SMTP AUTH in Microsoft 365: Was sich Ende 2026 ändert

SMTP AUTH in Microsoft 365 ändert sich Ende Dezember 2026: Microsoft schaltet in bestehenden Microsoft-365-Umgebungen die Anmeldung mit Benutzername und Passwort für den Mailversand per SMTP AUTH standardmäßig ab. Scanner, Drucker, Fachanwendungen und Websites, die auf diesem Weg E-Mails verschicken, senden danach nichts mehr. Wer die betroffenen Geräte jetzt findet und umstellt, vermeidet einen unruhigen Jahresstart.

Das Wichtigste zu SMTP AUTH in Kürze

• Betroffen ist der Mailversand über smtp.office365.com mit Benutzername und Passwort (Basic Authentication).
• Ende Dezember 2026: in bestehenden Umgebungen standardmäßig abgeschaltet, Administratoren können es vorerst wieder einschalten.
• Neue Umgebungen können SMTP AUTH danach nur noch mit OAuth nutzen.
• Das endgültige Ende will Microsoft in der zweiten Jahreshälfte 2027 ankündigen.
• Alternativen: OAuth, SMTP-Relay über einen Connector, High Volume Email oder Azure Communication Services.

Was ist SMTP AUTH?

SMTP AUTH ist der Weg, über den Geräte und Programme E-Mails über ein Postfach in Microsoft 365 verschicken. Das Gerät meldet sich am Server smtp.office365.com an, meist über Port 587, und sendet im Namen des Postfachs. Bei vielen älteren Einrichtungen geschieht diese Anmeldung mit Benutzername und Passwort. Genau diese Form der Anmeldung, die Basic Authentication, stellt Microsoft ab. Die moderne Anmeldung per OAuth funktioniert weiter.

Welche Geräte und Anwendungen sind betroffen?

Betroffen ist alles, was mit einem gespeicherten Passwort über Microsoft 365 Mails verschickt. In vielen Unternehmen sind das mehr Geräte, als man auf Anhieb vermutet:

• Multifunktionsgeräte und Scanner mit der Funktion Scan to Mail
• Warenwirtschaft, ERP und andere Fachanwendungen, die Belege oder Benachrichtigungen versenden
• Kontaktformulare und Shops von Websites, die über ein Microsoft-365-Postfach senden
• Meldungen von Firewall, NAS, USV oder Backup-Software
• Skripte und geplante Aufgaben, die Berichte per E-Mail verschicken

Was ändert sich genau?

Ursprünglich wollte Microsoft die Anmeldung per Passwort schon im März und April 2026 abschalten. Im Januar 2026 hat Microsoft den Zeitplan verschoben. Bis Ende Dezember 2026 bleibt alles, wie es ist. Danach ist die Anmeldung per Passwort für SMTP AUTH in bestehenden Umgebungen standardmäßig ausgeschaltet. Administratoren können sie noch einmal einschalten, das verschafft aber nur Zeit: Das endgültige Ende kündigt Microsoft für die zweite Jahreshälfte 2027 an. Umgebungen, die nach dem Stichtag neu entstehen, können SMTP AUTH nur noch mit OAuth nutzen. Den aktuellen Stand nennt Microsoft im Beitrag Exchange Online to retire Basic auth for Client Submission.

Wie finden Sie heraus, ob Sie betroffen sind?

Den schnellsten Überblick gibt das Exchange Admin Center: Unter Berichte › E-Mail-Fluss zeigt der SMTP Auth-Clientsbericht, welche Absenderadressen noch per SMTP AUTH senden und wie sie sich anmelden. Steht dort „Standardauthentifizierung“, meldet sich das Gerät mit Benutzername und Passwort an. Ergänzen Sie diese Liste um eine Bestandsaufnahme vor Ort: Prüfen Sie in Druckern, Anwendungen und Websites, wo smtp.office365.com mit einem Benutzernamen und Passwort eingetragen ist. Oft hilft ein Blick in die Dokumentation des Herstellers, ob ein Gerät bereits die moderne Anmeldung unterstützt.

Welche Alternativen gibt es?

Welche Lösung passt, hängt davon ab, was das Gerät kann und an wen es Mails schickt. Microsoft beschreibt die Möglichkeiten in der Anleitung Geräte und Anwendungen für den Mailversand einrichten:

• OAuth: Viele aktuelle Multifunktionsgeräte und Anwendungen melden sich nach einem Firmware- oder Software-Update per OAuth an. Das ist der einfachste Weg, wenn das Gerät es unterstützt.
• SMTP-Relay über einen Connector: Das Gerät sendet über den Mailserver Ihrer Domain, erkannt wird es an einer festen öffentlichen IP-Adresse oder an einem Zertifikat. Ein Passwort ist nicht nötig.
• High Volume Email: für Anwendungen, die viele Mails ausschließlich an interne Empfänger senden.
• Azure Communication Services Email: für Anwendungen, die auch an externe Empfänger senden und kein OAuth beherrschen.

Direct Send, also das Senden ohne Anmeldung direkt an Microsoft 365, erreicht nur interne Empfänger und erfordert sauber eingerichtete Einträge für SPF, DKIM und DMARC. Microsoft empfiehlt es nur in Ausnahmefällen.

Warum nicht einfach wieder einschalten?

Das Wiedereinschalten ist eine Notlösung, keine Lösung. Ein Postfach, das sich nur mit einem Passwort anmeldet, lässt sich nicht mit Mehr-Faktor-Anmeldung schützen und ist ein beliebtes Ziel für Angriffe auf Zugangsdaten. Außerdem endet die Möglichkeit ohnehin, sobald Microsoft das endgültige Datum festlegt. Warum die Mehr-Faktor-Anmeldung auch unter NIS2 zu den Mindestmaßnahmen gehört, lesen Sie im Beitrag NIS2 im Mittelstand.

Was sollten Sie jetzt tun?

1. Werten Sie im Exchange Admin Center den SMTP Auth-Clientsbericht aus.
2. Erfassen Sie alle Geräte, Anwendungen und Websites, die über Microsoft 365 Mails versenden.
3. Prüfen Sie je Gerät, ob ein Update die Anmeldung per OAuth ermöglicht.
4. Richten Sie für Geräte ohne OAuth ein SMTP-Relay über einen Connector oder einen anderen Versandweg ein.
5. Testen Sie den Versand nach jeder Umstellung, auch an externe Empfänger.
6. Schließen Sie die Umstellung vor Ende Dezember 2026 ab und schalten Sie SMTP AUTH für Postfächer ab, die es nicht mehr brauchen.

Wie unterstützen wir Sie dabei?

Wir prüfen Ihre Microsoft-365-Umgebung, finden die Geräte, die noch mit Passwort senden, und stellen sie auf einen sicheren Versandweg um. Einen Überblick über weitere offene Punkte gibt der Microsoft 365 Sicherheitscheck, alles zu Lizenzen und Einrichtung finden Sie auf der Seite Microsoft 365. Gegen Phishing und Schadsoftware im Posteingang schützt Hornetsecurity.

Brauchen Sie Unterstützung bei der Umstellung?

Wir übernehmen die Bestandsaufnahme und die Umstellung, vor Ort in Duisburg und der Region oder per Fernwartung. Buchen Sie einen Termin oder schreiben Sie uns über das Kontaktformular.