Administratorhandbuch: Ascripto und Microsoft 365

Zuletzt geprüft am 19. Oktober 2026

Für Globale Administratoren, Exchange-Administratoren und IT-Dienstleister, die gebeten wurden, Microsoft 365 zu verbinden oder den Nachrichtenfluss zu ändern, und für alle, die prüfen, was Ascripto mit einer Nachricht macht.

Die Entra-Anwendung

Eine mehrinstanzenfähige App-Registrierung, Ascripto, Herausgeberdomäne ascripto.com. In Ihrem Microsoft Entra Admin Center erscheint genau eine Unternehmensanwendung.

Berechtigung	Typ	Angefordert bei	Verwendet für
`openid`, `profile`, `email`	delegiert	Anmeldung	wer sich anmeldet; die Identität wird über die Objekt-ID und die Mandanten-ID des Kontos bestimmt, nie über die E-Mail-Adresse
Microsoft Graph `User.Read.All`	Anwendung	Microsoft 365 verbinden (Administratoreinwilligung)	der Verzeichnisleser: Benutzer, mit Deltaabfragen für Änderungen
Microsoft Graph `Domain.Read.All`	Anwendung	dieselbe Einwilligung	die überprüften Domains der Organisation: der Nachweis, dass eine über das Relay geleitete Domain Ihnen gehört
Office 365 Exchange Online `Exchange.Manage` (Manage Exchange As Signed-in User)	delegiert	nur Für mich einrichten	damit Ascripto bei dieser einen Gelegenheit die Connectors und die Regel anlegen kann

Group.Read.All wird nicht angefordert; nichts liest Gruppen. Anwendungsberechtigungen werden per Zertifikat authentifiziert, nicht über einen geheimen Clientschlüssel.

Wer einwilligen kann. Die Administratoreinwilligung für das Verzeichnis erfordert einen Globalen Administrator oder einen Administrator für privilegierte Rollen; Ascripto prüft die Verzeichnisrollen des angemeldeten Kontos, bevor jemand zum Zustimmungsbildschirm von Microsoft weitergeleitet wird, und nennt Personen ohne Administratorrolle, wer es stattdessen tun kann. Für mich einrichten erfordert einen Globalen Administrator oder einen Exchange-Administrator; Exchange wendet zusätzlich seine eigene rollenbasierte Zugriffssteuerung an.

Die Herausgeberüberprüfung läuft (Registrierung im Partner Center am 15. Oktober 2026 begonnen). Bis sie abgeschlossen ist, zeigt der Zustimmungsbildschirm von Microsoft nicht überprüft an, und eine Person ohne Administratorrolle kann ohne Genehmigung eines Administrators nicht einmal für die Anmeldung einwilligen. Beginnen Sie mit einem Administrator.

Verzeichnissynchronisierung

Änderungen werden jede Minute gelesen (Delta-Abfrage von Microsoft Graph) und das gesamte Verzeichnis einmal täglich, oder sofort über Einstellungen → Verbindungen. Nicht lizenzierte Benutzer werden angezeigt und kosten nichts. Ein Benutzer, der verschwindet, kommt in den Papierkorb von Ascripto (standardmäßig 7 Tage, auf bis zu ein Jahr einstellbar) und kehrt als derselbe Eintrag zurück, wenn er wieder auftaucht.

Nachrichtenfluss: das Loopback-Relay

Microsoft Graph kann keine Outlook-Signaturen verwalten, Exchange Web Services wird von Oktober 2026 bis April 2027 schrittweise abgeschaltet, und Haftungsausschlüsse per Transportregel können weder Bilder enthalten noch unter der letzten Antwort stehen. Deshalb fügt Ascripto die Signatur auf dem Transportweg ein:

sender ─▶ Exchange Online ──(outbound connector)──▶ Ascripto relay
                                                    │ inserts the signature
         Exchange Online ◀──(inbound connector)─────┘
            │
            └─▶ delivers to the recipient as it does today

Die Nachricht verlässt Ihren Mandanten und kommt direkt zurück. Folgen, die Sie den Verantwortlichen für Ihre E-Mail mitteilen sollten:

