E-Mail-Import aus Microsoft 365

• Wichtige Hinweise
• Einrichtung
• Schritt 1: App-Registrierung im Azure-Portal
• Schritt 2: Berechtigung „IMAP.AccessAsApp" erteilen
• Schritt 3: Zertifikat erzeugen und hochladen
• Schritt 4: Exchange Online PowerShell einrichten
• Schritt 5: App als Dienstprinzipal registrieren und Postfach freigeben
• Schritt 6: IMAP für das Postfach aktivieren
• Schritt 7: Postfach in coveto konfigurieren
• Schritt 8: Test durchführen
• Geteiltes Postfach (Shared Mailbox)
• Häufige Fehler und Lösungen
• Sicherheitsaspekte
• Alternative: Manuelle Weiterleitung

Wichtige Hinweise

Diese Funktion befindet sich aktuell im BETA-Stadium. Fehler sind wahrscheinlich. Die Verwendung eines Microsoft-365-Postfachs ist möglich, wird von uns aber nicht empfohlen. Die bevorzugte Vorgehensweise ist das bewährte Verfahren mit manueller Weiterleitung an das coveto-Importpostfach (Infos ganz unten auf dieser Seite).

• Der E-Mail-Import ist kein E-Mail-Programm.
• Verwenden Sie ein eigenes, leeres Postfach nur für coveto – z. B. coveto-import@ihrefirma.tld. Nutzen Sie niemals ein Postfach, in dem Sie E-Mails aufbewahren oder lesen (etwa Ihr persönliches Postfach) Abgerufene E-Mails werden dauerhaft aus dem Postfach gelöscht – auch aus dem Papierkorb. Sie sind danach nicht wiederherstellbar.
• Geben Sie diese Adresse nicht weiter. Bewerber und Kunden sollten an Ihre normale Adresse schreiben.
• Leiten Sie Bewerbungen und andere E-Mails die dokumentiert werden sollen an das Import-Postfach weiter. So bleibt das Original bei Ihnen erhalten, falls beim Import etwas klemmt.
• Eine falsche Einstellung kann dazu führen, dass coveto keine E-Mails mehr empfängt oder Bewerbungen unwiederbringlich verloren gehen.

Einrichtung

Microsoft 365 unterstützt für den IMAP-Zugriff ausschließlich die moderne Authentifizierung (OAuth2) – eine Anmeldung mit Benutzername und Passwort (Basic Authentication) ist deaktiviert. coveto kann Microsoft-365-Postfächer daher per OAuth2 (XOAUTH2, app-only) abrufen und die enthaltenen Bewerbungen importieren.

coveto meldet sich als App an (app-only, ohne Benutzer-Login und ohne gespeicherte Passwörter). Die Authentifizierung erfolgt über ein Zertifikat, das coveto erzeugt; nur der öffentliche Teil wird in Azure hinterlegt.

Diese Werte benötigen Sie am Ende:

Schritt 1: App-Registrierung im Azure-Portal

1. Azure-Portal öffnen und als Administrator anmelden.
2. Nach „Microsoft Entra ID" (engl. Microsoft Entra ID) suchen und öffnen.
3. „App-Registrierungen" (engl. App registrations) → „Neue Registrierung" (engl. New registration) anklicken.
4. Namen eingeben, z. B. „coveto E-Mail-Import".
5. Kontotyp: „Nur Konten in diesem Organisationsverzeichnis" (engl. Accounts in this organizational directory only, Einzelmandant / Single tenant).
6. „Umleitungs-URI" (engl. Redirect URI) leer lassen.
7. „Registrieren" (engl. Register) klicken.

Bitte notieren (Übersichtsseite der App, engl. Overview):

• Anwendungs-(Client-)ID (engl. Application (client) ID)
• Verzeichnis-(Mandanten-)ID (engl. Directory (tenant) ID)

Eine einzige App-Registrierung genügt, auch wenn Sie mehrere Postfächer abrufen. Tenant- und Client-ID sind dann für alle Postfächer gleich.

Schritt 2: Berechtigung „IMAP.AccessAsApp" erteilen

1. In der App: „API-Berechtigungen" (engl. API permissions) anklicken.
2. „Berechtigung hinzufügen" (engl. Add a permission) → Reiter „Von meiner Organisation verwendete APIs" (engl. APIs my organization uses).
3. Nach „Office 365 Exchange Online" suchen und auswählen.
4. „Anwendungsberechtigungen" (engl. Application permissions) wählen (nicht „Delegierte Berechtigungen" / Delegated permissions).
5. Haken bei „IMAP.AccessAsApp" setzen.
6. „Berechtigungen hinzufügen" (engl. Add permissions) klicken.
7. „Administratorzustimmung für [Organisation] erteilen" (engl. Grant admin consent for [Organization]) und bestätigen.
8. In der Status-Spalte (engl. Status) muss ein grüner Haken („Gewährt" / Granted) erscheinen.

