Warum dieses Tool?
Microsoft schaltet in Exchange Online die einfache Anmeldung mit Benutzername und Kennwort beim Mailversand (SMTP AUTH Basic) ab. Ab Ende Dezember 2026 ist sie in bestehenden Mandanten standardmäßig deaktiviert, neue Mandanten bekommen sie dann gar nicht mehr. Das endgültige Abschaltdatum kündigt Microsoft gesondert an. Betroffen sind vor allem Geräte und Programme, die moderne Anmeldung (OAuth) nicht beherrschen: Multifunktionsgeräte mit Scan-to-Mail, Fachanwendungen, Sicherungssoftware, USV, Telefonanlage, Überwachungstechnik.
Das ISW M365 SMTP Relay löst das Problem lokal: Es nimmt Mails im eigenen Netz ganz normal per SMTP an und stellt sie über Microsoft Graph mit einer zertifikatsbasierten App-Anmeldung zu. Am Gerät ändert sich nur der Server – kein Firmware-Update, kein Austausch, keine offenen Kennwörter von Postfächern im Drucker.
Vorteile des Tools
- Weiter scannen wie bisher: Geräte senden per SMTP an das Relay, die Zustellung läuft über Microsoft Graph
- Kein Postfach-Kennwort im Gerät: Geräte melden sich nur am Relay an – mit eigenem Zugang, der jederzeit gesperrt werden kann
- Nur freigegebene Absender: Die App darf ausschließlich aus ausgewählten Postfächern senden (Exchange RBAC for Applications)
- Geführte Einrichtung: Assistent in acht Schritten – von der Voraussetzungsprüfung bis zum erfolgreichen Gerätetest
- Mehrere Mandanten: Ein Relay bedient beliebig viele Microsoft-365-Mandanten – ideal für Dienstleister
- Nichts geht verloren: Warteschlange mit automatischer Wiederholung, Protokoll jeder Zustellung, Alarm per Mail
- Läuft lokal: Windows-Dienst beim Kunden, keine Cloud dazwischen, keine Abogebühren für Dritte
Lizenzierung
Gute Software muss nicht teuer sein.
Einmalig 299,00 € (inkl. 19% MwSt.)
- Standortlizenz ohne Geräte- und Benutzerbegrenzung
- Keine Folgekosten, keine Abonnements
- Kostenlose Updates innerhalb der Hauptversion
Produkthandbuch M365 SMTP Relay
Send download link to:
So funktioniert das Relay
1. Annahme im eigenen Netz
Das Gerät sendet wie gewohnt per SMTP an den Relay-Server (Port 25 und 587, optional mit STARTTLS). Es meldet sich mit einem eigenen Gerätezugang an oder wird – bei älteren Geräten ohne Anmeldung – über seine IP-Adresse erkannt.
2. Prüfung und Warteschlange
Das Relay prüft Zugang, Netz, Empfängerdomäne, Größe und Senderate und legt die Nachricht in eine lokale Warteschlange. Fällt die Internetverbindung aus, wird später automatisch erneut zugestellt.
3. Zustellung über Microsoft Graph
Der Dienst meldet sich mit einem Zertifikat an Microsoft Entra ID an und versendet über Microsoft Graph aus dem freigegebenen Absenderpostfach – auch große Scans mit vielen Seiten.
Kein offenes Relay
Das Relay ist nur ausgehend. Es nimmt keine Mails aus dem Internet an, und senden dürfen nur angemeldete oder per IP freigegebene Geräte aus den erlaubten Netzen.
Sicherheit
Zertifikat statt Geheimnis
Die App meldet sich mit einem Zertifikat an, dessen privater Schlüssel nicht exportierbar im Computerspeicher des Servers liegt. Erneuern per Knopfdruck – der alte Schlüssel wird dabei in Entra ID ersetzt.
Senderecht nur für ausgewählte Postfächer
Über Exchange RBAC for Applications darf die App nur aus den Postfächern einer eigenen Gruppe senden. Ein Zugriff auf andere Postfächer des Mandanten ist ausgeschlossen.
Schutz vor Missbrauch
Erlaubte Netze, Empfängerdomänen je Gerät, Senderate je Stunde, maximale Empfängerzahl und eine Sperre nach fünf Fehlanmeldungen verhindern, dass ein übernommenes Gerät das Postfach für Spam missbraucht.
Gerätekennwörter werden nur als Prüfwert gespeichert, Geheimnisse liegen AES-256-verschlüsselt im Maschinentresor. Jede Annahme, Ablehnung und Zustellung landet im Protokoll und im Windows-Ereignisprotokoll.
