Exchange-Ratgeber › Authentifizierung und SMTP-Fehler

Gmail und Google Workspace per IMAP mit OAuth2 nach Exchange abholen

Google verlangt für den Zugriff von Drittanbieter-Apps auf Gmail- und Google-Workspace-Postfächer OAuth 2.0; ein Connector meldet sich einmal über eine Google-Zustimmungsseite an und holt danach von imap.gmail.com auf Port 993 mit einem Token ab, das er selbst erneuert, statt mit einem gespeicherten Kennwort. Dieser Ratgeber erklärt, was Google wann abgeschaltet hat, was das für einen POP3/IMAP-Connector bedeutet, der einen lokalen Exchange Server versorgt, und die acht Schritte, mit denen ein Gmail- oder Google-Workspace-Postfach per OAuth2 angebunden wird.

Aktualisiert am 2026-09-24

Was Google abgeschaltet hat

Google nennt eine Anwendung, die sich nur mit Nutzername und Passwort an einem Google-Konto anmeldet, eine „weniger sichere App“. Für Google-Workspace-Konten steht es auf der Administrator-Hilfeseite Zugriff weniger sicherer Apps steuern in einem Satz: Ab dem 1. Mai 2025 werden in Workspace-Konten keine weniger sicheren Apps, Drittanbieter-Apps und Geräte mehr unterstützt, die sich nur mit Nutzername und Passwort anmelden; es muss OAuth verwendet werden. Die Begleitseite Umstellung von weniger sicheren Apps auf OAuth nennt den ersten Stichtag — seit dem 14. März 2025 müssen Nutzer für Drittanbieter-Apps OAuth verwenden, um auf Gmail zuzugreifen — und die einzige Ausnahme: App-Passwörter. Googles Rat für alles andere ist kurz: den App-Entwickler bitten, die App auf OAuth 2.0 umzustellen.

Für ein privates Google-Konto sind die Regeln weicher, zeigen aber in dieselbe Richtung. Googles Seite Weniger sichere Apps & Ihr Google-Konto fordert Nutzer auf, zu einer Zugriffsart zu wechseln, die keine Passwortdaten weitergibt, und sagt, dass Google Anmeldungen aus einer App blockieren kann, die seine Sicherheitsstandards nicht erfüllt. Die Seite zu App-Passwörtern beschreibt sie als 16-stellige Codes, die es nur mit aktivierter Bestätigung in zwei Schritten gibt, und fügt hinzu, dass sie nicht empfohlen und in den meisten Fällen nicht erforderlich sind. Seit Januar 2025 ist IMAP bei privaten Gmail-Konten immer aktiviert; die alte Option „IMAP aktivieren“ gibt es nicht mehr (Gmail-Hilfe zu IMAP).

Anmeldeverfahren	Google-Workspace-Konto	Privates @gmail.com-Konto	Wo Google es dokumentiert
Nutzername und Passwort in der App („weniger sichere App“)	Seit dem 1. Mai 2025 nicht mehr unterstützt (Erstverbindungen seit März 2025 abgewiesen)	Abgeraten; Google kann die Anmeldung blockieren	Zugriff weniger sicherer Apps steuern; Weniger sichere Apps & Ihr Google-Konto
App-Passwort (16 Stellen, Bestätigung in zwei Schritten nötig)	Für Geräte, die nur SMTP/IMAP/POP3 sprechen, weiterhin möglich, nach Entscheidung des Administrators	Möglich, „nicht empfohlen und in den meisten Fällen nicht erforderlich“	Umstellungsseite; Mit App-Passwörtern anmelden
OAuth 2.0 („Über Google anmelden“)	Pflicht	Empfohlen	Umstellungsseite; Gmail-Hilfe zu IMAP
IMAP-Zugriff selbst	Verfügbar	Seit Januar 2025 immer aktiviert	Gmail-Hilfe zu IMAP

