Gmail SMTP „535-5.7.8 Username and Password not accepted“ (und 534-5.7.9)

Was das bedeutet

Deine Anwendung, Website, dein Drucker oder Mailserver hat versucht, sich beim SMTP-Server von Gmail (smtp.gmail.com) anzumelden, und Google hat den Login abgelehnt. Es wurde keine E-Mail gesendet. Die beiden häufigsten Antworten sind:

535-5.7.8 Username and Password not accepted. For more information, go to
535 5.7.8  https://support.google.com/mail/?p=BadCredentials

534-5.7.9 Application-specific password required. For more information, go to
534 5.7.9  https://support.google.com/mail/?p=InvalidSecondFactor

535-5.7.8 bedeutet, dass die Kombination aus Benutzername und Passwort abgelehnt wurde. 534-5.7.9 ist genauer: Das Konto nutzt die Bestätigung in zwei Schritten, daher akzeptiert Google das normale Kontopasswort über SMTP nicht und will stattdessen ein App-Passwort. Eine dritte Variante, 534-5.7.14 „Please log in through your web browser“, bedeutet, dass Google die Anmeldung als verdächtig blockiert hat, bis du dich in einem Browser anmeldest.

Warum das passiert

Google akzeptiert für SMTP, IMAP oder POP aus Drittanbieter-Apps (sogenannte „weniger sichere Apps“) kein normales Kontopasswort mehr. Das wurde für private Gmail-Konten 2022 abgeschaltet und für alle Google-Workspace-Konten am 14. März 2025. Nur zwei Methoden funktionieren noch:

• OAuth 2.0 (Anmeldung mit Google, danach nutzt die App ein Token). Das empfiehlt Google.
• App-Passwörter: ein 16-stelliges Passwort, das für eine App erzeugt wird. Es gibt sie nur bei Konten mit aktivierter Bestätigung in zwei Schritten.

Die üblichen Ursachen sind also:

• Du hast dein normales Gmail-Passwort in der App eingegeben (534-5.7.9, wenn die Bestätigung in zwei Schritten aktiv ist, sonst 535-5.7.8).
• Das App-Passwort wurde widerrufen. Eine Änderung deines Google-Kontopassworts widerruft alle App-Passwörter.
• Der Benutzername ist falsch: Es muss die vollständige Adresse sein, zum Beispiel you@gmail.com oder you@yourdomain.com.
• Leerzeichen oder ein Tippfehler beim Einfügen des App-Passworts, oder ein altes Passwort, das die App noch zwischengespeichert hat.
• App-Passwörter sind für das Konto nicht verfügbar: keine Bestätigung in zwei Schritten, Erweiterter Schutz aktiviert oder eine Richtlinie des Google-Workspace-Admins, die sie nicht erlaubt.

So prüfst du es

1. Melde dich bei myaccount.google.com an, öffne Security (Sicherheit) und prüfe, ob die Bestätigung in zwei Schritten aktiv ist und ob App-Passwörter angeboten werden.
2. Teste den Login im Terminal mit swaks (ersetze die Werte, nutze das App-Passwort):

   swaks --server smtp.gmail.com:587 --tls \
     --auth LOGIN --auth-user you@gmail.com --auth-password 'abcdabcdabcdabcd' \
     --from you@gmail.com --to you@gmail.com

   Die Antwort 235 2.7.0 Accepted heißt, dass die Zugangsdaten funktionieren und das Problem in den Einstellungen deiner App liegt.
3. Sobald der Versand klappt, sende einen Test an die einmalige Adresse auf der Startseite von Delivmail und prüfe SPF, DKIM und DMARC für deine From-Adresse.

So behebst du es

Option 1: OAuth 2.0 nutzen (am besten)

Bietet deine Software „Sign in with Google“ oder eine OAuth-Option für Gmail an (die meisten Mailprogramme, viele WordPress-SMTP-Plugins, nodemailer, PHPMailer), nutze sie. Du erstellst OAuth-Zugangsdaten in einem Google-Cloud-Projekt, und die App sendet dann mit einem Token. Es wird kein Passwort gespeichert, und es funktioniert auch nach einer Passwortänderung weiter.

Option 2: ein App-Passwort nutzen

1. Aktiviere die Bestätigung in zwei Schritten für das Google-Konto.
2. Erstelle ein App-Passwort in deinen Google-Kontoeinstellungen (suche in der Suchleiste des Kontos nach „App passwords“ bzw. „App-Passwörter“). Gib ihm einen Namen wie „Website“.
3. Füge die 16 Zeichen ohne Leerzeichen als SMTP-Passwort in deine App ein. Behalte die vollständige Adresse als Benutzernamen.

Beispiel mit nodemailer:

const transporter = nodemailer.createTransport({
  host: 'smtp.gmail.com',
  port: 465,
  secure: true,          // or port 587 with secure: false (STARTTLS)
  auth: { user: 'you@gmail.com', pass: process.env.GMAIL_APP_PASSWORD }
});

Bei PHP-Websites kommen dieselben Werte in PHPMailer; andere Login-Fehler dort werden in PHPMailer „SMTP Error: Could not authenticate“ behandelt. Drucker und Scanner werden in Scan-to-E-Mail mit Office 365 oder Gmail behandelt.

Google Workspace: denk an das SMTP-Relay

Für ein Gerät oder einen Server, der kein OAuth kann und kein Benutzerpasswort speichern darf, kann ein Workspace-Admin stattdessen den SMTP-Relay-Dienst (smtp-relay.gmail.com) mit IP-basierter Authentifizierung nutzen. Seine eigenen Fehler werden in Google Workspace SMTP-Relay „550 5.7.0 Mail relay denied“ behandelt.

534-5.7.14

Melde dich möglichst aus demselben Netzwerk in einem Browser beim Konto an, bestätige jede Sicherheitswarnung („Ja, das war ich“) und versuch es dann erneut. Passiert es immer wieder, steig auf OAuth oder ein App-Passwort um.

Denk daran, dass Gmail-Konten tägliche Sendelimits haben; Massenversand über smtp.gmail.com endet bei „550 5.4.5 Daily user sending limit exceeded“.

Prüfe, ob es behoben ist

Sende aus der App eine Nachricht an die einmalige Adresse auf der Startseite von Delivmail. Kommt sie an, funktioniert der Login. Lies den Bericht: Sendest du über Gmail mit deiner eigenen Domain, sollte DKIM von deiner Domain signiert sein (eingerichtet in der Workspace-Admin-Konsole), und SPF und DMARC sollten bestehen. Versuch dann den ursprünglichen Versand erneut.