Office 365 und IMAP: Postfächer sicher automatisieren
Microsoft hat die einfache Passwort-Anmeldung (Basic Auth) für Exchange Online endgültig abgeschaltet — wer heute ein Microsoft-365-Postfach automatisieren will, kommt an OAuth2 nicht vorbei. Als wir die O365-Anbindung für MailWerk gebaut haben, haben wir die Einrichtung deshalb bewusst auf drei Eingabefelder reduziert: Tenant-ID, Client-ID, Client-Secret. Der Rest — Token holen, erneuern, sicher verwahren — passiert automatisch. Was dahintersteckt, wie die Einrichtung Schritt für Schritt funktioniert und warum „Open Graph" hier übrigens der falsche Begriff ist, klärt dieser Beitrag. Für alle Nicht-Microsoft-Postfächer gibt es außerdem die IMAP-Grundlagen samt Sicherheits-Tipps.
Weg 1: Klassisches IMAP — für fast jeden Anbieter
Ob eigener Mailserver, deutscher Hoster oder Freemailer: Wenn dein Anbieter IMAP und SMTP unterstützt, verbindest du das Postfach mit Host, Port, Benutzername und Passwort. Aus hunderten eingerichteten Postfächern haben sich zwei Empfehlungen herauskristallisiert:
- App-Passwort statt Hauptpasswort: Viele Anbieter lassen dich eigene Passwörter je Anwendung erzeugen — kompromittiert das eine, bleibt der Rest sicher, und du kannst es einzeln zurückziehen, ohne dein Hauptkonto anzufassen.
- SSL-Ports verwenden: IMAP 993 (SSL) und SMTP 465 bzw. 587 — MailWerk wählt die passende Verschlüsselung automatisch und verbindet nie unverschlüsselt, wenn der Server TLS anbietet.
Weg 2: Office 365 / Exchange Online per OAuth2
Für Microsoft-365-Postfächer nutzt MailWerk den OAuth2-Client-Credentials-Flow: Deine IT registriert einmalig eine App im Azure-Portal, MailWerk holt sich damit automatisch kurzlebige Access Tokens und meldet sich per XOAUTH2 am Postfach an. Kein Passwort, keine ablaufenden Sitzungen, automatische Token-Erneuerung — und der entscheidende Vorteil gegenüber Bastellösungen: Es gibt kein menschliches Konto, dessen Passwortwechsel die Automatisierung stilllegt.
Die Einrichtung in vier Schritten
- App registrieren: Azure-Portal → App-Registrierungen → Neue Registrierung. Notiere Tenant-ID (Verzeichnis-ID) und Client-ID (Anwendungs-ID).
- Berechtigungen erteilen: API-Berechtigungen → Office 365
Exchange Online → Anwendungsberechtigungen →
IMAP.AccessAsAppundSMTP.SendAsApp, danach Admin-Zustimmung erteilen. - Postfach freigeben: Per Exchange-PowerShell den Service-Principal anlegen und ihm Zugriff auf das gewünschte Postfach geben (New-ServicePrincipal, Add-MailboxPermission). Wichtig: Die App sieht nur die Postfächer, die du explizit freigibst — nicht deinen ganzen Tenant.
- Client-Secret erzeugen und zusammen mit Tenant-ID und Client-ID in MailWerk eintragen — Anmeldeverfahren „Office 365 / Exchange Online (OAuth2)" wählen, die Hosts (outlook.office365.com / smtp.office365.com) sind vorbelegt. Der Verbindungstest zeigt sofort, ob alles stimmt.
„Ist das Open Graph?" — Begriffe kurz sortiert
Die Frage kommt öfter, deshalb hier die Abgrenzung: Open Graph ist ein Meta-Tag-Protokoll von Facebook für hübsche Link-Vorschauen — mit E-Mail hat es nichts zu tun. Microsoft Graph ist Microsofts allgemeine Cloud-API. Der Postfachzugriff in MailWerk läuft über die Microsoft Identity Platform (OAuth2-Tokens) in Kombination mit IMAP/SMTP — bewährtes Protokoll, moderne Anmeldung. Dein Vorteil: Alle MailWerk-Funktionen — Regeln, Verschieben, Weiterleiten, Anhänge speichern — funktionieren mit O365-Postfächern exakt so wie mit jedem IMAP-Konto, weil nur die Anmeldung anders läuft, nicht die Verarbeitung.
Sicherheit der Zugangsdaten: unser Ansatz
Egal welcher Weg: Passwörter und Client-Secrets speichert MailWerk ausschließlich verschlüsselt (Data-Protection mit Schlüsseln außerhalb der Datenbank) und protokolliert sie nie — auch nicht in Fehlermeldungen. Access Tokens leben nur im Arbeitsspeicher und werden automatisch kurz vor Ablauf erneuert. Details zur Datenverarbeitung, inklusive der Rolle von Microsoft als Anbieter, stehen transparent in unserer Datenschutzerklärung; einen Auftragsverarbeitungsvertrag stellen wir auf Anfrage bereit.
Ehrliche Einordnung: Wann O365-OAuth der Mehraufwand lohnt
Die Azure-Einrichtung dauert mit Admin-Rechten etwa 15 Minuten — einmalig. Für ein einzelnes Privatpostfach kann ein klassischer IMAP-Zugang mit App-Passwort der schnellere Weg sein, sofern dein Tarif das noch erlaubt. Für Unternehmens-Postfächer in Microsoft 365 führt an OAuth2 kein Weg vorbei — und das ist gut so: Die Berechtigungen sind granular, nachvollziehbar und zentral entziehbar.
Häufige Fragen
Funktioniert MailWerk mit Office 365 / Microsoft 365?
Ja — über die moderne OAuth2-Anmeldung mit Azure-App-Registrierung; Basic Auth wird nicht benötigt.
Was brauche ich für die O365-Anbindung?
Tenant-ID, Client-ID und Client-Secret der Azure-App — mit den Berechtigungen IMAP.AccessAsApp und SMTP.SendAsApp sowie Postfach-Freigabe.
Ist Open Graph dasselbe wie Microsoft Graph?
Nein — Open Graph ist ein Meta-Tag-Protokoll für Link-Vorschauen; der Postfachzugriff läuft über die Microsoft Identity Platform (OAuth2) mit IMAP/SMTP per XOAUTH2.
Wie sicher sind die Zugangsdaten gespeichert?
Secrets und Passwörter nur verschlüsselt, Tokens nur im Speicher mit automatischer Erneuerung; nichts davon wird protokolliert.
Und wenn mein Anbieter kein O365 ist?
Dann klassisch per IMAP/SMTP mit App-Passwort — das unterstützen praktisch alle Anbieter und eigene Mailserver.
Weiterlesen
- MailWerk oder Microsoft Power Automate? — der ehrliche Vergleich für Microsoft-365-Nutzer.
- Postfach umziehen beim Hoster-Wechsel — auch von und zu Office 365, bis 100 MB kostenlos.
- E-Mail-Regeln erstellen: Die Wenn-Dann-Anleitung — der nächste Schritt nach der Postfach-Anbindung.
- MailWerk oder n8n? — gehostet oder selbst betrieben: die Grundsatzfrage.