Worum geht es?

Der IPA-DesktopClient kann E-Mails direkt über Microsoft 365 versenden. Dazu klicken Benutzer im IPA-DesktopClient unter Einstellungen › E-Mail-Versand auf „Mit Microsoft anmelden“. Es öffnet sich ein Browserfenster, in dem der Benutzer sein Microsoft-Konto auswählt und sich mit Passwort bzw. Multi-Faktor-Authentifizierung (MFA) anmeldet.

Anschließend versendet der IPA-DesktopClient E-Mails über Microsoft Graph im Namen des angemeldeten Benutzers. Die gesendete Nachricht liegt wie gewohnt im Ordner „Gesendete Elemente“ des Benutzers. Im IPA-DesktopClient wird kein Passwort gespeichert.

Große Anhänge (über ca. 3 MB): Microsoft Graph erlaubt Anhänge über ca. 3 MB nur über einen Entwurf im Postfach des Benutzers. Dafür benötigt die Anwendung zusätzlich die delegierte Berechtigung Mail.ReadWrite (Lesen und Schreiben im eigenen Postfach des angemeldeten Benutzers). Der IPA-DesktopClient fordert diese Berechtigung erst beim ersten großen Anhang an: Der Benutzer sieht zunächst eine erklärende Rückfrage und danach das Microsoft-Zustimmungsfenster. Für E-Mails bis 3 MB genügt Mail.Send.

Hintergrund: Microsoft schaltet die Anmeldung per Benutzername und Passwort („Basic Auth“) für den SMTP-Versand über smtp.office365.com in bestehenden Mandanten Ende Dezember 2026 standardmäßig ab. Der Versand über „Mit Microsoft anmelden“ ist davon nicht betroffen und der empfohlene Weg für Microsoft-365-Umgebungen.

Die Anwendung im Überblick

Angeforderte Berechtigungen – ausschließlich delegiert, d. h. nur im Namen des jeweils angemeldeten Benutzers:

Es werden keine Anwendungsberechtigungen angefordert. Die Anwendung handelt ausschließlich im Namen des angemeldeten Benutzers und nutzt ausschließlich das eigene Postfach des angemeldeten Benutzers. Die Daten fließen direkt zwischen dem IPA-DesktopClient und Microsoft – nicht über Server der IT-SCom GmbH.

Wann ist eine Freigabe durch die IT nötig?

Je nach Einstellungen Ihrer Organisation dürfen Benutzer Anwendungen nicht selbst zustimmen. Microsoft empfiehlt, die Benutzerzustimmung nur für Apps verifizierter Herausgeber zuzulassen oder ganz zu deaktivieren. In diesen Fällen ist eine einmalige Freigabe (Administratorzustimmung) für die gesamte Organisation der Regelfall.

Typische Symptome beim Benutzer:

• Im Microsoft-Anmeldefenster erscheint „Administratorgenehmigung erforderlich“ bzw. „Need admin approval“.
• Der IPA-DesktopClient meldet: „Ihre IT muss den IPA-DesktopClient einmalig für Ihre Organisation freigeben“. Über diese Meldung kann der Benutzer eine Anleitung für die IT in die Zwischenablage kopieren (siehe Textbaustein am Ende dieses Artikels).

Nach der Freigabe muss sich jeder Benutzer nur noch einmal selbst über „Mit Microsoft anmelden“ anmelden.

Variante A: Freigabe-Link (empfohlen, ca. 1 Minute)

Erforderliche Rolle (eine der folgenden): Globaler Administrator, Administrator für privilegierte Rollen (Privileged Role Administrator), Cloudanwendungsadministrator (Cloud Application Administrator) oder Anwendungsadministrator (Application Administrator).

Wählen Sie einen der beiden Freigabe-Links:

1. Öffnen Sie im Browser den gewählten Link.
2. Melden Sie sich mit Ihrem Administratorkonto der betreffenden Organisation an.
3. Prüfen Sie die angezeigte Berechtigungsliste (Anwendung „IPA-Suite DesktopClient“, Herausgeber IT-SCom GmbH, Berechtigungen wie oben) und klicken Sie auf Akzeptieren (Accept).
4. Microsoft leitet Sie anschließend auf die Bestätigungsseite https://www.ipa-suite.com/m365-freigabe/ („Freigabe erteilt“) weiter. Die Freigabe ist damit erteilt; Sie können sie zusätzlich wie unter Variante C beschrieben prüfen.

