Microsoft 365 einrichten #

Für den E-Mail-Versand über Microsoft 365 mit Anwendungs-Anmeldung braucht EULANDA® drei Angaben aus Ihrem Microsoft-365-Mandanten: die Anwendungs-ID (Client-ID), die Verzeichnis-ID (Tenant-ID) und einen geheimen Clientschlüssel (Client-Secret). Sie entstehen, wenn Sie EULANDA® im Microsoft Entra Admin Center als Anwendung registrieren. Das dauert etwa zehn Minuten und braucht ein Konto mit Administratorrechten im Mandanten.

Ab EULANDA® 2026.117 ist der Versand über Microsoft 365 fester Bestandteil des Programms; ein Plugin müssen Sie nicht installieren. Die Werte tragen Sie direkt beim E-Mail-Treiber „Microsoft 365 Graph-Mail" in dessen Optionen ein.

Für die Benutzer-Anmeldung ist nichts davon nötig: Dort meldet sich jeder Benutzer beim ersten Versand im Browser an, und EULANDA® verwendet seine eigene, bei Microsoft hinterlegte Anwendung.

Die Bilder unten stammen aus einem Durchlauf mit deutscher Oberfläche im Oktober 2026. Microsoft ändert Menüs gelegentlich; die Begriffe bleiben meist gleich, auch wenn sie an anderer Stelle stehen.

Kurzfassung #

1. Anwendung anlegen: Entra ID → App-Registrierungen → Neue Registrierung. Name vergeben, „Nur ein Mandant", Umleitungs-URI leer lassen.
2. IDs notieren: Auf der Übersicht Anwendungs-ID (Client) und Verzeichnis-ID (Mandant) kopieren.
3. Geheimnis erzeugen: Zertifikate & Geheimnisse → Geheime Clientschlüssel → Neuer geheimer Clientschlüssel. Die Spalte Wert sofort kopieren.
4. Berechtigung setzen: API-Berechtigungen → Berechtigung hinzufügen → Microsoft Graph → Anwendungsberechtigungen → Mail.Send.
5. Zustimmung erteilen: „Administratorzustimmung für … erteilen" → Ja.

Danach tragen Sie die drei Werte und die Absenderadresse in EULANDA® ein.

Schritt 1: Anwendung registrieren #

Öffnen Sie entra.microsoft.com und melden Sie sich mit dem Administratorkonto an. Aus dem Microsoft 365 Admin Center kommen Sie über Admin Center → Identität dorthin. Links klappen Sie Entra ID auf und wählen App-Registrierungen, oben dann + Neue Registrierung.

App-Registrierungen, oben „Neue Registrierung"

Im Formular füllen Sie aus:

• Name: ein Name, an dem Sie die Anwendung später wiedererkennen, etwa Eulanda-Graph. Er lässt sich jederzeit ändern.
• Unterstützte Kontotypen: Nur ein Mandant, die erste Möglichkeit.
• Umleitungs-URI: leer lassen. Die Anwendungs-Anmeldung braucht keine.

Mit Registrieren legen Sie die Anwendung an.

Name, „Nur ein Mandant", Umleitungs-URI leer

Schritt 2: Client-ID und Tenant-ID notieren #

Nach dem Registrieren öffnet sich die Übersicht der neuen Anwendung. Im Block Zusammenfassung stehen die beiden IDs, die EULANDA® braucht. Mit dem Kopiersymbol, das beim Überfahren rechts neben dem Wert erscheint, übernehmen Sie sie.

Übersicht, die IDs sind im Bild geschwärzt

Beide IDs sind keine Geheimnisse. Geheim ist nur der Schlüssel aus dem nächsten Schritt.

Schritt 3: Geheimen Clientschlüssel erzeugen #

Im Menü der Anwendung wählen Sie Zertifikate & Geheimnisse, dann den Reiter Geheime Clientschlüssel (nicht „Zertifikate") und + Neuer geheimer Clientschlüssel. Rechts öffnet sich ein Bereich:

• Beschreibung: zum Beispiel Eulanda-GraphAPI. Ein Datum oder der Zweck im Namen hilft später beim Erneuern.
• Gültig bis: Vorgabe sind 730 Tage (24 Monate), das ist zugleich die längste Laufzeit.

Beschreibung und Laufzeit, dann „Hinzufügen"

Nach Hinzufügen steht der Schlüssel in der Liste. Kopieren Sie jetzt den Inhalt der Spalte Wert: Er wird nur dieses eine Mal ganz angezeigt. Sobald Sie die Seite verlassen oder neu laden, ist er nicht mehr lesbar, und Sie müssen einen neuen Schlüssel erzeugen. Die Spalte Geheime ID ist nicht das Secret; wer sie einträgt, bekommt beim Versand eine Ablehnung von Microsoft.

Der neue Schlüssel; „Wert" und „Geheime ID" sind im Bild geschwärzt

Tragen Sie sich eine Erinnerung etwa vier Wochen vor dem Ablaufdatum ein. Ist der Schlüssel abgelaufen, bricht jeder Versand ab, Microsoft meldet dann AADSTS7000222. Ein neuer Schlüssel wird genauso angelegt; danach tragen Sie den neuen Wert in EULANDA® ein.

Manche Mandanten erlauben per Richtlinie keine geheimen Clientschlüssel, sondern nur Zertifikate. EULANDA® arbeitet mit dem Clientschlüssel; in diesem Fall muss der Administrator für die Anwendung eine Ausnahme einrichten.

Schritt 4: Berechtigung Mail.Send hinzufügen #

Im Menü der Anwendung wählen Sie API-Berechtigungen. Dort steht anfangs nur User.Read (Delegiert). Klicken Sie auf + Berechtigung hinzufügen und rechts auf die Kachel Microsoft Graph.

