Outlook / Microsoft 365 (OAuth)

Die Outlook-Integration sendet Frontmail-Vorlagen über Microsoft Graph aus Ihrem Postfach bei Outlook.com, Hotmail oder Microsoft 365 (Exchange Online). Die Nachrichten landen in Ihren Gesendeten Elementen, Antworten kommen in Ihrem Posteingang an.

Wählen Sie Outlook / Microsoft 365, wenn Ihr Unternehmen bereits mit Microsoft 365 arbeitet und Website-Formulare und Benachrichtigungen aus einem echten Firmenpostfach (office@example.de) kommen sollen, ohne einen weiteren Anbieter einzurichten. Wie Gmail ist es für kleine Volumen gedacht – Exchange Online drosselt den Versand pro Postfach, und es gibt keine Zustell-Webhooks. Für transaktionale Volumen nutzen Sie Mailgun, Postmark, Amazon SES oder Resend. Siehe die Übersicht der E-Mail-Dienste.

SMTP AUTH vs. Microsoft Graph

Microsoft 365 bietet auch SMTP-Submission (smtp.office365.com:587), und der SMTP-Dienst von Frontmail hat dafür eine Voreinstellung. SMTP AUTH ist jedoch in vielen Tenants standardmäßig deaktiviert, und Microsoft schafft die Standardauthentifizierung (Benutzername + Passwort) für SMTP AUTH in Exchange Online ab. Diese Integration nutzt deshalb OAuth und die Graph-API sendMail – kein Passwort, keine Ausnahme für SMTP AUTH nötig, und sie funktioniert mit MFA und bedingtem Zugriff (Conditional Access).

Voraussetzungen

Ein Konto bei Outlook.com / Hotmail oder ein Geschäftskonto bei Microsoft 365 mit einem Exchange-Online-Postfach (eine Lizenz, die Exchange enthält).
Bei Microsoft 365: die Berechtigung, Apps zuzustimmen. Viele Organisationen erlauben Nutzern, Berechtigungen mit geringem Risiko selbst zuzustimmen; andere verlangen eine Administratorzustimmung – siehe unten.
Sonst nichts – keine eigene App-Registrierung in Azure.

In Frontmail verbinden

Öffnen Sie E-Mail-Dienste → Dienst hinzufügen → Outlook / Microsoft 365.
Klicken Sie auf Outlook / Microsoft 365 verbinden und melden Sie sich mit dem Postfach an, aus dem Sie senden möchten.
Prüfen Sie den Zustimmungsbildschirm. Frontmail fordert diese delegierten Berechtigungen an:
- Mail.Send – E-Mails als Sie senden. Damit lassen sich keine E-Mails lesen, verschieben oder löschen.
- offline_access – die Berechtigung behalten, ohne dass Sie angemeldet sind (dadurch erhält Frontmail ein Refresh-Token).
- openid email – Ihre Adresse, die auf der Seite des Dienstes angezeigt und als Standard-Absenderadresse verwendet wird.
Klicken Sie auf Accept. Sie werden zurückgeleitet, und der Dienst wird mit der verbundenen Adresse gespeichert.
Passen Sie optional Max. E-Mails pro Sekunde an (Standard 0,5/s = 30 pro Minute) und klicken Sie auf Verbindung testen – dabei wird das Token erneuert.

Was gespeichert wird: das OAuth-Refresh-Token (plus ein kurzlebiges Access-Token), verschlüsselt mit AWS KMS per Envelope-Verschlüsselung. Access-Tokens gelten etwa eine Stunde; Microsoft tauscht das Refresh-Token bei jeder Erneuerung aus, und Frontmail speichert das neue automatisch.

Administratorzustimmung in Microsoft 365

Erlaubt Ihr Tenant keine Zustimmung durch Nutzer, bricht die Anmeldung mit „Need admin approval“ ab (oder mit dem Fehler AADSTS65001 / AADSTS90094). Ein Global Administrator, Cloud Application Administrator oder Application Administrator kann dann:

die offene Anfrage unter Microsoft Entra admin center → Enterprise applications → Admin consent requests genehmigen oder
sich selbst über Outlook / Microsoft 365 verbinden anmelden und Consent on behalf of your organization ankreuzen.

