Scan-to-Mail mit Office 365 geht nicht mehr? 5 Lösungen

Was sich genau ändert

Ein typischer Scanner ist eingerichtet wie vor zehn Jahren: SMTP-Server smtp.office365.com, Port 587, STARTTLS sowie Benutzername und Passwort eines Postfachs. Diese Anmeldung ist Basic Auth (Standardauthentifizierung) für SMTP AUTH – bei Microsoft Client Submission – und die letzte Stelle in Exchange Online, an der ein einfaches Passwort noch funktioniert.

Abgeschaltet wird das Passwort, nicht SMTP AUTH: Geräte und Anwendungen, die sich per OAuth 2.0 anmelden, nutzen smtp.office365.com weiter. Für alle anderen braucht es einen anderen Weg.

Microsoft hat die Abschaltung angekündigt und die Termine schon mehrfach verschoben. Stand der Aktualisierung vom 27. Januar 2026 (Message Center MC786329):

• Ende Dezember 2026 – Basic Auth für SMTP AUTH wird in bestehenden Mandanten standardmäßig deaktiviert. Administratoren können sie vorerst wieder einschalten.
• Neue Mandanten, die danach angelegt werden, erhalten sie gar nicht mehr – nur noch OAuth.
• Zweite Jahreshälfte 2027 – Microsoft will das endgültige Abschaltdatum bekanntgeben.

In vielen Mandanten ist es schon heute so weit: Die Sicherheitsstandards (Security Defaults), Richtlinien für bedingten Zugriff, die ältere Authentifizierung blockieren, oder MFA auf dem Scanner-Konto stoppen SMTP AUTH mit Passwort bereits jetzt – auch wenn SMTP AUTH am Postfach eingeschaltet ist.

Zuerst den Fehler einordnen

Am Gerät erscheint meist nur „SMTP-Authentifizierungsfehler“ oder „Senden fehlgeschlagen“; den Code liefert das SMTP-Protokoll des Geräts oder die Unzustellbarkeitsmeldung. Nicht jeder Code bedeutet, dass ein neuer Weg nötig ist – manches ist nur eine Einstellung.

Zuerst: alle Geräte finden, die noch SMTP AUTH nutzen

Bevor Sie eine Lösung wählen, machen Sie eine Liste – Scanner sind selten die einzigen Absender.

• Exchange Admin Center → Berichte → Nachrichtenfluss → Bericht über SMTP AUTH-Clients – welche Konten über SMTP AUTH senden und wie viel.
• Microsoft Entra Admin Center → Anmeldeprotokolle, Filter Client-App = Authentifiziertes SMTP – Konto, IP-Adresse und ob die Anmeldung fehlschlug.
• Dann die Liste abarbeiten: Multifunktionsdrucker, Scanstationen, ERP- und Buchhaltungssysteme, Warnmeldungen von NAS und USV, Kamerasysteme, Monitoring, Skripte.

Kann Ihr Drucker OAuth? Die Realität im Markt

Auf dem Papier klingt „Firmware aktualisieren und auf OAuth umstellen“ wie die naheliegende Lösung. In der Praxis hängt es davon ab, aus welcher Geräteklasse der Drucker stammt. Das sagen die großen Hersteller öffentlich:

Zusammengestellt aus öffentlicher Herstellerdokumentation, Stand Oktober 2026 – die Herstellernamen verlinken auf die Quelle (meist englisch). Die Listen ändern sich mit jeder Firmware – prüfen Sie immer Ihr genaues Modell und Ihren Firmware-Stand.

Das ist eine Auswertung veröffentlichter Dokumentation, keine Verkaufsstatistik – aber drei Schlüsse liegen nahe:

1. Kleine Büros gehen meist leer aus. OAuth kommt zuerst in Enterprise- und Managed-Print-Serien. Die günstigen Tisch-MFPs, die kleine Büros tatsächlich kaufen, stehen in der geprüften Dokumentation selten auf den Listen.
2. Drucker werden nicht nach Microsofts Zeitplan getauscht. Ein Gerät, das vor fünf oder sieben Jahren gekauft wurde, druckt einwandfrei – und niemand plant wegen einer geänderten Anmeldung eine neue Geräteflotte ein.
3. Auch wo es OAuth gibt, ist es kein Häkchen. Firmware-Update, App-Registrierung oder Administratorzustimmung in Microsoft Entra ID, Anmeldung auf der Weboberfläche des Geräts, ein Token, das erneuert werden muss – und manche Umsetzungen senden gar nicht per SMTP, sondern über Exchange Web Services oder Microsoft Graph, womit Lizenzfragen ins Spiel kommen.

Auch mit OAuth kostet das Scanner-Postfach Geld

Ein Gerät, das sich per OAuth anmeldet, meldet sich als Benutzer an. Ein freigegebenes Postfach kann sich nicht selbst anmelden – der Scanner braucht also ein normales, lizenziertes Konto. Ob ein Konto von mehreren Adressen senden kann, hängt vom Gerät ab: Mit der Berechtigung Senden als lassen manche Geräte einen anderen Absender zu, viele senden aber immer vom angemeldeten Konto – dann ist jede Absenderadresse eine weitere Lizenz.

