Fehlersuche und Fehlercodes.

Typisches Bild: Das Gerät sendet ohne TLS anstandslos, mit STARTTLS oder implizitem TLS bricht es mit einer Meldung ab, die nichts erklärt. Bei Swyx etwa SMTP Error Code: -2147467259, bei anderen Systemen schlicht „Verbindung fehlgeschlagen".

Ursache ist fast immer das selbstsignierte Zertifikat. SMTPly erzeugt es bei der Einrichtung selbst. Es ist technisch einwandfrei, aber niemand kennt seinen Aussteller: Ein Gerät, das die Vertrauenskette prüft, findet keine bekannte Wurzel und bricht ab. Der Fehler entsteht dabei auf der Seite des Geräts, deshalb steht im System-Log von SMTPly oft gar nichts.

Abhilfe: Das Zertifikat auf dem sendenden System als vertrauenswürdig eintragen. Unter Einstellungen → Zertifikat → Aktuelles Zertifikat anzeigen öffnet sich der Windows-Dialog mit dem Knopf Zertifikat installieren. Dabei zwei Dinge beachten, an denen es meistens hakt:

• Speicherort Lokaler Computer wählen, nicht „Aktueller Benutzer". Dienste laufen unter einem eigenen Konto und sehen Ihren Benutzerspeicher nicht.
• Ablage Vertrauenswürdige Stammzertifizierungsstellen wählen, nicht „Eigene Zertifikate" und nicht die automatische Auswahl.

Danach den Dienst des sendenden Systems neu starten. Windows behält Vertrauensentscheidungen im laufenden Prozess; ein Dienst, der beim Start keine Kette fand, sieht das neue Stammzertifikat sonst nicht.

Ebenfalls wichtig: Das Gerät muss SMTPly unter genau dem Namen ansprechen, der im Zertifikat steht. Eine IP-Adresse im Mailserver-Feld reicht nicht, auch wenn das Zertifikat vertrauenswürdig ist.

Wer kein Zertifikat pflegen möchte, hat zwei Alternativen: ein Zertifikat aus der eigenen internen Zertifizierungsstelle über den Windows-Zertifikatsspeicher einbinden, oder für ein Relay, dessen Verkehr den Rechner nicht verlässt, TLS weglassen und den Zugriff über die IP-Whitelist absichern. Soll dabei die SMTP-Anmeldung genutzt werden, ist zusätzlich Plaintext-AUTH ohne STARTTLS erlauben nötig, weil SMTPly Anmeldungen auf unverschlüsselten Verbindungen sonst verweigert.

Standardmäßig genau einen eingehend und einen ausgehend:

Alles Weitere nur, wenn Sie es einschalten: Monitoring-Endpoint 8025, REST-Schnittstelle 8026, MCP-Server 8027 (alle eingehend, ab Werk an 127.0.0.1 gebunden — aus dem Netz erreichbar erst nach Bind-Änderung plus Firewall-Freigabe) sowie ausgehend Syslog 514 und die Webhook-Ziele. Alle Ports sind frei änderbar.

Eingehend am SMTP-Listener hilft der Assistent: Schritt 5 legt die Windows-Firewall-Regel auf Wunsch gleich an.

Ja, das ist sogar einer der häufigsten Anwendungsfälle. Microsoft hat den IIS-6.0-SMTP-Service offiziell als deprecated markiert — er ist zwar in Windows Server 2025 noch enthalten, soll aber in kommenden Versionen entfernt werden. Außerdem kann er kein OAuth2: Mails über Exchange Online laufen lassen geht damit nur per Basic Auth, und dessen Anmeldung schaltet Microsoft Ende Dezember 2026 standardmäßig ab.

