SMTP AUTH mit Basic Authentication: Was Unternehmen vor Ende 2026 prüfen müssen

Ein Scanner verschickt seine PDF-Dateien per E-Mail. Das ERP sendet Rechnungen. Das Monitoring meldet einen Serverausfall. Seit Jahren funktioniert das über ein Microsoft-365-Postfach mit Benutzername und Kennwort.

Genau diese unscheinbaren Systeme werden bei Änderungen an SMTP AUTH häufig übersehen.

Microsoft hat den Zeitplan für die Abschaltung von Basic Authentication bei SMTP AUTH angepasst. Bis Ende 2026 bleibt das bisherige Verhalten zunächst bestehen. Ab Ende Dezember 2026 wird Basic Authentication für SMTP AUTH bei bestehenden Microsoft-365-Tenants standardmäßig deaktiviert.

Das bedeutet nicht, dass am Stichtag automatisch jedes Gerät ausfällt. Es bedeutet aber: Unternehmen sollten jetzt wissen, welche Systeme noch davon abhängig sind.

Welche Systeme sind typischerweise betroffen?

Outlook ist normalerweise nicht das Problem.

Interessanter sind Geräte und Anwendungen, die selbstständig E-Mails verschicken:

• Multifunktionsdrucker und Scanner
• ERP- und Warenwirtschaftssysteme
• Zeiterfassungen
• Backup-Systeme
• Monitoring-Systeme
• Alarm- und Gebäudetechnik
• ältere CRM-Anwendungen
• selbst entwickelte Anwendungen und Skripte

Ein typisches Beispiel ist ein Scanner, der sich mit einer Adresse wie scanner@firma.de an Microsoft 365 anmeldet und anschließend die eingescannte Datei über SMTP verschickt.

Solche Konfigurationen laufen oft jahrelang unverändert.

Warum fällt das im normalen Betrieb kaum auf?

SMTP-Versand gehört häufig zu den Dingen, die einmal eingerichtet und anschließend vergessen werden.

Bei einer Bestandsaufnahme kennt die IT alle Benutzerpostfächer, Server und Netzwerkkomponenten. Der Drucker im Lager oder die Anwendung in der Buchhaltung taucht dagegen häufig erst dann auf, wenn keine Mail mehr ankommt.

Deshalb sollte die erste Frage nicht lauten:

„Wie stellen wir SMTP AUTH wieder an?“

Sondern:

„Welche Systeme verwenden es überhaupt noch?“

Schritt 1: Alle versendenden Systeme erfassen

Vor einer technischen Änderung sollte eine einfache Liste erstellt werden.

Für jedes System sollten mindestens folgende Informationen bekannt sein:

• Gerät oder Anwendung
• verantwortliche Abteilung
• verwendete Absenderadresse
• SMTP-Server
• Port
• Authentifizierungsmethode
• verwendetes Benutzerkonto
• ungefährer Versandumfang
• interner oder externer Empfängerkreis

Gerade bei länger gewachsenen Umgebungen finden sich dabei regelmäßig Systeme, die niemand mehr auf dem Schirm hatte.

Schritt 2: Nicht jede SMTP-Konfiguration braucht dieselbe Lösung

Es gibt nicht die eine richtige Nachfolgekonfiguration für alle Geräte.

Entscheidend ist, was das jeweilige System unterstützt und wohin es Nachrichten versenden muss.

SMTP AUTH mit OAuth

Wenn die Anwendung moderne Authentifizierung unterstützt, kann SMTP AUTH weiterhin mit OAuth verwendet werden.

Das ist technisch etwas aufwendiger als Benutzername und Kennwort, beseitigt aber die Abhängigkeit von Basic Authentication.

Microsoft-365-Connector

Für bestimmte Anwendungen und Geräte kann ein Connector die passendere Lösung sein.

Das ist besonders interessant, wenn zentrale Systeme aus einer bekannten Infrastruktur heraus E-Mails versenden.