MX-Einträge, eingehende E-Mails und SPF bleiben unverändert. Der letzte Hop zum Empfänger ist die eigene IP-Adresse von Exchange Online, daher werden SPF und DMARC genau wie bisher ausgewertet.
Nur ausgehend, und nur für die Domains, die Sie unter Einstellungen → Zustellung hinzufügen; sie müssen in Ihrem Mandanten überprüft sein (Ascripto liest sie aus Graph).
Beide Teilstrecken laufen über SMTP auf Port 25, TLS ist Pflicht. Ascripto weist sich gegenüber Ihrem Mandanten per Zertifikat aus, nie per IP-Adresse, daher erfordert eine Änderung auf Seiten von Ascripto nie eine Änderung in Ihrem Mandanten.
Relay-Hosts: eu1.relay.ascripto.com (primär) und eu2.relay.ascripto.com (Standby), beide unter dem Zertifikat *.relay.ascripto.com. Gehostet auf Microsoft Azure in der Region Germany West Central.

Was die Einrichtung anlegt

Beide Wege (Für mich einrichten und das Skript) legen dieselben drei Objekte nach derselben Beschreibung an, und beide sind idempotent: Ein vorhandenes Objekt wird aktualisiert, nicht dupliziert.

Eingehender Connector Ascripto inbound: Typ On-Premises, aktiviert, RequireTls, nimmt E-Mails an, deren TLS-Clientzertifikat auf *.relay.ascripto.com lautet, für jede Absenderdomain (RestrictDomainsToCertificate false), CloudServicesMailEnabled, damit Exchange die zurückkehrende Nachricht als eigene behandelt und die ursprünglichen Header beibehält.

Ausgehender Connector Ascripto outbound: Typ On-Premises, aktiviert, auf die Transportregel beschränkt (IsTransportRuleScoped), Smarthosts eu1.relay.ascripto.com und eu2.relay.ascripto.com, TlsSettings DomainValidation mit TlsDomain *.relay.ascripto.com, UseMxRecord false, RouteAllMessagesViaOnPremises false.

Nachrichtenflussregel Ascripto signatures, Priorität 0, Modus Enforce, RuleErrorAction Ignore:

Bedingung / Ausnahme	Wert	Warum
die Domain der Absenderadresse ist	Ihre über das Relay geleiteten Domains, abgeglichen im Umschlag	nur E-Mails Ihrer Domains
der Absender befindet sich	innerhalb der Organisation	nie eingehende oder externe E-Mails über das Relay leiten
außer wenn der Header `X-Ascripto-Relayed` dem Muster entspricht	`.`	das Relay fügt diesen Header hinzu; ohne die Ausnahme würde die Nachricht in einer Schleife laufen
außer wenn die Absenderadresse dem Muster entspricht	`<>` und `Return-Path` enthält `<>`	Unzustellbarkeitsberichte bekommen keine Signatur
außer wenn der Nachrichtentyp lautet	Calendaring	Einladungen bleiben unangetastet
Aktion	über `Ascripto outbound` leiten

Das Skript (relay-setup.ps1, auf der Seite „Zustellung“ Schritt für Schritt gezeigt) installiert das Modul ExchangeOnlineManagement, falls es fehlt, führt Connect-ExchangeOnline aus, dann für jedes Objekt Get- / Set- oder New- sowie Enable-TransportRule. Es läuft in Windows PowerShell 5.1 oder PowerShell 7. Für mich einrichten führt dieselben Cmdlets über den Admin-Endpunkt von Exchange aus, mit einem delegierten Token, das etwa eine Stunde lang im Arbeitsspeicher der Anfrage liegt und nirgends geschrieben wird: nicht in die Datenbank, nicht in ein Cookie, nicht in ein Protokoll.

Die Prüfung

Ascripto kann Ihre Exchange-Konfiguration nicht lesen. Das Prüfskript führt Get-InboundConnector, Get-OutboundConnector und Get-TransportRule für die drei Namen aus und schreibt ascripto-check.json; wenn Sie die Datei auf der Seite „Zustellung“ hochladen, wird jede Einstellung mit dem verglichen, was die Einrichtung setzt, und jede Abweichung wird mit Name und Wert aufgelistet. Die Datei wird verglichen und verworfen. Die andere Hälfte ist die Nachrichtenfluss-Anzeige in der Domainzeile: Letzte E-Mail vor 2 Minuten · 14 in den letzten 24 Stunden oder Seit N Tagen hat keine E-Mail dieser Domain Ascripto erreicht.

