Dienstleister sendet Emails via SPF - trotzdem lehnt DUO Upload Mail ab

[#1]

Hallo zusammen,

wir versuchen PDF-Rechnungen per Mail in DUO reinzuschieben.

Die Absenderadresse ist bei DUO registriert und authentifiziert. Der händische Upload (Mail über o.g. Adresse über Mailclient mit PDF-Anhang verfassen und an DUO senden) funktioniert problemlos.

Erfolglos bleibt es allerdings, wenn unser Faktura-Dienstleister (mit dem wir die Rechnungen erstellen) die Belege per Mail versendet.

Wir haben die Domain unseres Emailservers bei unserem Faktura-Dienstleister authentifiziert und so konfiguriert (SPF + DKIM), dass der Dienstleister in unserem Namen Emails versenden kann.

Wenn wir nun eine Rechnung über den Dienstleister versenden an Datev versenden wollen (Upload Mail Adresse in BCC) akzeptiert Datev diese jedoch nicht: "Sender not autheticated". Wir haben's geprüft - der Envelope-From gibt genau unsere Absenderadresse wieder (die, wie oben beschrieben, händisch funktioniert).

Tatsächlich weiß auch der Dienstleister keine Rat. Hat jemand eine Idee?

Könnte es an den SPF / DKIM Einträgen liegen? Hat Datev hier spezielle Anforderungen? Ich habe dazu nichts weiter in der Datev-Community gefunden und versuche es nun in diesem Forum.

Beste Grüße!

[#2]

---

@msollbach schrieb:

Hat jemand eine Idee?

---

Das klingt für mich stark nach diesem ähnlichen Problem: Datev Upload Mail über AWS SES scheitert! Vielleicht ist da schon eine technische Abhilfe enthalten? 🤔 

---

@reiz schrieb:

Der DATEV Kundensupport hat sich mit mir in Verbindung gesetzt und mir mitgeteilt warum die E-Mails die via AWS SES versandt wurden, abgelehnt wurden. Die Grund war/ist das der "envelope sender" nicht mit der "from" Adresse übereinstimmt.

---

Da ich aber der Tiefe kein E-Mail Experte bin: Vielleicht können @reiz und @jankammerath hier ebenfalls unterstützen?

[#3]

Der Grund bei ZEIT.IO war das der "envelope sender" nicht mit der "from" Adresse übereinstimmt. Das "from" Feld kann vom Absender frei gesetzt werden auf z.B. notify@zeit.io. Der "envelope sender" wird aber vom SMTP Server von AWS gesetzt. AWS SES setzt den "envelope sender" jedes mal auf ein zufällig generiert Adresse der Domain. Wenn der "envelope sender" mit der "from" Adresse übereinstimmt dann sollte es eigentlich klappen. 

[#4]

Genau, das Thema mit dem Envelope-Sender / From ist uns auch bekannt.

Daher haben wir per SPF/DKIM ja eine Domainauthentifizierung bei unserer Applikation durchgeführt, damit sie in UNSEREM Namen (= Email Absender) über unseren Email-Server kommuniziert.

D.h. die Envelope Einträge sollten identisch sein (z.B. info@my-fire.de). Die Adresse ist auch bei Datev authentifiziert. Trotzdem klappt's nich.

[#5]

Amazon SES macht es genau so. Ich habe bei AWS SES auch SPF/DKIM korrekt eingerichtet. Für alle anderen E-Mail Services scheint das gut genug zu sein. Aber DATEV stellt sich hier quer. Meiner Ansicht nach ist das ein Bug von DATEV. Wenn ich einem Dienstleister ausdrücklich erlaube E-Mails in meinem Namen zu verschicken dann sollte das auch gut genug für DATEV sein. Aber DATEV vergleicht stur "from" und "envelope sender" und wenn die nicht übereinstimmen dann wird die E-Mail abgelehnt. 

[#6]

Hallo,

um Ihren Fall zu klären, bräuchten wir noch einige weitere Daten von Ihnen und müssten uns das einmal gemeinsam mit Ihnen ansehen. Bitte wenden Sie sich hierzu direkt an unseren Support.

[#7]

---

@Franziska_Pfadenhauer schrieb:

Bitte wenden Sie sich hierzu direkt an unseren Support.

---

@msollbach: Wenn Sie den DATEV Support in Anspruch nehmen, sind Sie so freundlich und posten die Lösung / Ursache des Problems 🤗, sodass wir alle ein bisschen schlauer werden und solche Stolpersteine demnächst vermeiden können. 

Vielen Dank!

[#8]

Guten Tag - gibt es hier inzwischen eine Lösung?

[#9]

Guten Tag @sebn 

es gibt hier leider keine pauschale Lösung: wir müssen uns in solchen Fällen die Original E-Mail anschauen und analysieren. Gerne können Sie sich bei uns per Servicekontakt online oder telefonisch (0911 319 33621) melden. 