SMTPly ist die moderne Lösung für genau dieses Szenario: identische Rolle (lokaler SMTP-Relay-Host für Drucker, ERP, Scanner und Branchen-Software), aber mit OAuth2-Übersetzung zu Microsoft Graph, GUI, Mail-Tracker, Retry-Logik und einer aktiv gepflegten Codebasis. Migration: IIS-SMTP-Dienst stoppen, SMTPly installieren, Bind-Port auf 25 (oder 587) lassen, Geräte-Konfigurationen behalten ihre Ziel-IP — fertig.

Beim ersten Start als Administrator öffnet sich der Einrichtungsassistent und führt in sieben Schritten bis zur verifizierten Testmail: begrüßen, Weg wählen, Microsoft 365 verbinden, Absender festlegen, Geräte und Netz konfigurieren, prüfen, fertig. Die vollständige bebilderte Anleitung steht weiter oben auf dieser Seite. Er lässt sich jederzeit erneut über Einstellungen → Allgemein → Einrichtungsassistent öffnen starten.

Die Azure-App-Registrierung übernimmt er auf Wunsch für Sie. Im Schritt „Microsoft 365 verbinden" melden Sie sich einmal bei Microsoft an; SMTPly legt daraufhin in Ihrem Tenants die App-Registrierung, das Client Secret, den Dienstprinzipal und die Berechtigung Mail.Send an und trägt die Werte selbst ein, inklusive Ablaufdatum des Secrets.

• Angelegt wird ausschließlich in Ihrem Tenants. Es werden keine Daten an uns übertragen, und das Client Secret verlässt Ihren Server nicht.
• Es wird nichts installiert. Auf Server Core ohne Browser bietet SMTPly automatisch die Anmeldung per Gerätecode an.
• Wer lieber selbst klickt, wählt „Manuell eintragen" — die bebilderte Anleitung dazu finden Sie weiter oben auf dieser Seite.
• Für Umgebungen, in denen sich kein Anmeldefenster öffnen lässt, gibt es weiterhin das signierte PowerShell-Skript als Weg C.

Ein Protokoll des Laufs landet im Diagnosepaket, damit sich ein Fehlschlag nachvollziehen lässt. Das Client Secret steht dort nicht drin.

Nein — es muss ein echtes Postfach sein. SMTPly übergibt jede Mail an POST /v1.0/users/{absender}/sendMail. Diese Adresse ist damit das sendende Postfach, und die Anwendungsberechtigung Mail.Send erlaubt ausschließlich den Versand als genau dieses Postfach.

• Benutzerpostfach — funktioniert.
• Freigegebenes Postfach — funktioniert und ist der übliche Weg, weil es keine Lizenz benötigt (z. B. relay@firma.de).
• Verteiler und E-Mail-aktivierte Sicherheitsgruppen — funktionieren nicht. Sie haben kein Postfach und können deshalb nicht die sendende Identität sein.
• Alias (zusätzliche SMTP-Adresse) — bitte die primäre Adresse des Postfachs eintragen. Andere Adressen des Postfachs sind für diesen Aufruf nicht dokumentiert.

Das gilt auch im Standardbetrieb ohne „Absender immer überschreiben": Dort behält jedes Gerät seine eigene Absender-Adresse — und jede davon muss ein Postfach im Tenant sein, sonst lehnt Microsoft 365 den Versand ab.

Wer als Gruppenadresse senden will, richtet dafür ein freigegebenes Postfach mit dieser Adresse ein. Innerhalb von Exchange lässt sich zwar per Senden als-Berechtigung auch im Namen eines Verteilers senden, dafür müsste die Nachricht aber neu aufgebaut werden — SMTPly reicht Mails bewusst unverändert weiter, damit Signaturen und Anhänge Byte für Byte erhalten bleiben.

