E-Mail-Versand über Microsoft 365 einrichten

Wenn in Ihrem Microsoft-365-Tenant die SMTP-Anmeldung mit Benutzername und Passwort (Basic Authentication) deaktiviert ist, kann coveto E-Mails über Microsoft 365 mit moderner Authentifizierung (OAuth2) versenden.

coveto meldet sich dabei als Hintergrund-App an – ohne Benutzeranmeldung und ohne dass ein Passwort gespeichert wird. Der Versand läuft weiterhin über smtp.office365.com.

Was Sie am Ende brauchen

Sie ermitteln in den folgenden Schritten drei Werte, die Sie anschließend in coveto eintragen:

Warum ein Zertifikat statt eines Client-Secrets? Viele Microsoft-365-Tenants verbieten per Richtlinie das Anlegen von Client-Secrets („Client secrets are blocked by a tenant-wide policy"). coveto nutzt daher die von Microsoft empfohlene, sicherere Zertifikats-Anmeldung.

Schritt 1 – App im Azure-Portal registrieren

1. Öffnen Sie das Azure-Portal und melden Sie sich als Administrator an.
2. Suchen Sie oben nach „Microsoft Entra ID" und öffnen Sie den Dienst.
3. Klicken Sie links auf „App-Registrierungen" → „Neue Registrierung".
4. Vergeben Sie einen Namen, z. B. coveto E-Mail-Versand.
5. Wählen Sie bei den unterstützten Kontotypen „Nur Konten in diesem Organisationsverzeichnis" (Einzelmandant).
6. Lassen Sie das Feld „Umleitungs-URI" leer und klicken Sie auf „Registrieren".

Sie landen auf der Übersicht der App. Notieren Sie sich dort:

• Anwendungs-(Client-)ID
• Verzeichnis-(Mandanten-)ID

Schritt 2 – Zertifikat in coveto erzeugen und in Azure hochladen

1. Öffnen Sie in coveto Einstellungen → E-Mail-Versand.
2. Klicken Sie im Bereich „Versand via Microsoft 365" auf „Zertifikat erzeugen". coveto erzeugt das Schlüsselpaar und speichert den privaten Schlüssel verschlüsselt auf dem coveto-Server.
3. Klicken Sie auf „Öffentliches Zertifikat (.cer) herunterladen" und speichern Sie die Datei.
4. Laden Sie diese .cer-Datei in Azure hoch: App-Registrierung → „Zertifikate & Geheimnisse" → Reiter „Zertifikate" → „Zertifikat hochladen" → die heruntergeladene .cer auswählen.
5. Legen Sie sich selbst eine Wiedervorlage, um das Zertifikat nach Ablauf zu erneuern.

Schritt 3 – Berechtigung „SMTP.SendAsApp" erteilen

1. Klicken Sie in der App links auf „API-Berechtigungen".
2. „Berechtigung hinzufügen" → Reiter „Von meiner Organisation verwendete APIs".
3. Suchen Sie nach „Office 365 Exchange Online" und wählen Sie den Eintrag.
4. Wählen Sie „Anwendungsberechtigungen" (nicht „Delegierte Berechtigungen").
5. Setzen Sie den Haken bei SMTP.SendAsApp und klicken Sie auf „Berechtigungen hinzufügen".
6. Klicken Sie anschließend auf „Administratorzustimmung für Ihre Organisation erteilen" und bestätigen Sie. In der Spalte „Status" muss ein grüner Haken erscheinen.

Schritt 4 – Exchange Online PowerShell installieren und verbinden

Die Postfachfreigabe (Schritt 5) und die SMTP-AUTH-Einstellung (Schritt 6) erfolgen über die Exchange Online PowerShell. Richten Sie diese einmalig ein, falls Sie dies noch nicht getan haben.

1. PowerShell installieren

   Windows: PowerShell ist bereits vorhanden. Öffnen Sie „Windows PowerShell" (oder „PowerShell 7", falls installiert).

   macOS: Installieren Sie PowerShell 7 – am einfachsten mit Homebrew:

   brew install --cask powershell

2. PowerShell starten:

   Windows: Starten Sie PowerShell als Administrator.

   macOS: Führen Sie pwsh im Terminal aus.

