Automatic Email Processor - Online-Hilfe
Umfassende Dokumentation aller Funktionen und Einstellungen

50.2 Microsoft 365 (Graph) einrichten

50.2.1 Übersicht

Für Postfächer, die mit Microsoft 365 (früher Office 365, Exchange Online) betrieben werden, nutzt das Programm die Microsoft Graph API statt klassischem IMAP. Das hat mehrere Vorteile: keine App-Passwörter nötig, OAuth-Anmeldung mit Zwei-Faktor-Authentifizierung, moderne Berechtigungs-Steuerung über Azure AD und vollen Zugriff auf Microsoft-365-spezifische Funktionen wie Kategorien, Markierungen und Shared Mailboxes.

50.2.2 Erforderliche Eingaben

Im Konto-Editor (Kontotyp: Microsoft 365) konfigurieren Sie:

Feld Beschreibung
Anzeigename Frei wählbarer Name
E-Mail-Adresse Die Microsoft-365-Adresse, die später überwacht werden soll
Postfach-Adresse (optional) Adresse eines Shared Mailbox, falls statt des persönlichen Postfachs ein gemeinsam genutztes Postfach verwendet wird (siehe Kapitel 50.2.6)
Client-ID / Tenant-ID (optional) Nur ausfüllen, wenn Ihre Organisation eine eigene App-Registrierung in Microsoft Entra ID verwendet (siehe Kapitel 50.2.4); leere Felder verwenden die Standard-Registrierung des Programms

Anschließend klicken Sie auf Bei Microsoft anmelden - der OAuth-Flow startet.

50.2.3 OAuth-Anmeldung

Beim Klick auf Bei Microsoft anmelden öffnet sich ein Browser-Fenster mit der Microsoft-Anmeldemaske. Dort:

  1. Anmeldedaten eingeben (E-Mail-Adresse + Passwort + ggf. Zwei-Faktor-Code)
  2. Berechtigungs-Anfrage bestätigen - beim ersten Anmelden fragt Microsoft, ob die App auf das Postfach zugreifen darf (siehe Kapitel 50.2.4)
  3. Nach erfolgreicher Anmeldung schließt sich der Browser automatisch und der OAuth-Status im Konto-Editor wechselt auf “Angemeldet”

Ist das Konto im Feld “E-Mail-Adresse” bereits eingetragen, überspringt Microsoft die Kontoauswahl und meldet direkt dieses Konto an. Kommt der Browser nicht zum Programm zurück (etwa weil die Anmeldeseite immer wieder zur Kontoauswahl springt), bricht das Programm den Versuch nach 10 Minuten ab; ein erneuter Klick auf Bei Microsoft anmelden meldet in dieser Zeit, dass die Anmeldung bereits läuft. Der Ablauf der Anmeldung wird im Diagnoseprotokoll festgehalten, das dem Fehlerbericht beiliegt.

Das Programm speichert kein Passwort - stattdessen wird ein Refresh-Token lokal abgelegt, mit dem das Programm später eigenständig neue Zugriffs-Token bezieht. Der Token-Speicher liegt im AppData-Verzeichnis des Windows-Benutzers und ist verschlüsselt.

Windows-Anmeldebroker (WAM), ab Version 4.2.0: Erzwingt Ihre Organisation Sicherheitsrichtlinien mit Token-Schutz (Conditional Access), schlägt die Anmeldung über den Browser mit der Meldung AADSTS53003 fehl. Aktivieren Sie in diesem Fall im Konto-Editor die Option Windows-Anmeldebroker (WAM) verwenden - die Anmeldung läuft dann über den in Windows integrierten Anmeldedienst, der gerätegebundene Anmeldungen ausstellt und diese Richtlinien erfüllt. Nach dem Umschalten ist eine einmalige Neuanmeldung erforderlich. Beim Betrieb als Windows-Dienst steht der Anmeldebroker nicht zur Verfügung; ist er auf dem System nicht verfügbar, verwendet das Programm automatisch wieder den Browser.

50.2.4 Berechtigungen

Beim ersten Anmelden verlangt das Programm folgende Berechtigungen:

Scope Wofür
Mail.ReadWrite E-Mails im eigenen Postfach lesen, verschieben, kopieren, löschen, markieren, Kategorien setzen
Mail.ReadWrite.Shared Dieselben Operationen auf einem Shared Mailbox oder einem Benutzer-Postfach mit Vollzugriffs-Delegierung
Mail.Send E-Mails aus dem eigenen Postfach senden (für Weiterleiten, Antworten, Lesebestätigung senden)
Mail.Send.Shared E-Mails als oder im Auftrag eines Shared Mailbox bzw. delegierten Benutzer-Postfachs senden
User.Read Anzeigename und E-Mail-Adresse des angemeldeten Benutzers lesen
MailboxSettings.Read Master-Kategorien des Postfachs lesen (für Auto-Vervollständigung beim Setzen von Kategorien)
offline_access Standard-Berechtigung für den Hintergrund-Betrieb: das Programm kann abgelaufene Zugriffs-Token ohne erneute Anmeldung erneuern (im Microsoft-Zustimmungsdialog als “Zugriff auf Daten beibehalten, für die Sie Zugriff erteilt haben” angezeigt)

Alle Berechtigungen sind delegiert: Das Programm handelt immer im Kontext des angemeldeten Benutzers und kann nur auf Postfächer zugreifen, auf die dieser Benutzer selbst Zugriff hat. Es gibt keine Anwendungsberechtigungen (App-only) und keinen mandantenweiten Zugriff.

