Problem
unixpass versendet Benachrichtigungsmails (Einladungen, Registrierungs-Codes) über die Microsoft-365-/Exchange-Online-Infrastruktur des Unternehmens mit einer internen Absenderadresse (z. B. noreply@ihre-domain.de).
Mails an externe Empfänger werden korrekt dargestellt: Alle Bilder laden, alle Links sind klickbar. Mails an interne Empfänger (gleiche Domain) kommen dagegen ohne Bilder und mit deaktivierten Links an.
Ursache
Das ist das typische Symptom dafür, dass Exchange Online die Nachrichten auf dem internen Zustellweg als verdächtig einstuft. Weil die Anwendung mit einer internen Absenderadresse sendet, ohne Microsofts Composite Authentication (compauth) zu bestehen, behandelt Exchange die Nachrichten als potenzielles Intra-Org-Spoofing. Outlook deaktiviert daraufhin automatisch Bilder und Hyperlinks. Externe Empfänger sind nicht betroffen, weil deren Mailsysteme andere Prüfungen anwenden.
X-Forefront-Antispam-Report (z. B. CAT:SPOOF, CAT:PHSH, hoher SCL) sowie Authentication-Results (compauth=fail) prüfen.Maßnahmen für das IT-Team
Header einer betroffenen internen E-Mail analysieren
Diagnose mit dem Message Header Analyzer bestätigen. Relevante Felder: X-Forefront-Antispam-Report und Authentication-Results (compauth).
Übermittlungsweg von unixpass zu O365 prüfen
Direct Send ist die häufigste Ursache dieses Problems. Sauberste Optionen: authentifiziertes Senden über ein dediziertes, lizenziertes Postfach (SMTP AUTH oder bevorzugt Microsoft Graph API — siehe Howto „Individueller Mailversand über Microsoft 365") oder ein Inbound Connector, der auf die feste IP-Adresse des unixpass-Systems beschränkt ist.
Absender-Authentifizierung korrekt aufsetzen
Die sendende IP-Adresse in den SPF-Record der Domain aufnehmen und idealerweise DKIM-Signierung für das System konfigurieren. Die Nachrichten bestehen die Composite Authentication dann auch auf dem internen Pfad.
Ausnahmen in Microsoft Defender for Office 365 konfigurieren
Spoofed-Sender-Allow-Eintrag in der Tenant Allow/Block List anlegen (Absenderadresse + sendende Infrastruktur). Alternativ oder ergänzend eine Transportregel: Absender-IP = unixpass-System → SCL auf −1 setzen (Spamfilter umgehen). Wirkt sofort — ist aber als Brücke gedacht, nicht als Ersatz für die Maßnahmen 2–3.
Anti-Phishing-Richtlinie prüfen
Prüfen, ob Spoof Intelligence die Nachrichten abfängt, und das System in der Anti-Phishing-Richtlinie als vertrauenswürdigen Absender registrieren.
Zusammenfassung
| Ansatz | Maßnahme |
|---|---|
| Quick Fix | Transportregel (SCL −1) und/oder Spoofed-Sender-Allow-Eintrag (Maßnahme 4) — wirkt sofort. |
| Nachhaltige Lösung | Authentifizierte Übermittlung plus korrekte SPF-/DKIM-Konfiguration (Maßnahmen 2–3) — die Nachrichten werden dann auch intern voll authentifiziert zugestellt, Outlook zeigt Bilder und Links normal an. |