Hinweis zum Genehmigungsworkflow: Ist in Ihrem Mandanten der Microsoft-Workflow für Administratorzustimmungsanforderungen aktiviert, können Benutzer im Anmeldefenster alternativ eine Genehmigung anfordern. Diese Anfragen finden berechtigte Prüfer im Microsoft Entra Admin Center unter Entra ID › Unternehmensanwendungen › Administratorzustimmungsanforderungen (Enterprise apps › Admin consent requests) und können sie dort genehmigen.

Variante B: Freigabe im Microsoft Entra Admin Center

Die Anwendung erscheint in Ihrem Mandanten, sobald sich mindestens ein Benutzer einmal anzumelden versucht hat (oder nach Variante A).

1. Melden Sie sich unter https://entra.microsoft.com mindestens als Cloudanwendungsadministrator an.
2. Navigieren Sie zu Entra ID › Unternehmensanwendungen › Alle Anwendungen (Entra ID › Enterprise apps › All applications).
3. Suchen Sie nach IPA-Suite DesktopClient und öffnen Sie die Anwendung. Achten Sie darauf, dass die Anwendungs-ID 5f0d796d-f9a4-465c-bb0b-412b19936ac2 lautet.
4. Wählen Sie unter Sicherheit den Punkt Berechtigungen (Security › Permissions).
5. Klicken Sie auf Administratorzustimmung für <Ihre Organisation> erteilen (Grant admin consent for <tenant>), melden Sie sich ggf. erneut an, prüfen Sie die Berechtigungen und klicken Sie auf Akzeptieren.

Hinweis: Auf diesem Weg werden alle in der App-Registrierung hinterlegten Berechtigungen erteilt: Mail.Send, User.Read, Mail.ReadWrite, offline_access, openid und profile. Das entspricht der Freigabe „Senden inkl. großer Anhänge“ aus Variante A.

Variante C: Freigabe prüfen

1. Öffnen Sie Entra ID › Unternehmensanwendungen › Alle Anwendungen › IPA-Suite DesktopClient.
2. Vergleichen Sie unter Eigenschaften (Properties) bzw. Übersicht (Overview) die Anwendungs-ID mit 5f0d796d-f9a4-465c-bb0b-412b19936ac2. So stellen Sie sicher, dass Sie nicht versehentlich eine gleichnamige fremde Anwendung freigeben oder prüfen.
3. Öffnen Sie Sicherheit › Berechtigungen und wählen Sie die Registerkarte Administratorzustimmung (Admin consent). Dort müssen mindestens Mail.Send und User.Read für Microsoft Graph aufgeführt sein, bei der Freigabe inkl. großer Anhänge (bzw. nach Variante B) zusätzlich Mail.ReadWrite. Je nach Weg der Freigabe erscheinen außerdem offline_access, openid und profile.

Optional: Zugriff auf bestimmte Benutzer beschränken

Standardmäßig dürfen nach der Freigabe alle Benutzer Ihrer Organisation die Anwendung verwenden. Wenn nur bestimmte Benutzer per Microsoft 365 aus dem IPA-DesktopClient versenden sollen:

1. Öffnen Sie Unternehmensanwendungen › IPA-Suite DesktopClient › Eigenschaften und setzen Sie Zuweisung erforderlich? (Assignment required?) auf Ja. Speichern Sie.
2. Öffnen Sie Benutzer und Gruppen (Users and groups) › Benutzer/Gruppe hinzufügen (Add user/group) und weisen Sie die berechtigten Benutzer oder eine Gruppe zu.

Nicht zugewiesene Benutzer können sich anschließend nicht mehr über „Mit Microsoft anmelden“ anmelden. Hinweis: Die Zuweisung von Gruppen setzt laut Microsoft Microsoft Entra ID P1 oder P2 voraus; einzelne Benutzer können Sie ohne diese Lizenz zuweisen.

Weitere mögliche Hürden

• Bedingter Zugriff: Richtlinien für bedingten Zugriff (z. B. nur verwaltete/konforme Geräte, bestimmte Standorte, MFA-Pflicht) gelten auch für diese Anmeldung. Schlägt die Anmeldung nur an bestimmten Arbeitsplätzen fehl, prüfen Sie die Anmeldeprotokolle des Benutzers in Microsoft Entra.
• Exchange-Online-Postfach erforderlich: Das Konto des Benutzers benötigt ein Exchange-Online-Postfach (passende Lizenz). Fehlt es, meldet der IPA-DesktopClient, dass kein Exchange-Postfach vorhanden ist. Weisen Sie dem Benutzer eine Lizenz mit Exchange Online zu.
• Richtlinie gegen nicht verifizierte Herausgeber: Auch wenn Ihre Organisation Benutzerzustimmungen für Apps nicht verifizierter Herausgeber unterbindet, ist eine Freigabe nach Variante A oder B durch einen Administrator möglich. Im Zweifel prüfen Sie die Einstellungen unter Unternehmensanwendungen › Zustimmung und Berechtigungen (Consent and permissions).
• SMTP AUTH nicht nötig: Für diesen Weg muss SMTP AUTH im Postfach bzw. Mandanten nicht aktiviert werden – der Versand läuft über Microsoft Graph, nicht über SMTP.
• Freigegebene Postfächer: Das Senden aus freigegebenen Postfächern bzw. mit „Senden als“ wird derzeit nicht unterstützt. Gesendet wird immer als angemeldeter Benutzer.