Was das Relay mit einer Nachricht macht

Pro Empfänger (das Relay verarbeitet einen Empfänger pro Transaktion, eine Nachricht an drei Personen ergibt also drei Zustellungen zurück):

Routen. Die Domain des Absenders wird in der lokalen Kopie Ihrer Routen auf dem Relay nachgeschlagen, um den Exchange Online-Host zu finden, an den die Nachricht zurückgegeben wird. Eine unbekannte Domain wird mit einem temporären Fehler (4xx) abgewiesen, nie geraten; eine noch nicht verteilte Route kostet also eine Verzögerung und keine fehlgeleitete Nachricht. Exchange versucht es erneut.
Über die Signatur entscheiden. Diese Nachrichten bleiben genau so, wie sie ankommen, und werden als Keine Signatur eingefügt mit dem Grund protokolliert: S/MIME-verschlüsselte oder digital signierte E-Mails; Kalendernachrichten; Unzustellbarkeitsberichte; ein Absender, der keine Person mit Signatur in Ihrem Verzeichnis ist (eine Verteilerliste, eine umgeleitete Nachricht); eine Nachricht, die für eine Signatur zu groß ist; und die seltene Nachricht, die klassisches Outlook nur im Rich-Text-Format sendet (winmail.dat) und in die sich die Signatur nicht sicher einfügen lässt.
Einfügen. HTML und Nur-Text der Signatur werden unter dem neuen Text und über allen zitierten früheren Nachrichten eingefügt, sowohl im HTML- als auch im Nur-Text-Teil. Bilder werden als Inline-MIME-Teile eingebettet und nach Inhalt dedupliziert, damit sich in einem Thread nicht pro Antwort eine weitere Kopie des Logos ansammelt. Enthält die Nachricht die eigene Outlook-Signatur des Absenders (den Block <div id="Signature"> von Outlook), wird dieser Block ersetzt statt verdoppelt. Die Signatur von Ascripto selbst wird in <div data-ascripto-sig="1"> eingeschlossen, damit ein erneutes Senden oder eine Schleife sie findet und keine zweite hinzufügt.
Markieren und zurückgeben. X-Ascripto-Relayed wird hinzugefügt, und die Nachricht wird über TLS an Ihren Mandanten zurückgegeben.

Das Einfügen der Signatur hängt nie von der Steuerungsebene von Ascripto ab. Signaturen werden als Paket auf die Relay-Hosts veröffentlicht und von der lokalen Festplatte gelesen; das Relay fügt weiter Signaturen ein, auch wenn die Web-App oder die Datenbank ausgefallen ist.

Fehlerverhalten

Situation	Standardverhalten	Alternative
Die Signatur kann nicht eingefügt werden (der Signaturdienst des Relays ist ausgelastet, nicht erreichbar oder hat noch kein Paket für Ihren Workspace)	Fail-open: Die Nachricht wird ohne Signatur weitergesendet und als Ohne Signatur gesendet protokolliert	Fail-closed, pro Workspace auf Anfrage: Die Nachricht wird zurückgestellt, damit Exchange Online es erneut versucht, gedacht für Organisationen, deren Signatur einen gesetzlich vorgeschriebenen Haftungsausschluss enthält
Das Routing lässt sich nicht auflösen	immer Fail-closed (temporäre Abweisung; Exchange stellt die Nachricht in die Warteschlange und versucht es erneut)	keine; eine falsche Vermutung würde Ihre E-Mails an einen anderen Mandanten übergeben
Workspace wegen Nichtzahlung gesperrt	E-Mails laufen 7 Tage lang ohne Signatur durch und werden dann temporär abgewiesen; Exchange Online stellt sie in die Warteschlange und gibt sie schließlich an den Absender zurück, sofern das Routing nicht entfernt wird	bezahlen oder die Regel deaktivieren
Workspace wegen eines Verstoßes gegen die Nutzungsbedingungen gesperrt	sofort temporär abgewiesen	das Routing entfernen