Ja. Strg+1 bis Strg+8 springen direkt zu Dashboard, Maillog, System-Log, Mailfluss, Einstellungen, Lizenz, Über und Mailfluss mit Regel-Tester; Strg+, öffnet die Einstellungen. F6 wechselt den Fokus zwischen Navigationsleiste und Inhaltsbereich. Innerhalb einer Seite bewegt Tab den Fokus, Leertaste/Enter aktiviert, und die wichtigsten Schaltflächen (Speichern, Dienst starten/stoppen, Lizenz aktivieren) haben Alt-Zugriffstasten. Der Tastaturfokus ist deutlich hervorgehoben, damit man ohne Maus immer sieht, wo man gerade ist. (ab Version 1.7.26)

Als SMTP-Relay zu Microsoft 365: ja. Viele Installationen nutzen hMailServer ausschließlich als lokalen Smarthost — Geräte liefern per SMTP ein, hMailServer leitet an Exchange Online weiter. Genau diese Rolle übernimmt SMTPly, mit dem Unterschied, dass die Weiterleitung über OAuth2 und Microsoft Graph läuft statt über Benutzername und Passwort.

Der Anlass ist meist derselbe: hMailServer wird seit Jahren nicht mehr weiterentwickelt, die letzte Version kennt kein OAuth2 und bringt eine veraltete OpenSSL-Version mit. Sobald Microsoft SMTP Basic Auth abschaltet, steht die Weiterleitung — nachrüsten lässt sich das nicht.

Was SMTPly nicht ist: ein vollwertiger Mailserver. Postfächer, POP3/IMAP-Abruf, lokale Zustellung und Verteilerlisten gibt es nicht — die liegen bei Microsoft 365. Wer hMailServer als eigenständigen Mailserver mit lokalen Postfächern betreibt, braucht dafür weiterhin eine andere Lösung.

Umstieg: hMailServer-Dienst stoppen, SMTPly installieren, denselben Port belegen (meist 25) — die Geräte behalten ihre Ziel-IP und müssen nicht angefasst werden. Absender-Whitelist und IP-Beschränkungen bilden Sie in den SMTPly-Einstellungen nach.

Ja, und das hat zwei Seiten. SMTPly übergibt jede Mail über sendMail an Microsoft Graph, und Microsoft legt dabei automatisch eine Kopie im Postfach der Absenderadresse unter Gesendete Elemente ab, inklusive Anhängen. Das Verhalten kommt von Microsoft und lässt sich beim Versand im MIME-Format nicht abschalten.

Der Vorteil: Ein klassischer SMTP-Relay stellt die Nachricht zu und vergisst sie danach. Über Microsoft Graph bleibt sie nachvollziehbar, und wer Zugriff auf das Postfach hat, sieht, was das Fachverfahren verschickt hat.

Das Risiko: Genau das wird zum Datenschutzproblem, wenn die Absenderadresse ein gemeinsam genutztes Postfach ist, etwa info@ oder mail@. Verschickt SMTPly darüber vertrauliche Dokumente wie gescannte Unterlagen, Rechnungen oder Gehaltsabrechnungen, sehen alle mit Zugriff auf dieses Postfach diese Dokumente.

Empfehlung:

• Ein eigenes Postfach nur für SMTPly verwenden, zum Beispiel smtp@firma.de, am besten als Shared Mailbox, auf die nur wenige ausgewählte Personen zugreifen.
• Für Gesendete Elemente dieses Postfachs eine Aufbewahrungsrichtlinie setzen, die die Kopien nach wenigen Tagen löscht.
• Die App per Application Access Policy auf genau dieses Postfach beschränken, damit sie nicht versehentlich als ein anderes Postfach sendet.

Mit Absender immer überschreiben lassen sich alle Geräte, auch solche mit erfundenen Absenderadressen, über dieses eine Postfach schicken.

Nein. Was Ihr Gerät per SMTP übergibt, geht Byte für Byte an Microsoft Graph weiter — Header, Kodierungen, Multipart-Grenzen, eingebettete Bilder und Anhänge bleiben unverändert. SMTPly liest die Nachricht nur mit, um Absender, Empfänger, Betreff und Größe für den Mail-Tracker anzuzeigen; die Original-Bytes werden dabei nicht angefasst. Es wird auch kein zusätzlicher Received-Header gesetzt.

