SMTP Relay mit Microsoft 365 verbinden

So läuft die Einrichtung ab

Sie installieren die Windows-App, richten eine Anwendung im eigenen Microsoft-365-Mandanten ein und tragen die dort angezeigten Kennungen in der BITBUDDYS-App ein. Die App erstellt daraus das vollständige Exchange-Einrichtungsskript. Sie müssen keine Skriptdatei öffnen, bearbeiten oder Befehle kopieren. Beim Start des Skripts melden Sie sich bei Microsoft an und bestätigen die angezeigten Änderungen.

Wer macht was? Eine Person mit Rechten für App-Registrierung und Administratorzustimmung arbeitet in Entra. Eine Person mit Exchange-Administratorrechten startet später die Exchange-Einrichtung aus der BITBUDDYS-App. Das kann dieselbe Person sein.

Lizenz vorab: Für den kostenlosen 30-Tage-Test benötigen Sie nur eine Verbindung zu liz.bitbuddys.de. Den Testschlüssel erzeugt die App beim ersten Klick selbst; für die Jahreslizenz benötigen Sie einen Schlüssel von BITBUDDYS. Die Microsoft-Einrichtung allein aktiviert den Relay-Dienst nicht. Die Testzeit beginnt mit der ersten Aktivierung und endet nach 30 Tagen ohne Ablaufkulanz. Eine Jahreslizenz kann BITBUDDYS auf denselben Schlüssel freischalten.

1 Vorbereiten

• Ein Windows-11-x64-Rechner bleibt als SMTP Relay eingeschaltet. Sie haben darauf lokale Administratorrechte. Port 25 ist frei.
• Sie kennen die E-Mail-Adressen der echten Exchange-Online-Postfächer, unter denen gesendet werden soll, zum Beispiel info@firma.de und rechnung@firma.de.
• Der Rechner erreicht smtp.office365.com auf Port 587, Microsofts Anmeldung über HTTPS und liz.bitbuddys.de über HTTPS.
• Für Geräte im Netzwerk kennen Sie deren IP-Subnetze, zum Beispiel 192.168.10.0/24.

Geräte senden später an den Relay-Rechner auf Port 25 mit einem von der App erzeugten Benutzernamen und Passwort. Diese interne Verbindung läuft ohne TLS. Die Weitergabe vom Relay an Microsoft 365 verwendet dagegen OAuth2 und STARTTLS. Geben Sie Port 25 nur für die benötigten internen Netze frei und richten Sie keine Weiterleitung aus dem Internet ein.

2 Windows-App installieren

1. Die von BITBUDDYS bereitgestellte Datei BITBUDDYS-SMTP-Relay-Setup.exe auf den Relay-Rechner kopieren und starten.
2. Die Windows-Administratorabfrage bestätigen und im Setup Installieren wählen. Bei einem Update die geöffnete Verwaltungs-App vorher schließen; eine Deinstallation ist nicht nötig.
3. Im Startmenü BITBUDDYS SMTP Relay öffnen. Unter App-Info muss die aktuelle Version stehen.
4. Auf der Registerkarte Lizenz 30 Tage kostenlos testen wählen. Für eine bezahlte Jahreslizenz stattdessen den erhaltenen Schlüssel einfügen und Aktivieren / Lizenz prüfen wählen. Die App muss ein gültiges Ablaufdatum anzeigen.

Die Installation bringt die benötigte .NET-Laufzeit mit. Der Dienst heißt BitBuddysSmtpRelay; Einstellungen und Warteschlange liegen unter C:\ProgramData\BitBuddys\SmtpRelay. Beim Update bleiben diese Daten erhalten.

3 Anwendung im Microsoft-Entra-Portal registrieren

1. Microsoft Entra öffnen und prüfen, dass oben der Mandant des Kunden ausgewählt ist.
2. Zu Entra ID → App-Registrierungen → Neue Registrierung wechseln.
3. Als Namen zum Beispiel BITBUDDYS SMTP Relay eingeben. Nur Konten in diesem Organisationsverzeichnis auswählen. Eine Umleitungs-URI ist nicht nötig. Registrieren anklicken.
4. In der neuen App-Übersicht Verzeichnis-ID (Mandant) und Anwendungs-ID (Client) kopieren.
5. In der BITBUDDYS-App unter Einrichtung die Verzeichnis-ID in M365 Tenant-ID und die Anwendungs-ID in App / Client-ID einfügen.

Die ebenfalls sichtbare Objekt-ID der App-Registrierung wird für die spätere Exchange-Einrichtung nicht verwendet. Dafür brauchen Sie die Objekt-ID unter Unternehmensanwendungen in Schritt 6.

