Aktuelles

Du kommst hier nisch rein! Outlook.com weist E-Mails ab

Outlook.com weist E-Mails abEcht, signiert, abgelehnt: Microsoft nennt es Störung

Seit dem 5. November prallen E-Mails kleinerer Absender an Outlook.com, Hotmail, Live und MSN ab, sobald der Absenderdomain ein DMARC-Eintrag fehlt. SPF passt, DKIM passt, zugestellt wird trotzdem nicht. Microsoft hat nichts angekündigt und spricht inzwischen von einer Störung. Beruhigend ist das nicht, denn die Richtung stimmt, auch ganz ohne Panne.

Stellen Sie sich einen Handwerksbetrieb vor. Zwölf Mitarbeiter, eine Domain, ein Postfach beim Hoster. Am Donnerstag geht ein Angebot an eine Kundin mit Hotmail-Adresse raus. Zwei Minuten später liegt eine Antwort im Posteingang, allerdings nicht von der Kundin, sondern von einem Microsoft-Server:

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Der Chef liest "SPF/DKIM/DMARC", versteht "Bahnhof" und ruft seinen IT-Dienstleister an. Der schaut nach und findet: SPF vorhanden, DKIM vorhanden, beides gültig. Nur ein DMARC-Eintrag fehlt. Den hat bisher auch niemand verlangt. Dachte man zumindest.

Eine Regel, die es offiziell gar nicht gibt

Die Fakten, soweit sie belegt sind: Der E-Mail-Sicherheitsanbieter MailRoute sah die Ablehnungen am 5. November erstmals in seinen Ausgangslogs, am selben Tag meldeten sich weitere Administratoren. Der britische Hoster Mythic Beasts zählte nach eigenen Angaben über 500 solcher Rückläufer an einem einzigen Tag, vorher keinen einzigen. Betroffen sind Empfänger bei outlook.com, hotmail.com, live.com und msn.com samt Länderablegern. Firmenpostfächer bei Microsoft 365 nehmen dieselben Mails hingegen weiterhin an.

Der Zustellbarkeits-Experte Al Iverson machte am 7. November die Probe aufs Exempel. Er löschte die DMARC-Einträge einiger eigener Domains mit wenig Mailverkehr, schickte Testnachrichten an Outlook.com und kassierte prompt die Ablehnung. Auch die Tester von EasyDMARC konnten das Verhalten nachstellen. In den Berichten taucht sogar ein Privatmann auf, der rund 20 Mails pro Woche verschickt. Von Massenversand kann daher also keine Rede sein.

Genau das ist der Punkt. Die von Microsoft veröffentlichten Regeln gelten seit dem 5. Mai 2025 und richten sich an Domains, die täglich mehr als 5000 Nachrichten an Outlook.com-Konten schicken. Wer dagegen verstößt, bekommt den dokumentierten Fehlercode 550 5.7.515, der immerhin verrät, welche Prüfung gescheitert ist. Die neue Meldung steht in keiner Microsoft-Dokumentation und sagt nur pauschal, es fehle an Authentifizierung. Eine DMARC-Pflicht für Kleinversender hat Microsoft nirgendwo angekündigt.

Störung, sagt der Forenmoderator

Eine offizielle Mitteilung des Konzerns gab es bis zum 9. November nicht, keinen Postmaster-Hinweis, keinen Blogpost, keinen Eintrag im Service-Status. Stattdessen meldete sich ein Moderator im Microsoft-Supportforum: Das Problem sei als Störung ("Service Degradation") eingestuft, die zuständigen Teams suchten nach der Ursache.

Man muss das kurz sacken lassen. Einer der größten Mailanbieter der Welt weist tagelang legitime Geschäftspost ab, und die einzige Auskunft kommt aus einem Supportforum. Ob hier ein Filter zu früh scharfgeschaltet wurde oder schlicht ein Regelwerk verrutscht ist, weiß außerhalb von Redmond wohl niemand. Zur Folklore passt es: Schon 2024 stand Outlooks Absenderprüfung in der Kritik, damals allerdings, weil sie offenbar zu wenig prüfte.

Besonders hübsch ist die Zufallskomponente. Outlook.com lehnt nur einen Teil der Mails einer betroffenen Domain ab, ein zweiter Versuch geht manchmal durch. "Bei mir kommt alles an" heißt deshalb gar nichts. Und weil es sich um einen endgültigen 550-Fehler handelt, versucht Ihr Mailserver es auch nicht erneut. Die Mail ist w wie weg, Sie müssen sie also neu versenden.

Microsoft 365 baut die Falle gleich selbst

Wer jetzt denkt, als zahlender Microsoft-Kunde sei er fein raus, darf sich setzen. Microsoft 365 legt für eigene Kundendomains keinen DMARC-Eintrag an. Solange Sie DKIM für Ihre Domain nicht selbst aktivieren, signiert der Dienst außerdem mit seiner onmicrosoft.com-Domain, und diese Signatur zählt für DMARC nicht. Ergebnis: Ein Microsoft-Produkt verschickt Mails, die ein anderes Microsoft-Produkt ablehnt.

Die Fehlermeldung macht es nicht besser. Exchange Online verpackt die Ablehnung in einen eigenen Unzustellbarkeitsbericht, dessen Überschrift auf einen SPF-Verstoß (5.7.23) hindeutet. Der wahre Grund steht eine Zeile tiefer. Admins suchen also erst mal stundenlang im SPF-Eintrag nach einem Fehler, den es nicht gibt.