3. Exchange-Online-Modul installieren (einmalig):

   Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser

   Bestätigen Sie eventuelle Rückfragen mit J bzw. Y. Verwenden Sie Version 3 oder neuer – erst diese funktioniert auch unter macOS.

   Falls Install-Module mit einer Meldung zur Ausführungsrichtlinie abbricht, führen Sie einmalig Set-ExecutionPolicy -Scope CurrentUser RemoteSigned aus und wiederholen Sie den Befehl.

4. Verbinden (Anmeldung im Browser):

   Connect-ExchangeOnline -UserPrincipalName admin@ihre-firma.tld

   Es öffnet sich ein Browserfenster; melden Sie sich als Administrator an (inklusive MFA). Die folgenden Befehle führen Sie in dieser Sitzung aus.

Schritt 5 – Postfach für die App freigeben

Damit die App nur über die gewünschten Postfächer senden darf, wird sie gezielt freigegeben – in der in Schritt 4 geöffneten PowerShell-Sitzung.

1. Ermitteln Sie die Objekt-ID des Unternehmensanwendungs-Objekts: Microsoft Entra ID → „Unternehmensanwendungen" → Ihre App coveto E-Mail-Versand öffnen → „Objekt-ID" notieren. (Das ist nicht die Anwendungs-ID aus Schritt 1.)

2. Registrieren Sie die App als Dienstprinzipal in Exchange:

   New-ServicePrincipal -AppId <Anwendungs-ID> -ObjectId <Objekt-ID-der-Unternehmensanwendung> -DisplayName "coveto E-Mail-Versand"

3. Geben Sie das sendende Postfach für die App frei – z. B. ein gemeinsames Postfach wie bewerbung@ihre-firma.tld:

   Add-MailboxPermission -Identity "bewerbung@ihre-firma.tld" -User <Objekt-ID-der-Unternehmensanwendung> -AccessRights FullAccess

   Sollen E-Mails auch im Namen einzelner Mitarbeiter versendet werden, geben Sie die entsprechenden Postfächer ebenfalls frei.

Schritt 6 – SMTP AUTH für das Postfach aktivieren

Stellen Sie sicher, dass die SMTP-Anmeldung für das sendende Postfach erlaubt ist (auch wenn sie tenantweit deaktiviert ist) – ebenfalls in der PowerShell-Sitzung:

Set-CASMailbox -Identity "bewerbung@ihre-firma.tld" -SmtpClientAuthenticationDisabled $false

Schritt 7 – Verbindung zur PowerShell trennen

Nach Abschluss von Schritt 5 und 6 können Sie die Sitzung beenden:

Disconnect-ExchangeOnline -Confirm:$false

Schritt 8 – Werte in coveto eintragen

1. Öffnen Sie in coveto Einstellungen → E-Mail-Versand.
2. Stellen Sie „E-Mail Transport" auf „Microsoft 365".

3. Tragen Sie im Bereich „Versand via Microsoft 365" ein:

   • M365 Tenant → die Verzeichnis-ID aus Schritt 1
   • M365 Client → die Anwendungs-ID aus Schritt 1

   Das Zertifikat haben Sie bereits in Schritt 2 erzeugt; es muss hier nicht erneut eingegeben werden.

4. Tragen Sie unter „E-Mail Absender" die Adresse ein, die Sie in Schritt 5 freigegeben haben (z. B. bewerbung@ihre-firma.tld).
5. Klicken Sie auf „Speichern".

Das Zertifikat (privater Schlüssel) wird verschlüsselt auf dem coveto-Server gespeichert und nicht angezeigt. Über die Schaltflächen im Bereich „Versand via Microsoft 365" können Sie den öffentlichen Teil jederzeit erneut herunterladen oder ein neues Zertifikat erzeugen.

Schritt 9 – Testen

Klicken Sie nach dem Speichern auf „Test-E-Mail senden". Wenn alles korrekt eingerichtet ist, erhalten Sie kurz darauf die Test-E-Mail.

Häufige Fragen und Fehler

„AuthenticationFailed" / „535 5.7.3 Authentication unsuccessful"
Das Postfach wurde der App nicht (richtig) freigegeben. Prüfen Sie Schritt 5 und ob unter „E-Mail Absender" die freigegebene Adresse hinterlegt ist.

„SmtpClientAuthentication is disabled for the mailbox"
Aktivieren Sie SMTP AUTH für das Postfach (Schritt 6).