Freigabe zurücknehmen

• Berechtigungen widerrufen: Unternehmensanwendungen › IPA-Suite DesktopClient › Sicherheit › Berechtigungen, Registerkarte Administratorzustimmung: Berechtigung auswählen, über das Menü … den Punkt Berechtigung widerrufen (Revoke permission) wählen.
• Anmeldung sperren: Unter Eigenschaften die Option Für Benutzeranmeldung aktiviert? (Enabled for users to sign-in?) auf Nein setzen. Damit kann sich niemand mehr an der Anwendung anmelden.
• Anwendung entfernen: Unter Eigenschaften auf Löschen (Delete) klicken.

Danach können Benutzer nicht mehr über Microsoft 365 aus dem IPA-DesktopClient senden. Bitte beachten Sie: Ein reiner Widerruf oder das Löschen verhindert nicht, dass die Anwendung erneut freigegeben wird bzw. Benutzer erneut zustimmen, sofern Ihre Einstellungen das erlauben. Für eine dauerhafte Sperre verwenden Sie die Option Für Benutzeranmeldung aktiviert? = Nein.

Häufige Fragen

Kann IT-SCom damit unsere E-Mails lesen?
Nein. Die Anwendung arbeitet ausschließlich im Namen des angemeldeten Benutzers, es gibt keine Anwendungsberechtigungen, und der IPA-DesktopClient nutzt ausschließlich das eigene Postfach des angemeldeten Benutzers. Die Daten fließen direkt zwischen dem IPA-DesktopClient und Microsoft – nicht über Server der IT-SCom GmbH. Der Vollständigkeit halber: Für große Anhänge (über ca. 3 MB) erhält die Anwendung mit Mail.ReadWrite technisch ein Lese- und Schreibrecht auf das eigene Postfach des angemeldeten Benutzers. Dieses Recht wird ausschließlich vom IPA-DesktopClient auf dem PC des Benutzers genutzt, um einen Entwurf mit dem Anhang anzulegen und zu senden. IT-SCom hat darauf keinen Zugriff.

Kostet die Freigabe etwas?
Nein. Es fallen weder bei Microsoft noch bei IT-SCom zusätzliche Kosten für die Freigabe an.

Muss das jeder Benutzer machen?
Die Administratorfreigabe erfolgt einmal pro Organisation. Jeder Benutzer meldet sich anschließend einmal im IPA-DesktopClient über „Mit Microsoft anmelden“ an.

Woran erkenne ich die richtige Anwendung?
An der Anwendungs-ID 5f0d796d-f9a4-465c-bb0b-412b19936ac2 und dem Herausgeber IT-SCom GmbH. Geben Sie keine Anwendung mit abweichender ID frei.

Was passiert, wenn ein Benutzer das Unternehmen verlässt?
Mit der Deaktivierung oder Löschung des Microsoft-Kontos endet auch die Versandmöglichkeit aus dem IPA-DesktopClient.

Textbaustein für Anwender an die IT

Diesen Text können Benutzer an ihre IT senden (er entspricht der Anleitung, die der IPA-DesktopClient in die Zwischenablage kopiert):

Bitte geben Sie die App „IPA-Suite DesktopClient“ (IT-SCom GmbH) einmalig für unsere Organisation frei, damit E-Mails aus dem IPA-DesktopClient über Microsoft 365 gesendet werden können. Öffnen Sie dazu als Microsoft-365-Administrator diesen Link und bestätigen Sie mit „Akzeptieren“: https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=5f0d796d-f9a4-465c-bb0b-412b19936ac2&scope=https%3A%2F%2Fgraph.microsoft.com%2FMail.Send%20https%3A%2F%2Fgraph.microsoft.com%2FUser.Read%20https%3A%2F%2Fgraph.microsoft.com%2FMail.ReadWrite&redirect_uri=https%3A%2F%2Fwww.ipa-suite.com%2Fm365-freigabe%2F

Bei Fragen wenden Sie sich gern an Ihren IPA-Suite-Fachhändler oder an den Support der IT-SCom GmbH.