Was die Abschaltung von Basic Auth in Ihrem Kundenbestand bedeutet
Ende Dezember 2026 ändert sich in jedem Kundentenant eine Voreinstellung, und in jedem Bestand hängen Geräte daran. Auf dieser Seite stehen die Termine, die Geräte, auf die Sie bei einer Bestandsaufnahme stoßen, und die fünf Wege, die es für jeden Fund gibt. Vier davon führen nicht zu uns.
Was wann passiert
Microsoft deaktiviert Basic Authentication für SMTP AUTH in bestehenden Microsoft-365-Tenants standardmäßig Ende Dezember 2026. In Tenants, die danach angelegt werden, ist diese Anmeldeart standardmäßig nicht verfügbar. Was danach kommt, ist weniger dramatisch, als es an vielen Stellen dargestellt wird. Wir schreiben es hier hin, damit Sie es nachprüfen können.
Ende Dezember 2026
Basic Auth für SMTP AUTH wird in bestehenden Tenants standardmäßig deaktiviert. Geräte, die sich mit Benutzername und Passwort an smtp.office365.com anmelden, bekommen ab diesem Zeitpunkt einen Fehler statt einer Zustellung.
Danach, bei Bedarf
Administratoren können SMTP AUTH selbst wieder einschalten. Die Umstellung ist zunächst eine geänderte Voreinstellung, kein Entzug der Funktion.
Zweite Jahreshälfte 2027
Microsoft kündigt den endgültigen Termin für die Entfernung an. Der Termin selbst ist heute nicht bekannt und liegt nach dieser Ankündigung.
Die harte Frist liegt damit später, als der Ton der meisten Beiträge zu diesem Thema vermuten lässt. Wenn Ihr Scanner im Januar 2027 stehen bleibt, können Sie sich Luft verschaffen, statt an einem Freitagnachmittag umzubauen. Umbauen müssen Sie trotzdem, und Geräte in mehreren Filialen umzustellen ist keine Aufgabe für einen Nachmittag.
Was Sie finden, wenn Sie einen Bestand durchgehen
Der Drucker ist der Aufhänger. Die Arbeit steckt in allem anderen, das nie eine OAuth-fähige Firmware bekommen wird, und das steht selten in einer Inventarliste, weil es niemand als E-Mail-Client eingekauft hat. Fangen Sie deshalb nicht bei den Geräten an, sondern im Exchange Admin Center unter Reports > Mail flow > SMTP AUTH Clients: Der Bericht listet die Absender des ganzen Tenants, trennt in der Spalte Authentication Protocol TlsAuthLogin (Basic) von XOAUTH2 und lässt sich als CSV exportieren. Stellen Sie zuerst den Zeitraum um: Voreingestellt sind sieben Tage, einstellbar sind 90, und das Gerät im Lager, das einmal im Monat einen Lieferschein scannt, steht in sieben Tagen nicht drin. Welches Gerät hinter einem Absender steckt, verrät danach der Ordner "Gesendete Elemente" dieses Postfachs, in dem Microsoft 365 bei SMTP AUTH eine Kopie jeder Nachricht ablegt.
Multifunktionsdrucker und Scanner
Scan-to-Mail ist der Klassiker: Das Gerät kennt genau einen SMTP-Server, einen Benutzernamen und ein Passwort, und diese drei Angaben stehen in seiner Weboberfläche, nicht in Ihrer Dokumentation. Vollständig gezählt sind sie selten - das Gerät im Lager, das einmal im Monat einen Lieferschein scannt, taucht in keinem Ticket auf. Große Scans schaltet Mailwerk Relay ab etwa 3 MB automatisch auf eine Upload-Session um, ohne dass das Gerät davon etwas merkt.
ERP und Warenwirtschaft
Rechnungen, Lieferscheine und Bestellbestätigungen gehen direkt aus der Anwendung raus. Der Mailversand steckt in einer Konfigurationsdatei auf dem Anwendungsserver oder in einem Dialog drei Ebenen tief, den seit Jahren niemand angefasst hat, und für die eingesetzte Version gibt es kein Update auf OAuth. Fragen Sie danach nicht die IT des Kunden, sondern den, der die Rechnungen schreibt: Dort fällt es zuerst auf.
Monitoring und Alarmierung
Ein Monitoring, das seine Mails nicht mehr loswird, meldet auch den Ausfall nicht mehr, für den es angeschafft wurde. Der Fehler fällt in der Regel erst auf, wenn zusätzlich etwas anderes schiefgeht. Beim Durchgehen ist das die Klasse, die am ehesten Ihnen selbst gehört: Ihr eigenes Werkzeug, das über ein Postfach des Kunden verschickt. Die Testmail im Benachrichtigungskanal hat seit der Einrichtung niemand mehr gedrückt.
NAS und Backup
Ein Backup-Bericht, der nicht ankommt, sieht aus wie ein Backup, das durchgelaufen ist. Genau deshalb ist der Mailversand aus NAS- und Backup-Systemen die Stelle, an der eine stille Abschaltung richtig teuer wird. Suchen Sie hier zweimal: Das NAS hat eigene SMTP-Einstellungen, die Backup-Software darauf noch einmal ihre eigenen, und beide verschicken.
Kassensysteme und Alarmanlagen
Tagesabschlüsse, Störmeldungen, Türkontakte. Diese Geräte sind zertifiziert oder verplombt, und die Firmware wird nicht wegen einer Authentifizierungsmethode neu aufgelegt. In Ihrer Inventarliste stehen sie meistens gar nicht: Aufgestellt hat sie ein anderes Gewerk, und die Zugangsdaten liegen beim Errichter. Für diese Klasse telefonieren Sie zuerst, bevor Sie etwas umstellen.
