Microsoft 365 SMTP-Wechsel: Monaco

Ende Dezember 2026 will Microsoft die sogenannte Standardauthentifizierung („Basic Authentication") für SMTP AUTH in bestehenden Microsoft-365-Umgebungen standardmäßig abschalten. Im Klartext: Jede Website, jeder Drucker, Scanner, jedes Buchungstool und jedes alte Skript, das E-Mails über Ihr Microsoft-365-Konto nur mit Benutzername und Passwort versendet, kann still und leise aufhören zu senden.

Am häufigsten trifft es ausgerechnet das, was am meisten kostet: das Kontaktformular Ihrer Website. Für Besucher sieht alles normal aus, die Meldung „Danke, wir melden uns" erscheint wie immer – nur die Anfrage kommt nie in Ihrem Postfach an. Für ein Unternehmen in Monaco, bei dem eine einzige Anfrage ein ganzes Jahresbudget fürs Marketing wert sein kann, ist genau das das eigentliche Risiko. Sie haben rund acht Wochen Zeit zum Prüfen, und die Lösung ist meist überschaubar.

Was Microsoft ändert – und wann

SMTP AUTH (auch „Client Submission") ist das Verfahren, mit dem viele Geräte und Anwendungen E-Mails über Exchange Online verschicken: Sie verbinden sich mit smtp.office365.com und melden sich mit Postfachadresse und Passwort an. Microsoft will diese reine Passwortanmeldung seit Jahren loswerden, weil gestohlene Passwörter der einfachste Weg in ein Postfach sind.

Der Zeitplan hat sich mehrfach verschoben. Die für März 2026 geplante schrittweise Ablehnung wurde im Januar 2026 ausgesetzt. Laut den aktualisierten Angaben von Microsoft, veröffentlicht vom Exchange-Team und von Microsoft-365-Fachleuten breit aufgegriffen, gilt:

• Bis Ende Dezember 2026: Es ändert sich nichts.
• Ende Dezember 2026: Die Standardauthentifizierung für SMTP AUTH wird in bestehenden Umgebungen standardmäßig deaktiviert. Administratoren können sie wieder einschalten.
• Neue Umgebungen ab diesem Zeitpunkt können sie gar nicht mehr nutzen und müssen OAuth verwenden.
• Zweite Jahreshälfte 2027: Microsoft will dann das Datum der endgültigen Abschaltung bekanntgeben.

Die Umstellung im Dezember ist also vorerst umkehrbar. Aber „ein Administrator kann es wieder aktivieren" setzt voraus, dass jemand den Ausfall bemerkt, die Ursache kennt und über die Feiertage Adminrechte hat. Microsofts Termine haben sich schon öfter verschoben – prüfen Sie daher die aktuelle Meldung im Nachrichtencenter Ihres Microsoft-365-Admin-Centers oder lassen Sie sich den Stand von Ihrem IT-Dienstleister bestätigen.

Warum das in Monaco relevant ist

Microsoft 365 ist im Fürstentum die Standard-Bürosoftware. Family Offices, Immobilienagenturen, Yachtmakler, Kanzleien, Hotels und Treuhandgesellschaften arbeiten überwiegend mit Outlook und Exchange Online – oft vor Jahren von einem externen Dienstleister eingerichtet, der längst nicht mehr involviert ist.

Website-Formulare hängen häufig am Passwort eines Postfachs. Gerade bei WordPress ist ein Mail-Plugin oft mit smtp.office365.com, Port 587 und dem Passwort des info@-Postfachs konfiguriert. Das funktionierte 2019, und seitdem hat niemand daran gerührt. Dasselbe Muster findet sich bei individuellen PHP-Websites, Buchungssystemen und manchen CRMs.

Der Ausfall bleibt unbemerkt. Kann ein Formular nicht senden, zeigen viele Websites dem Besucher trotzdem eine Erfolgsmeldung. Sie merken es erst, wenn ein Kunde fragt, warum niemand auf seine Anfrage zur Wohnung, zum Charter oder zum Tisch für zwölf Personen reagiert hat.

Auch Ihre Datenschutzpflichten sind berührt. Nach dem monegassischen Gesetz Nr. 1.565 vom 3. Dezember 2024, überwacht von der APDP, müssen Unternehmen risikogerechte Sicherheitsmaßnahmen treffen. Ein Postfach, das nur durch ein im Klartext in einem Website-Plugin gespeichertes Passwort geschützt ist, lässt sich schwer rechtfertigen. Wir sind keine Juristen – lassen Sie Ihre konkreten Pflichten von einer qualifizierten Beratung prüfen –, aber der Wechsel zu moderner Authentifizierung geht klar in die richtige Richtung. Mehr dazu auf unserer Seite zum APDP-Datenschutz.