Das Nachrichtenprotokoll

Einstellungen → Zustellung → Nachrichtenprotokoll: jede Nachricht, die durch das Relay gelaufen ist, die neueste zuerst, für die letzten 10 Tage, durchsuchbar nach Absender, Empfänger oder Message-ID, alle paar Minuten aktualisiert. Pro Empfänger: Signatur eingefügt oder Keine Signatur eingefügt: Grund sowie Hat das Relay verlassen, von Microsoft angenommen / Wartet: Microsoft hat das Relay gebeten, es erneut zu versuchen / Von Microsoft abgewiesen; der Absender erhält einen Unzustellbarkeitsbericht, mit dem SMTP-Code und der Anzahl der Versuche. Betreff und Inhalt von E-Mails werden nie gespeichert und können daher nicht durchsucht werden. Die Ablaufverfolgung enthält Umschlagadressen, Message-ID, Uhrzeit, Größe und Ergebnis.

Was Empfänger und Absender sehen

Die Signatur erscheint weder im Fenster zum Verfassen noch unter „Gesendete Elemente“, weil sie erst nach dem Senden eingefügt wird. Eine „Aktualisierung der gesendeten Elemente“ gibt es derzeit nicht.
Jeder E-Mail-Client ist abgedeckt, auch Outlook auf Mobilgeräten und Apple Mail, weil nichts vom Client abhängt.
Authentifizierung: Exchange Online stellt die zurückgegebene Nachricht mit SPF-Alignment für DMARC zu (die eigene IP-Adresse von Exchange Online sendet sie). Eine Nachricht, die über einen Connector zurückgekommen ist, signiert Exchange Online nicht per DKIM, wie bei anderen Relay-Produkten auch. Eine Kopie, die ein Empfänger später weiterleitet, kann daher an DMARC scheitern. Demnächst: DKIM per Delegierung, bei der Sie zwei CNAME-Einträge (ascripto1._domainkey und ascripto2._domainkey) hinzufügen, die auf Ascripto verweisen, und das Relay auf dem Rückweg signiert.

Ascripto entfernen

Die Reihenfolge ist wichtig, denn wenn Sie eine Domain in Ascripto entfernen, hält das Relay die E-Mails dieser Domain sofort zurück.

Deaktivieren Sie in Exchange Online zuerst die Regel: Disable-TransportRule -Identity 'Ascripto signatures' -Confirm:$false (die Seite „Zustellung“ zeigt diese Zeile an, wenn Sie die letzte Domain entfernen).
Entfernen Sie in Ascripto unter Einstellungen → Zustellung jede Domain mit Entfernen.
Löschen Sie die Regel und die Connectors: Remove-TransportRule 'Ascripto signatures', Remove-OutboundConnector 'Ascripto outbound', Remove-InboundConnector 'Ascripto inbound'.
Widerrufen Sie im Microsoft Entra Admin Center → Entra ID → Enterprise-Apps → Ascripto → Berechtigungen → Administratoreinwilligung die Berechtigungen („Berechtigung widerrufen“), oder löschen Sie die Unternehmensanwendung, wodurch alle Freigaben entfernt werden.

Um eine Domain zu entfernen und die übrigen zu behalten: Entfernen Sie sie in Ascripto und führen Sie die Einrichtung sofort erneut aus; die neu erzeugte Regel nennt sie nicht mehr. Bis dahin sendet Exchange die E-Mails dieser Domain weiter an Ascripto, wo sie warten; nichts geht verloren.

Abgerechnete Nutzer und Daten

Als abgerechneter Nutzer zählt bei Microsoft 365 jede Person, für die das Relay im Monat mindestens eine Nachricht mit einer Signatur versehen hat. Freigegebene Postfächer und Absender ohne Signatur kosten nichts.

Der Umgang mit Daten (Speicherregion, Aufbewahrung, Zugriff durch Mitarbeitende, der Auftragsverarbeitungsvertrag) ist derselbe wie bei Google Workspace und im Google Workspace-Handbuch beschrieben. Spezifisch für das Relay: Nachrichteninhalte werden während der Übertragung verarbeitet und nicht gespeichert; das Nachrichtenprotokoll wird 10 Tage aufbewahrt.