Compliance-Anforderungen
Das Relay unterstützt die Umsetzung gängiger Sicherheitsanforderungen beim Mailversand aus Geräten und Anwendungen:
| Standard | Relevante Anforderungen |
|---|---|
| BSI IT-Grundschutz | ORP.4: Identitäts- und Berechtigungsmanagement OPS.1.1.5: Protokollierung |
| ISO 27001:2022 | A.5.17: Authentisierungsinformationen A.8.5: Sichere Authentisierung A.8.15: Protokollierung |
| NIS2 | Art. 21: Zugriffskontrolle, Kryptografie und sichere Authentisierung als Risikomanagementmaßnahmen |
| DSGVO | Art. 32: Sicherheit der Verarbeitung Nachweis über Zustellprotokoll und Berichte |
Funktionsübersicht
Die Verwaltung ist in vier Bereiche gegliedert, dazu kommen Einrichtungsassistent und Einstellungen:
| Bereich | Funktion |
|---|---|
| Dashboard | Dienststatus, Warteschlange, Zustellungen und Ablehnungen auf einen Blick, Hinweise mit Handlungsbedarf |
| Geräte | Gerätezugänge anlegen, Kennwort erzeugen, Absenderpostfach, Grenzen und Gerätetest |
| Mandanten | Microsoft-365-Mandanten verbinden, Absenderpostfächer freigeben, Zertifikat erneuern, Testmail |
| Zustellungen | Protokoll jeder Nachricht mit Filter, Detailansicht und Export als PDF, HTML, CSV und JSON |
| Einrichtung | Geführter Assistent in acht Schritten |
| Einstellungen | Empfang, TLS-Zertifikat, Netze, Zustellung, Benachrichtigungen, Sicherung und Servertausch |
Einrichtung mit dem Assistenten
Der Assistent führt Schritt für Schritt durch die Einrichtung und merkt sich den Fortschritt – auch nach einem Neustart.
| Schritt | Name | Was passiert |
|---|---|---|
| 1 | Voraussetzungen | Prüft Administratorrechte, Internetzugang zu Microsoft 365 und die PowerShell-Module – und installiert fehlende Komponenten auf Knopfdruck |
| 2 | Dienst | Installiert und startet den Windows-Dienst |
| 3 | Mandant | Legt App, Zertifikat, Absendergruppe und Senderecht im Mandanten an – das Ergebnis wird automatisch übernommen |
| 4 | Testmail | Sendet eine Testmail über Microsoft Graph aus dem Absenderpostfach |
| 5 | Gerät | Legt den Gerätezugang mit sicherem Kennwort an und zeigt die Werte für das Gerät |
| 6 | Gerätetest | Sendet mit den Gerätedaten über das Relay und verfolgt die Zustellung |
| 7 | Absichern | Erlaubte Netze, Firewallregel, Benachrichtigungen und Selbstprüfung |
| 8 | Fertig | Zusammenfassung aller Einstellungen für die Dokumentation |
Hinweis
Für die Einrichtung im Mandanten ist einmalig eine Anmeldung als Administrator nötig (Anwendungs- und Exchange-Administrator). Danach arbeitet der Dienst ohne Benutzerkonto.
Geräte
Jedes Gerät oder jede Anwendung bekommt einen eigenen Zugang. So ist im Protokoll immer klar, wer gesendet hat, und ein einzelnes Gerät lässt sich sperren, ohne die anderen zu stören.
| Einstellung | Beschreibung |
|---|---|
| Anmeldung | Benutzername und Kennwort am Relay – ein sicheres Kennwort erzeugt die Verwaltung auf Knopfdruck. Alternativ ohne Anmeldung über feste Quell-IP für ältere Geräte. |
| Absenderpostfach | Aus welchem freigegebenen Postfach das Gerät sendet, z. B. scanner@firma.de |
| Empfängerdomänen | Optional: nur an bestimmte Domänen senden, z. B. nur an die eigene Firma |
| Grenzen | Maximale Empfänger je Nachricht und Nachrichten je Stunde |
| Gerätetest | Prüft den kompletten Weg mit den Zugangsdaten des Geräts, bevor jemand zum Drucker geht |
Tipp
Steht noch kein Gerät bereit, ersetzt das mitgelieferte Testskript den Scanner: Es führt den echten SMTP-Dialog und sendet eine Mail mit PDF-Anhang – jede Ablehnung erscheint sofort mit Grund.
Mandanten und Absenderpostfächer
Ein Relay kann mehrere Microsoft-365-Mandanten bedienen. Für jeden Mandanten werden eigene App, eigenes Zertifikat und eigene Absenderpostfächer verwaltet.
- Absenderpostfächer freigeben und entziehen: direkt aus der Verwaltung, mit Prüfung, ob das Postfach existiert und kein Alias ist
- Abgleichen: liest die aktuellen Freigaben aus Exchange Online
- Neues Zertifikat: erzeugt ein neues App-Zertifikat und hinterlegt es in Entra ID – zur Erneuerung oder beim Servertausch
- Testmail: prüft Anmeldung und Senderecht unabhängig von den Geräten
Wichtig
Absenderpostfächer müssen echte Postfächer sein, keine Aliasadressen – freigegebene Postfächer eignen sich gut. Neue Freigaben wirken in Exchange Online nach bis zu 30 Minuten.