Alternative Versanddienste

Bei Anwendungen mit hohem Mailvolumen oder speziellen Anforderungen kann ein separater Versanddienst sinnvoller sein als ein normales Exchange-Online-Postfach.

Welche Variante passt, hängt vom jeweiligen Einsatzfall ab.

Schritt 3: Alte Konten nicht einfach weiterverwenden

Ein häufiges Problem sind technische Benutzerkonten, die vor Jahren angelegt wurden und seitdem nicht mehr geprüft wurden.

Beispielsweise: scanner@firma.de oder erp-mail@firma.de

Dazu gehört häufig ein Kennwort, das nie geändert wird, weil ansonsten der Mailversand des Geräts ausfallen würde.

Genau solche Konstruktionen sollten überprüft werden.

Zu klären ist:

• Wird das Konto ausschließlich für SMTP verwendet?
• Besitzt es unnötige Berechtigungen?
• Ist interaktive Anmeldung möglich?
• Wird das Konto noch von anderen Systemen verwendet?
• Gibt es eine modernere Versandmöglichkeit?

Nicht jedes technische Konto muss sofort verschwinden. Aber sein Zweck sollte bekannt und dokumentiert sein.

Schritt 4: Erst testen, dann umstellen

Die problematischste Variante ist eine globale Änderung ohne vorherige Bestandsaufnahme.

Wenn SMTP AUTH oder eine Authentifizierungsmethode zentral abgeschaltet wird, können mehrere unscheinbare Systeme gleichzeitig ihren Mailversand verlieren.

Besser ist:

1. versendende Systeme erfassen,
2. Systeme nach technischer Möglichkeit gruppieren,
3. eine Zielkonfiguration auswählen,
4. einzelne Systeme umstellen,
5. Versand intern und extern testen,
6. anschließend die alte Methode abschalten.

So wird aus einer Sicherheitsänderung kein ungeplanter Betriebsstillstand.

Woran erkennt man ein vergessenes System?

Typische Hinweise nach einer Änderung sind:

• Scan-to-Mail funktioniert plötzlich nicht mehr
• Rechnungen werden erzeugt, aber nicht versendet
• Monitoring-Alarme fehlen
• Anwendungen melden SMTP-Authentifizierungsfehler
• ein technisches Postfach zeigt ungewöhnliche Anmeldeversuche
• ein Hersteller empfiehlt plötzlich Änderungen an der Microsoft-365-Konfiguration

Wenn solche Probleme erst nach einer zentralen Abschaltung auftauchen, beginnt die Suche meist unter Zeitdruck.

Die Bestandsaufnahme vorher ist wesentlich günstiger.

Was Unternehmen jetzt tun sollten

Es besteht kein Grund, funktionierende Systeme hektisch umzustellen.

Bis Ende 2026 sollte aber bekannt sein, welche Geräte und Anwendungen noch Basic Authentication mit SMTP AUTH verwenden.

Unsere Empfehlung:

Jetzt

Bestandsaufnahme aller Systeme, die automatisiert E-Mails versenden.

Danach

Prüfen, welche Systeme OAuth unterstützen und für welche ein Connector oder eine andere Versandlösung geeigneter ist.

Vor der Umstellung

Mindestens einen vollständigen Versandtest mit internen und externen Empfängern durchführen.

Anschließend

Nicht mehr benötigte SMTP-AUTH-Konfigurationen und technische Konten bereinigen.

Der wichtigste Punkt

Die eigentliche technische Umstellung ist meistens nicht das größte Problem.

Das größte Problem ist ein Gerät oder eine Anwendung, von der niemand wusste, dass sie noch über dieses Verfahren E-Mails verschickt.

Wer diese Systeme jetzt erfasst, kann die Umstellung geplant durchführen. Wer erst nach dem Ausfall danach sucht, macht dieselbe Arbeit unter Zeitdruck.