4 Zertifikat erstellen und in Entra hochladen

1. In der BITBUDDYS-App auf Einrichtung → Zertifikat erstellen … klicken und einen Speicherort für die vorgeschlagene .cer-Datei wählen.
2. Die App erstellt das Zertifikat auf diesem Rechner und trägt den Fingerabdruck automatisch ein. Der private Schlüssel bleibt lokal; die gespeicherte CER-Datei enthält nur den öffentlichen Teil.
3. Im Entra-Portal die eben registrierte App öffnen und Zertifikate & Geheimnisse → Zertifikate → Zertifikat hochladen wählen.
4. Die CER-Datei auswählen, hochladen und prüfen, dass sie in Entra erscheint.

Sie müssen das Zertifikat auf dem Relay-Rechner nicht nochmals importieren. Die App hat es bereits unter „Lokaler Computer / Eigene Zertifikate“ gespeichert. Legen Sie in Entra kein Client-Geheimnis für dieses Relay an. Das Zertifikat läuft nach zwei Jahren ab und muss vorher erneuert werden.

5 Sende-Berechtigung in Entra erteilen

1. In derselben Entra-App API-Berechtigungen → Berechtigung hinzufügen öffnen.
2. Von meiner Organisation verwendete APIs wählen und nach Office 365 Exchange Online suchen.
3. Anwendungsberechtigungen wählen, SMTP.SendAsApp markieren und hinzufügen.
4. Administratorzustimmung für den Mandanten erteilen anklicken und bestätigen.
5. Prüfen: Die Berechtigung heißt SMTP.SendAsApp, Typ Anwendung, und die Zustimmung ist erteilt.

Wenn SMTP.SendAsApp nicht sichtbar ist, wurden meist Microsoft Graph oder „Delegierte Berechtigungen“ geöffnet. Zurück zu Office 365 Exchange Online → Anwendungsberechtigungen wechseln.

6 Richtige Objekt-ID der Unternehmensanwendung finden

1. In Entra zu Entra ID → Unternehmensanwendungen → Alle Anwendungen gehen.
2. Nach dem gerade vergebenen App-Namen suchen und den Eintrag öffnen. Die dortige Anwendungs-ID muss mit der Client-ID aus Schritt 3 übereinstimmen.
3. Die Objekt-ID dieser Unternehmensanwendung kopieren.
4. In der BITBUDDYS-App die Registerkarte Exchange einrichten öffnen und diese Objekt-ID in das entsprechende Feld einfügen.

Die Objekt-ID aus „App-Registrierungen“ ist eine andere Kennung. Eine Verwechslung führt bei der Exchange-Registrierung zum Fehler AADServicePrincipalNotFound.

7 Exchange mit der BITBUDDYS-App einrichten

1. In der App unter Einrichtung in der Tabelle Erlaubte Absender für jede gewünschte Adresse eine Zeile anlegen. In Absenderadresse und M365-Postfach steht im Normalfall dieselbe Adresse.
2. Unter Exchange einrichten prüfen, ob die Objekt-ID aus Schritt 6 eingetragen ist. Zusätzlich die Anmeldeadresse eines Exchange-Administrators eingeben. Dieses Konto dient nur zur Einrichtung, nicht zum späteren Mailversand.
3. Auf Exchange-Einrichtung starten … klicken. Die App prüft die Eingaben, erzeugt das vollständig ausgefüllte Skript und öffnet PowerShell. Sie brauchen keine Datei zu bearbeiten.
4. Falls das Microsoft-Modul ExchangeOnlineManagement fehlt, installiert das erzeugte Skript es für das aktuelle Windows-Benutzerkonto. Bei Nachfragen zur Microsoft PowerShell Gallery nur dann bestätigen, wenn Ihre IT diese Quelle freigegeben hat.
5. Im Microsoft-Anmeldefenster mit dem Exchange-Administratorkonto anmelden und gegebenenfalls MFA bestätigen. Das Skript prüft anschließend die Tenant-ID und ob alle eingetragenen Postfächer existieren.
6. Im PowerShell-Fenster erscheint eine Zusammenfassung der geplanten Rechte. Stimmen App, Tenant und Postfächer, JA eingeben. Erst dann setzt das Skript die Rechte. Bei einem falschen Eintrag das Fenster ohne „JA“ schließen, die App-Felder korrigieren und erneut starten.
7. Auf die Meldung „Einrichtung abgeschlossen“ warten. Bei einer roten Fehlermeldung den genauen Text an den Exchange-Administrator weitergeben. Bereits erledigte Teilschritte bleiben bestehen; nach Korrektur kann die Einrichtung erneut gestartet werden.

