Exchange Online SMTP Relay mit statischer öffentlicher IP‑Adresse konfigurieren

Microsoft hat angekündigt, die Basic Authentication für SMTP AUTH in Exchange Online schrittweise zu deaktivieren. Bestehende Tenants werden die Funktion zunächst weiterhin verwenden können, langfristig ist jedoch eine vollständige Deaktivierung vorgesehen. Details zur aktuellen Roadmap und zur geplanten Abschaltung sind im Exchange Team Blog veröffentlicht: Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline | Microsoft Community Hub

Als Ersatz für SMTP AUTH Basic Authentication wird die moderne Authentifizierung mit OAuth vorgeschlagen. Viele Geräte und Anwendungen unterstützen jedoch keine moderne Authentifizierung mit OAuth. Typische Beispiele sind Multifunktionsgeräte, Scanner oder Legacy Anwendungen. Für diese Szenarien stellt Microsoft weiterhin den Versand über SMTP Relay zur Verfügung.

Bei der Verwendung eines Exchange Online-SMTP Relays ist keine Authentifizierung mittels Benutzername oder Passwort erforderlich. Stattdessen wird die Verbindung über einen Exchange Online Connector mittels statischer öffentlicher IP-Adresse oder über ein Zertifikat authentifiziert.

Dieser Artikel zeigt, wie sich ein Exchange Online SMTP Relay mit statischer öffentlicher IP-Adresse über einen Connector konfigurieren lässt.

Voraussetzungen und Lizenzierung

Exchange Online vorhanden

Für SMTP Relay muss Exchange Online im Microsoft Tenant vorhanden sein.
Ein eigenes Postfach für den Absender ist nicht erforderlich. Die Absenderadresse muss jedoch zu einer akzeptierten Domäne im Exchange Online gehören.

Geeignete Pläne für Exchange Online sind zum Beispiel:

• Exchange Online Plan 1
• Microsoft 365 Business Basic, Standard und Premium
• Microsoft 365 E3 und E5

Eine Übersicht der Microsoft Lizenzpakete mit ihren Features kann unter https://m365maps.com/ abgerufen werden.

Statische öffentliche IP-Adresse

Die Authentifizierung am SMTP Relay erfolgt über die Quell-IP-Adresse. Vorausgesetzt wird deshalb eine statische öffentliche IPv4-Adresse.

Port 25 TCP erreichbar

SMTP Relay über Exchange Online verwendet Port 25 TCP. Die Firewall und der Internet Provider müssen ausgehende Verbindungen über Port 25 zulassen.

DNS Konfiguration

Für eine erfolgreiche Zustellung an externe Empfänger sollte die statische öffentliche IP-Adresse per SPF autorisiert sein. Optional können zusätzlich DKIM und DMARC verwendet werden. Weitere Informationen sind im folgenden Blogpost nachzulesen: Einrichten von SPF, DKIM und DMARC in Exchange Online – cloudkaffee.ch

Rollen

Für die Konfiguration eines Exchange Online SMTP Relay ist nach dem Prinzip der geringsten Berechtigungen folgende Rolle geeignet:

Rolle	Berechtigung
Exchange Administrator	Verwaltung von Exchange Online, Mailflow und Connectoren

Exchange Online Connector für SMTP Relay erstellen

Für SMTP Relay mit statischer öffentlicher IP-Adresse ist in Exchange Online ein Connector erforderlich. Dieser Connector legt fest, von welchen öffentlichen Quell-IP-Adressen Exchange Online Nachrichten ohne Authentifizierung annimmt.

Die Konfiguration erfolgt im Exchange Admin Center (https://admin.exchange.microsoft.com) > E-Mail-Fluss > Connectors > Connector hinzufügen

E-Mail-Server Ihrer Organisation auswählen, Weiter klicken.

Name des Connectors eingeben, z. B. SMTP Relay – Static Public IP
Option Aktivieren auswählen und Weiter klicken.

Authentifizierungstyp Durch überprüfen, ob die IP-Adresse des sendenden Servers mit einer der folgenden IP-Adressen übereinstimmt, die exklusiv zu Ihrer Organisation gehören auswählen und die statische öffentliche IP-Adresse eingeben. Weiter klicken.

Eingaben prüfen und den Connector mit Connector erstellen anlegen.

Der Exchange Online Connector ist erfolgreich erstellt und aktiviert.

SMTP Einstellungen für Geräte und Anwendungen

MX-Endpunkt der eigenen Domäne ermitteln

Der SMTP-Server für das Relay ist nicht wie fälschlicherweise oft angenommen smtp.office365.com, sondern der MX-Endpunkt der eigenen Domäne.

Der MX-Endpunkt kann im Microsoft 365 Admin Center ermittelt werden:
Microsoft 365 Admin Center (https://admin.microsoft.com) > Einstellungen > Domänen > Domäne auswählen > DNS-Einträge > MX-Wert (1)
Beispiel eines MX-Endpunkts: cloudcoffee-ch.mail.protection.outlook.com
Dieser Wert wird auf dem Gerät oder in der Anwendung als SMTP-Server eingetragen.

SMTP Konfiguration für Geräte und Anwendungen

Geräte und Anwendungen können mit den nachfolgenden Angaben auf den Exchange Online SMTP Relay zugreifen. Für die Authentifizierung wird kein Benutzername oder Passwort benötigt. Die Authentifizierung erfolgt über die statische öffentliche IPv4-Adresse.

