Das Symptom
Am Gerät sieht alles gut aus. Der Scan läuft durch, das Display zeigt kurz einen
Fortschrittsbalken, dann ist es wieder still. Im Postfach kommt nichts an. Kein
Fehler, keine Rückmeldung, keine Mail im Spam-Ordner — nichts. Manchmal steht auf
dem kleinen Display eine Zahl oder ein Kürzel, das genauso gut eine Fehlernummer
wie eine Uhrzeit sein könnte. Und das Ganze ging bis vor Kurzem einwandfrei.
Die „Layer 8“-Wahrheit
Ein Drucker verschickt keine E-Mails. Er tut so, als ob — und lässt in
Wirklichkeit ein fremdes Postfach für sich arbeiten. Microsoft beschreibt genau
diese Geräteklasse und sagt den entscheidenden Satz dazu: Sie erzeugen
Nachrichten, können sie aber nicht selbst versenden, weil sie keine Mailserver
sind. Netzwerkscanner, die Dokumente als Anhang verschicken, sind dort
namentlich aufgeführt.
Das heißt: Das Gerät meldet sich an einem Postfach an wie ein Mailprogramm. Und
damit unterliegt es allem, was in den letzten Jahren an dieser Anmeldung
verschärft wurde. Nur merkt es davon nichts, weil es keine Oberfläche hat, die
eine Absage anzeigen könnte.
Drei Verschärfungen treffen fast immer gleichzeitig zu. Erstens die Anmeldung
selbst: Der Standard verlangt seit RFC 6409, dass ein Einlieferungsserver eine
unauthentifizierte Nachricht ablehnen muss. Zweitens die Art der Anmeldung: Die
einfache Kombination aus Name und Kennwort ist bei Microsoft angekündigt zum
Auslaufen und außerdem für neuere Organisationen von vornherein pro Postfach
abgeschaltet. Drittens die Verschlüsselung: Verlangt wird TLS in Version 1.2
oder 1.3 — und das ist keine Einstellung, sondern eine Eigenschaft der Firmware.
Ein Gerät von 2016 kann das oft schlicht nicht, egal was man in seine
Weboberfläche einträgt.
Dazu kommt der Port, an dem sich das Alter eines Geräts am schnellsten ablesen
lässt. Steht dort 465, gibt Microsoft dafür eine ungewöhnlich direkte Auskunft:
Dann unterstützt das Gerät die verlangten TLS-Versionen nicht. Bemerkenswert
daran ist, dass 465 als solcher völlig in Ordnung ist — RFC 8314 stellt
ausdrücklich fest, dass zwischen STARTTLS auf 587 und sofortigem TLS auf 465
kein bedeutsamer Sicherheitsunterschied besteht. Der Port ist hier nicht die
Ursache, sondern das Symptom.
Der eigentliche Layer-8-Anteil steckt aber woanders: in dem Kennwort, das seit
Jahren im Klartext in einem Webformular steht, das jeder erreicht, der im
richtigen Netz ist und vor dem Gerät steht. Sehr oft ist es das persönliche
Konto von jemandem, der längst die Abteilung gewechselt hat. Der Scan hört
nämlich auch dann auf zu funktionieren, wenn diese Person ihr Kennwort ändert —
und dann sucht man tagelang am Drucker nach einem Fehler, den ein Mensch
verursacht hat.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Erst klären, welchen Weg das Gerät überhaupt gehen soll
Für Geräte gibt es nicht einen Weg, sondern mehrere, und sie haben verschiedene Voraussetzungen. Microsoft unterscheidet die Einlieferung über ein angemeldetes Postfach, die Weiterleitung über einen Connector und den direkten Versand. Nur der erste Weg braucht Postfach und Kennwort, nur er darf auch nach außen versenden und legt eine Kopie in Gesendete Objekte. Wer das nicht vorher entscheidet, stellt anschließend Werte ein, die zueinander nicht passen.
2.Ein eigenes Postfach nur für den Scanner einrichten
Das Konto der Chefin gehört nicht in ein Gerät, an dem jeder vorbeikommt. Richten Sie ein eigenes, lizenziertes Postfach ein, das nur der Scanner benutzt. Nebeneffekt: Wenn das Gerät später aus einer fremden Adresse senden soll, verlangt Microsoft dafür ausdrücklich die Berechtigung Senden als — sonst kommt die Mail als Unzustellbarkeitsbericht zurück, mit der Meldung, der Client habe keine Berechtigung, als dieser Absender zu senden.
3.Die Anmeldung für dieses Postfach überhaupt erst freischalten
Bei neueren Umgebungen ist der Weg ab Werk zu. Microsofts Hinweis dazu ist knapp und folgenreich: Die Einlieferung per SMTP-Anmeldung ist für Organisationen, die nach Januar 2020 angelegt wurden, abgeschaltet und muss pro Postfach eingeschaltet werden. Solange das nicht geschehen ist, sind alle weiteren Einstellungen am Gerät wirkungslos — und die Fehlermeldung des Geräts sagt darüber nichts.
4.Server, Port und Verschlüsselung genau so eintragen, wie der Anbieter sie nennt
Für Microsoft 365 lautet die dokumentierte Kombination: als Server der Name smtp.office365.com und ausdrücklich keine IP-Adresse, als Port 587 mit 25 als Alternative, dazu eingeschaltetes TLS in Version 1.3 oder 1.2. Steht im Gerät noch 465, ist das kein Detail, sondern ein Hinweis auf zu alte Firmware. Andere Anbieter nennen andere Namen — aber immer nennt sie der Anbieter, nicht das Gerätehandbuch.
5.Prüfen, ob das Gerät die verlangte TLS-Version überhaupt kann
Hier scheitern die meisten älteren Multifunktionsgeräte, und zwar endgültig. Microsoft formuliert es als harte Bedingung: Das Gerät muss TLS 1.3 oder 1.2 beherrschen, sonst kann es diesen Weg nicht benutzen. Das ist keine Einstellung, sondern eine Eigenschaft der Firmware. Ein Firmware-Update kann helfen; ob es für Ihr Modell eines gibt, steht nur beim Hersteller — hier endet die belegbare Auskunft.
6.Port 25 gegen die eigene Leitung prüfen
Bleibt die Verbindung stumm, statt abgewiesen zu werden, liegt es oft gar nicht am Postfach. Microsoft weist ausdrücklich darauf hin, dass manche Firewalls und Zugangsanbieter Port 25 sperren, weil darüber Mailserver untereinander zustellen. Das ist der Grund, warum 587 empfohlen wird: Er ist laut RFC 6409 für die Einlieferung reserviert und wird deshalb seltener blockiert.
7.Wenn das Postfach den Weg gar nicht mehr anbietet: den Weg wechseln
Wenn die einfache Kennwort-Anmeldung in Ihrer Umgebung abgeschaltet ist und das Gerät kein moderneres Verfahren beherrscht, ist an dieser Stelle Schluss — Microsoft nennt in dem Fall selbst andere Verfahren als Ersatz. Praktisch heißt das: Weiterleitung über einen Connector mit fester IP-Adresse, ein eigener Mailserver im Haus als Zwischenstation, oder der Verzicht auf Scan an E-Mail zugunsten von Scan an Ordner. Was nicht hilft, ist am Gerät weiterzuprobieren.