Genau zwei eng begrenzte Ausnahmen gibt es, beide betreffen jeweils eine einzelne Header-Zeile:

Absender-Override: Wenn Sie alle Mails unter einer festen Adresse verschicken lassen, wird die From:-Zeile ersetzt — Microsoft Graph akzeptiert keine Nachricht, deren Absender von der sendenden Mailbox abweicht. Ohne Override greift das nicht.

Journal-BCC Business: Ist ein Archiv-Postfach hinterlegt, fügt SMTPly eine Bcc:-Zeile mit dieser Adresse hinzu, damit die Blindkopie zugestellt wird. Microsoft entfernt die Zeile wie bei jedem BCC vor der Auslieferung an die Empfänger — sichtbar ist davon nichts. Ohne konfiguriertes Journal-Postfach greift auch das nicht.

In beiden Fällen wird ausschließlich die betroffene Zeile getauscht bzw. eingefügt; Body, Anhänge und alle übrigen Header bleiben byte-identisch.

Ja — Sie können Smtply.exe einfach als Desktop-Anwendung starten. Der Relay läuft dann solange die GUI offen ist. Für produktiven 24/7-Betrieb ist die Dienst-Variante aber besser: kein angemeldeter Benutzer nötig, Auto-Start mit Windows.

Ja, ab der Business-Edition. Business (249 €) bedient bis zu 5 Microsoft-365-Tenants gleichzeitig auf einem Windows-Server, Enterprise (499 €) bis zu 25. Routing wahlweise per Sender-Domain (Mail von alice@firma1.de geht über Tenant „Firma 1") oder per AUTH-User-Bindung (ein konfigurierter AUTH-User ist fest an einen Tenant gebunden).

Gezählt werden Tenants, nicht Postfächer. Ein Microsoft-365-Tenant mit beliebig vielen Absender-Postfächern zählt als ein Tenant: Eine App-Registrierung und eine Tenant-Konfiguration in SMTPly bedienen alle Postfächer, aus denen die App senden darf. Wer den Zugriff der App auf bestimmte Postfächer begrenzen will, tut das in Exchange Online (Application Access Policy oder RBAC for Applications). Die Absenderadresse jeder Mail bleibt erhalten, solange „Absender immer überschreiben“ ausgeschaltet ist. Ein an den Tenant gebundener AUTH-User schickt seine Mails unabhängig von der From-Domäne über diesen Tenant.

Mehrere Tenants sind für eigene und verbundene Unternehmen gedacht, oder für Tenants Dritter, die Sie kostenlos betreuen. Für IT-Dienstleister und Softwareanbieter siehe Darf ich SMTPly als IT-Dienstleister für meine Kunden einsetzen?

In der Starter-Edition (149 €) wird genau ein Tenant unterstützt. Für den Wechsel auf eine größere Edition siehe Ich brauche eine größere Edition: Die vorhandene Konfiguration bleibt dabei als „Haupt-Tenant" erhalten.

Ja, wenn jeder Kunde seine eigene Lizenz erwirbt und SMTPly auf seinem eigenen Server betreibt. Sie richten die Installation dann für ihn ein, die Lizenz gehört dem Kunden.

Nicht gestattet ist es, SMTPly auf einem eigenen Server als gehostetes Relay für mehrere Kunden gegen Entgelt zu betreiben oder in ein entgeltliches Produkt oder eine entgeltliche Dienstleistung einzubauen. Mehrere Tenants lassen sich nur für eigene und verbundene Unternehmen anbinden, oder für Tenants Dritter, die Sie kostenlos betreuen. Das steht in § 5 der AGB.

Für den Einsatz durch IT-Dienstleister, Hoster und Softwareanbieter gibt es Partnerlizenzen. Schreiben Sie uns über das Kontaktformular, dann finden wir eine passende Lösung.

