Microsoft schaltet die SMTP-Basisauthentifizierung ab — unverändert bis Dezember 2026, danach standardmäßig deaktiviert, mit anschließender endgültiger Entfernung. Wenn Ihr Tenant umschaltet, bleiben Passwort-Zurücksetzungen, geplante Berichte und Warnmeldungen aus Matomo stillschweigend aus. Missivus versendet sie stattdessen über Microsoft Graph — mit Anwendungsberechtigungen und einem kostenlosen freigegebenen Postfach. Niemand meldet sich an, nichts läuft mit einer Person ab, nichts ist lizenzpflichtig.
Microsoft schaltet die SMTP-Basisauthentifizierung für Microsoft 365 ab. Alle anderen Basic-Auth-Protokolle wurden bereits 2022 abgeschaltet; SMTP AUTH bleibt bis Dezember 2026 unverändert, wird für bestehende Tenants Ende Dezember 2026 standardmäßig deaktiviert und ist für neue Tenants danach standardmäßig nicht mehr verfügbar; das endgültige Abschaltdatum wird Ende 2027 bekanntgegeben. Die FAQ von Matomo behandelt den Microsoft-365-SMTP-Weg bereits als nicht unterstützt — und wenn der Schalter fällt, ist der Ausfall lautlos: keine Unzustellbarkeitsnachricht, keine Fehlermeldung auf dem Bildschirm, bis jemand bemerkt, dass der Wochenbericht nie ankam oder eine Passwort-Zurücksetzung ausblieb.
Die üblichen Umgehungen sind schlimmer als das Problem selbst. Ein lizenziertes Benutzerkonto, dessen Passwort zur gemeinsamen Serveranmeldung wird. Ein delegierter OAuth-Ablauf, der Mails im Namen einer Person versendet und an dem Tag zerbricht, an dem sie geht. Oder ein SMTP-Relay eines Drittanbieters, das Ihre Datenschutzerklärung nun erklären muss.
Missivus nimmt den Weg, den Microsoft für Serversoftware tatsächlich empfiehlt — Graph mit Anwendungsberechtigungen — und verbindet ihn mit der einen Exchange-Funktion, die ihn sicher macht: einer Anwendungszugriffsrichtlinie, die auf ein einziges kostenloses freigegebenes Postfach begrenzt ist.
Drei Schritte in Ihrem Microsoft-Tenant, einmalig. Etwa eine Stunde, jeder Klick dokumentiert.
Legen Sie eine App-Registrierung mit der Anwendungsberechtigung Mail.Send und einem Client-Secret an. Sie ist eine Identität für Ihren Server — kein Benutzer, kein Passwort, das jemand eintippt, nichts zum Durchklicken.
Eine einzige PowerShell-Zeile erstellt eine Anwendungszugriffsrichtlinie, die die App auf ein einziges freigegebenes Postfach begrenzt — noreply@yourcompany.com. Das Postfach ist kostenlos; niemand meldet sich daran an. Ohne die Richtlinie könnte die App als beliebige Adresse senden; mit ihr als genau einer.
Tenant-ID, Client-ID, Secret, Absenderadresse — in die Einstellungsseite des Plugins. Auf „Send test email“ klicken. Fertig. Die spätere Rotation ist langweiliges Einfügen eines einzigen Werts.
Drei Wege zu senden
Die drei Wege, auf denen selbst gehostete Software heute über Microsoft 365 senden kann — ehrlich verglichen.
