Problem: Die Authentifizierung im MailStore Outlook Add-In oder im Web Access schlägt fehl.

Hintergrund: Bei der Authentifizierung an MailStore spielen diverse Komponenten eine Rolle, z.B. die Anbindung an den Verzeichnisdienst, die Domänenmitgliedschaft, Client-Einstellungen und weitere. Da ein Fehler in einer dieser Komponenten zu einem Fehler bei der Authentifizierung führen kann, ist häufig nicht auf den ersten Blick ersichtlich, wo genau der Fehler liegt. Die häufigsten Ursachen sind hier aufgelistet.

Allgemeine Gründe:

Ursache 1:

Damit die Anmeldung erfolgreich durchgeführt werden kann, muss der Client Cookies vom MailStore Server akzeptieren. Dies kann durch Sicherheitsrichtlinien eingeschränkt sein.

Sie können die Einstellungen unter "Systemsteuerung" > "Internetoptionen" > "Datenschutz" überprüfen.

Dieser Fehler ist häufig daran zu erkennen, dass ein weiterer Anmeldebildschirm oder die Weiterleitung zum neuen Web Access innerhalb von Outlook eingeblendet wird.


Ursache 2:

Die Anmeldung schlägt fehl, wenn der Hostname des MailStore Servers einen Unterstrich enthält.

Der Internet Explorer und die Internet Explorer Komponente in Outlook prüfen, ob der Hostname ein gültiger DNS Name ist. Da Unterstriche in DNS-Hostnamen nicht erlaubt sind, verweigert der Internet Explorer die Annahme der Cookies und die Anmeldung schlägt fehl.

Ursache 3:

Gelingt die Anmeldung bei der Verwendung der IP-Adresse des MailStore Servers, jedoch nicht bei der Verwendung des Hostnamens, kann ein Problem im DNS vorliegen.


Ursache 4:

Wenn Sie in Ihrem Unternehmen einen HTTP-Proxy einsetzen, sollten Sie sicherstellen, dass die Benutzer unter Umgehung des Proxy-Servers auf den MailStore Web Access zugreifen können, da es sonst zu Problemen bei der Windows-Authentifizierung bzw. dem Single Sign-On kommen kann.

Um solch eine Umgehung im Internet Explorer einzurichten, gehen Sie wie folgt vor:

• Öffnen Sie im Menü Extras den Menüpunkt Internet Optionen. Ist das Menü nicht sichtbar, halten sie die Alt-Taste gedrückt.
• Öffnen Sie die Registerkarte Verbindungen.
• Klicken Sie auf die Schaltfläche LAN Einstellungen.
• Klicken Sie auf die Schaltfläche Erweitert im Abschnitt Proxy Server.
• Fügen Sie die IP-Adresse oder den Hostnamen (abhängig von der Konfiguration des Web Access) zur Liste der Ausnahmen hinzu.
• Schließen Sie alle zuvor geöffneten Fenster mit der Schaltfläche OK.

Diese Einstellungen können von einem Administrator per Gruppenrichtlinie zentral gesteuert werden und sind unter Umständen vom Endanwender nicht veränderbar.

Outlook Add-In:

Ursache 5:

Die Anmeldung am Outlook Add-In mit Standard-Authentifizierung schlägt fehl, wenn das Kennwort eines der folgenden Zeichen enthält: € Š š Ž ž Œ œ Ÿ

Die Ursache ist eine unterschiedliche Kodierung dieser Zeichen in den Zeichensätzen, die beim Senden (Windows-1252) und Empfangen (ISO 8859-15) verwendet werden.

Um das Problem zu umgehen, verwenden Sie entweder Windows-Authentifizierung oder ändern Sie das Kennwort in MailStore oder dem Verzeichnisdienst, mit dem MailStore synchronisiert wird.

Ursache 6:

Die Anmeldung schägt mit folgender Fehlermeldung fehl:
Could not find member 'OpenIDError' on object of type '#v8n'. Path 'OpenIDError', line 5, position 16.

Zur Lösung der Problematik installieren Sie bitte das aktuelle MailStore Outlook Add-in und aktualisieren Sie auf die aktuelle MailStore Version.

Windows-Authentifizierung:

Ursache 7:

Die Windows-Authentifizierung funktioniert grundsätzlich nur dann, wenn Sie den Verzeichnisdienste-Typ Active Directory verwenden. Andere Typen, wie z.B LDAP Generic oder Office 365, unterstützen die Windows-Authentifizierung nicht.