Schreiben Sie mir über das Kontaktformular, welche Edition Sie derzeit einsetzen und welche Sie brauchen. Ich rechne den bereits gezahlten Betrag an, Sie zahlen nur die Differenz, und Sie bekommen einen neuen Lizenzschlüssel.

Umgestellt wird in den Einstellungen auf der Lizenz-Seite: alten Schlüssel deaktivieren, neuen eintragen und aktivieren. Die Konfiguration bleibt dabei vollständig erhalten — die zusätzlichen Funktionen sind sofort bedienbar, ohne Neuinstallation und ohne den Dienst neu einzurichten.

Gleiches gilt für Enterprise: Diese Edition wird nicht über den Shop verkauft, sondern nach Rückfrage vergeben. Auch dafür ist das Kontaktformular der richtige Weg.

Ja, ab der Business-Edition. SMTPly unterstützt AUTH LOGIN und AUTH PLAIN auf dem Listener. Seit Version 1.8.0 gehört die SMTP-Authentifizierung vollständig zu Business und Enterprise — Starter bleibt bei IP- und Absender-Whitelist, was für den Einzelserver mit Druckern im eigenen Netz reicht. Wer SMTP-AUTH in der Testphase einrichtet und danach Starter aktiviert, verliert die Anmeldung: Sie wird abgeschaltet, auch wenn sie als Pflicht eingestellt war, und es gelten nur noch die erlaubten Quell-IPs. Anders, wenn eine bezahlte Lizenz gerade nicht bestätigt werden kann (seit über 30 Tagen nicht online geprüft, Hardware nach einer Migration nicht wiedererkannt): Während der 14 Tage Nachfrist läuft die gekaufte Edition unverändert weiter, die Anmeldung also auch. Selbsttest und System-Log weisen in beiden Fällen darauf hin. Benutzerverwaltung, Tenant-Bindung je Benutzer und der Sammelimport per CSV gehören zum Multi-Tenant-Betrieb.

Passwörter werden als PBKDF2-SHA256-Hash mit per-User-Salt gespeichert — nicht rückgewinnbar, auch nicht vom Admin. Drei Sub-Modi:

• AUTH aus (Default): Sender werden ausschließlich über die IP-Whitelist geprüft.
• AUTH anbieten: AUTH wird im EHLO beworben. Sender mit AUTH werden bevorzugt zugeordnet, Sender ohne AUTH fallen auf die IP-/Domain-Whitelist zurück.
• AUTH erzwingen: Unauthentifizierte MAIL FROM werden mit SMTP 530 abgelehnt.

Für Klartextpasswörter ist standardmäßig STARTTLS Voraussetzung; ein expliziter „Plaintext-AUTH ohne TLS erlauben"-Toggle existiert für Legacy-Geräte, die kein STARTTLS beherrschen — bewusst opt-in und mit deutlicher Warnung versehen.

Ältere Geräte (z.B. Industriesteuerungen, Räucherkammer- oder Kühlanlagen-Controller) sprechen oft eine Verschlüsselungsvariante, die in ihrer Bedienoberfläche schlicht „SSL" heißt: implizites TLS. Dabei ist die Verbindung ab dem ersten Byte verschlüsselt, ohne die Klartext-Phase, die STARTTLS voraussetzt. Passt das nicht zusammen, scheitert das Gerät typischerweise mit einer Fehlermeldung wie SSL23_GET_SERVER_HELLO:unknown protocol.

Seit Version 1.7.5 unterstützt SMTPly genau diesen Fall: In den Einstellungen unter SMTP-Listener → TLS/SSL steht neben STARTTLS auch „Implizites TLS/SSL" als Modus zur Auswahl. Beide Modi teilen sich dieselbe Zertifikatsauswahl (selbstsigniert, PEM oder PFX) und schließen sich gegenseitig aus — ein Listener-Port bedient immer nur einen der beiden Modi.

