Darum geht es
Mit SMTP AUTH versenden Programme oder Geräte E-Mails meist mit Benutzername und Kennwort, ohne Multifaktor-Anmeldung. Angreifer nutzen das, um erbeutete oder erratene Kennwörter auszuprobieren und darüber Spam oder Phishing in Ihrem Namen zu verschicken. Microsoft schaltet die Kennwortanmeldung für SMTP AUTH Ende Dezember 2026 für bestehende Tenants standardmäßig ab, Administratoren können sie aber wieder einschalten. Der organisationsweite Schalter schließt diesen Weg dauerhaft.
Was passieren kann
Ein einziges schwaches Kennwort genügt, um über Ihre Domain Betrugsmails zu versenden, auch wenn für die normale Anmeldung MFA gilt.
Schritt für Schritt
Ermitteln Sie Geräte und Programme, die über smtp.office365.com mit Anmeldung senden (z. B. Scanner, Warenwirtschaft); Microsoft zeigt sie im Exchange Admin Center unter Berichte > Nachrichtenfluss im Bericht zu SMTP AUTH-Clients.
Stellen Sie diese möglichst auf einen Connector (SMTP-Relay) um. Auch Geräte, die SMTP AUTH mit moderner Anmeldung (OAuth) nutzen, brauchen nach dem Abschalten eine Ausnahme am Postfach.
Schalten Sie SMTP AUTH im Exchange Admin Center unter Einstellungen > E-Mail-Fluss mit der Option „SMTP AUTH-Protokoll für Ihre Organisation deaktivieren“ oder per PowerShell organisationsweit ab. Das gilt auch, wenn die Sicherheitsstandards SMTP AUTH bereits blockieren: Der Schalter bleibt wirksam, falls die Sicherheitsstandards später abgeschaltet werden.
Erlauben Sie SMTP AUTH bei Bedarf nur für einzelne Postfächer (Microsoft 365 Admin Center > Benutzer > Aktive Benutzer > Benutzer auswählen > E-Mail > E-Mail-Apps verwalten > „Authentifiziertes SMTP“).
Prüfen Sie nach der Umstellung, ob alle Geräte weiterhin senden können.
Hier finden Sie die Einstellung
- Exchange Admin Center (admin.exchange.microsoft.com)
- Einstellungen
- E-Mail-Fluss
oder
- je Postfach unter Empfänger
- Postfächer
- E-Mail-Apps verwalten
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Anmeldung per SMTP AUTH ist für Exchange Online organisationsweit abgeschaltet
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Exchange Online PowerShell: Get-TransportConfig | fl SmtpClientAuthenticationDisabled. Abschalten mit Set-TransportConfig -SmtpClientAuthenticationDisabled $true; einzelne Ausnahmen mit Set-CASMailbox <Postfach> -SmtpClientAuthenticationDisabled $false.
Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.5.1v1: SMTP AUTH deaktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.3.A2: Sicherer Betrieb von E-Mail-Servern
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.