So sieht die Meldung aus
535 5.7.8 Error: authentication failed: authentication failureHäufige Ursachen
- Falsches Passwort oder Passwort wurde geändert, der Client nutzt noch das alte.
- Benutzername im falschen Format: vollständige Adresse statt lokalem Teil oder umgekehrt (
auth_username_format). - Gmail/Google Workspace mit 2FA: normales Passwort statt App-Passwort.
- Microsoft 365: SMTP AUTH für das Postfach deaktiviert (dort meist als 535 5.7.139).
- Dovecot-Auth-Socket für Postfix fehlt oder hat falsche Rechte.
Prüfen
- SASL-Fehler von Postfix und Dovecot im Log anzeigen
journalctl -u postfix -u dovecot --since '30 min ago' | grep -iE 'sasl|auth' - Anmeldung direkt gegen Dovecot testen (fragt das Passwort ab)
doveadm auth test -x service=smtp info@example.com - SASL-Anbindung von Postfix prüfen
postconf smtpd_sasl_type smtpd_sasl_path smtpd_sasl_auth_enable - Auth-Mechanismen und Socket in Dovecot anzeigen
doveconf -n | grep -E 'auth_mechanisms|auth_username_format|unix_listener'
Lösung
- Passwort im Client neu eintragen und mit
doveadm auth testgegenprüfen. - Benutzernamen exakt so verwenden, wie die passdb ihn erwartet – meist die volle Adresse.
- Bei Google ein App-Passwort erzeugen, bei Microsoft 365 SMTP AUTH pro Postfach aktivieren oder auf OAuth umstellen.
- Für Postfix
auth_mechanisms = plain loginsetzen und den Socket/var/spool/postfix/private/authmituser = postfixanlegen. - Viele 535 von einer IP sind Brute-Force: fail2ban für Postfix-SASL aktivieren.
Häufige Fragen
Was ist der Unterschied zwischen 535 5.7.8 und 535 5.7.3?
Beide melden eine fehlgeschlagene Anmeldung. 5.7.8 steht für ungültige Zugangsdaten, 5.7.3 wird von Exchange für nicht erlaubte Authentifizierung genutzt. Die Prüfschritte sind dieselben.
Warum klappt IMAP, aber SMTP nicht?
IMAP prüft Dovecot direkt, SMTP geht über Postfix und den SASL-Socket. Fehlt der Socket oder passt der Mechanismus nicht, scheitert nur der Versand.