Haben Sie sowohl alte „SSL"-Geräte als auch neuere STARTTLS-Geräte gleichzeitig im Einsatz, muss das kein Widerspruch sein: Ab der Business-Edition lassen sich mehrere SMTP-Listener-Ports parallel betreiben, jeder mit eigenem TLS-Modus. Die alten Geräte zeigen dann einfach auf den einen Port (implizites TLS), die neueren auf einen anderen (STARTTLS) — ganz ohne Einzelkonfiguration pro Gerät.

Aktuell nein — SMTPly ist Windows-nativ (DPAPI, Windows-Dienst, WPF). Eine Linux-Variante steht nicht auf der Roadmap. Für gemischte Umgebungen ist der Windows-Server als dedizierter Relay-Host die unkomplizierte Lösung.

Nein, das ist eine Warnung über den Ruf der Datei, keine Erkennung von Schadsoftware. Microsoft Defender SmartScreen warnt bei jeder Datei, die noch nicht oft genug heruntergeladen wurde. Die Warnung verschwindet von selbst, sobald genug Anwender dieselbe Datei geladen und ausgeführt haben.

Seit Version 1.7.18 ist der Installer digital signiert, ausgestellt auf IT-Beratung - Andreas Hähnel. Das ändert zwei Dinge sofort: Die Benutzerkontensteuerung nennt beim Start den Herausgeber im Klartext statt „Unbekannter Herausgeber", und die Herkunft der Datei lässt sich unabhängig von der Downloadquelle prüfen. Die Warnung selbst verschwindet dadurch nicht sofort. Microsoft bewertet zwei Signale: den Ruf der einzelnen Datei und den Ruf des Signaturzertifikats. Der erste beginnt mit jeder Version bei null, der zweite wächst über Versionen hinweg weiter, solange dieselbe Signatur verwendet wird. Die Signatur ist also die Voraussetzung dafür, dass sich überhaupt etwas ansammelt, und nicht der Schalter, der die Warnung abstellt.

So führen Sie die Installation trotzdem aus:

• Browser-Download: „Behalten" → „Trotzdem behalten".
• Beim Start: „Der Computer wurde durch Windows geschützt" (ältere Fassungen: „Windows hat Ihren PC geschützt") → „Trotzdem ausführen". Fehlt der Knopf, führt „Weitere Informationen" dorthin.

Signatur prüfen: Rechtsklick auf die EXE → Eigenschaften → Digitale Signaturen → Eintrag markieren → Details. Als Signaturgeber muss IT-Beratung - Andreas Hähnel stehen, die Kette führt über Microsoft ID Verified CS EOC CA zur Microsoft Identity Verification Root Certificate Authority 2020. Per PowerShell:

Get-AuthenticodeSignature SMTPly-Setup-latest.exe | Format-List Status, SignerCertificate

SHA-256 vergleichen: Die Prüfsumme gilt unverändert weiter und ist nach wie vor die schärfste Kontrolle. Sie steht auf der Download-Seite und in jedem GitHub-Release:

Get-FileHash SMTPly-Setup-latest.exe -Algorithm SHA256

Stimmen die Hashes überein, ist die Datei bit-identisch mit dem, was wir gebaut und veröffentlicht haben. SmartScreen-Reputation ist nur ein Heuristik-Signal — SHA-256 ist kryptographisch eindeutig.

Wie signiert wird: über Azure Artifact Signing. Der private Schlüssel liegt nicht auf unserer Build-Maschine, sondern verlässt Microsofts Hardware-Sicherheitsmodul nie; der Build reicht nur den Hash zum Signieren ein. Die ausgestellten Zertifikate sind absichtlich extrem kurzlebig, deshalb trägt jede Signatur einen Zeitstempel und bleibt auch nach Ablauf des Zertifikats gültig.