So finden Sie heraus, ob Sie betroffen sind

Listen Sie alles auf, was E-Mails „im Namen" Ihres Unternehmens versendet – nicht nur Ihre Mitarbeitenden in Outlook:

1. Kontakt-, Angebots- und Buchungsformulare auf jeder Website und Subdomain.
2. Drucker und Scanner mit „Scan to E-Mail".
3. Onlineshops, die Bestellbestätigungen über Ihr Postfach verschicken.
4. CRM, Buchungssysteme, Buchhaltungssoftware, Alarm- oder Videoanlagen mit SMTP-Einstellung.
5. Skripte und Automatisierungen, die ein früherer Entwickler oder Dienstleister eingerichtet hat.

Suchen Sie jeweils nach einer Mail-Einstellung mit smtp.office365.com sowie Benutzername und Passwort. Ihr Microsoft-365-Administrator kann zudem in den Anmeldeprotokollen nachsehen, welche SMTP-Anmeldungen noch per Standardauthentifizierung erfolgen – so wird genau sichtbar, welche Konten und Geräte betroffen sind. Hat im Unternehmen niemand Adminzugriff auf die eigene Umgebung, klären Sie das zuerst.

Und dann der einfachste Test überhaupt: Füllen Sie heute Ihr eigenes Website-Formular aus und prüfen Sie, ob die E-Mail ankommt. Wiederholen Sie das nach jeder Änderung.

Lösungen – vom einfachsten bis zum robustesten

Website auf OAuth umstellen. Die meisten seriösen WordPress-Mail-Plugins und modernen Frameworks können über Microsoft 365 per OAuth (über eine in Microsoft Entra ID registrierte App) oder über die Microsoft Graph API senden. Auf der Website liegt dann kein Postfachpasswort mehr. Für die meisten Websites ist das die sauberste Lösung und gehört normalerweise zur laufenden Website-Wartung.

Einen Transaktions-E-Mail-Dienst nutzen. Für Websites und Shops, die Bestellbestätigungen, Passwort-Resets oder Benachrichtigungen versenden, ist ein spezialisierter Dienst oft zuverlässiger als ein Mitarbeiterpostfach – inklusive Versandprotokollen als Nachweis. Richten Sie SPF, DKIM und DMARC für Ihre Domain korrekt ein, damit nichts im Spam landet.

Geräte ohne OAuth-Unterstützung lösen. Ältere Drucker und Scanner lassen sich oft nicht aktualisieren. Optionen sind Microsofts eigene Alternativen für interne E-Mails, ein externes SMTP-Relay oder der Austausch des Geräts. Ihr IT-Dienstleister sollte das passend zu Ihrer Umgebung entscheiden.

Die „Einfach wieder einschalten"-Falle vermeiden. Die Standardauthentifizierung im Januar wieder zu aktivieren, stellt den Betrieb schnell wieder her – verschiebt das Problem aber nur bis zur endgültigen Abschaltung und lässt die schwächste Anmeldemethode offen.

Ein realistischer Fahrplan für die nächsten acht Wochen

• Diesen Monat: Bestandsaufnahme, jedes Formular testen, klären, wer Adminrechte für Ihre Microsoft-365-Umgebung hat.
• Bis Mitte Dezember: Websites und Shops auf OAuth oder einen Transaktionsdienst umstellen; Plan für die Geräte festlegen.
• Letzte Dezemberwoche: Jedes Formular erneut testen und Protokolle prüfen. Sorgen Sie dafür, dass Anfang Januar jemand erreichbar ist.
• Danach: „Kontaktformular testen" fest in die monatliche Wartung aufnehmen. Günstiger lässt sich ein anfragegetriebenes Geschäft kaum absichern.

Wurde Ihre Website von einem Dienstleister gebaut, der inzwischen verschwunden ist, lohnt sich jetzt ein Blick auf die Wartung insgesamt. Unser Team für Webentwicklung übernimmt solche Websites regelmäßig, und wenn Ihre Anfragen in ein CRM fließen, sorgt unsere Arbeit im Bereich E-Mail-Marketing & CRM dafür, dass jeder Kontakt dort ankommt, wo er hingehört.

Sie wissen nicht, wie Ihre Website ihre E-Mails versendet? Nehmen Sie Kontakt auf – wir prüfen Ihre Formulare und sagen Ihnen genau, was sich bis Ende Dezember ändern muss.