Kann der Versand über Outlook oder unseren eigenen SMTP-Server laufen?

Diese Seite beschreibt den technischen Weg. Welche vier Versandwege es insgesamt gibt und was sie kosten, steht unter Kann die E-Rechnung aus unserem eigenen Microsoft 365 verschickt werden.

Microsoft 365: was eingerichtet wird

Nicht der Outlook-Client auf einem Arbeitsplatz versendet, sondern Exchange Online über die Microsoft-Graph-Schnittstelle Ihres Tenants. Sie legen dafür in Ihrem Azure-Verzeichnis eine App-Registrierung an und hinterlegen bei uns vier Angaben:

• Tenant-ID und Client-ID der Registrierung
• Client-Secret, bei uns verschlüsselt gespeichert
• Versandpostfach, also den Benutzernamen des Postfachs, aus dem die Rechnungen hinausgehen sollen

Die Anmeldung läuft ohne Benutzerkennwort über den Client-Credentials-Flow. Es wird also kein Kennwort eines Mitarbeiters hinterlegt und kein Postfach geteilt. Als Berechtigung genügt im Regelfall Mail.Send als Anwendungsberechtigung.

Eine Ausnahme, die sonst Zeit kostet: Bei größeren Anhängen wird die Mail nicht in einem Zug versendet, sondern als Entwurf angelegt, die Anhänge werden stückweise hochgeladen und danach wird gesendet. Dieser Weg verlangt zusätzlich Mail.ReadWrite. Fehlt die Berechtigung, lehnt Microsoft genau diese Rechnungen ab, während kleinere durchlaufen. Wer beide Berechtigungen vergibt, hat das Thema nicht.

Die versendete Rechnung liegt anschließend in den gesendeten Elementen des Versandpostfachs, wie jede andere Mail. Das ist der eigentliche Grund, aus dem Häuser diesen Weg wählen: Die Ablage bleibt in ihrer eigenen Hand.

Eigener SMTP-Server: was eingerichtet wird

Hier reichen die üblichen Angaben: Host, Port, Benutzername, Kennwort, Absenderadresse und die Angabe, ob der Port implizites TLS erwartet, wie üblicherweise 465, oder STARTTLS, wie üblicherweise 587. Das Kennwort wird verschlüsselt gespeichert.

Dieser Weg ist der richtige, wenn Sie kein Microsoft 365 einsetzen oder wenn eine interne Vorgabe verlangt, dass ausgehende Post das eigene Relay passiert.

Was passiert, wenn die Einrichtung nicht trägt

Der Versandweg ist bewusst nicht die Sollbruchstelle. Ist die Konfiguration unvollständig oder antwortet Ihr Server nicht, fällt der Versand auf unsere Infrastruktur zurück, statt die Rechnung liegen zu lassen. In den Einstellungen sehen Sie den Zustand, und ein Testversand prüft den Weg, bevor die erste echte Rechnung ihn nimmt.

Zwei Dinge, die dabei oft angenommen werden und nicht stimmen:

• Systemmails laufen nicht über Ihren Server. Benachrichtigungen über angehaltene Rechnungen, Fehler und Bestätigungen kommen weiterhin von uns. Ihr Absender bleibt Belegschmied, denn es sind unsere Mitteilungen, nicht Ihre Rechnungen.
• Die Zustellbarkeit wechselt mit dem Weg. Sobald Ihr Haus versendet, hängt sie an Ihren Einträgen für SPF, DKIM und DMARC. Das ist Absicht und der Punkt, weshalb man diesen Weg wählt, aber es ist eine Verantwortung, die vorher bei uns lag.

Wenn Sie den Absender ändern wollen, ohne die Zustellung selbst zu übernehmen, ist der Versand unter eigener Domain der kleinere Schritt. Warum das überhaupt lohnt, steht unter Warum die Rechnung aus der eigenen Domain kommen sollte.