SMTP-Versand über Azure Communication Services (ACS) – BizDigital

1. Zweck

Dieser Artikel beschreibt die Konfiguration des authentifizierten SMTP-Versands über Azure Communication Services (ACS) für die Anwendung BizDigital (bizdigital.io). Über dieses Relay versendet BizDigital E-Mails unter Absenderadressen der Domain nsi-hsvn.de.

2. Hintergrund

Ursprünglich war seitens des Herstellers beantragt worden, die IP-Adresse des BizDigital-Servers (49.12.146.156) direkt in den SPF-Record von nsi-hsvn.de aufzunehmen. Dieser Weg wurde abgelehnt, da damit ein fremder, nicht durch NSI kontrollierter Host berechtigt gewesen wäre, beliebige Mails im Namen der Domain zu versenden, und der SPF-Record zusätzlich belastet worden wäre.

Als Alternative wurde ein authentifiziertes SMTP-Relay über ACS umgesetzt. Vorteile:

• Der Versand ist an ein Credential gebunden, nicht an eine IP.

• Der Absenderkreis ist auf drei explizit freigegebene Adressen begrenzt.

• SPF/DKIM laufen über die von Microsoft betriebene, bereits eingebundene Infrastruktur.

• Der Zugang kann jederzeit einseitig durch NSI entzogen werden (Secret-Rotation).

3. Architektur

BizDigital (bizdigital.io)
        │  SMTP AUTH (Basic), STARTTLS, Port 587
        ▼
smtp.azurecomm.net
        │
        ▼
Azure Communication Services (ACS)
  └── Email Communication Service (ECS)
        └── Custom Domain: nsi-hsvn.de
              ├── bizdigital-rechnungsausgang@nsi-hsvn.de
              ├── bizdigital-support@nsi-hsvn.de
              └── bizdigital-noreply@nsi-hsvn.de
        ▲
        │ Authentifizierung als Service Principal
Entra App-Registrierung "acs-email-smtp-basic"

Begriffsklärung: In der ursprünglichen Umsetzungsmeldung wurden ACS und ECS als „Azure Customer Service" bzw. „Exchange Customer Service" bezeichnet. Korrekt sind Azure Communication Services (ACS) und der darin enthaltene Dienst Email Communication Services (ECS). In Tickets und Folgeartikeln bitte die korrekte Bezeichnung verwenden.

4. Umgesetzte Konfiguration

4.1 Entra App-Registrierung

Der zugehörige Service Principal wurde auf der ACS-Ressource mit den erforderlichen Rechten für den Mailversand berechtigt; dort wurde ein SMTP-User angelegt.

4.2 Freigegebene Absenderadressen

Die folgenden Adressen wurden auf dem ECS per Azure CLI als MailFrom-Adressen angelegt:

Wichtig: Es handelt sich um reine Versandadressen, nicht um Postfächer. Eingehende Mails bzw. Antworten an diese Adressen werden über ACS nicht zugestellt. Sofern für bizdigital-support@ und bizdigital-rechnungsausgang@ Rückläufer empfangen werden sollen, ist zusätzlich ein Exchange-Online-Objekt (Shared Mailbox oder Weiterleitung) erforderlich – siehe Abschnitt 9.

5. Client-Konfiguration

Der jeweilige Mail-Client bzw. die Anwendung ist wie folgt zu konfigurieren:

6. Zugangsdaten

Das Client Secret ist passwortäquivalent und wird ausschließlich in Bitwarden verwaltet.

Regeln für den Umgang:

• Das Secret wird nicht in Tickets, E-Mails, Chats, Konfigurationsdokumentationen oder diesem KB-Artikel abgelegt.

• Die Übergabe durch Skaylink erfolgte über einen One-Time-Secure-Link (7 Tage gültig). Dieser Link gilt nach dem erstmaligen Abruf und spätestens nach Ablauf als verbraucht; er wird nicht archiviert.