Verifizierter Herausgeber: Die Anwendung ist bei Microsoft als Anwendung eines verifizierten Herausgebers registriert (Herausgeberüberprüfung über das Microsoft Cloud Partner Program). Im Zustimmungsdialog erscheint deshalb der blaue Verifiziert-Haken neben dem Herausgebernamen “Gebrüder Marco & René Gillmeister GbR”. Unternehmensrichtlinien, die die Zustimmung nur für Anwendungen verifizierter Herausgeber erlauben, lassen die Anmeldung damit zu. Die angeforderten Berechtigungen bleiben exakt die oben aufgeführten und werden von Microsoft unabhängig davon durchgesetzt.

In Unternehmen mit zentral administrierten Azure-AD-Tenants kann es sein, dass diese Berechtigungen vorab durch einen Administrator-Consent freigegeben werden müssen - fragen Sie im Zweifel die IT-Abteilung.

Administratorgenehmigung erforderlich: Erscheint bei der Anmeldung die Microsoft-Meldung “Administratorgenehmigung erforderlich”, erlaubt Ihre Organisation Benutzern nicht, Anwendungen selbst zuzustimmen. Eine eigene App-Registrierung in Microsoft Entra ID ist nicht erforderlich; ein Administrator erteilt die Zustimmung einmalig wie folgt:

  1. Im Konto-Editor erneut auf Bei Microsoft anmelden… klicken und sich an der Microsoft-Anmeldemaske mit einem Administratorkonto der Organisation anmelden.
  2. Im Zustimmungsdialog das Kontrollkästchen Zustimmung im Namen Ihrer Organisation erteilen aktivieren und bestätigen.
  3. Anschließend im Konto-Editor auf Anmeldedaten entfernen klicken und die Anmeldung mit dem eigentlichen Konto wiederholen - sie läuft jetzt ohne Genehmigungsabfrage durch.

Nach der Zustimmung erscheint die Anwendung im Entra Admin Center unter “Unternehmensanwendungen” und kann dort jederzeit eingesehen oder wieder entzogen werden. Alle Berechtigungen sind delegiert, das Programm erhält also keinen mandantenweiten Anwendungszugriff.

Zentrale Freigabe ohne Anmeldung am Programm: Alternativ kann ein Administrator die Zustimmung direkt im Entra Admin Center erteilen - praktisch, wenn die IT-Administration an einem anderen Standort sitzt und sich nicht am Arbeitsplatz des Benutzers anmelden kann: Unter Unternehmensanwendungen die Anwendung Automatic Email Processor öffnen (App-ID 7ace474d-bb44-4e05-9c3f-fc28e1bad648; der Eintrag erscheint dort nach dem ersten Anmeldeversuch eines Benutzers) und unter Berechtigungen die Administratorzustimmung erteilen. Über die Benutzerzuweisung der Anwendung lässt sich die Nutzung bei Bedarf auf bestimmte Benutzer beschränken.

Schaltfläche “Genehmigungsanforderung”: Bietet der Microsoft-Dialog an, eine Genehmigung anzufordern, erreicht diese Anforderung nur dann einen Administrator, wenn im Entra Admin Center unter Unternehmensanwendungen > Einstellungen für Administratorzustimmungsanforderungen Prüfer hinterlegt sind. Ist dort niemand eingetragen, läuft die Anforderung ins Leere - bitten Sie Ihre IT-Abteilung in diesem Fall direkt um die Freigabe (siehe oben).

Eigene App-Registrierung (optional): Organisationen, die der Standard-App des Herstellers nicht zustimmen möchten, können im eigenen Microsoft-Entra-Tenant eine eigene App registrieren und deren Werte im Konto-Editor unter Client-ID und Tenant-ID eintragen (leere Felder verwenden die Standard-Registrierung). Anforderungen an die Registrierung: Plattform Mobile Anwendungen und Desktopanwendungen mit Umleitungs-URI http://localhost sowie die oben aufgeführten delegierten Graph-Berechtigungen. Soll zusätzlich der Windows-Anmeldebroker (WAM) genutzt werden, muss auch die Umleitungs-URI ms-appx-web://microsoft.aad.brokerplugin/<Client-ID> eingetragen sein. Die Freigabe-Steuerung liegt damit vollständig bei Ihrer Organisation; nach dem Eintragen der IDs ist eine neue Anmeldung erforderlich.