Auch wenn Sie Ihren E-Mail-Server mit einem Active Directory synchronisieren und MailStore wiederum mit dem E-Mail-Server synchronisieren, wird die Windows-Authentifizierung nicht funktionieren.


Ursache 8:

Die in MailStore synchronisierten Benutzer sind nicht mehr aktuell.

Prüfen Sie in den MailStore Verzeichnisdienst-Einstellungen, ob bei einem Klick auf Sync testen alle betroffenen Benutzer als Nicht geänderte Benutzer angezeigt werden.

Wenn dies nicht der Fall ist und Benutzer unter Geänderte Benutzer oder Hinzugefügte Benutzer angezeigt werden, führen Sie die Synchronisation aus um diese Benutzer in MailStore zu aktualisieren.
Wird ein betroffener Benutzer bei Gelöschte Benutzer oder gar nicht angezeigt, müssen Sie Ihre Synchronisierungsoptionen so anpassen, dass der Benutzer wieder vom Synchronisierungsprozess erfasst wird.

Damit die Anmeldung dauerhaft gelingt, müssen die Benutzer vom Synchronisierungsprozess erfasst werden können. Wenn sich Ihre Benutzer oder deren Eigenschaften häufiger ändern, weil z.B. ein Benutzer in eine andere Organisationseinheit verschoben wird, sollten Sie die Synchronisierung regelmäßig und automatisiert durchführen. Dies kann z.B. von einem Job oder bei einigen Archivierungsprofilen vor der Ausführung durchgeführt werden.


Ursache 9:

Wenn mehrere MailStore Benutzer dieselbe LDAP DN-Zeichenfolge (Distinguished Name) in den Eigenschaften hinterlegt haben, kann es vorkommen, dass die Windows Authentifizierung nicht funktioniert.

Wenn ein Benutzer im Active Directory umbenannt worden ist, z.B. wegen Heirat, und in MailStore das automatische Löschen von Benutzern in den Synchronisierungseinstellungen nicht aktiviert ist, wird der Benutzer unter neuem Namen erneut angelegt. Die LDAP DN-Zeichenfolge ist jedoch mit dem des alten Benutzers identisch. In diesem Fall gelingt die Zuordnung zwischen MailStore Benutzer und Active Directory Benutzer unter Umständen nicht mehr und der Benutzer kann nicht authentifiziert werden.


Ursache 10:

Damit die Windows-Authentifizierung im Outlook Add-In und im Internet Explorer gelingt, muss in den Internetoptionen die entsprechende Funktionalität aktiviert sein.

Um die Windows-Authentifizierung zu aktivieren, gehen Sie wie folgt vor:

• Beenden Sie Outlook.
• Öffnen Sie den Internet Explorer und klicken Sie im Menü Extras auf Internetoptionen. Ist das Menü nicht sichtbar, halten sie die Alt-Taste gedrückt.
• Wählen Sie die Registerkarte Erweitert.
• Aktivieren Sie im Abschnitt Sicherheit den Punkt Integrierte Windows-Authentifizierung aktivieren.
• Starten Sie den Internet Explorer neu.
• Starten Sie nun Outlook, wählen Sie die Registerkarte MailStore und klicken Sie auf die Schaltfläche Gespeicherte Zugangsdaten entfernen.
• Schließen Sie das Fenster und versuchen Sie anschließend erneut, das MailStore Outlook Add-In mittels Windows Authentifizierung mit dem MailStore Server zu verbinden.

Diese Einstellungen können von einem Administrator per Gruppenrichtlinie zentral gesteuert werden und sind unter Umständen vom Endanwender nicht veränderbar.


Ursache 11:

Damit die Windows Authentifizierung im Outlook Add-In und im Internet Explorer gelingt, muss der Server, auf dem MailStore installiert ist, vom Internet Explorer der Lokalen Intranetzone zugeordnet werden.

Um diese Zuordnung herzustellen, gehen Sie wie folgt vor:

• Beenden Sie Outlook.
• Öffnen Sie den Internet Explorer und klicken Sie im Menü Extras auf Internetoptionen. Ist das Menü nicht sichtbar, halten sie die Alt-Taste gedrückt.
• Wählen Sie die Registerkarte Sicherheit.
• Markieren Sie die Zone Lokales Intranet.
• Wählen Sie Sites -> Erweitert und fügen Sie die Adresse des MailStore Servers der Zone hinzu.
• Starten Sie den Internet Explorer neu.
• Rufen Sie die Archivseite auf.
• Klicken Sie auf Datei -> Eigenschaften und prüfen Sie ob bei Zone Lokales Intranet eingetragen ist.
• Starten Sie Outlook.
• Wählen Sie die Registerkarte MailStore, anschließend öffnen Sie die MailStore Outlook Add-In Einstellungen und klicken auf die Schaltfläche Gespeicherte Zugangsdaten entfernen.
• Schließen Sie das Fenster und versuchen Sie anschließend erneut, das MailStore Outlook Add-In mittels Windows Authentifizierung mit dem MailStore Server zu verbinden.