Einfach den neuen Installer starten. Er erkennt die bestehende Installation, ersetzt die Binaries und behält Konfiguration, Lizenz und Logs unter %ProgramData%\Smtply\ unverändert bei. Ab Version 1.3.0 weist SMTPly Sie selbständig auf verfügbare Updates hin — einmal täglich wird die öffentliche Release-API geprüft und die Release-Notes werden direkt in der „Über"-Seite angezeigt.

Der Ordner %ProgramData%\Smtply\ bleibt absichtlich stehen, damit eine erneute Installation Ihre Einstellungen wiederfindet. Darin liegen die Konfiguration mit dem verschlüsselten Client Secret, die Mail-Historie mit Absendern, Empfängern und Betreffen sowie die Lizenzdatei.

Wenn der Server außer Dienst geht oder weitergegeben wird, löschen Sie den Ordner bitte von Hand. Ab Version 1.8.1 weist der Deinstaller am Ende darauf hin.

Ja, wenn Sie in den Einstellungen unter Microsoft 365 → E-Mail-Benachrichtigungen eine Empfänger-Adresse hinterlegen. SMTPly sendet dann eine Warn-Mail an diese Adresse, sobald das Ablaufdatum näher rückt. Versendet wird über dieselbe E-Mail-Adresse, die auch für den Mail-Relay konfiguriert ist.

Standardmäßig startet die Warnung 14 Tage vor Ablauf (konfigurierbar). Weitere automatische Warnungen folgen bei 7, 3, 1 und 0 Tagen Restlaufzeit — jede Schwelle wird genau einmal gesendet. Nach dem Ablauf werden keine E-Mails mehr versendet, weil die Microsoft-365-Authentifizierung dann nicht mehr funktioniert; der farblich hervorgehobene Warnhinweis in den Microsoft-365-Einstellungen der GUI bleibt aber bestehen.

Ja. In den Einstellungen unter Microsoft 365 → E-Mail-Benachrichtigungen können Sie zusätzlich zur Secret-Ablauf-Warnung einen Report-Rhythmus wählen: täglich, wöchentlich oder monatlich. Der Bericht wird an dieselbe Benachrichtigungs-Adresse geschickt und enthält Gesamtzahlen (versandt / fehlgeschlagen / abgelehnt), durchschnittliche Versanddauer, Top-Absender, Top-Empfänger-Domänen und die häufigsten Fehlerursachen für den jeweiligen Zeitraum.

Der Versand respektiert Ihre Privacy-Einstellungen — bei aktivem Masking zeigt der Report maskierte Adressen, bei deaktiviertem „Adressen loggen" werden Top-Listen weggelassen. Ausschalten lässt sich der Report jederzeit mit der Option „Keine Berichte".

Nein. SMTPly speichert ausschließlich Metadaten (Zeitstempel, Adressen, Betreff, Größe, Status) im Mail-Tracker — Body und Anhänge werden nach erfolgreicher Weiterleitung oder endgültigem Fehlschlag sofort verworfen (DSGVO-Grundsatz der Datenminimierung).

Unter Hilfe / FAQ → Diagnose-Paket erstellen baut SMTPly ein ZIP-Archiv, das Sie z.B. per E-Mail an den Support schicken können. Enthalten sind die letzten System-Log-Dateien, eine maskierte Übersicht der zuletzt versendeten E-Mails (Absender, Empfänger und Betreff sind geschwärzt — unabhängig von Ihrer sonst eingestellten Masking-Stufe, weil das Paket Ihre Maschine verlässt), die öffentlichen Zertifikatsdaten (Gültigkeit, Aussteller, Thumbprint — niemals der private Schlüssel) sowie eine Zusammenfassung der nicht-geheimen Konfiguration (Listener, TLS-Modi, Lizenz-Edition). Die Absender-IP-Adresse bleibt bewusst im Klartext, weil sie für Netzwerk- und Firewall-Diagnosen gebraucht wird.