50.2.5 Token-Cache und Refresh

Der Token-Cache liegt unter:

%LOCALAPPDATA%\AutomaticEmailProcessor\GraphTokenCache\

Er wird vom Programm verwaltet - kein manueller Eingriff nötig. Bei Token-Ablauf erfolgt ein automatischer Refresh im Hintergrund. Nur wenn der Refresh-Token selbst ungültig wird (z.B. Passwort geändert, 90 Tage Inaktivität, Account-Sperre), erscheint im Konto-Editor wieder “Anmeldung erforderlich” und Sie müssen erneut auf Bei Microsoft anmelden klicken.

50.2.6 Shared Mailbox und delegiertes Benutzer-Postfach

Sowohl ein Shared Mailbox (ein Microsoft-365-Postfach ohne eigene Lizenz, das mehrere Benutzer gemeinsam nutzen - typisch info@firma.de oder support@firma.de) als auch ein reguläres Benutzer-Postfach mit Vollzugriffs-Delegierung kann überwacht werden. Eine Umwandlung in ein Shared Mailbox ist nicht erforderlich.

Im Programm konfigurieren Sie das so:

  1. E-Mail-Adresse: Ihre persönliche Microsoft-365-Adresse (über die Sie sich anmelden)
  2. Postfach-Adresse: Adresse des Ziel-Postfachs (z.B. info@firma.de)
  3. Bei Microsoft anmelden klicken - Anmeldung mit Ihrem persönlichen Account

Das Programm authentifiziert sich anschließend mit Ihrem Token, liest aber aus dem Ziel-Postfach und versendet auch darüber (Microsoft-Graph-Impersonation). Voraussetzungen:

  • Ihr Anmeldekonto besitzt selbst ein Exchange-Online-Postfach (eine Lizenz mit Exchange Online). Ein reines Verwaltungskonto ohne Postfach kann auf kein anderes Postfach zugreifen - Microsoft meldet dann, das Postfach sei nicht erreichbar oder der Posteingang werde nicht gefunden.
  • Ihr Account hat Vollzugriff auf das Ziel-Postfach (Microsoft 365 Admin Center → Postfach → Delegierung → “Lesen und Verwalten”).
  • Für das Senden zusätzlich: “Senden als” oder “Senden im Auftrag von” auf dem Ziel-Postfach. Fehlt dieses Recht, meldet der Verbindungstest eine Warnung; der Abruf aus dem Postfach funktioniert trotzdem, nur Antworten, Weiterleitungen und Benachrichtigungen über dieses Konto nicht.
  • Die Azure-AD-App-Registrierung gewährt die Scopes Mail.ReadWrite.Shared und Mail.Send.Shared (Administrator-Zustimmung für den Tenant).

Nach dem Einrichten des Vollzugriffs kann es bis zu 60 Minuten dauern, bis Microsoft 365 die Berechtigung wirksam schaltet. Dasselbe gilt für ein Postfach, das gerade erst angelegt, lizenziert oder in ein Shared Mailbox umgewandelt wurde. Meldet das Programm in dieser Zeit, der Posteingang könne nicht geöffnet werden, warten Sie ab, öffnen das Konto anschließend im Programm erneut und bestätigen mit OK - damit beginnt das Programm sofort wieder mit dem Abruf, statt die Wartezeit nach dem Fehler abzuwarten. Besitzt das Ziel-Postfach eine eigene Anmeldung (reguläres Benutzerpostfach), ist der einfachste Weg, sich direkt mit dieser Adresse anzumelden und das Feld Postfach-Adresse leer zu lassen.

Wenn ein bereits vor Mai 2026 eingerichtetes Konto nach dem Update einen 403 ErrorAccessDenied zeigt, im Konto-Editor auf Anmeldedaten entfernen klicken und neu anmelden - der erneuerte Token enthält dann die neuen Shared-Scopes.

50.2.7 Anmeldedaten entfernen

Im Konto-Editor steht eine Schaltfläche Anmeldedaten entfernen. Sie löscht den Refresh-Token aus dem Cache. Das Konto bleibt im Programm angelegt, beim nächsten Verbindungs-Versuch wird allerdings eine neue Anmeldung verlangt.

Sinnvoll bei Verdacht auf Token-Probleme oder beim Wechsel des angemeldeten Microsoft-Accounts.

50.2.8 Anwendungsfall

Zentrales Service-Postfach (Shared Mailbox)

Anzeigename: “Eingangsrechnungen”. E-Mail-Adresse: max.mustermann@firma.de (Anmeldekonto). Postfach-Adresse: rechnungen@firma.de (überwachtes Konto). Anmeldung mit max.mustermann@firma.de - der Zugriff erfolgt anschließend auf den Shared Mailbox.

50.2.9 Tipps

  • Bei zentral verwalteten Azure-AD-Tenants kann Administrator-Consent notwendig sein. Wenn die Anmeldung mit “Berechtigung verweigert” scheitert, kontaktieren Sie die IT
  • Im Service-Modus läuft die Anmeldung mit dem Token-Cache des Service-Benutzers - testen Sie die OAuth-Anmeldung idealerweise einmal interaktiv unter dem späteren Service-Account
IMAP-Konto einrichten POP3-Konto einrichten