Für einen Server, der jahrelang unbeaufsichtigt läuft, ist App-Only der robustere Weg: Es hängt kein Benutzerkonto daran, das gesperrt werden oder das Kennwort wechseln könnte.
App-Only mit Mail.Send als Anwendungsberechtigung erlaubt der Registrierung, als jedes Postfach der Organisation zu senden. Wer das eng ziehen will, beschränkt die Registrierung in Exchange Online über eine Anwendungszugriffsrichtlinie auf das eine Absenderpostfach. Das gehört mit der Microsoft-365-Administration abgestimmt.
Die Umleitungs-URI muss zeichengenau mit der Adresse übereinstimmen, unter der FINN.ghost erreichbar ist — samt Port. Weicht sie ab, bricht Microsoft die Anmeldung mit einer Meldung zur Redirect-URI ab. Das ist der häufigste Stolperstein.
In älteren Fassungen dieser Anleitung endete die Adresse auf /api/settings/oauth/redirect. Das gilt nicht mehr — der Pfad lautet /api/mail/oauth/redirect.
Der Wert wird nur einmal angezeigt. Wer ihn nicht notiert, muss einen neuen Schlüssel anlegen. Clientschlüssel laufen außerdem ab — das Ablaufdatum gehört notiert, sonst bleibt der Mailversand irgendwann ohne Vorwarnung stehen.
### 3. Berechtigungen setzen Unter **API-Berechtigungen** zwei delegierte Berechtigungen von **Microsoft Graph** hinzufügen und die Zustimmung erteilen: | Berechtigung | Wofür | | ---------------- | -------------------------------------------- | | `SMTP.Send` | Mails über SMTP AUTH senden | | `offline_access` | Zugriff behalten, ohne erneute Anmeldung | User.Read steht dort in der Regel schon — es wird beim Anlegen der Registrierung mitgegeben und kann bleiben. Wichtig ist der grüne Haken bei Status: ohne erteilte Zustimmung greifen die Berechtigungen nicht.
Angemeldet wird das Postfach, aus dem gesendet wird. Es muss ein Postfach in derselben Organisation sein.
## Weg 2 — App-Only  ### 1. App registrieren Wie oben eine neue App-Registrierung mit eindeutigem Namen. Eine Umleitungs-URI wird hier **nicht** gebraucht.  ### 2. Clientschlüssel erstellen Unter **Zertifikate & Geheimnisse**, Wert notieren.  ### 3. Berechtigung setzen Unter **API-Berechtigungen** eine **Anwendungsberechtigung** von Microsoft Graph hinzufügen und die Zustimmung erteilen: | Berechtigung | Typ | | ------------ | ------------------------ | | `Mail.Send` | Anwendung | Anwendungsberechtigungen brauchen immer die Administratorzustimmung. Ohne sie schlägt der Versand mit einer Rechtemeldung fehl, obwohl alle Werte richtig eingetragen sind.
### 4. Werte übertragen | Feld in Azure | Feld in FINN.ghost | | ------------------------ | ------------------- | | Anwendungs-ID (Client) | **Client ID** | | Verzeichnis-ID (Mandant) | **Tenant ID** | | Wert des Clientschlüssels | **Client Secret** | | — | **Absender-E-Mail** |  Die **Absender-E-Mail** ist das Postfach, aus dem gesendet wird.Nach dem Speichern verschickt FINN.ghost eine Testmail an die eingetragenen Empfänger und bestätigt das in der Karte. Kommt sie nicht an, fehlt meist die Administratorzustimmung.
Über **Trennen** wird die Verbindung wieder gelöst. ## Wenn der Versand nicht geht | Meldung oder Symptom | Ursache | | -------------------------------------------- | ----------------------------------- | | Fehler zur Redirect-URI beim Verbinden | Umleitungs-URI weicht ab | | Anmeldung geht, Versand scheitert | Berechtigung fehlt oder ohne Zustimmung | | lief monatelang, jetzt nicht mehr | Clientschlüssel abgelaufen | | App-Only meldet fehlende Rechte | Administratorzustimmung nicht erteilt | | Absender wird abgelehnt | Postfach gehört nicht zur Organisation | Die Antwort von Microsoft steht im Protokoll. Siehe [Log Informationen](https://wiki.dako-it.com/books/finnghost-systemhandbuch/page/log-informationen). ## Nächster Schritt [EU-Auslands-Kontengruppen](https://wiki.dako-it.com/books/finnghost-systemhandbuch/page/eu-auslands-kontengruppen)