Scan to Email funktioniert nicht: Drucker mit Microsoft 365 oder Gmail einrichten

Was das bedeutet

Multifunktionsdrucker und Scanner verschicken Scans per SMTP, wie ein altes Mailprogramm. Wenn das nicht mehr funktioniert, zeigt das Gerät meist eine vage Meldung („SMTP error“, „authentication failed“, „cannot connect to server“). Die meisten Ausfälle kommen von Änderungen beim E-Mail-Anbieter: strengere Anmelderegeln, abgeschaltete alte Protokolle oder blockierte E-Mails ohne Authentifizierung.

Warum das passiert

• Die Anmeldung per Passwort wird nicht mehr akzeptiert. Gmail verlangt für SMTP ein App-Passwort, und bei Microsoft 365 ist SMTP AUTH oft ausgeschaltet. Siehe Gmail 535 5.7.8 und Microsoft 365 535 5.7.139.
• Alte Firmware. Geräte, die nur TLS 1.0/1.1 oder alte Verschlüsselungsverfahren beherrschen, können sich nicht mit aktuellen Servern verbinden.
• Falscher Port oder falsche Verschlüsselung. Zum Beispiel Port 25 ohne Anmeldung zu smtp.office365.com oder SSL auf 587.
• Falsche Uhrzeit. Ein Gerät mit falschem Datum scheitert an der Prüfung des TLS-Zertifikats.
• Direct Send blockiert. In Microsoft 365 können Admins inzwischen nicht authentifizierte „Direct Send“-Nachrichten ablehnen.
• E-Mail zugestellt, aber im Spam, weil das Gerät als deine Domain von einer IP sendet, die nicht in SPF steht.

So prüfst du es

1. Notiere die Einstellungen des Geräts: SMTP-Server, Port, Verschlüsselung (None, SSL/TLS, STARTTLS), Benutzername und „From“-Adresse.
2. Prüfe das Geräteprotokoll oder den Fehlercode und aktualisiere die Firmware.
3. Teste die Verbindung von einem Computer im selben Netzwerk:

   nc -vz smtp.office365.com 587
   nc -vz smtp.gmail.com 587

4. Schick einen Scan an die einmalige Adresse auf der Startseite von Delivmail (funktioniert mit jeder Methode, die externe Adressen erreichen kann). Der Bericht zeigt, ob SPF, DKIM und DMARC für die From-Adresse des Geräts bestehen.
5. Bei Microsoft 365 nutze die Nachrichtenablaufverfolgung im Exchange admin center, um zu sehen, ob die Nachricht angekommen ist und warum sie abgelehnt wurde.

So behebst du es

Microsoft 365: eine von drei Methoden wählen

Microsoft dokumentiert drei Wege, wie Geräte senden können.

1. SMTP AUTH client submission (sendet an jeden):

Server:     smtp.office365.com
Port:       587
Encryption: STARTTLS
Username:   scanner@yourdomain.com (a licensed mailbox)
Password:   the mailbox password

SMTP AUTH muss für dieses Postfach aktiviert sein. Microsoft schafft die Standardauthentifizierung (Basic authentication, Benutzername und Passwort) für SMTP AUTH ab: Zum Zeitpunkt des Schreibens soll sie für bestehende Mandanten Ende Dezember 2026 standardmäßig deaktiviert werden, ein endgültiges Abschaltdatum wird noch bekanntgegeben. Prüfe den aktuellen Zeitplan von Microsoft und nimm für neue Einrichtungen lieber eine Methode, die nicht davon abhängt.

2. Direct Send (nur interne Empfänger, keine Anmeldung): Das Gerät sendet auf Port 25 an deinen Microsoft-365-MX-Host:

Server:  yourdomain-com.mail.protection.outlook.com
Port:    25
Login:   none
From:    scanner@yourdomain.com

Nimm genau den MX-Host, den dig MX yourdomain.com +short anzeigt. Die öffentliche IP deines Büros muss statisch sein und in SPF stehen, sonst landen Scans eventuell im Junk-Ordner. Hat ein Admin Set-OrganizationConfig -RejectDirectSend $true eingeschaltet, wird Direct Send abgelehnt, und du brauchst Methode 3. Direct Send erreicht keine externen Adressen, also funktioniert ein Delivmail-Test damit nicht.

3. SMTP-Relay mit Connector (sendet an jeden, ohne Postfach-Anmeldung): Lege im Exchange admin center einen eingehenden Connector von „your organization's email server“ an, der deine statische öffentliche IP (oder ein Zertifikat) erkennt. Das Gerät sendet auf Port 25 an denselben MX-Host. Füge die IP zu SPF hinzu:

yourdomain.com.  TXT  "v=spf1 include:spf.protection.outlook.com ip4:203.0.113.20 -all"

Siehe SPF, DKIM und DMARC für Microsoft 365.

Gmail und Google Workspace

• Privates Gmail oder ein Workspace-Postfach: smtp.gmail.com, Port 587 mit STARTTLS (oder 465 mit SSL), die vollständige Adresse als Benutzername und ein App-Passwort (dafür ist die Bestätigung in zwei Schritten nötig).
• SMTP-Relay von Google Workspace: Richte in der Admin console den SMTP-Relay-Dienst für die IP deines Büros ein und sende dann auf Port 587 (oder 25/465) an smtp-relay.gmail.com. Bekommst du „550 5.7.0 Mail relay denied“, siehe SMTP-Relay von Google Workspace abgelehnt.

Wenn das Gerät zu alt ist

Aktualisiere die Firmware. Beherrscht es danach immer noch kein modernes TLS, sende über ein kleines lokales Relay (einen Server oder ein NAS, das E-Mails vom Gerät annimmt und mit richtiger Anmeldung weiterschickt), oder nutze die Scan-to-Cloud-Funktion des Herstellers.

Prüfe, ob es behoben ist

Schick einen Testscan an die Delivmail-Adresse (Methoden 1 und 3 oder Gmail) und prüfe, dass SPF, DKIM und DMARC bestehen. Scanne dann an einen echten internen und einen externen Empfänger. Hast du SPF geändert, warte die DNS-Verbreitung ab, bevor du erneut testest.