„535 5.7.139 Authentication unsuccessful, SmtpClientAuthentication is disabled for the Tenant"
Die postfachspezifische SMTP-AUTH-Freigabe aus Schritt 6 greift noch nicht. Nach Set-CASMailbox … -SmtpClientAuthenticationDisabled $false kann es bis zu ~1 Stunde dauern, bis die Änderung wirkt – bis dahin gilt die (deaktivierte) tenantweite Voreinstellung, daher die Meldung „for the Tenant".

Prüfen Sie mit Get-CASMailbox <postfach> | fl SmtpClientAuthenticationDisabled (muss False sein). Steht dort False, der Fehler bleibt aber bestehen: einfach abwarten und nach einiger Zeit erneut testen. Bleibt es dauerhaft, ist SMTP AUTH in Ihrem Tenant ggf. durch eine Richtlinie gesperrt – wenden Sie sich an Ihren Microsoft-365-Administrator.

„5.2.252 SendAsDenied; Versand-Postfach not allowed to send as Adresse"
Nur bei der Variante mit zentralem Versand-Postfach: Das Versand-Postfach darf nicht unter der Absenderadresse senden. Die SendAs-Berechtigung gehört auf das Absender-Postfach (die Adresse, die in From erscheint), mit dem Versand-Postfach als Trustee – nicht umgekehrt:

Add-RecipientPermission -Identity <Absenderadresse> -Trustee <Versand-Postfach> -AccessRights SendAs.

Nach der Änderung einige Minuten warten.

Die Administratorzustimmung fehlt
In Schritt 3 muss in der Spalte „Status" ein grüner Haken stehen. Andernfalls erneut „Administratorzustimmung erteilen" klicken.

Der Versand funktionierte und schlägt nach Monaten fehl. Das Zertifikat ist abgelaufen. Erzeugen Sie in coveto über „Neues Zertifikat erzeugen" ein neues Zertifikat und laden Sie dessen öffentlichen Teil (.cer) in Azure hoch (Schritt 2).

Welche Adresse darf als Absender stehen?. Der Absender (From) muss ein Postfach sein, das der App in Schritt 5 freigegeben wurde. Für mehrere persönliche Absender geben Sie die jeweiligen Postfächer frei.

Variante: Versand unter der Adresse jedes Benutzers

Sollen E-Mails unter der eigenen Adresse jedes coveto-Benutzers versendet werden (statt unter einer gemeinsamen Adresse), empfiehlt sich ein zentrales Versand-Postfach mit „Send As" – die App meldet sich nur mit einem Postfach an und versendet unter der jeweiligen Absenderadresse:

1. Geben Sie jedem Benutzer-Postfach die SendAs-Berechtigung für das zentrale Postfach (z. B. bewerbung@ihre-firma.tld). Zum Beispiel via PowerShell über eine Sicherheitsgruppe mit allen sendenden Benutzern:

   Get-DistributionGroupMember "coveto-Versender" | ForEach-Object {
    Add-RecipientPermission -Identity $_.PrimarySmtpAddress -Trustee bewerbung@ihre-firma.tld -AccessRights SendAs -Confirm:$false
   }

   Oder einzeln pro Benutzer:

   Add-RecipientPermission -Identity max.muster@ihre-firma.tld -Trustee bewerbung@ihre-firma.tld -AccessRights SendAs -Confirm:$false

   Es dauert ungefähr 15 Minuten, bis diese Änderungen bei Microsoft wirksam sind.

2. In coveto unter „E-Mail Absender" den Platzhalter %Email% eintragen und unter „M365 Versand-Postfach" das zentrale Postfach (bewerbung@ihre-firma.tld).

So hat die App nur auf das eine Versand-Postfach Vollzugriff; die übrigen Postfächer erteilen lediglich die schlankere SendAs-Berechtigung (kein Lesezugriff). Neue Benutzer benötigen die SendAs-Berechtigung ebenfalls.

Sicherheit

• coveto meldet sich ausschließlich als App an; es wird kein Benutzerkonto und kein Benutzerpasswort verwendet.
• Durch die gezielte Postfachfreigabe (Schritt 5) kann die App nur über die von Ihnen freigegebenen Postfächer senden.
• Das Zertifikat (privater Schlüssel) wird in coveto verschlüsselt gespeichert.