Warum ein richtiges Passwort abgelehnt wird
Der häufigste Grund ist heute nicht der Tippfehler, sondern eine Richtlinie. Große Anbieter haben die einfache Anmeldung mit Kontopasswort abgeschafft:
- Zwei-Faktor-Authentifizierung aktiv. Ein Programm, das keinen zweiten Faktor abfragen kann, braucht ein eigenes App-Passwort. Das reguläre Kontopasswort wird dann grundsätzlich abgelehnt, egal wie oft man es neu eingibt.
- Basic Auth abgeschaltet. Der Zusatzcode
5.7.139in der Antwort ist die eindeutige Signatur dafür in Exchange Online. Dann hilft nur OAuth 2.0 oder ein dafür freigegebener Zugang — ein anderes Passwort ändert nichts. - SMTP AUTH ist für dieses Postfach gesperrt. In gehosteten Umgebungen ist das oft die Voreinstellung und muss je Postfach freigegeben werden. Die Anmeldung am Webmail funktioniert dabei weiterhin — das führt zuverlässig in die Irre.
Benutzername und Verbindung
- Vollständige Adresse statt Kürzel. Viele Server erwarten
name@deinedomain.de, nichtname. Manche akzeptieren beides, manche nur eine Form. - Port und Verschlüsselung müssen zusammenpassen.
587mit STARTTLS oder465mit direktem TLS. Die Kombination „587 ohne Verschlüsselung“ scheitert bei fast jedem Anbieter, oft schon vor der Passwortprüfung. - Richtiger Host. Der Postausgangsserver ist nicht der MX-Record der Domain. Wer den MX als Sendeserver einträgt, meldet sich am Eingangsserver an, und der nimmt gar keine Anmeldung entgegen.
- Konto vorübergehend gesperrt. Nach mehreren Fehlversuchen sperren Anbieter die Anmeldung für einige Zeit. Dann scheitert auch das dann korrekte Passwort — abwarten, nicht weiter probieren.
Sauber nachstellen
Der Dialog lässt sich von Hand nachvollziehen, was Client-Eigenheiten ausschließt:
openssl s_client -starttls smtp -crlf -connect smtp.deinanbieter.de:587
Nach dem Verbindungsaufbau EHLO test senden. Erscheint in der Antwort kein 250-AUTH, bietet der Server auf diesem Weg gar keine Anmeldung an — dann ist die Portwahl das Problem und nicht das Passwort.
Was diese Meldung nicht ist
Sie hat nichts mit SPF, DKIM oder DMARC zu tun. Die entscheiden, ob eine zugestellte Mail als echt gilt; hier scheitert schon der Versuch, sie überhaupt einzuliefern. Ebenso wenig ist es eine Reputationssperre — die käme mit 5.7.1 und erst nach erfolgreicher Anmeldung.