SMTP-Server	MX-Endpunkt der eigenen Domäne z.B. cloudcoffee-ch.mail.protection.outlook.com
Port	25 TCP
TLS / StartTLS	Aktiviert
Authentifizierung	Keine
Absenderadresse	Adresse einer von Exchange Online akzeptierten Domäne z.B. scanner@cloudcoffee.ch

Die Absenderadresse muss kein eigenes Postfach besitzen. Sie muss jedoch Teil einer akzeptierten Domäne im Microsoft 365 Tenant sein.

SMTP Relay Test mit PowerShell durchführen

Zur Überprüfung der SMTP Relay Konfiguration kann eine Testnachricht per PowerShell gesendet werden. Das nachfolgende Skript verwendet den Exchange Online SMTP Relay Connector und ermittelt anhand der Absenderadresse automatisch den MX-Endpunkt der Senderdomäne.

Im Skript müssen folgende Werte angepasst werden:

• Emailadresse aus der konfigurierten Senderdomäne (1)
• Empfängeradresse (2)

Der Versand muss von einem Client erfolgen, dessen ausgehende Verbindung über die statische öffentliche IP-Adresse aufgebaut wird, die im Exchange Online Connector hinterlegt ist. Zusätzlich muss Port 25 TCP für die ausgehende Verbindung erreichbar sein.

# ===============================
# Configuration
# ===============================

$From = "(1)"
$To   = "(2)"

# ===============================
# Resolve domain and MX record
# ===============================

try {
    $Domain = ($From -split "@")[-1]

    if ([string]::IsNullOrWhiteSpace($Domain)) {
        throw "The sender address does not contain a valid domain."
    }

    $MxRecord = Resolve-DnsName -Name $Domain -Type MX -ErrorAction Stop |
        Sort-Object -Property Preference |
        Select-Object -First 1

    if (-not $MxRecord -or [string]::IsNullOrWhiteSpace($MxRecord.NameExchange)) {
        throw "No MX record could be resolved for domain '$Domain'."
    }

    $SmtpServer = $MxRecord.NameExchange.TrimEnd('.')

    Write-Host "Resolved domain: $Domain" -ForegroundColor Cyan
    Write-Host "Resolved MX record: $SmtpServer" -ForegroundColor Cyan
}
catch {
    Write-Host "MX record lookup failed:" -ForegroundColor Red
    Write-Host $_.Exception.Message
    return
}

# ===============================
# Test message
# ===============================

$Subject = "Exchange Online SMTP Relay Test - $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')"
$Body    = "This is a test message sent through an Exchange Online SMTP relay connector."

try {
    $Message = New-Object System.Net.Mail.MailMessage
    $Message.From = $From
    $Message.To.Add($To)
    $Message.Subject = $Subject
    $Message.Body = $Body

    $SmtpClient = New-Object System.Net.Mail.SmtpClient($SmtpServer, 25)
    $SmtpClient.EnableSsl = $true
    $SmtpClient.DeliveryMethod = [System.Net.Mail.SmtpDeliveryMethod]::Network

    $SmtpClient.Send($Message)

    Write-Host "SMTP relay test successful." -ForegroundColor Green
}
catch {
    Write-Host "SMTP relay test failed:" -ForegroundColor Red
    Write-Host $_.Exception.Message
}
finally {
    if ($Message) { $Message.Dispose() }
    if ($SmtpClient) { $SmtpClient.Dispose() }
}

Ausgabe des PowerShell Skripts:

Die Testnachricht wurde erfolgreich über den Exchange Online SMTP Relay Connector versendet.
Falls der Versand fehlschlägt, sind im folgenden Abschnitt bekannte Probleme und entsprechende Lösungsansätze beschrieben: Typische Fehler bei SMTP Relay

Typische Fehler bei SMTP Relay

550 Relay Denied

Die sendende öffentliche IP-Adresse stimmt nicht mit der im Connector hinterlegten IP-Adresse überein.
Siehe Exchange Online Connector für SMTP Relay erstellen

5.7.64 Tenant Not Authorized

Der Connector ist nicht korrekt konfiguriert oder die Quell-IP-Adresse kann keinem gültigen Connector zugeordnet werden.
Siehe Exchange Online Connector für SMTP Relay erstellen

Timeout oder Verbindungsfehler

Port 25 TCP ist auf der Firewall oder beim Internet Provider blockiert.
Der SMTP-Server ist falsch hinterlegt.
Siehe SMTP Einstellungen für Geräte und Anwendungen

Nachrichten werden als Spam erkannte

Der SPF-Eintrag fehlt oder enthält die sendende öffentliche IP-Adresse nicht.
Siehe dazu: Einrichten von SPF, DKIM und DMARC in Exchange Online – cloudkaffee.ch
Zusätzlich kann auch die Reputation der öffentlichen IP-Adresse eine Rolle spielen.

Gut zu wissen

Geräte und Anwendungen mit Basic Authentication erkennen

Geräte und Anwendungen im eigenen Tenant, die bisher SMTP AUTH Basic Authentication verwenden, lassen sich über das Anmeldeprotokoll in Microsoft Entra ID identifizieren. Das Vorgehen ist im Blogbeitrag Microsoft Entra: Legacy Authentication mit bedingtem Zugriff blockieren – cloudkaffee.ch beschrieben.

Fazit

Mit der schrittweisen Abschaltung von SMTP AUTH Basic Authentication gewinnt SMTP Relay über Exchange Online Connector weiter an Bedeutung. Ein Exchange Online SMTP Relay eignet sich insbesondere für Geräte und Anwendungen ohne moderne Authentifizierung. Für diese Szenarien ist die Authentifizierung über eine statische öffentliche IP-Adresse eine robuste und weiterhin unterstützte Methode.