition

SMTP ist das Protokoll, über das E-Mails verschickt werden. SMTP AUTH ist die Erweiterung, mit der sich der Absender dabei ausweist – klassisch mit Benutzername und Kennwort. Jedes Gerät, das selbst Mails verschickt, nutzt es: der Scanner im Flur, das Kontaktformular auf der Website, das ERP beim Rechnungslauf, die Backup-Software mit ihrer Statusmeldung.

Zu unterscheiden ist das vom Mailempfang. Outlook holt Mails über ganz andere Wege ab. SMTP AUTH betrifft ausschließlich die Richtung nach draußen – und damit meist Systeme, bei denen nie jemand draufschaut.

Technisch gibt es zwei Spielarten der Anmeldung:

• Basisauthentifizierung (Basic Auth): Benutzername und Kennwort werden bei jeder Verbindung übertragen. Einfach einzurichten, aber ohne zweiten Faktor und ohne Möglichkeit, einer einzelnen Anwendung den Zugriff zu entziehen.
• Moderne Authentifizierung (OAuth 2.0): Die Anwendung erhält ein zeitlich begrenztes Token statt eines Kennworts. Das Token lässt sich einzeln widerrufen, Mehrfaktor-Anmeldung und Conditional Access greifen.

Warum SMTP AUTH für den Mittelstand gerade relevant ist

Microsoft hat die Basisauthentifizierung bereits im Oktober 2022 für fast alle Protokolle abgeschaltet – POP, IMAP, ActiveSync, Exchange Web Services und Remote PowerShell. SMTP AUTH blieb als einzige Ausnahme übrig, weil es für Drucker und Fachanwendungen keinen Ersatz gab.

Diese Ausnahme endet: Ende Dezember 2026 deaktiviert Microsoft die Basisauthentifizierung für SMTP AUTH standardmäßig. Administratoren können sie noch einmal einschalten, ab Januar 2027 bekommen neue Mandanten sie gar nicht mehr, und das endgültige Abschaltdatum will Microsoft in der zweiten Jahreshälfte 2027 nennen.

Das Risiko liegt weniger im Termin als in der Art des Ausfalls. Ein Gerät, das nicht mehr senden darf, meldet sich nicht. Es schreibt einen Fehler in ein Protokoll, das niemand liest. Aufgefallen ist es in der Praxis meist erst, als ein Kunde nach einer Rechnung fragte.

Hinzu kommt die Sicherheitsseite, unabhängig vom Termin: Ein Servicekonto mit Kennwort, das in vier Geräten hinterlegt ist, lässt sich nicht mit Mehrfaktor-Anmeldung schützen und taucht in jedem Prüfbericht als Feststellung auf – auch bei Cyber-Versicherern.

Die vier Wege nach der Abschaltung

Eine Besonderheit ist High Volume Email: Dort unterstützt Microsoft die Basisauthentifizierung noch bis September 2028, allerdings nur für interne Empfänger und seit der allgemeinen Verfügbarkeit gegen Abrechnung nach Verbrauch. Für den alten Scanner, der nur ins Haus scannt, ist das oft der pragmatischste Weg.

Direct Send sollte man dagegen nicht als Dauerlösung planen. Das Verfahren wurde 2025 für Phishing missbraucht; Microsoft hat daraufhin einen Schalter eingeführt, mit dem Mandanten es komplett abweisen können. Wer seine Umgebung härtet, schaltet ihn ein.

Was BES daraus macht

Wir machen in Microsoft 365 zuerst die Inventur: Über die Anmeldeprotokolle in Microsoft Entra lässt sich herausfinden, welche Clients sich noch mit Basisauthentifizierung anmelden, wann und von welcher IP-Adresse. Daraus wird eine Liste aller sendenden Geräte und Anwendungen – erfahrungsgemäß länger als erwartet.

Danach ordnen wir jedem System einen der vier Wege zu, richten den Connector ein, korrigieren SPF und DKIM, stellen die Geräte um und testen jede Strecke mit einem Versand an eine externe Adresse. Das ist Teil unserer Microsoft 365 Beratung & Härtung; wer die Umgebung ohnehin von uns betreuen lässt, bekommt es im Rahmen der Managed IT-Services.

Ausführlich mit Konfigurationswerten und Entscheidungsbaum steht das im Beitrag Basic Auth wird abgeschaltet.

Häufige Fragen