Jetzt kommt die wichtigste Abzweigung: Wählen Sie Anwendungsberechtigungen, nicht „Delegierte Berechtigungen". Delegiert bedeutet „im Namen eines angemeldeten Benutzers" und funktioniert mit einem Clientschlüssel allein nicht.

Geben Sie im Suchfeld Mail.Send ein, klappen Sie die Gruppe Mail auf und setzen Sie den Haken bei Mail.Send („Send mail as any user"). Unten bestätigen Sie mit Berechtigungen hinzufügen.

Anwendungsberechtigungen, Mail.Send angehakt

In der Liste steht nun Mail.Send vom Typ Anwendung mit einem gelben Warndreieck „Für ‹Firma› nicht gewährt". Das ist bis zum nächsten Schritt normal.

Mail.Send eingetragen, Zustimmung fehlt noch

Die Zeile User.Read können Sie stehen lassen oder über die drei Punkte rechts entfernen. Für den Versand braucht EULANDA® sie nicht, und für reinen Versand ist Mail.Send die einzige nötige Berechtigung.

Schritt 5: Administratorzustimmung erteilen #

Auf derselben Seite klicken Sie auf Administratorzustimmung für „‹Firma›" erteilen und bestätigen mit Ja.

Rückfrage vor der Zustimmung

Das Portal meldet „Die Administratoreinwilligung wurde für die angeforderten Berechtigungen erfolgreich erteilt", und in der Spalte Status steht ein grünes Gewährt für …. Ohne diesen Schritt holt EULANDA® zwar eine Anmeldung, jeder Versand endet aber mit dem Fehler 403 (Zugriff verweigert).

Beide Berechtigungen gewährt

Werte in EULANDA® eintragen #

Öffnen Sie Einstellungen → Kommunikation → E-Mail und wählen Sie im Rahmen „E-Mail Dienst" als Treiber „Microsoft 365 Graph-Mail". Im Rahmen „Optionen" darunter stellen Sie den „Anmeldungs-Typ für EULANDA-UI" auf Anwendungs-Anmeldung und füllen die Gruppe „Anwendungs-Anmeldung (Service-Flow) - Pflichtfelder" aus (mehr zu allen Feldern unter Kommunikation):

Die Absenderadresse muss ein Postfach Ihres Mandanten sein. Einen Test-Knopf gibt es nicht: Versenden Sie eine Mail aus einem Beleg. Fehlt ein Pflichtfeld, nennt EULANDA® es vor dem Versand; lehnt Microsoft ab, erscheint die Meldung von Microsoft. Nach dem Eintragen oder Ändern der Werte starten Sie EULANDA® neu, auf jedem Arbeitsplatz, an dem schon gearbeitet wird: Die Einstellungsseite schreibt erst beim Beenden in die Datenbank.

Vor 2026.117 lief Microsoft 365 über ein Plugin; diese Versionen lesen dieselben Werte aus der SQL-Registry, unter \SYSTEM\Devices\EMail\GraphAPI\ServiceFlow die Werte ClientId, ClientSecret, TenantId und From, dazu unter \SYSTEM\Devices\EMail\GraphAPI der Wert AuthFlow mit dem Inhalt Service. Änderungen an der Registry wirken erst nach einem Neustart von EULANDA®.

Zugangsdaten ohne EULANDA® prüfen #

Wenn der Versand nicht klappt, lässt sich mit dem PowerShell-Modul EulandaXtools, das EULANDA® für den Versand ohnehin installiert, schnell eingrenzen, welche Angabe nicht stimmt. Öffnen Sie Windows PowerShell und führen Sie die drei Zeilen mit Ihren Werten aus:

Import-Module EulandaXtools
$token = Get-GraphToken -ServiceFlow -TenantId '<Tenant-ID>' -ClientId '<Client-ID>' -ClientSecret '<Wert des Secrets>'
Send-GraphMail -Token $token -AuthFlow Service -From 'rechnung@ihre-firma.de' -To 'sie@ihre-firma.de' -Subject 'Test Microsoft 365' -HtmlBody '<p>Test</p>'

Stimmen Tenant-ID, Client-ID oder Secret nicht, bricht schon die zweite Zeile ab und nennt den Grund von Microsoft. Fehlt die Berechtigung oder die Administratorzustimmung, oder ist die Absenderadresse kein Postfach Ihres Mandanten, bricht die dritte Zeile ab.

Hinweis zum Postfachzugriff #

Mail.Send als Anwendungsberechtigung erlaubt der Anwendung den Versand aus jedem Postfach des Mandanten. Wer das einschränken möchte, legt in Exchange Online fest, welche Postfächer die Anwendung verwenden darf (RBAC für Anwendungen). Das entscheidet der Administrator des Mandanten; für EULANDA® genügt der Zugriff auf die eingetragenen Absenderpostfächer.

Behandeln Sie das Secret wie ein Kennwort: im Passwortmanager ablegen, nicht per E-Mail verschicken. Wer es zusammen mit Client-ID und Tenant-ID kennt, kann im Namen Ihrer Postfächer Mails versenden. EULANDA® speichert es in der SQL-Registry des Mandanten; lesen können es dort nur Datenbankbenutzer mit Zugriff auf die Registry.

Bei englischer Portalsprache heißen die Punkte App registrations, Certificates & secrets, API permissions, Application permissions und Grant admin consent. Die bebilderte Anleitung von Microsoft finden Sie unter Registrieren einer Anwendung bei der Microsoft Identity Platform.