• Da der Link über einen Ticket-/Mailkanal übermittelt wurde, ist der Übertragungsweg als nicht vollständig vertraulich zu betrachten. Bei Zweifeln an der Vertraulichkeit ist das Secret unverzüglich zu rotieren (Abschnitt 7).

• Die Weitergabe an den Hersteller BizDigital erfolgt ausschließlich über einen One-Time-Secret-Kanal, niemals im Klartext per Mail.

7. Secret-Rotation

Ablauf der Rotation:

1. Im Entra-Portal für die App-Registrierung acs-email-smtp-basic ein zweites Client Secret erzeugen (Überlappungsbetrieb).

2. Neues Secret in Bitwarden hinterlegen.

3. Secret über sicheren Kanal an BizDigital übergeben, Umstellung terminieren.

4. Erfolgreichen Versand nach Umstellung verifizieren (Testmail je Absenderadresse).

5. Altes Secret in Entra löschen.

Läuft das Secret unbemerkt ab, bricht der gesamte Mailversand von BizDigital ohne Vorwarnung ab. Fehlerbild: SMTP-Authentifizierung schlägt fehl (535 / 5.7.x).

8. Sendelimits und Quota-Erhöhung

8.1 Aktuell gültige Limits

Für die ACS-Ressource gelten die folgenden Sendelimits:

Damit liegt die Kapazität deutlich über den ACS-Standardwerten von 30 E-Mails pro Minute und 100 E-Mails pro Stunde.

8.2 Bewertung

• Der Minutenwert entspricht der Empfehlung von Skaylink (Dominik Feistenberger).

• Der Stundenwert liegt bei 2.000 statt der empfohlenen 5.000. Rechnerisch bedeutet das: die Minutenkapazität kann nur rund 4 Minuten pro Stunde ausgeschöpft werden. Für Batch-Läufe im Rechnungsausgang ist die Stunde damit der begrenzende Faktor, nicht die Minute.

• Ein Tageslimit ist derzeit nicht bestätigt (Empfehlung lag bei 10.000). Der tatsächlich gesetzte Wert ist zu verifizieren – siehe offene Punkte.

• Bei absehbar steigendem Volumen (z. B. Ausweitung des Rechnungsausgangs) ist eine weitere Erhöhung per Service-Ticket bei Microsoft möglich.

8.3 Referenzen

• Service limits for Azure Communication Services

• Quota increase for email domains

9. Sicherheitshinweise (ISB)

• Basic Authentication: Der Zugang basiert auf einem statischen Credential. Conditional Access, MFA und risikobasierte Anmeldungen greifen hier nicht. Das Secret ist damit die einzige Schutzschicht.

• Zweckbindung: Die App-Registrierung acs-email-smtp-basic ist ausschließlich für diesen SMTP-Zweck zu verwenden. Es dürfen keine zusätzlichen API-Berechtigungen (insbesondere Microsoft Graph) vergeben werden.

• Absenderbeschränkung: Ein Versand ist nur unter den in ECS registrierten Adressen möglich. Neue Absenderadressen sind über den IT-Service anzufordern und zu dokumentieren.

• Monitoring: Auffällige Versandmengen (Ausschöpfen der Quota) sind als möglicher Missbrauchsindikator zu werten.

• Reputationsrisiko: Bei Kompromittierung des Secrets könnten Dritte formal legitime Mails im Namen von nsi-hsvn.de versenden. Reaktion: sofortige Löschung des Secrets in Entra (wirkt unmittelbar).

• SPF/DKIM: Für die Custom Domain in ECS sind die von Microsoft vorgegebenen DNS-Einträge (SPF-Include bzw. DKIM-CNAMEs) erforderlich. Der bestehende SPF-Record von nsi-hsvn.de ist bereits stark ausgelastet – vor weiteren Includes ist die 10-Lookup-Grenze zu prüfen (siehe verwandte Artikel).

10. Fehlerbehebung

11. Offene Punkte