Schritt 3: Zertifikat erzeugen und hochladen

Das Zertifikat wird je Postfach in coveto erzeugt.

In coveto:

1. Einstellungen → E-Mail-Import öffnen.
2. Das Postfach anlegen („Neu") bzw. öffnen. Tragen Sie zunächst die Verbindungsdaten ein (siehe Schritt 7) und speichern Sie – erst danach kann ein Zertifikat erzeugt werden.
3. Im Bereich „Authentifizierung via Microsoft 365" auf „Zertifikat erzeugen" klicken.
4. „Öffentliches Zertifikat (.cer) herunterladen".
5. Eine Wiedervorlage für die Zertifikatsverlängerung setzen (Gültigkeit: 2 Jahre).

In Azure:

1. App-Registrierung → „Zertifikate & Geheimnisse" (engl. Certificates & secrets).
2. Reiter „Zertifikate" (engl. Certificates) → „Zertifikat hochladen" (engl. Upload certificate).
3. Die heruntergeladene .cer-Datei auswählen.

Bei mehreren Postfächern erzeugt coveto je Postfach ein eigenes Zertifikat. Laden Sie jeden .cer in dieselbe App-Registrierung hoch – eine App kann mehrere Zertifikate vertrauen.

Schritt 4: Exchange Online PowerShell einrichten

Installation:

Windows: PowerShell ist vorinstalliert; als Administrator starten.

macOS: PowerShell 7 über Homebrew:

brew install --cask powershell

Modul installieren (einmalig):

Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser

(Version 3+ erforderlich; Rückfragen mit J/Y bestätigen)

Verbindung aufbauen:

Connect-ExchangeOnline -UserPrincipalName admin@ihre-firma.tld

Es öffnet sich der Browser; als Administrator anmelden (inklusive MFA).

Schritt 5: App als Dienstprinzipal registrieren und Postfach freigeben

Die Berechtigung IMAP.AccessAsApp gewährt keinen pauschalen Zugriff auf alle Postfächer. Sie müssen die App in Exchange als Dienstprinzipal registrieren und ihr je Postfach Zugriff geben.

1. Objekt-ID der Unternehmensanwendung (engl. Object ID der Enterprise application) ermitteln:

   • Microsoft Entra ID → „Unternehmensanwendungen" (engl. Enterprise applications).
   • App „coveto E-Mail-Import" öffnen.
   • „Objekt-ID" (engl. Object ID) notieren (nicht die Anwendungs-ID / Application ID!).

2. App als Dienstprinzipal registrieren (einmalig pro App):

   New-ServicePrincipal -AppId <Anwendungs-ID> `
    -ObjectId <Objekt-ID> -DisplayName "coveto E-Mail-Import"

3. Postfach freigeben (je abzurufendem Postfach, z. B. bewerbung@ihre-firma.tld):

   Add-MailboxPermission -Identity "bewerbung@ihre-firma.tld" `
    -User <Objekt-ID> -AccessRights FullAccess

Schritt 6: IMAP für das Postfach aktivieren

Stellen Sie sicher, dass das IMAP-Protokoll für das Postfach aktiviert ist:

Set-CASMailbox -Identity "bewerbung@ihre-firma.tld" -ImapEnabled $true

Prüfen lässt sich das mit:

Get-CASMailbox "bewerbung@ihre-firma.tld" | fl ImapEnabled

(ImapEnabled muss True sein.)

Anschließend die Verbindung trennen:

Disconnect-ExchangeOnline -Confirm:$false

Schritt 7: Postfach in coveto konfigurieren

1. Einstellungen → E-Mail-Import öffnen und das Postfach öffnen.
2. „IMAP E-Mail" und „IMAP Benutzername": das abzurufende Postfach (z. B. bewerbung@ihre-firma.tld).
3. „IMAP Host": outlook.office365.com
4. „IMAP Port": 993
5. „IMAP SSL verwenden": Ja
6. „Authentifizierung": „Microsoft 365 (OAuth2)".
7. „Passwort" leer lassen.
8. Im Bereich „Authentifizierung via Microsoft 365":
   • Verzeichnis-(Mandanten-)ID: aus Schritt 1.
   • Anwendungs-(Client-)ID: aus Schritt 1.
   • Zertifikat: in Schritt 3 erzeugt und hochgeladen.
9. „Speichern" klicken.