Diese Einstellungen können von einem Administrator per Gruppenrichtlinie zentral gesteuert werden und sind unter Umständen vom Endanwender nicht veränderbar.


Ursache 12:

Wird Windows-Authentifizierung verwendet, werden die Zugangsdaten im Windows-Anmeldeinformationsspeicher abgelegt. Unter Umständen sind die dort gespeicherten Informationen ungültig oder fehlerhaft und die Anmeldung mit den diesen Anmeldeinformationen schlägt fehl. In der Windows Ereignisanzeige befinden sich unter Umständen Kerberos Ereignisse mit der ID 14.

• Öffnen Sie den Ausführen Dialog durch drücken der Windowstaste + R.
• Geben Sie "rundll32 keymgr.dll,KRShowKeyMgr" ohne Anführungsstriche ein und bestätigen Sie mit der Enter-Taste.
• Entfernen Sie alle Einträge, die von MailStore verwendet werden könnten.
• Verwenden Sie nicht die Systemsteuerung > Anmeldeinformationsverwaltung um die Einträge zu löschen, da dieser Dialog fehlerhafte Einträge unter Umständen nicht anzeigt.
• Falls der Benutzer keine Berechtigung hat, um den oben genannten Befehl auszuführen, öffnen Sie eine Kommandozeile als Administrator und starten Sie den Befehl runas /user:<Domäne>\<Benutzername> "rundll32 keymgr.dll,KRShowKeyMgr", wobei Sie die Platzhalter <Domäne> und <Benutzername> durch die Werte des betreffenden Benutzers ersetzen.
  

Beispiel
Domäne: testdom2
Benutzername: testuser01
Befehl:
runas /user:testdom2\testuser01 "rundll32 keymgr.dll,KRShowKeyMgr"

Ursache 13:

Bei der Windows-Authentifizierung wird unter Umständen der Kerberos-Mechanismus verwendet. Damit dieser Mechanismus funktioniert, müssen alle beteiligten Systeme korrekt konfiguriert sein. Diese Systeme sind der Client, der MailStore Server und der Domain Controller, auf dem das Key Distribution Center (KDC) läuft.

So darf z.B. die Systemzeit auf diesen Systemen um nicht mehr als 5 Minuten differieren und die Zeitzonen müssen korrekt eingestellt sein.

Allgemeine Kerberos Fehler werden im Windows System-Eventlog protokolliert.

Konkrete misslungene Anmeldeversuche werden im Windows Sicherheits-Eventlog protokolliert.

Ursache 14:

Erscheint bei der Anmeldung mit Windows-Authentifizierung der Fehler "Authentifizierungsfehler auf der Remoteseite (der Stream ist möglicherweise trotzdem für weitere Authentifizierungsversuche verfügbar).", hilft es unter Umständen, den Computer auf dem MailStore Server installiert ist, aus der Domäne herauszunehmen und anschließend der Domäne wieder hinzuzufügen.

Ursache 15:

Die Windows-Anmeldung gelingt nur dann, wenn der MailStore Server Service unter dem Lokalen Systemkonto läuft. Dies lässt sich in Windows in Dienste bzw. wenn Sie services.msc ausführen prüfen und gegebenenfalls korrigieren.

Sonstiges:

Sollte die Windows-Authentifizierung weiterhin nicht gelingen, können Sie folgenden Schritten unternehmen, um den Fehler einzugrenzen:

• Testen Sie die Anmeldung mit Standard-Authentifizierung. Geben Sie dabei den Benutzernamen ohne Domäne an und verwenden Sie das Domänenkennwort des Benutzers.
• Sollte die Anmeldung mit Standard-Authentifizierung gelingen, so liegt das Problem eher bei der Verbindung vom Client zum MailStore Server.
• Sollte die Anmeldung mit Standard-Authentifizierung nicht gelingen, so liegt das Problem eher zwischen der Verbindung vom MailStore Server zum Active Directory.

Artikel-ID: KB20160127-0-DE (English Version)