EXO Signature Gateway

Signaturen, Abwesenheit und S/MIME für Exchange Online

Zentral verwaltet, mit Add-ins für Outlook auf PC und Handy – bei Bedarf mit SMTP-Relay samt Lernmodus als Ersatz für den lokalen Exchange-Server, wenn das Gateway im eigenen Netz steht. Für bis zu 100 Postfächer kostenlos.

Installieren Quellcode und Doku auf GitHub

Das Gateway hängt sich serverseitig in den Mailfluss von Exchange Online.

Was es kann

Signaturen ohne Grenzen

Live-Daten aus Entra ID je Absender, Baukasten mit Live-Vorschau oder freies HTML. Antwort-Signatur, Banner und Disclaimer getrennt zuweisbar, global, je Gruppe oder je Postfach. Dazu Banner-Kampagnen mit Start und Ende.

Mehr erfahren →

Zentrale Abwesenheit

Eine Vorlage, zentral gesteuert, und trotzdem die normale Exchange-Abwesenheit. Live-Übersicht, Steuerung aus dem Kalender und Ankündigung geplanter Abwesenheiten.

Mehr erfahren →

Outlook-Add-ins

Self-Service für Abwesenheit und Signaturwahl sowie Signatur automatisch beim Verfassen – in Outlook im Web, unter Windows, auf iOS und Android.

Mehr erfahren →

S/MIME, automatisch

Signieren und Verschlüsseln je Absender, Zertifikate werden automatisch bestellt und erneuert. Private Schlüssel können im Azure Key Vault (HSM) liegen.

Mehr erfahren →

SMTP-Relay

Drucker, Scanner und Fachanwendungen senden über das Gateway wie über einen lokalen Exchange-Server, mit Geräteliste und Lernmodus. Für Gateways im eigenen Netz.

Mehr erfahren →

Betrieb

Einrichtungsassistent mit automatischer App-Registrierung, Dashboard, Anmeldung über Entra ID mit Rollen, Update und Backup in der Oberfläche. Hell und dunkel, bedienbar ab 320 px.

Mehr erfahren →

Alle Funktionen im Einzelnen: Funktionsdokumentation.

So funktioniert es

So läuft die Post durch das EXO Signature Gateway Absender in Outlook, am Handy oder am Drucker senden an Exchange Online. Eine Transportregel leitet die Post an das Gateway, das Signatur, Banner, Disclaimer und S/MIME ergänzt und sie an Exchange zurückgibt, das sie zustellt. Mitarbeitende und Admins greifen per Browser, Outlook-Add-in oder Teams auf das Gateway zu. Benutzerdaten kommen per Graph aus Entra ID. Absender Outlook am PC Windows, Mac, Web Outlook & Mail am Handy iPhone, Android Drucker, Scanner Fachanwendungen Empfänger Exchange Online Postfächer, Transport EXO Signature Gateway Signatur Banner & Disclaimer S/MIME SMTP-Relay fügt ein, signiert, verschlüsselt, gibt die Mail an Exchange zurück selbst gehostet oder in Azure Web & Add-ins: Self-Service und Admin Browser Add-in Teams Handy Entra ID Benutzerdaten senden ③ Zustellung ① Transportregel ② zurück, signiert SMTP-Relay: Geräte senden direkt an das Gateway HTTPS, Anmeldung über Entra ID liest per Graph So läuft die Post durch das EXO Signature Gateway Absender senden an Exchange Online. Eine Transportregel leitet die Post an das Gateway, das Signatur, Banner, Disclaimer und S/MIME ergänzt und sie an Exchange zurückgibt, das sie an den Empfänger zustellt. Mitarbeitende greifen per Browser, Outlook-Add-in oder Teams auf das Gateway zu. Benutzerdaten kommen per Graph aus Entra ID. Absender Outlook am PC Windows, Mac, Web Outlook & Mail am Handy iPhone, Android Drucker, Scanner Fachanwendungen senden wie gewohnt Exchange Online Postfächer, Transport ① ② Transportregel leitet an EXO Signature Gateway Signatur Banner & Disclaimer S/MIME SMTP-Relay fügt ein, signiert, verschlüsselt, gibt die Mail an Exchange zurück selbst gehostet oder in Azure ② signiert zurück (SMTP oder Graph) liest per Graph Entra ID Benutzerdaten Web & Add-ins: Self-Service, Admin Browser Add-in Teams Handy HTTPS, Anmeldung über Entra ID

Eine Transportregel in Exchange Online leitet die Post der aktivierten Postfächer an das Gateway. Es fügt Signatur, Banner und Disclaimer ein, signiert und verschlüsselt auf Wunsch und gibt die Mail an Exchange zurück: über SMTP oder, in Azure, über Microsoft Graph. Outlook und andere Programme sprechen weiter nur mit Exchange.