Administratoren können die App später unter Enterprise applications → Frontmail → Properties → Assignment required auf bestimmte Nutzer beschränken.

Wenn das Token nicht mehr funktioniert

Das Refresh-Token wird ungültig, wenn:

der Nutzer sein Passwort ändert oder zurücksetzt oder ein Administrator die Sitzungen widerruft (AADSTS50173),
es 90 Tage lang nicht verwendet wird (AADSTS700082),
ein Nutzer oder Administrator Frontmail aus My Apps / Enterprise applications entfernt,
eine Richtlinie für bedingten Zugriff die App blockiert oder das Konto deaktiviert wird.

Frontmail erhält dann invalid_grant und behandelt das als auth-Fehler: Der Dienst wird als unhealthy markiert, Sie erhalten eine E-Mail und ein Banner im Dashboard, und Nachrichten werden zurückgehalten (oder über den Ersatzdienst gesendet), bis Sie auf der Seite des Dienstes auf Neu verbinden klicken. Zurückgehaltene Nachrichten werden danach automatisch gesendet.

DNS: SPF, DKIM und DMARC

Adressen bei Outlook.com / Hotmail: nichts zu tun.
Microsoft 365 auf eigener Domain – meist schon bei der Einrichtung des Tenants erledigt; prüfen Sie, ob diese Einträge existieren:

; SPF
example.de.                      TXT    "v=spf1 include:spf.protection.outlook.com -all"

; DKIM – zwei CNAMEs, danach die DKIM-Signierung im Microsoft Defender Portal aktivieren
selector1._domainkey.example.de. CNAME  selector1-example-de._domainkey.contoso.onmicrosoft.com.
selector2._domainkey.example.de. CNAME  selector2-example-de._domainkey.contoso.onmicrosoft.com.

; DMARC
_dmarc.example.de.               TXT    "v=DMARC1; p=none; rua=mailto:dmarc@example.de"

Kopieren Sie die genauen DKIM-Ziele aus Microsoft Defender → Email & collaboration → Policies → Email authentication settings → DKIM; neuere Tenants zeigen unter Umständen ein anderes Zielformat.
Beginnen Sie DMARC mit p=none und verschärfen Sie später.

Absenderadresse: Graph sendet als das angemeldete Postfach. Das Senden als freigegebenes Postfach oder als anderer Nutzer erfordert Send As-Rechte und wird derzeit nicht unterstützt – solche Versuche schlagen mit ErrorSendAsDenied fehl.

Regionen

Es gibt keine Region zu wählen – Frontmail nutzt den globalen Microsoft-Graph-Endpunkt (graph.microsoft.com) und den Anmeldeendpunkt common, der sowohl für private als auch für Geschäftskonten funktioniert. Nationale Clouds (z. B. Microsoft 365 betrieben von 21Vianet, US Government) werden nicht unterstützt.

Versandlimits

Konto	Ungefähres Limit
Microsoft 365 / Exchange Online	10.000 Empfänger pro Tag, 30 Nachrichten pro Minute, 500 Empfänger pro Nachricht
Outlook.com / Hotmail	ca. 300 Nachrichten pro Tag, 100 Empfänger pro Nachricht (bei neuen Konten weniger)
Graph `sendMail` (MIME)	bis zu 4 MB pro Nachricht inklusive Anhängen

Der Standardwert von Frontmail mit 0,5 Nachrichten pro Sekunde entspricht dem Exchange-Limit von 30 Nachrichten pro Minute. Werden Limits überschritten, liefert Microsoft Drosselungsfehler, die Frontmail mit Backoff wiederholt.