Zustellungen und Berichte
Jede Nachricht wird mit Zeit, Status, Gerät, Absender, Empfänger, Größe und Meldung protokolliert. Ein Doppelklick zeigt alle Details einschließlich der technischen Angaben von Microsoft.
- Status: Zugestellt, in Warteschlange, Wiederholung, Fehlgeschlagen oder Abgelehnt – mit Grund
- Export: PDF, HTML, CSV und JSON für Dokumentation und Auswertung
- Bericht per Mail: Zustellbericht direkt an die IT oder den Kunden senden
- Erneut senden: Fehlgeschlagene Nachrichten nach Behebung der Ursache wieder einreihen
Überwachung
- Benachrichtigungen per Mail: bei endgültig fehlgeschlagener Zustellung, voller Warteschlange, ablaufendem Zertifikat oder gestopptem Dienst
- Selbstprüfung: prüft den Dienst regelmäßig und startet ihn bei Bedarf neu
- Windows-Ereignisprotokoll: eigene Ereignis-IDs für Monitoring-Systeme
- Status-Widget: beim Minimieren bleiben die wichtigsten Kennzahlen sichtbar
Sicherung und Servertausch
Die komplette Konfiguration – Geräte, Mandanten, Absenderpostfächer und Einstellungen – lässt sich als verschlüsselte Datei (AES-256) exportieren und auf einem neuen Server importieren. Dort wird per Knopfdruck ein neues App-Zertifikat erzeugt, danach sendet der neue Server weiter.
Tipp
Mit einem DNS-Alias wie smtp-relay.firma.local in den Geräten genügt beim Servertausch eine DNS-Änderung – die Geräte selbst müssen nicht angefasst werden.
Hilfe und Handbuch
Alles, was für Einrichtung und Betrieb wichtig ist, steht direkt im Programm. Die integrierte Hilfe ist nach Aufgaben gegliedert – Los geht’s, Im Betrieb, Sicherheit und Einstellungen und Wenn es hakt – und führt mit Schritt-für-Schritt-Anleitungen, Tabellen und Praxistipps durch jedes Thema. Eine Suche findet jedes Stichwort sofort, PowerShell-Befehle lassen sich mit einem Klick kopieren.
- Über 20 Themen: von der Vorbereitung im Mandanten über Geräte, Absenderpostfächer und Zertifikate bis zu Sicherung und Servertausch
- Fehlermeldungen mit Lösung: Jede Ablehnung des Relays, jede Meldung von Microsoft 365 und jeder Stolperstein bei der Einrichtung ist mit Ursache und konkretem Vorgehen beschrieben
- Aus der Praxis: Hinweise zu Modulkonflikten, Token-Software, mehreren Relays im selben Mandanten oder der Wartezeit in Exchange Online – Dinge, die in keiner Microsoft-Dokumentation zusammen stehen
- Ohne Internet nutzbar: Die Hilfe ist Teil des Programms und steht auch auf abgeschotteten Servern zur Verfügung
Ergänzend gibt es das ausführliche Anwenderhandbuch zum Download: mit vollständiger Schritt-für-Schritt-Einrichtung, allen Einstellungen, Ereignis-IDs für das Monitoring und einem eigenen Kapitel zur Fehlersuche – ideal für die Dokumentation beim Kunden.
Gut zu wissen
Wer die Hilfe öffnet, muss nicht suchen: Jede Frage, die bei Einrichtung und Betrieb auftaucht, ist dort beantwortet – meist mit dem passenden Befehl zum Kopieren.
Systemvoraussetzungen
| Bereich | Voraussetzung |
|---|---|
| Server | Windows Server 2016 oder neuer (auch Windows 10/11), .NET 10 Desktop Runtime |
| Netz | Ausgehend HTTPS zu Microsoft 365, eingehend SMTP (Port 25 oder 587) aus dem Geräte-Netz |
| Microsoft 365 | Exchange Online, mindestens ein Postfach als Absender |
| Einrichtung | Einmalig Anmeldung als Anwendungs- und Exchange-Administrator; PowerShell-Module installiert der Assistent selbst |
| Geräte | Jedes Gerät oder Programm, das per SMTP senden kann – mit oder ohne Anmeldung, mit oder ohne TLS |
ISW M365 SMTP Relay – Scannen wie bisher, zustellen wie Microsoft es will
Teil der ISW-Tools Suite von IT-Service Walter
© 2027 IT-Service Walter | Alle Rechte vorbehalten