Was wird geändert? Die Entra-Unternehmensanwendung wird in Exchange registriert. Nur die ausgewählten Postfächer erhalten App-Rechte für FullAccess und SendAs; für diese Postfächer wird SMTP AUTH aktiviert. Mandantenweite SMTP- oder Sicherheitsregeln ändert das Skript nicht. Die Rechteübernahme kann einige Minuten dauern.

Sie möchten das Skript für Ihre IT dokumentieren oder auf einem anderen Administratorrechner ausführen? Fertiges Skript speichern … erzeugt eine bereits ausgefüllte .ps1-Datei. Der normale Einrichtungsweg ist jedoch Exchange-Einrichtung starten … direkt in der App.

8 App, Netzwerk und sendende Geräte einrichten

1. Unter Netzwerk & Anmeldung auf Zugangsdaten neu erzeugen klicken. Die App erzeugt Benutzername und Passwort mit je 20 zufälligen Zeichen. Beides geschützt im Passwortmanager dokumentieren.
2. Wenn Geräte im Netzwerk senden sollen, SMTP aus freigegebenen Netzwerken erlauben aktivieren und die benötigten Quellsubnetze eintragen, ein Subnetz pro Zeile.
3. Zurück unter Einrichtung Tenant-ID, Client-ID, Zertifikat-Fingerabdruck und Absender prüfen. Speichern klicken. Die Exchange-Angaben werden dabei ebenfalls gespeichert.
4. Unter Netzwerk & Anmeldung auf Windows-Firewall anwenden klicken. Bei Netzänderungen diesen Schritt wiederholen.
5. Unter Einrichtung den Dienst stoppen und anschließend starten, damit der Netzwerkmodus sicher übernommen wird.
6. In jedem sendenden Gerät oder Programm als SMTP-Server die IP-Adresse oder den DNS-Namen des Relay-Rechners, Port 25, Authentifizierung an sowie den erzeugten Benutzernamen und das Passwort eintragen. TLS/STARTTLS aus lassen.

Die verwendete Absenderadresse muss in der App-Tabelle stehen. M365-Konto oder -Passwort gehören nicht in das sendende Gerät. Die gemeinsame SMTP-Anmeldung ist nur für die interne Strecke zum Relay bestimmt.

9 Test und laufender Betrieb

1. In der App auf Testmail gehen, einen eingerichteten Absender und einen erreichbaren Empfänger auswählen und Testmail senden klicken.
2. Unter Warteschlange prüfen, ob die Mail erst lokal angenommen und danach als Von M365 angenommen angezeigt wird. Anschließend beim Empfänger nachsehen.
3. Für jeden weiteren Absender eine eigene Testmail senden. Danach auch von einem der freigegebenen Netzwerkgeräte testen.
4. Unter Import & Export die Einstellungen als passwortgeschützte Sicherung exportieren. Das Zertifikat mit privatem Schlüssel, die Lizenz und wartende Mails sind nicht in dieser Datei enthalten.

Eine wartende oder fehlgeschlagene Mail lässt sich in der Warteschlange auswählen, erneut versuchen oder nach Bestätigung löschen. „Von M365 angenommen“ bedeutet Übergabe an Microsoft; die endgültige Empfängerzustellung kann zusätzlich über die Exchange-Nachrichtenablaufverfolgung geprüft werden. Bei einem normalen Update bleiben gespeicherte Einstellungen und Mails erhalten.

10 Wenn etwas nicht klappt

Sicherheitsstandards: Microsoft beschreibt SMTP AUTH bei aktivierten Entra Security Defaults als deaktiviert. Das erzeugte Skript ändert diese Standards nicht. Falls dies die Verbindung blockiert, muss der Mandantenadministrator eine passende Sicherheitskonfiguration festlegen; Security Defaults nicht beiläufig abschalten.

Für den Support App-Version, Uhrzeit, Absender, Nachrichten-ID und Fehlermeldung bereithalten. Senden Sie keine Passwörter, Lizenzschlüssel, privaten Zertifikatschlüssel oder Tokens.

Microsoft-Quellen und Übergabe

• Microsoft: Entra-App registrieren
• Microsoft: SMTP mit OAuth und SMTP.SendAsApp
• Microsoft: Exchange-ServicePrincipal
• Microsoft: SMTP AUTH pro Postfach
• Microsoft: ExchangeOnlineManagement-Modul

Bei der Übergabe festhalten: Relay-Rechner und IP, freigegebene Netze, zuständige M365-Administratoren, Ablaufdaten von Zertifikat und Lizenz sowie die gesicherte Konfiguration.