Passwörter, Client Secrets, Lizenzschlüssel und private Zertifikatsschlüssel sind niemals enthalten. Vor der Erstellung erscheint ein deutlicher Warnhinweis — das Paket wird nur lokal erzeugt, ein Versand erfolgt ausschließlich, wenn Sie es aktiv an eine vertrauenswürdige Stelle weitergeben.

Ja. Unter Hilfe / FAQ → Selbsttest durchführen prüft SMTPly den eigenen Zustand in einem Klick: Windows-Dienst läuft, Schreibrechte im Konfigurationsverzeichnis, Port-Belegung, eine echte Verbindung zum eigenen Listener (inklusive TLS-Handshake bei implizitem TLS), Zertifikat-Gültigkeit, Entschlüsselung des Client Secrets sowie Erreichbarkeit von Microsoft Graph. Jeder Punkt wird als grün/gelb/rot markiertes Ergebnis mit Klartext-Erklärung angezeigt.

Seit Version 1.8.7 prüft der Selbsttest zusätzlich die Erreichbarkeit des Lizenzservers api.polar.sh, ohne dabei einen Lizenzschlüssel zu senden. Das Diagnose-Paket führt den Selbsttest vor dem Erstellen frisch aus und legt das Ergebnis als selbsttest.txt bei; Sie müssen ihn vorher nicht selbst anstoßen.

Wichtig: Diese Prüfungen laufen über 127.0.0.1 (localhost) — die Windows-Firewall filtert Loopback-Verkehr grundsätzlich nicht. Ein grünes Ergebnis beweist also, dass der Listener lokal sauber arbeitet, aber nicht, dass ein externes Gerät (z.B. der Drucker oder das ERP-System) tatsächlich durch die Firewall kommt. Für genau diesen Fall bietet die Seite einen fertigen Test-NetConnection-Befehl zum Kopieren, den Sie auf dem sendenden Gerät ausführen können, um die echte Erreichbarkeit zu verifizieren.

Empfangene Mails landen zuerst in einer lokalen, persistenten Warteschlange (queue.db) und erst danach in der In-Memory-Versand-Queue. Fällt Graph kurz aus, greift Exponential-Backoff; startet der Windows-Dienst neu (oder der ganze Server), lädt SMTPly die Wartenden beim Hochfahren automatisch wieder nach und stellt sie zu. Erst nach erfolgreichem Versand — oder nach endgültigem Fehlschlag — wird der Rohinhalt gelöscht.

Die GUI zeigt während eines Graph-Ausfalls einen Warnbanner im Dashboard; der Circuit-Breaker verhindert, dass sinnlose Retries den Token verbrennen.

Ja — SMTPly wurde bewusst so entworfen, dass keine Daten an Dritte fließen. Die Verarbeitung bleibt innerhalb Ihrer bestehenden Microsoft 365-Vertragsbeziehung. Prüfen Sie trotzdem Ihre interne Compliance (z.B. ob Legacy-Geräte überhaupt personenbezogene Daten versenden dürfen).

NIS2 richtet sich an Organisationen, nicht an Software. Eine NIS2-Konformität, die ein Produkt haben oder nicht haben kann, gibt es deshalb nicht. Fällt Ihr Unternehmen selbst unter NIS2, betrifft Sie die Pflicht, Ihre Lieferkette abzusichern. Die dafür üblichen Angaben haben wir zusammengestellt: Angaben für Lieferanten-Fragebögen.

Der CRA gilt für SMTPly als Produkt mit digitalen Elementen. Seit September 2026 bestehen eine Kontaktstelle für Schwachstellenmeldungen (security.txt) und ein schriftlicher Meldeprozess; eine Stückliste der verwendeten Fremdbibliotheken entsteht bei jedem Release. Die übrigen Pflichten, darunter Konformitätserklärung und CE-Kennzeichnung, gelten ab dem 11. Dezember 2027 und werden bis dahin umgesetzt.