Was das für einen Connector bedeutet

Ein POP3/IMAP-Connector ist genau die Art „Drittanbieter-App“, die Google meint: ein Windows-Dienst, der sich nach Zeitplan am Postfach anmeldet, Neues herunterlädt und es per SMTP an Exchange übergibt. Tut er das mit einem gespeicherten Kennwort, weist ein Workspace-Postfach ihn seit Mai 2025 ab, und ein privates Postfach kann es jederzeit tun. Mit OAuth 2.0 läuft es anders, und der Unterschied macht aus der Einrichtung ein einmaliges Ereignis statt eines wiederkehrenden Support-Tickets:

• Die Anmeldung geschieht einmal, im Browser auf dem Rechner des Connectors. Google zeigt seine Zustimmungsseite, nennt die Anwendung, listet auf, was sie mit dem Postfach tun darf — E-Mails lesen, verfassen und löschen — und bittet den Kontoinhaber um Zustimmung.
• Der Connector bewahrt ein Token auf, kein Kennwort. Nach der Zustimmung speichert der Connector ein OAuth-Token und erneuert es automatisch. Eine Änderung des Google-Passworts berührt es nicht, und in der Konfiguration des Connectors steht nichts Kennwortähnliches.
• Bei der Anmeldung an imap.gmail.com wird das Token statt eines Kennworts vorgelegt. Alles andere an IMAP bleibt gleich: Ordner, Download, das für das Konto eingestellte Löschen nach dem Abholen oder Belassen auf dem Server, der Zeitplan.
• Die Exchange-Seite ändert sich gar nicht. Die Zustellung an Exchange läuft per SMTP über den Empfangsconnector, wie bei jedem anderen Konto; siehe POP3- und IMAP-Postfächer in Exchange Server 2016, 2019 und SE abholen.

Dasselbe Muster gilt für Microsoft 365 mit einer Microsoft-Anmeldung; wie Token und Zustimmung dort funktionieren, steht in Ohne Basic Authentication: Microsoft-365-Postfächer per IMAP oder POP3 mit OAuth2 nach Exchange holen.

Schritt für Schritt: ein Gmail- oder Google-Workspace-Postfach in POPcon

Die Schritte unten sind die aus dem Knowledge-Base-Artikel Unterstützt POPcon auch OAuth2 / moderne Authentifizierung für Gmail?, der zu jedem Bildschirm einen Screenshot zeigt. POPcon unterstützt OAuth 2.0 für Google- und Microsoft-Konten seit Version 4.8.1 (September 2024).

1. Postfach als IMAP auf imap.gmail.com, Port 993 anlegen. Legen Sie im Connector ein neues Postfachkonto an, wählen Sie IMAP als Servertyp, tragen Sie imap.gmail.com als Server und 993 als Port ein. Der Port für Gmail-IMAP mit OAuth2 ist 993, nicht der IMAP-Standardport 143.
2. Als Authentifizierung „OAuth2 Google“ wählen und auf „Connect OAuth2“ klicken. Das Kennwortfeld bleibt leer. Der Connector öffnet ein Browserfenster auf diesem Rechner.
3. Mit dem Google-Konto anmelden. Melden Sie sich mit dem Google-Konto an, dem das abzuholende Postfach gehört: eine private @gmail.com-Adresse oder ein Google-Workspace-Benutzer.
4. Dem Connector die Berechtigung für das Postfach erteilen. Google zeigt, was die Anwendung mit dem Postfach tun darf: E-Mails lesen, verfassen und löschen. Die Anwendung heißt dort „POPcon email forwarding“. Aktivieren Sie das Kontrollkästchen und klicken Sie auf Continue.
5. Bei der Warnung „App nicht verifiziert“ auf Advanced klicken und fortfahren. Die Knowledge-Base-Anleitung weist darauf hin, dass Google diese Warnung anzeigen kann, solange die Verifizierung der Anwendung läuft. Klicken Sie auf Advanced und dann auf „Go to POPcon email forwarding (unsafe)“.
6. Die Anmeldung abschließen. Google zeigt die angeforderten Berechtigungen noch einmal; bestätigen Sie. Eine Bestätigungsseite erscheint, das Browserfenster kann geschlossen werden.
7. Status „Authenticated“ prüfen. Zurück im Connector wechselt der Kontostatus auf Authenticated. Das OAuth-Token wird ab jetzt gespeichert und automatisch erneuert.
8. „Test access“ ausführen. Der Test meldet sich mit dem Token bei Gmail an. Besteht er, ist das Konto fertig eingerichtet und der Zeitplan übernimmt.