Zustellverfolgung (Webhooks)

Microsoft Graph bietet für gesendete Mails keine Zustell-Webhooks – es muss also nichts konfiguriert werden, und die Seite des Dienstes hat keine Webhook-URL. Frontmail weiß nur, ob Graph die Nachricht angenommen (sent) oder abgelehnt (failed) hat. Unzustellbarkeitsberichte (NDRs) kommen als normale E-Mails in Ihrem Posteingang an und werden nicht auf die Sperrliste von Frontmail gesetzt. Öffnungen und Klicks werden nicht erfasst.

Häufige Fehler

auth – der Dienst funktioniert nicht (Token widerrufen oder abgelaufen, fehlende Zustimmung, kein Postfach, Senden als anderer Absender verweigert, 401/403). Der Dienst wird als unhealthy markiert; der Inhaber erhält eine E-Mail und ein Banner im Dashboard. Der Ersatzdienst der Vorlage übernimmt; andernfalls wird der Credit erstattet und die Nachricht wartet als held_service_error in der Warteschlange zurückgehaltener E-Mails und wird nach dem erneuten Verbinden automatisch gesendet (geprüft beim Speichern und bei der täglichen Statusprüfung).
permanent – genau diese Nachricht kann nicht gesendet werden (ungültige Empfänger, zu groß, ungültige Anfrage). Ersatzdienst, falls eingerichtet, sonst failed und Erstattung.
transient – Drosselung, 5xx, Timeouts. Wiederholung mit exponentiellem Backoff; nach dem letzten Versuch failed und Erstattung.

Antwort von Microsoft	Klasse	Was zu tun ist
`invalid_grant` – `AADSTS50173` / `AADSTS700082` (Berechtigung abgelaufen oder widerrufen)	auth	Klicken Sie auf der Seite des Dienstes auf Neu verbinden.
`AADSTS65001` / „Need admin approval“	auth	Bitten Sie einen Tenant-Administrator um die Zustimmung (siehe oben) und verbinden Sie dann neu.
`401 InvalidAuthenticationToken`	auth	Wird normalerweise durch die automatische Erneuerung behoben; bleibt der Fehler, verbinden Sie neu.
`403 ErrorAccessDenied` / `Authorization_RequestDenied`	auth	Die Zustimmung wurde zurückgezogen oder bedingter Zugriff blockiert die App – klären Sie das mit Ihrem Administrator.
`MailboxNotEnabledForRESTAPI`	auth	Das Konto hat kein Exchange-Online-Postfach (keine Lizenz oder ein lokales Postfach).
`ErrorSendAsDenied`	auth	Verwenden Sie die Adresse des verbundenen Postfachs als Absenderadresse.
`ErrorQuotaExceeded`	auth	Das Postfach ist voll – schaffen Sie Platz, damit die Nachricht in den Gesendeten Elementen gespeichert werden kann.
`400 ErrorInvalidRecipients`	permanent	Siehe ungültiger Empfänger.
`413` / `ErrorMessageSizeExceeded`	permanent	Halten Sie die Nachricht samt Anhängen unter 4 MB.
`429 ApplicationThrottled` / `ErrorExceededMessageLimit` / `MailboxConcurrency`	transient	Limits des Postfachs erreicht – Frontmail wartet ab; senden Sie weniger oder nutzen Sie einen transaktionalen Anbieter.
`500` / `503 ServiceUnavailable`	transient	Störung bei Microsoft – Frontmail wiederholt den Versand.

Checkliste

Postfach mit Exchange Online (oder Outlook.com) über Outlook / Microsoft 365 verbinden verbunden
Zustimmung erteilt – vom Nutzer oder, falls erforderlich, von einem Tenant-Administrator
Microsoft 365 auf eigener Domain: SPF include:spf.protection.outlook.com, DKIM selector1/selector2 aktiviert, DMARC
Absenderadresse der Vorlage = die Adresse des verbundenen Postfachs
Verbindung testen erfolgreich
Volumen innerhalb von 30 Nachrichten pro Minute und des täglichen Empfängerlimits
Ersatzdienst für wichtige Vorlagen eingerichtet