Für jedes weitere Postfach legen Sie einen eigenen Eintrag unter E-Mail-Import an und wiederholen Schritt 3 (Zertifikat), Schritt 5 (Add-MailboxPermission) und Schritt 6 (Set-CASMailbox -ImapEnabled $true).

Schritt 8: Test durchführen

Öffnen Sie Einstellungen → E-Mail-Import und klicken Sie auf „E-Mails abrufen". Bei korrekter Konfiguration werden die im Postfach liegenden E-Mails geladen und stehen zum Import bereit. Anschließend ruft coveto das Postfach auch automatisch (per Cronjob) ab.

Wichtig – bitte einplanen: Änderungen in Azure und Exchange (Administrator­zustimmung, Dienstprinzipal, Postfach­freigabe, IMAP-Aktivierung) werden nicht sofort wirksam. Bis zur Wirksamkeit kann es bis zu einer Stunde dauern. Schlägt der erste Test direkt nach der Einrichtung fehl, warten Sie bitte und versuchen Sie es danach erneut, bevor Sie mit der Fehlersuche beginnen.

Geteiltes Postfach (Shared Mailbox)

Ein geteiltes Postfach ist für den Import besonders geeignet – oft ist ein zentrales bewerbung@… ohnehin als Shared Mailbox angelegt.

• Bei der app-only-Authentifizierung meldet sich coveto als App an, nicht als Benutzer. Ein geteiltes Postfach benötigt daher keine Lizenz und kein Passwort – genau das, was es ohnehin auszeichnet.
• Die Einrichtung ist identisch zu einem normalen Postfach: Freigabe für den Dienstprinzipal per Add-MailboxPermission … -AccessRights FullAccess (Schritt 5) und IMAP aktivieren per Set-CASMailbox … -ImapEnabled $true (Schritt 6).
• Wichtig: Tragen Sie als „IMAP Benutzername" die Adresse des geteilten Postfachs selbst ein (z. B. bewerbung@ihre-firma.tld) – nicht ein Administrator- oder Besitzerkonto. Diese Adresse wird als XOAUTH2-user= verwendet.
• Ein unlizenziertes geteiltes Postfach ist auf 50 GB begrenzt; für den Import ist das ausreichend.

Häufige Fehler und Lösungen

Sicherheitsaspekte

• App-only-Authentifizierung – kein Benutzerkonto, kein gespeichertes Passwort.
• Gezielte Postfachfreigabe (Add-MailboxPermission je Postfach) begrenzt den Zugriff.
• Der private Schlüssel des Zertifikats wird verschlüsselt auf dem coveto-Server gespeichert; in Azure liegt nur der öffentliche Teil.

Alternative: Manuelle Weiterleitung

Wenn Sie keine Azure-/Exchange-Einrichtung vornehmen möchten, können Sie wie bisher das von coveto bereitgestellte Importpostfach verwenden und Ihre E-Mails dorthin manuell weiterleiten.

Warum keine automatische Weiterleitung?

• Microsoft 365 unterbindet standardmäßig aus Sicherheitsgründen das automatische Weiterleiten an externe Adressen (External Forwarding). Wir empfehlen, diese Standardeinstellung nicht zu verändern.
• Bei automatischer, serverseitiger Weiterleitung wird die E-Mail mit der originalen Absenderadresse versendet. Da Ihr Server nicht berechtigt ist, E-Mails im Namen einer fremden Domain zu versenden, kommen solche E-Mails meist nicht an (fehlgeschlagene SPF-Prüfung).
• Mit SRS (Umschreiben des Absenders) geht die E-Mail-Adresse des Bewerbers verloren, sodass keine Zuordnung mehr möglich ist.
• Auch unerwünschte E-Mails (Newsletter, Spam, …) würden mit weitergeleitet.

Empfohlene Vorgehensweise:

• Leiten Sie E-Mails aus Ihrem Mail-Client (Outlook) manuell an coveto weiter.
• So behalten Sie die volle Kontrolle darüber, welche Mails im Importpostfach landen.
• Beim manuellen Weiterleiten wird die Mail mit Ihrer Adresse versendet (SPF-Prüfung gelingt ✅), die Bewerber-Adresse bleibt im Nachrichtenkopf erhalten (Zuordnung möglich ✅).
• Tipp: Richten Sie in Outlook einen Quickstep (oder ein Tastenkürzel) ein, um die Weiterleitung mit einem Klick zu erledigen.

Weitere Alternative: Auch bei M365-Einsatz lässt sich oft zusätzlich ein IMAP-/Basic-Auth-fähiges Postfach beim Hosting-Provider einrichten.

Tags: Exchange Online, Office365, IMAP, OAuth2, XOAUTH2, E-Mail-Import