Zeiterfassung und alte Branchensoftware
Software, die seit Jahren läuft, meistens auf einer VM, die niemand anfasst, weil sie ja läuft. Den Hersteller gibt es nicht mehr, oder er pflegt die eingesetzte Version nicht mehr; ein Update, das OAuth nachrüstet, wird es hier nicht geben, und Sie müssen auch nicht danach suchen. Sie funktioniert weiter, sobald sie ihre Mails wieder loswird.
Fünf Wege, und wann welcher der richtige ist
Für jeden Fund gibt es fünf Wege, die in der Praxis in Frage kommen. Vier davon führen nicht zu uns: zwei kosten nichts, einer kostet Cent-Beträge, und einer kostet ein neues Gerät. Welcher der richtige ist, entscheiden der Anschluss, die Empfänger und das Gerät, nicht der Anbieter.
Der eingehende Connector von Microsoft
Richtig, wenn der Standort eine feste öffentliche IP-Adresse hat, die er mit keiner anderen Organisation teilt.
Er kostet nichts, er kommt vom Hersteller, und Sie brauchen uns dafür nicht. Eingerichtet wird er im Exchange Admin Center des jeweiligen Kunden, einmal pro Tenant. Die Alternative zur festen Adresse ist ein Zertifikat auf jedem Gerät, und damit kommen die wenigsten Geräte aus der Liste oben zurecht. Dynamische Anschlüsse unterstützt Microsoft für diesen Weg nicht, und genau die haben Filialen und kleine Betriebe meistens.
Ein Firmware-Update auf OAuth
Richtig, wo der Hersteller für genau dieses Modell noch eines liefert.
Kostet nichts außer Ihrer Zeit und erledigt das Gerät endgültig, weil es sich danach selbst per OAuth anmeldet. Prüfen Sie es pro Modell und nicht pro Baureihe: Bei Druckern und Scannern verläuft die Grenze oft mitten durch eine Serie, und ein Gerät von 2019 bekommt, was das gleich aussehende von 2016 nicht mehr bekommt. Fragen Sie den Support nach OAuth 2.0 oder moderner Authentifizierung für Microsoft 365, nicht nach TLS.
High Volume Email von Microsoft
Richtig, wenn das Gerät nur an Empfänger im eigenen Tenant schickt, unter 10 MB bleibt und der Kunde eine Azure-Subscription mit Pay-as-you-go-Abrechnung hat.
Microsoft hat für Geräte einen zweiten Weg, und den trifft die Umstellung im Dezember nicht: Ein HVE-Konto meldet sich an einem eigenen Endpunkt an (smtp.hve.mx.microsoft, Port 587, TLS) und authentifiziert sich laut Microsoft auch dann noch, wenn SMTP AUTH im Tenant abgeschaltet ist. Keine feste Adresse, kein Zertifikat, keine Lizenz, und bezahlt wird nach Verbrauch: 0,000042 US-Dollar je zugestelltem Empfänger, also 42 Dollar je Million. Ein Scanner, der Belege an die eigene Buchhaltung schickt, ist damit erledigt, und Sie brauchen uns dafür nicht. Die Grenzen oben sind allerdings hart: Ohne zugewiesene Abrechnungsrichtlinie sendet ein HVE-Konto überhaupt nicht, nach außen stellt es nie zu, und bei 10 MB ist Schluss. HVE selbst kann beides, OAuth und Benutzername mit Passwort. Nur der zweite Weg setzt voraus, dass im Entra ID die Security Defaults ausgeschaltet sind, und ein Gerät, das kein OAuth kann, lässt Ihnen genau diesen - für dieses Gerät ist das der Preis.
Das Gerät ersetzen
Richtig, wenn es ohnehin am Ende ist. Teuer, wenn nicht.
Ein Multifunktionsgerät, das aus dem Wartungsvertrag läuft, tauschen Sie sowieso; dann ist die Abschaltung nur der Anlass. Eine verplombte Alarmanlage wegen einer Anmeldemethode zu ersetzen, ist etwas anderes: Der Umbau kostet ein Vielfaches dessen, was ein Relay im selben Netz kostet, und die Störmeldung wird davon nicht besser. Rechnen Sie das pro Gerät durch, nicht pro Standort.
Ein Relay im Netz des Kunden
Richtig für den Rest: wechselnde Adressen, Post nach draußen, große Anhänge, kein Azure-Vertrag, Security Defaults, die anbleiben sollen, und Firmware, die nicht mehr aufgelegt wird.
Ein Programm auf einem Rechner im Netz des Kunden nimmt SMTP mit Benutzername und Passwort an und stellt über den Microsoft-365-Tenant genau dieses Kunden per OAuth2 zu. Am Gerät ändern Sie die Serveradresse und die Zugangsdaten, sonst nichts. Das ist Mailwerk und der einzige der fünf Wege, für den Sie uns bezahlen; für einen einzelnen Standort mit fester Adresse ist er der falsche.
Über einen Standort hinweg ist das eine Entscheidung. Über dreißig Kunden hinweg ist es eine Liste, und die vier Wege vor unserem nehmen Ihnen einen guten Teil davon ab, bevor wir überhaupt ins Spiel kommen.
Loslegen
Zwei Standorte kostenfrei, ohne Zahlungsdaten
Kunden anlegen, Agenten ausrollen, Gerät umstellen. Zwei Standorte sind kostenfrei: einer für Ihr eigenes Haus, einer zum Testen beim Kunden. Ab dem dritten wird abgerechnet, für alle Standorte, monatlich und monatlich kündbar.