Zu keinem Zeitpunkt wird ein Kennwort eingegeben; das OAuth-Token wird sicher gespeichert und automatisch erneuert. Die Anleitung enthält keinen Schritt, in dem Sie etwas in Ihrem Google-Konto oder in der Google-Workspace-Admin-Konsole registrieren: Die Anmeldung stimmt der registrierten Anwendung des Connectors zu, weshalb Googles Zustimmungsseite „POPcon email forwarding“ nennt und nicht den Namen Ihres Unternehmens.

IMAP oder POP3 bei Google?

Google bietet beides. Die POPcon-Anleitung mit OAuth2 verwendet IMAP; der ältere Knowledge-Base-Artikel Wie muss ich POPcon einstellen, um E-Mail von Gmail zu laden? beschreibt die frühere POP3-SSL-Einrichtung mit Kennwort.

	IMAP mit OAuth2 (empfohlen)	POP3 mit Kennwort oder App-Passwort (Altweg)
Server und Port	imap.gmail.com, 993, IMAP-SSL	pop.gmail.com, 995, POP3-SSL (Googles POP-Einstellungen)
Authentifizierung	OAuth2 Google — eine Anmeldung, Token vom Connector erneuert	Gmail-Passwort oder 16-stelliges App-Passwort (Bestätigung in zwei Schritten nötig)
Google Workspace	Funktioniert	Passwort seit dem 1. Mai 2025 abgewiesen; App-Passwort nur, wo der Administrator es zulässt
Was mit der Kopie bei Google geschieht	Je Konto im Connector eingestellt: nach dem Abholen löschen oder auf dem Server belassen	Googles POP-Einstellungen entscheiden: Gmail-Kopie im Posteingang behalten, als gelesen markieren, archivieren oder löschen; der „Recent-Modus“ (recent: vor dem Nutzernamen) zeigt die letzten 30 Tage
Verfügbarkeit des Protokolls	Bei privaten Konten seit Januar 2025 immer aktiviert	In den Gmail-Einstellungen unter Weiterleitung und POP/IMAP aktiviert

Symptome, und was dahintersteckt

Was Sie sehen	Ursache	Was zu tun ist
Die Anmeldung an einem Google-Workspace-Postfach scheitert, obwohl das Kennwort stimmt	Google nimmt von einer Drittanbieter-App keinen Nutzernamen mit Passwort mehr an (seit dem 1. Mai 2025)	Konto auf IMAP, imap.gmail.com, 993 stellen, auf Connect OAuth2 klicken und einmal anmelden.
Google zeigt bei der Anmeldung „Diese App wurde nicht verifiziert“	Googles Verifizierung der Anwendung läuft noch, wie die Anleitung anmerkt	Auf Advanced klicken, dann auf Go to POPcon email forwarding (unsafe), und die Zustimmung abschließen.
Im Google-Konto lässt sich kein App-Passwort erstellen	App-Passwörter gibt es nur für Konten mit aktivierter Bestätigung in zwei Schritten	Diesen Weg nicht gehen: Connect OAuth2 verwenden; ein App-Passwort ist nicht nötig.
Die Anmeldung war erfolgreich, der Status zeigt aber nicht Authenticated	Der Browser-Ablauf wurde nicht zu Ende geführt, oder das falsche Google-Konto wurde gewählt	Erneut auf Connect OAuth2 klicken, das Konto wählen, dem das Postfach gehört, jede Zustimmungsseite abschließen, dann Test access ausführen.
Mail kommt in Exchange an, bleibt aber auch im Gmail-Posteingang	Das Konto ist auf Belassen auf dem Server eingestellt	Während einer Migration gewollt; sonst die Einstellung Löschen / auf dem Server belassen für das Konto im Connector ändern.

Häufige Fragen

Mehr in den Exchange-Ratgebern, auf der POPcon-Produktseite, der Download-Seite oder in der Knowledge Base. In English: Fetching Gmail and Google Workspace mail into Exchange over IMAP with OAuth2.