Läuft in Azure – ohne ausgehenden Port 25

Azure sperrt den ausgehenden Port 25 bei den meisten Abo-Typen, darunter Sponsorship, Free Trial und Pay-as-you-go, und hebt die Sperre dort auch auf Anfrage nicht auf (Microsoft Learn). Das Gateway braucht ihn nicht: In Azure geht die Post über Microsoft Graph zurück an Exchange Online. Im Modus Graph++ liefert das Gateway gemischte interne und externe Empfänger per SMTP auf Port 587 bei Exchange Online ein.

Per Skript in Azure

Das Skript azure-vm-setup.ps1 legt eine VM mit statischer IP und vorkonfigurierter Firewall an und installiert Docker und das Gateway.

Überschaubare Kosten

Richtwert laut Betriebsdokumentation: rund 33 $ im Monat für VM, Disk und IP, also etwa 400 $ im Jahr. Für sehr geringes Aufkommen genügt eine kleinere VM ab etwa 16 $ im Monat, zuzüglich Disk und IP (zusammen etwa 22 $).

Mit Microsoft-Guthaben

Microsoft vergibt an anerkannte Nonprofit-Organisationen ein Azure-Guthaben von 2.000 US-$ pro Jahr (Azure Grant). Es muss jährlich erneuert werden und verfällt ohne Übertrag. Die Hosting-Kosten liegen deutlich darunter.

Betrag und Bedingungen des Guthabens legt Microsoft fest und kann sie ändern, bitte vor dem Start dort prüfen. Die Lizenz des Gateways ist davon unabhängig: Bis 100 Postfächer fällt keine Lizenzgebühr an, darüber gilt die Preisliste.

Lizenz

Community Edition

Kostenlos für eigene und interne Zwecke, auch im Unternehmen, für bis zu 100 Postfächer.

Ab dem 101. Postfach

1,00 € je Postfach und Monat zzgl. MwSt. Keine Mindestabnahme, jede Lizenz wird einzeln gezählt.

Nonprofit Edition

Gemeinnützige Organisationen nutzen das Gateway kostenlos und ohne Postfach-Obergrenze, mit allen Funktionen.

Gemeinnützige Organisationen nutzen das Gateway kostenlos und ohne Postfach-Obergrenze (Nonprofit Edition). Voraussetzung ist die Anerkennung bei Microsoft for Nonprofits, ein Freistellungsbescheid oder eine gleichwertige Anerkennung im eigenen Land, unabhängig von Größe und Rechtsform. Ab dem 101. Postfach gibt es dafür eine kostenlose Nonprofit-Lizenz mit zwölf Monaten Laufzeit, die mit neuem Nachweis verlängert wird. Anfrage: alexander@zarenko.net. S/MIME-Zertifikate bleiben kostenpflichtig. Einzelheiten im Lizenztext.

Betrieb (alle Editionen): In der eigenen Umgebung der Organisation (eigene Server oder ein Cloud-Abonnement auf ihren Namen) betreibt sie das Gateway selbst oder lässt es von einem Dienstleister ihrer Wahl betreiben. Als Managed Service in einer fremden Umgebung betreiben es nur der Lizenzgeber oder ein von ihm schriftlich autorisierter Partner.

Die Community Edition steht unter der PolyForm Internal Use License 1.0.0 mit Postfach-Grenze, Lizenztext. Unabhängig von der Größe nicht erlaubt: Weiterverteilung. Kommerzielle Lizenz: alexander@zarenko.net. Rechtstexte (Nutzungsbedingungen, Preisliste, Datenschutz, AVV): sighub.zarenko.net/legal.

Installation

Schnellstart auf einem Linux-Host mit Docker (x86-64 oder ARM64, auch Raspberry Pi):

git clone https://github.com/azitc-ac/EXO-Signature-Gateway.git
cd EXO-Signature-Gateway
mkdir -p data certs && sudo chown -R 1000:1000 data certs templates
docker compose up -d --build

Danach im Browser das TLS-Zertifikat einrichten und mit dem Einrichtungsassistenten die App-Registrierung in Entra ID sowie Connector, Transportregel und Verteilerliste in Exchange Online anlegen.

Per Klick in Azure: Deploy to Azure Der Assistent legt im Abo eine Debian-12-VM (Vorgabe Standard_B2pls_v2, ARM64) mit statischer IP und Firewall an und installiert das Gateway. In der Größenauswahl sind nicht verfügbare Größen als „nicht verfügbar“ gekennzeichnet.

Vollständig in Azure geht es auch per Skript (azure-vm-setup.ps1). Voraussetzungen, Berechtigungen und Betrieb vor Ort stehen in der Installationsanleitung.