Microsoft 365 „554 5.2.0 STOREDRV.Submission.Exception:SendAsDeniedException“: so behebst du es

Was das bedeutet

Dieser Fehler kommt von deiner eigenen Microsoft-365-Organisation, nicht vom Empfänger. Du hast versucht, eine E-Mail mit einer From-Adresse zu senden, die das angemeldete Konto nicht verwenden darf. Die Meldung sieht meist so aus:

554 5.2.0 STOREDRV.Submission.Exception:SendAsDeniedException.
MapiExceptionSendAsDenied; Failed to process message due to a permanent
exception with message Cannot submit message.

In Outlook bekommst du ihn vielleicht als Unzustellbarkeitsbericht mit dem Hinweis „You can't send a message on behalf of this user unless you have permission to do so“.

Warum das passiert

Microsoft 365 prüft, ob das Konto, das sich zum Senden anmeldet, die Adresse im From-Feld verwenden darf. Es lehnt ab, wenn:

• Du aus einem freigegebenen Postfach sendest oder mit der Adresse einer anderen Person, ohne das Recht Senden als (Send As) oder Senden im Auftrag von (Send on Behalf).
• Das Recht gerade erst hinzugefügt wurde und noch nicht auf allen Servern angekommen ist.
• Outlook eine alte From-Adresse in seiner AutoVervollständigen-Liste behält, die auf ein gelöschtes Postfach oder einen gelöschten Alias zeigt.
• Ein Drucker, Scanner, eine Website oder ein Skript sich mit einem Konto anmeldet (SMTP-Authentifizierung), aber eine andere Adresse ins From schreibt, etwa scanner@yourdomain.com oder noreply@yourdomain.com.
• Eine Anwendung (CRM, ERP, Ticketsystem) über ein Dienstkonto ohne Rechte im Namen von Nutzern sendet.

So prüfst du es

• Vergleiche die beiden Adressen: das Konto, mit dem angemeldet wird (in den Einstellungen der App oder des Geräts), und die From-Adresse. Unterscheiden sie sich, ist ein Recht nötig.
• Prüfe die Postfachberechtigungen im Exchange Admin Center: Öffne das im From verwendete Postfach, dann seine Delegierungseinstellungen, und sieh dir „Senden als“ und „Senden im Auftrag von“ an.
• Teste das Gerät oder die App mit Delivmail: Sobald es behoben ist, sende von dort eine E-Mail an die einmalige Adresse auf der Startseite von Delivmail (/). Kommt sie an, funktioniert der Versand, und der Bericht zeigt auch, ob SPF, DKIM und DMARC bestehen.

So behebst du es

1. Vergib das richtige Recht. Öffne im Exchange Admin Center das Postfach (zum Beispiel das freigegebene Postfach), geh zur Delegierung und füge den Nutzer unter Senden als hinzu (die E-Mail sieht aus, als käme sie vom Postfach) oder unter Senden im Auftrag von (angezeigt als „Nutzer im Auftrag von Postfach“). In PowerShell:

   Add-RecipientPermission -Identity shared@yourdomain.com -Trustee user@yourdomain.com -AccessRights SendAs

2. Warte auf die Änderung. Es kann bis zu einer Stunde dauern, bis Rechte wirksam werden. Starte Outlook danach neu.
3. Lösche die alte From-Adresse in Outlook. Entferne die Adresse aus den AutoVervollständigen-Vorschlägen und tipp sie neu ein, oder wähle sie aus dem Adressbuch.
4. Korrigiere Geräte und Skripte. Setze die From-Adresse auf dieselbe Adresse wie das Anmeldekonto, oder gib diesem Konto das Recht „Senden als“ für die From-Adresse. Für Drucker und Scanner, die sich nicht richtig authentifizieren können, dokumentiert Microsoft andere Möglichkeiten wie Direct Send oder einen SMTP-Relay-Connector.
5. Prüfe, ob die Adresse noch existiert. Wurde das Postfach oder der Alias gelöscht, nutze stattdessen eine aktuelle Adresse.

Prüfe, ob es behoben ist

Sende die E-Mail erneut vom selben Nutzer, derselben App oder demselben Gerät. Bei automatischen Systemen sende zuerst an eine neue Delivmail-Testadresse: Kommt sie an, ist das Rechteproblem gelöst, und du kannst prüfen, dass auch die neue From-Adresse mit SPF, DKIM und DMARC authentifiziert ist, bevor du an echte Empfänger sendest.