Bis September 2025 wird Microsoft die Basic Authentication für Client Submission (SMTP AUTH) in Exchange Online komplett abschaffen. Diese Umstellung von der Basis-Authentifizierung auf OAuth-Token betrifft viele Unternehmen und erfordert eine frühzeitige Planung, um Störungen in der E-Mail-Kommunikation zu vermeiden.
Warum wird die Basic Authentication abgeschafft?
Die Basic Authentication ist mittlerweile ziemlich veraltet. Bei dieser Methode werden Benutzernamen und Passwörter unverschlüsselt übertragen, was sie anfällig für Credential-Diebstahl und andere Angriffe macht. Microsoft hat bereits 2019 damit begonnen, die Basic Authentication in Exchange Online schrittweise abzubauen und jetzt ist Client Submission (SMTP AUTH) die letzte Komponente, die ebenfalls abgeschaltet wird. Diese Maßnahme soll die Sicherheit für alle Kunden im immer komplexer werdenden Bedrohungsumfeld erhöhen.
Der Zeitplan für die Umstellung
Microsoft hat einen klaren Fahrplan aufgestellt: Im September 2024 wird der SMTP AUTH Clients Submission Report aktualisiert, gefolgt von einer ersten Benachrichtigung an betroffene Mandanten im Januar 2025. Im August 2025 gibt es eine weitere Erinnerung und im September 2025 wird die Basic Authentication schließlich endgültig deaktiviert.
Was bedeutet das konkret für Unternehmen?
Besonders Organisationen, die noch mit älterer Hardware oder Software arbeiten, sind stark betroffen:
- Ältere Multifunktionsgeräte und Scanner: Viele dieser Geräte unterstützen keine OAuth-Authentifizierung und können nach der Umstellung keine E-Mails mehr direkt versenden. Das kann für Unternehmen mit einem begrenzten IT-Budget eine echte Herausforderung sein.
- Legacy-Anwendungen: Ältere Geschäftsanwendungen wie Warenwirtschaftssysteme oder CRM-Lösungen, die auf Basic Authentication setzen, müssen entweder angepasst oder ersetzt werden.
- IoT-Geräte und Überwachungssysteme: Sicherheitssysteme, die Statusmeldungen oder Alarme per E-Mail versenden, unterstützen oft keine modernen Authentifizierungsmethoden und sind daher ebenfalls betroffen.
Lösungsansätze und Alternativen
- Umstellung auf OAuth: Wenn die verwendeten Anwendungen und Geräte OAuth unterstützen, ist die einfachste Lösung, auf diese moderne Authentifizierungsmethode umzustellen. Dazu sind möglicherweise Konfigurationsänderungen und Software-Updates erforderlich.
- High Volume Email (HVE) für Microsoft 365: Microsoft entwickelt eine spezielle Alternative für Kunden mit hohem E-Mail-Aufkommen, die sich allerdings noch in der Vorschauphase befindet.
- Relay-Lösungen über eigene Server: Unternehmen können E-Mails über lokale Exchange-Server oder Linux-Server mit Postfix weiterleiten. Das bietet Flexibilität, erfordert aber zusätzliche Infrastruktur und Know-how.
- Drittanbieter-SMTP-Dienste: Die Nutzung von Diensten wie Mailgun kann eine kostengünstige Alternative sein, besonders für kleinere Unternehmen oder spezielle Anwendungsfälle. Dabei sollten jedoch Datenschutz- und Compliance-Aspekte berücksichtigt werden.
Wie bereiten Sie sich am besten auf die Umstellung vor?
- Bestandsaufnahme der SMTP-AUTH-Nutzung: Überprüfen Sie, welche Anwendungen und Geräte in Ihrer Organisation SMTP AUTH mit Basic Authentication verwenden. Der seit September 2024 verfügbare Report im Exchange Admin Center wird Ihnen dabei helfen.
- Prüfung der OAuth-Unterstützung: Für jede identifizierte Anwendung sollten Sie prüfen, ob sie OAuth unterstützt oder ob diese Funktion implementiert werden kann. Kontaktieren Sie die Hersteller für weitere Informationen.
- Entwicklung einer Übergangsstrategie: Basierend auf Ihrer Bestandsaufnahme sollten Sie eine klare Strategie mit Zeitplänen, Verantwortlichkeiten und Ressourcenplanung entwickeln. Priorisieren Sie geschäftskritische Systeme und planen Sie ausreichend Testphasen ein.
Fazit
Die Abschaffung der Basic Authentication für SMTP AUTH ist ein wichtiger Schritt zur Verbesserung der Sicherheit, bringt jedoch technische Herausforderungen mit sich. Mit einer soliden Vorbereitung können Unternehmen einen reibungslosen Übergang gewährleisten und gleichzeitig von besseren Sicherheitsstandards profitieren. Beginnen Sie frühzeitig mit der Planung und identifizieren Sie die veralteten Systeme. Die Herausforderung besteht darin, eine Balance zwischen Sicherheitsanforderungen und praktischer Umsetzbarkeit zu finden – und der Schlüssel zum Erfolg liegt in einer gründlichen Vorbereitung.