• Exchange Online Kiosk (rund 2 $ pro Benutzer und Monat) wirkt naheliegend – und scheitert am häufigsten. Kiosk hat kein IMAP und keine Exchange Web Services, und seit 2026 blockiert Microsoft EWS für Postfächer, die nur mit Kiosk lizenziert sind. Drucker-Integrationen über EWS oder Graph funktionieren damit schlicht nicht.
• In der Praxis braucht es Exchange Online Plan 1 (rund 4 $ pro Benutzer und Monat) oder Microsoft 365 Business Basic (7 $ pro Benutzer und Monat seit Juli 2026) – oder einen höheren Plan.
• Beispiel: Fünf Standorte, deren Geräte sich jeweils mit eigenem Konto anmelden, sind fünf Lizenzen – rund 240–420 $ im Jahr zu Listenpreisen, bevor eine einzige Seite gescannt ist.

US-Listenpreise bei Jahresbindung, geprüft im Oktober 2026 auf Microsofts Seiten zu Exchange Online und Microsoft 365 for Business; Euro-Preise in Deutschland, Österreich und der Schweiz sowie Partnerrabatte weichen ab.

Zum Vergleich: Ein freigegebenes Postfach wie scan@ihredomain.de braucht bis 50 GB keine Lizenz. Ein solches Postfach lässt sich mit der App PostMount an einen Scanner oder jedes andere Gerät anbinden.

Fünf Wege, damit Scan-to-Mail weiter funktioniert

Die fünf Wege im Vergleich

Jede Spalte ist als Vorteil formuliert: ja, eine Einschränkung, funktioniert unter Bedingungen.

Welcher Weg passt zu Ihrem Büro

• Das Gerät kann OAuth 2.0 für Microsoft 365 → nutzen Sie es; sonst ist nichts zu betreiben.
• Scans gehen nur an Kollegen im eigenen Haus und Ihr Administrator erlaubt Direct Send → Direct Send kann reichen.
• Es gibt noch einen lokalen Exchange-Server, der ohnehin weiterläuft → als Relay mit Connector nutzen.
• Sie haben eine statische öffentliche IP und ausgehenden Port 25 und jemanden, der den Connector pflegt → SMTP-Relay über einen Connector.
• Das Gerät kann kein OAuth, Scans gehen nach außen oder das Büro hat keine statische IP → ein lokales Gateway wie PostMount.
• Sie brauchen eine Woche zum Planen → SMTP AUTH für ein Postfach wieder einschalten verschafft Zeit, mehr nicht.

Einrichtung mit PostMount

Transparenzhinweis: Diese Anleitung stammt vom Hersteller von PostMount. Die anderen vier Wege oben kommen ohne unsere Software aus.

1. PostMount installieren – aus dem Microsoft Store auf einem PC oder Server, der durchgehend läuft.
2. Anmelden mit Ihrem Microsoft 365-Konto. Die erste Anmeldung muss der Administrator Ihres Mandanten einmalig genehmigen.
3. Absender wählen. Ihr eigenes Postfach – oder besser ein freigegebenes wie scan@ihredomain.de: Freigegebene Postfächer bis 50 GB brauchen keine Lizenz.
4. Mail-Gateway einschalten und die IP-Adressen Ihrer Scanner zur Liste der zugelassenen Adressen hinzufügen. Geräte im Netzwerk brauchen den Tarif Standard oder Pro; Basic deckt nur Apps auf demselben PC ab.
5. Das Gerät auf PostMount einstellen:

Senden Sie einen Testscan. In der Gateway-Liste von PostMount sehen Sie das Gerät mit Namen und IP, den letzten Versand und etwaige Fehler. Ist Microsoft 365 kurz nicht erreichbar, warten Nachrichten in einer Warteschlange und gehen automatisch hinaus.

Fragen

Funktioniert das mit meinem Drucker?

Meist ja, wenn sich am Gerät SMTP-Server und Port einstellen lassen, es ohne STARTTLS senden kann und eine Absenderadresse nutzt, für die Sie Rechte haben. Die 14-tägige Testversion ist der schnellste Weg, Ihr genaues Modell zu prüfen.

Braucht das Scanner-Postfach eine Microsoft 365-Lizenz?

Nicht, wenn Sie aus einem freigegebenen Postfach bis 50 GB senden, etwa scan@ihredomain.de. Keine eigene Lizenz für den Scanner: Das Konto, mit dem Sie sich bei PostMount anmelden, braucht nur die Berechtigung „Senden als“ für dieses Postfach.

Können Scans an externe Empfänger gehen?

Ja – über PostMount, einen Connector oder SMTP AUTH. Direct Send stellt nur innerhalb der Organisation zu.

Brauche ich eine statische IP oder offene Ports ins Internet?

Nein. Geräte erreichen den PostMount-PC im lokalen Netzwerk; PostMount braucht nur ausgehendes HTTPS zu Microsoft 365.

Laufen meine E-Mails über einen fremden Server?

Nein. PostMount läuft auf Ihrem eigenen PC und sendet direkt an Microsoft 365 – anders als Cloud-Relay-Dienste von Drittanbietern. Unser Lizenzserver erhält nur E-Mail-Adresse, Computername und eine Computerkennung, nie Ihre Nachrichten.

Quellen

• Microsoft Exchange Team – Exchange Online to retire Basic auth for Client Submission (SMTP AUTH) (englisch).
• Office 365 for IT Pros – SMTP AUTH Client Submission retirement delayed (englisch).
• Microsoft Learn – Einrichten eines Multifunktionsgeräts oder einer Anwendung zum Senden von E-Mails mit Microsoft 365.
• Office 365 for IT Pros – Reject Direct Send in Exchange Online (englisch).
• Microsoft Learn – Sicherheitsstandards in Microsoft Entra ID.