| Missivus — Anwendungsberechtigung | Delegiertes OAuth (Anmeldung als Benutzer) | SMTP AUTH | |
|---|---|---|---|
| Funktioniert nach der SMTP-AUTH-Abschaltung (Dezember 2026) | Ja — Graph ist der unterstützte Weg | Ja | Ab Ende 2026 standardmäßig deaktiviert, danach entfernt |
| Benötigt ein lizenziertes Benutzerkonto | Nein — kostenloses freigegebenes Postfach | Ja, das Konto einer realen Person | Ja, mit einem Passwort |
| Übersteht das Ausscheiden einer Person | Ja — kein Benutzer beteiligt | Nein — bricht mit deren Konto | Nein — jede Passwortänderung beendet es |
| Die Mail kommt von | Der No-Reply-Adresse Ihres Unternehmens | Dem Postfach einer Person | Dem Postfach einer Person |
| Schadensradius bei Abfluss der Zugangsdaten | Ein freigegebenes Postfach, durch Exchange erzwungen | Alles, was dieser Benutzer tun kann | Das gesamte Postfach, interaktive Anmeldung inbegriffen |
| Kosten | Kostenlos — GPLv3-Plugin, keine Lizenz | Oft eine kostenpflichtige Erweiterung | Eine Lizenz für das sendende Konto |
Die Zeile zum Schadensradius ist die entscheidende. Mail.Send als Anwendungsberechtigung gilt standardmäßig tenantweit — erst die Anwendungszugriffsrichtlinie aus unserer Einrichtungsanleitung grenzt sie auf ein Postfach ein, und wir behandeln sie als Pflichtschritt, nicht als optionale Härtung.
Passwort-Zurücksetzungen, geplante Berichte, Warnmeldungen — alles, was Matomo versendet, läuft über Graph. Große Bericht-PDFs nehmen automatisch den Weg über den segmentierten Upload. Wird deaktiviert ausgeliefert; aktiviert wird mit vier Werten.
Alles, was wp_mail() erzeugt, geht über Graph hinaus — Passwort-Zurücksetzungen, Bestellbestätigungen, Formularbenachrichtigungen. Wo die übliche Microsoft-365-Option eine kostenpflichtige Erweiterung ist, die im Namen einer Person sendet, sendet Missivus als Ihre No-Reply-Adresse, kostenlos.
Passwort-Zurücksetzungen, Freigabebenachrichtigungen, Aktivitätsübersichten, Administratorwarnungen — alles, was der Mailer von Nextcloud erzeugt, geht über Graph hinaus, ohne separaten Relay-Dienst. Wird deaktiviert ausgeliefert; aktiviert wird mit vier Werten.
Derselbe Graph-Transport für die transaktionalen Mails von Ghost — Team-Einladungen, Passwort-Zurücksetzungen, Anmeldelinks für Mitglieder. Newsletter bleiben bei Ihrem Newsletter-Dienst; Missivus übernimmt die transaktionale Seite.
Die Software ist kostenlos und bleibt es. Solvetus — das Studio hinter Missivus — installiert und betreut sie kommerziell — Entra-App, Zugriffsrichtlinie, freigegebenes Postfach, Plugin, eine Test-E-Mail in Ihrem Postfach und ein Übergabedokument, erledigt in einem Termin.
Nein. Ein freigegebenes Postfach ist bis 50 GB kostenlos, und Missivus authentifiziert sich als Anwendung, nicht als das Postfach — niemand meldet sich damit an, und niemand zahlt dafür.
Ja — ohne sie erlaubt Mail.Send als Anwendungsberechtigung der App, im Namen jeder Adresse in Ihrem Tenant zu senden. Die Richtlinie grenzt das auf ein Postfach ein. Unsere Anleitung behandelt sie als Teil der Installation.
Microsoft schaltet die SMTP-Basisauthentifizierung für Microsoft 365 ab — ab Ende Dezember 2026 standardmäßig deaktiviert, die endgültige Entfernung wird noch bekanntgegeben — und der PHPMailer-Weg von Matomo beherrscht die verbleibende OAuth-Variante nicht. Die FAQ von Matomo behandelt den Microsoft-365-SMTP-Weg als nicht unterstützt.
Richten Sie es selbst mit der interaktiven Anleitung ein — jeder Befehl mit Ihren Werten vorausgefüllt — oder lassen Sie es Solvetus in einem Termin erledigen.