SMTP-Relay und E-Mail-Routing in Microsoft 365 einrichten

In jeder Umgebung versendet mehr als nur Outlook: der Scanner im Flur, die Warenwirtschaft mit Rechnungsversand, das Ticketsystem, die Zeiterfassung mit Monatsberichten. Diese Systeme fallen bei einer Migration regelmäßig durch, weil niemand sie auf der Liste hatte — und weil sie kein Postfach haben, das man vermissen würde.

Microsoft 365 bietet drei Wege für diesen Versand. Sie unterscheiden sich in dem, was sie können, und in dem, was sie voraussetzen.

Weg 1: Direct Send

Das Gerät liefert direkt an den Microsoft-Endpunkt Ihrer Domain, ohne Anmeldung. Es braucht kein Konto und kein Kennwort.

• Versendet nur an Empfänger in Ihren eigenen Domains — Nachrichten nach außen werden nicht angenommen
• Keine Anmeldedaten auf dem Gerät, damit kein Kennwort, das abfließen kann
• Absenderadresse muss zu einer verifizierten Domain gehören
• Die IP des Geräts muss im SPF-Eintrag stehen, sonst leidet die Zustellbarkeit

Passt für Scanner, die an interne Adressen liefern. Sobald ein System nach außen versenden soll, ist dieser Weg falsch.

Weg 2: SMTP AUTH mit einem Postfach

Die Anwendung meldet sich mit Benutzername und Kennwort an und versendet über ein reguläres Postfach — auch nach außen.

• Braucht ein eigenes Postfach mit Lizenz, kein geteiltes Benutzerkonto
• Konflikt mit Sicherheitsvorgaben: SMTP AUTH ist ein veraltetes Verfahren und wird bei der Absicherung mandantenweit blockiert
• Wo es nötig bleibt, wird die Ausnahme auf dieses eine Konto begrenzt, dokumentiert und befristet
• Der Zugriff wird über Conditional Access auf die IP des Geräts eingeschränkt

Das ist der Weg, der bei einer Sicherheitshärtung als erstes bricht. Wenn ein Newsletter-Werkzeug oder eine Fachanwendung ohne Vorwarnung nicht mehr versendet, liegt es fast immer hier — der Zusammenhang steht im Beitrag E-Mail-Sicherheit in Microsoft 365.

Weg 3: Connector

Ein eingehender Connector nimmt Nachrichten von einer festgelegten IP-Adresse oder mit einem Zertifikat an. Das Gerät selbst braucht keine Anmeldedaten.

• Versendet an interne und externe Empfänger
• Keine Kennwörter auf dem Gerät
• Setzt eine feste öffentliche IP-Adresse voraus — oder ein Zertifikat
• Der Connector erhält einen dokumentierten Zweck; mehrere Connectoren für dieselbe Aufgabe sind die häufigste Ursache für undurchsichtigen Mailflow

Für Unternehmen mit fester IP ist das der saubere Weg. Er ist etwas mehr Einrichtungsaufwand und dafür der einzige, der ohne Kennwort und ohne Altprotokoll funktioniert.

Welcher Weg wofür

• Scanner, nur intern: Direct Send
• Fachanwendung mit Versand nach außen, feste IP vorhanden: Connector
• Fachanwendung ohne feste IP: SMTP AUTH mit begrenzter, befristeter Ausnahme
• Newsletter und Massenversand: keiner der drei — dafür gehört ein spezialisierter Dienst mit eigener Subdomain und eigenem DKIM-Schlüssel

Der letzte Punkt wird oft übersehen: Massenversand über die eigene Domain beschädigt bei Beschwerden die Zustellbarkeit der normalen Geschäftspost.

E-Mail-Routing bei mehreren Domains

Wenn ein Unternehmen mehrere Domains betreibt — Firmierung, Marke, Altbestand — entscheidet das Routing, was mit welcher Adresse passiert. Drei Muster deckt die Praxis ab:

• Alias: Zweitdomain zeigt auf dieselben Postfächer. Einfachster Fall, keine eigene Verwaltung nötig.
• Getrennte Postfächer: jede Domain mit eigenen Konten. Nötig, wenn die Marken getrennt auftreten müssen.
• Weiterleitung nach außen: Altdomain wird an ein anderes System übergeben. Braucht besondere Aufmerksamkeit, weil Weiterleitungen die Authentifizierung brechen können.

Beim dritten Muster ist DMARC der kritische Punkt: Eine Weiterleitung verändert den Versandweg, und die Prüfung schlägt fehl, wenn das Zielsystem nicht darauf eingerichtet ist.

Vor der Migration: die Bestandsliste

Diese Liste sollte vor jedem Umzug stehen, weil sie am Umschalttermin nicht mehr zu erstellen ist:

• Welche Geräte und Anwendungen versenden — inklusive der, die es nur einmal im Monat tun
• Über welchen Weg und mit welcher Absenderadresse
• An interne oder externe Empfänger
• Wer im Haus dafür zuständig ist
• Ob das System moderne Authentifizierung unterstützt

Die Protokolle im Nachrichtenverlauf zeigen den tatsächlichen Zustand — verlässlicher als jede Umfrage im Unternehmen. Wie man dort systematisch eingrenzt, beschreibt der Beitrag Mailflow / SMTP.

Was bleibt

Direct Send für internen Versand, Connector bei fester IP, SMTP AUTH nur als begrenzte und befristete Ausnahme, spezialisierte Dienste für Massenversand. Und vor allem: die Bestandsliste vor der Migration, nicht danach.