Danke und 

[#10]

Guten Tag Frau @Silvija_Döbereiner , 

die Lösung wäre, das sich DATEV an internationale Standards hält und SPF berücksichtigt! SPF (Sender Policy Framework) ist jetzt seit bereits 10 Jahren ein Standard im Internet. Das Verfahren ist beschrieben in RFC 7208 vom IETF (Internet Engineering Task Force). 

Google, Microsoft, Amazon und alle anderen Cloud-Anbieter berücksichtigen und unterstützen SPF. Wieso nicht DATEV? 

Beste Grüße, 

Robert Reiz 

[#11]

Guten Tag Frau @Silvija_Döbereiner ,

ich habe eine Analyse des Problems vor bereits 14 Tagen über meinen StB eingereicht, aber bis heute keine Antwort erhalten.

Das Dokument im PDF-Format enthält eine ausführliche Fehleranalyse. Folgende Auszüge daraus:

Beschreibung 

3f8h.net / electronic publishing nutzt zum Versenden von “administrativen Emails” Amazon SES (als “SMTP-Server”) in der Region Frankfurt. Unter “administrativen Emails” verstehen sich zum Beispiel gescannte Rechnungen, welche von einem Multifunktionsgerät direkt zu DUO gesendet werden. Dies vereinfacht die Erfassung von Dokumenten erheblich. 

“Amazon Simple Email Service (SES) ist eine E-Mail-Plattform, die Ihnen eine einfache und kostengünstige Möglichkeit bietet, E-Mails mit Ihren eigenen E-Mail-Adressen und Domains zu versenden und zu empfangen.” 

AWS SES ist nach den höchsten Sicherheitsstandards konfiguriert, dazu wird unter anderem TLS, DKIM und SPF verwendet. 

“DKIM (DomainKeys Identified Mail) ist eine Methode der E-Mail-Authentifizierung. DKIM fügt Ihren Mails eine Signatur hinzu, die Ihrer Domain zugeordnet ist und bei allen ausgehenden E-Mails genutzt wird.” 

“SPF ist eine Standardmethode zur E-Mail-Authentifizierung. Hiermit wird Ihre Domain vor Spoofing geschützt und verhindert, dass ausgehende Nachrichten von den empfangenden Servern als Spam markiert werden.” 

Leider werden Emails von Datev zurückgewiesen, sobald sie über Amazon SES gesendet werden: "550 5.7.1 Security policy violation: sender address not authorized.” 

In der Dokumentation https://apps.datev.de/help-center/documents/1007550 wird erwähnt: 

In https://apps.datev.de/help-center/documents/1022975 wird der MAIL FROM erwähnt:  
 

“Ursache 1: Bei bestimmten E-Mail-Weiterleitungen kann DATEV Upload Mail den Envelope Sender (RFC 5321 MAIL FROM) nicht nachvollziehen, da dieser nicht mit einer berechtigten Absender-E-Mail-Adresse in der Konfiguration von DATEV Upload Mail übereinstimmt. Die E-Mail wird deshalb abgelehnt.” 

Wie in “Nachrichtendetails Amazon SES -> Datev” zu sehen ist, ist der “MAIL FROM” korrekt gesetzt.  

Ich vermute, dass andere Attribute aus der Email genutzt werden um zu prüfen, ob eine Email empfangen werden darf. 

Bitte stellen Sie sicher, dass der Empfang wie dokumentiert funktioniert. 

Danke sehr. 

[#12]

Guten Tag, 

Folgendes haben mir die Kolleg:innen aus der Fachabteilung mitgegeben:

Sender Policy Framework:

Die im SPF aufgeführten Standards beziehen sich alle auf den Versand von E-Mails - diese werden von DATEV auch alle berücksichtigt.

Allerdings haben wir auch diverse Empfangs-Policies, die erfüllt sein müssen. Wenn gegen diese verstoßen wird, kann es dazu führen, dass wir die Mails nicht entgegennehmen.

@sebn Ihre konkrete Anfrage: 

Ich habe Ihre Angaben an die Kolleg:innen weitergegeben. Leider reichen diese nicht aus, um hier per „Ferndiagnose“ weiterzuhelfen. Bitte melden Sie sich daher direkt bei uns per Servicekontakt online. Gerne können Sie in dem Kontakt auf mich bzw. diesen Community-Post verweisen.

Vielen Dank und ein schönes Wochenende

[#13]

Guten Tag Frau @Silvija_Döbereiner ,

ich wüsste nicht, was ich noch an weiteren Daten generieren sollte.

Screenshot der Konfiguration, Fehlermeldung aus Datev, Quelltext der Email…

Gerne habe ich soeben einen Fall eröffnet: "Servicekontakt 59649497"