Die anderen Türsteher sind längst genauso streng

So ärgerlich die Kommunikation ist, überrascht sein darf eigentlich niemand. DMARC gibt es seit 2012, und die großen Postfachanbieter ziehen die Schrauben seit Jahren an, immer nach demselben Muster: erst die Massenversender, dann alle.

Anbieter Seit wann Was verlangt wird
Gmail, Yahoo Februar 2024 Ab 5000 Mails pro Tag: SPF, DKIM und DMARC (mindestens p=none) mit Alignment. Alle anderen: SPF oder DKIM
Outlook.com (offiziell) 5. Mai 2025 Über 5000 Mails pro Tag: SPF, DKIM und DMARC, sonst Fehler 550 5.7.515
GMX, Web.de, mail.com DMARC-Prüfung seit Frühjahr 2026 stufenweise Gültige DKIM-Signatur ist Pflicht, SPF allein reicht nicht. Keine Mengenschwelle
Outlook.com (faktisch) 5. November 2026 Teilweise Ablehnung auch kleiner Absender ohne DMARC-Eintrag, Fehler 550 5.7.1 (AS9031519)

Für deutsche Absender ist die dritte Zeile die wichtigste. GMX und Web.de kennen keine Schonfrist für Kleine. Wer dort ohne saubere DKIM-Signatur anklopft, bleibt draußen, egal ob er fünf Mails am Tag verschickt oder fünfzigtausend. Das Kontaktformular, das seit 2014 brav per PHP mail() vom Webserver sendet, gehört damit nun endlich mal ins Museum.

Zehn Minuten DNS statt zehn Tage Kundenfrust

Die gute Nachricht: Die Reparatur ist ein einziger TXT-Eintrag. Prüfen Sie zuerst, ob Ihre Domain schon einen hat:

dig +short TXT _dmarc.ihre-domain.de nslookup -type=TXT _dmarc.ihre-domain.de

Kommt eine Zeile mit "v=DMARC1" zurück, existiert ein Eintrag. Kommt nichts, sind Sie Kandidat für die Ablehnung. Dann legen Sie bei Ihrem DNS-Anbieter diesen Eintrag an:

Name:  _dmarc Typ:   TXT Wert:  v=DMARC1; p=none; rua=mailto:dmarc-reports@ihre-domain.de

Dazu ein paar Stolperfallen, die in den aktuellen Berichten immer wieder auftauchen:

  • Nur ein Eintrag. Zwei DMARC-Einträge für dieselbe Domain führen dazu, dass die Auswertung scheitert.
  • Alignment prüfen. Der Eintrag allein besteht keine Prüfung. Mindestens SPF oder DKIM muss zur Domain passen, die im sichtbaren Absender steht. Wer über Newsletter-Tools, Shopsysteme oder Ticketsoftware versendet, muss dort DKIM für die eigene Domain einrichten.
  • Alle Versandwege einsammeln. Mailserver, Website, Shop, CRM, Rechnungsprogramm, Scanner im Flur. Jeder davon gehört in den SPF-Eintrag oder bekommt eine eigene DKIM-Signatur.
  • Bestehende Richtlinien nicht aufweichen. Wer schon p=quarantine oder p=reject gesetzt hat, löst mit einem Rückschritt auf p=none gar nichts und verliert nur Schutz.
  • Abgelehnte Mails neu senden. Sobald der Eintrag im DNS steht, die betroffenen Nachrichten noch einmal verschicken. Von allein kommen sie nicht an.
  • Logs nach dem Text durchsuchen. Der Code 5.7.1 ist zu allgemein. Suchen Sie nach "AS9031519" oder "lacks SPF/DKIM/DMARC Auth Records".

Und noch etwas: p=none ist der Einstieg, kein Dauerzustand. Die Richtlinie sagt Empfängern, sie sollen bei gefälschten Mails in Ihrem Namen nichts unternehmen. Die DMARC-Spezialisten von dmarcian raten deshalb, die Berichte auszuwerten, die legitimen Absender zu reparieren und dann über p=quarantine zu p=reject zu gehen. Erst dann schützt der Eintrag Ihre Domain wirklich vor Missbrauch.

Die Panne, die keine bleiben wird

Vielleicht dreht Microsoft den Filter in ein paar Tagen zurück und erklärt das Ganze zum Versehen. Verlassen würde ich mich darauf nicht. MailRoute beschreibt das Muster treffend: Anforderungen starten bei den Massenversendern und werden danach zum Standard für alle. Ein DMARC-Eintrag mit p=none ist damit keine Kür mehr, sondern die Untergrenze.

Unser Handwerksbetrieb hat seinen Eintrag inzwischen gesetzt. Das Angebot ging ein zweites Mal raus und kam an. Gekostet hat das zehn Minuten und einen Anruf. Teurer wird es für alle, deren Mails gerade lautlos im Nichts verschwinden und die es erst merken, wenn der Kunde fragt, wo eigentlich das Angebot bleibt.

Quellen und weitere Informationen

10.11.2026

RSS Newsfeed
Alle News vom TAGWORX.NET Neue Medien können Sie auch als RSS Newsfeed abonnieren, klicken Sie einfach auf das XML-Symbol und tragen Sie die Adresse in Ihren Newsreader ein!