Wenn der Scanner keine E-Mails mehr schickt

Montagmorgen, kurz vor neun. Eine unterschriebene Bestellung soll zur Buchhaltung. Am Multifunktionsgerät steht «Scan abgeschlossen». Im Posteingang kommt nichts an. Während vorne jemand noch einmal scannt, wartet hinten womöglich ein ganz anderer Prozess auf dieselbe Technik: Das ERP verschickt Rechnungen oder das Backup-System meldet einen fehlgeschlagenen Lauf.

Solche E-Mails fallen im Alltag kaum auf. Sie haben oft kein eigenes Projekt, manchmal nicht einmal einen Namen in der IT-Dokumentation. Das wird Ende 2026 relevant. Microsoft will in Exchange Online die alte Anmeldung mit Benutzername und Passwort für den authentifizierten SMTP-Versand standardmässig deaktivieren. Welche Prozesse das trifft, hängt davon ab, wie Ihre Geräte und Anwendungen tatsächlich senden.

Meine Empfehlung für KMU mit einem schlanken IT-Team: Nehmen Sie zuerst die drei Nachrichten, deren Ausfall Ihnen richtig wehtun würde. Verfolgen Sie ihren Weg vom Auslöser bis zum Empfänger. Diese halbe Stunde mit Buchhaltung, Betrieb oder Ihrem IT-Partner bringt oft mehr Klarheit als eine lange Geräteliste, auf der bei jedem Drucker «E-Mail eingerichtet» steht.

SMTP ist das Protokoll, mit dem Systeme E-Mails übergeben. SMTP AUTH ist der Versandweg, bei dem sich ein Gerät oder eine Anwendung gegenüber dem Maildienst anmeldet. Bei der alten Anmeldung, Basic Authentication, verwendet es dafür Benutzername und Passwort. OAuth verwendet ein Zugriffstoken. Die Anwendung muss den dafür passenden Anmeldeweg unterstützen und sich bei Bedarf ein neues Token beschaffen können. Ein Häkchen bei «TLS» verschlüsselt die Verbindung, ändert aber die Anmeldemethode nicht.

Laut Microsofts Exchange-Team bleibt das Verhalten bis zur Änderung im Dezember 2026 bestehen. Ende Dezember soll Basic Authentication für SMTP AUTH in bestehenden Microsoft-365-Umgebungen standardmässig deaktiviert werden. Administratoren können sie laut Ankündigung bei Bedarf wieder einschalten. Für nach Dezember 2026 neu erstellte Umgebungen ist OAuth die unterstützte Anmeldemethode. Den Termin für die endgültige Entfernung will Microsoft in der zweiten Hälfte 2027 bekannt geben. Stand dieser Einordnung ist der 6. November 2026. Zeitplan des Exchange-Teams

Bei einem neueren Gerät würde ich zuerst prüfen, ob die aktuelle Firmware den OAuth-Anmeldeweg von Microsoft 365 ausdrücklich unterstützt. Bei einem alten Gerät, das ohnehin in absehbarer Zeit ersetzt wird, kann ein betreuter Versand über einen zentralen Mailserver sinnvoller sein. Je länger die Übergangsphase dauert und je wichtiger die Nachricht ist, desto weniger würde ich auf eine Sonderlösung am einzelnen Gerät setzen.

Ob eine Option passt, zeigt sich am echten Empfängerkreis. Das gilt gerade für die scheinbar harmlose Funktion «Scan an E-Mail». Wenn der Empfang normalerweise intern scannt, aber jeden Freitag einen Lieferschein direkt an einen Lieferanten sendet, kann ein Test mit dem eigenen Postfach in die Irre führen. Microsoft beschreibt die Voraussetzungen und Grenzen der einzelnen Wege in seiner Anleitung für Geräte und Anwendungen.

Der Bericht «SMTP AUTH clients» im Exchange Admin Center ist ein guter Start. Er zeigt authentifizierte SMTP-Sender und hilft, die verwendete Anmeldemethode einzugrenzen. Beginnen Sie mit den Konten, die Basic Authentication verwenden, und fragen Sie nach dem Gerät oder der Anwendung dahinter. Ein Konto namens «scanner» kann auch von der alten Lagerlösung verwendet werden. Microsoft-Dokumentation zum Bericht

Danach würde ich dort suchen, wo selten etwas passiert. Backups melden sich vielleicht nur bei einem Fehler. Eine Lohnanwendung verschickt Nachrichten zu einem bestimmten Termin. Und ein Formular auf der Website bleibt unauffällig, solange jemand Anfragen direkt im System liest. Ein kurzer Berichtszeitraum sagt wenig über solche Fälle. Fragen Sie die Verantwortlichen nach seltenen Abläufen und schauen Sie bei extern betriebenen Anwendungen zusätzlich in deren Versandprotokolle.

Schreiben Sie pro Ablauf einen Satz, den auch jemand ausserhalb der IT versteht. Zum Beispiel: «Das ERP verschickt am Monatsende Rechnungen an externe Empfänger. Die Buchhaltung prüft Rückläufer. Der ERP-Partner betreut den Versand.» Daneben genügen für den Anfang der technische Versandweg, die Absenderadresse und der Name der Person, die den Wechsel abnimmt. Zugangsdaten gehören in die dafür vorgesehene Passwortverwaltung.

Ich würde im November mit einem überschaubaren Ablauf beginnen und den Umstieg vor den Feiertagen einplanen. Wählen Sie einen echten Testfall mit einem kontrollierten Empfänger und einem unkritischen Dokument. Prüfen Sie den Eingang beim Empfänger und den Versand im Protokoll. Bei Rechnungen zählt auch, ob Antworten und Unzustellbarkeitsmeldungen beim richtigen Team ankommen. Bei einem Backup-Alarm sollte ein bewusst ausgelöster Testalarm die Person erreichen, die im Ernstfall reagieren muss.

Bei Geräten mit OAuth lohnt sich ein zweiter Test nach einem Neustart und später im regulären Betrieb. Eine erfolgreiche Anmeldung beim Einrichten reicht als Nachweis für den Dauerbetrieb kaum aus. Beim Relay testen Sie auch die Grenzen: Ein System ausserhalb des vorgesehenen Netzes oder ein unzulässiger Absender darf darüber keine Mails verschicken. Legen Sie fest, wer die Versandprotokolle anschaut, wenn eine Nachricht ausbleibt.

Falls ein wichtiger Ablauf bis zur Umstellung noch auf die alte Anmeldung angewiesen ist, kann die angekündigte Wiederaktivierung für bestehende Umgebungen Zeit verschaffen, sofern Ihre Richtlinien das zulassen. Ich würde dafür vorab eine verantwortliche Person und ein Enddatum festhalten. Für besonders wichtige Prozesse sollte es ausserdem einen Ausweichweg geben, etwa einen unabhängigen Alarmkanal oder einen vereinbarten manuellen Versand. Nach der Abnahme können Sie überflüssige Versandkonten, gespeicherte Passwörter und Ausnahmen gezielt abbauen.

Das ist für mich die wichtigste Frage hinter der Microsoft-Änderung. Eine IT kann den Mailserver sauber betreiben und trotzdem übersehen, dass der Monatslauf keine Rechnung mehr verschickt. Wer Auslöser, Empfänger und Verantwortung einmal zusammenbringt, kann den Wechsel gezielt testen und erspart dem Team die Suche unter Zeitdruck. Beginnen Sie mit der Nachricht, die Sie am wenigsten gern verpassen würden.