Outlook.com: Wenn Ihre Mails plötzlich nicht ankommen

Stellen Sie sich vor, Ihr Angebot geht an einen Kunden mit Hotmail-Adresse – und kommt nie an. Nicht, weil Ihre Mail falsch adressiert wäre oder im Spamfilter hängt, sondern weil Microsofts Server sie ablehnt. Genau das passiert seit Anfang November offenbar vermehrt: Outlook.com weist E-Mails von Absender-Domains zurück, die keinen DMARC-Eintrag veröffentlichen – selbst dann, wenn die übrigen Authentifizierungsprüfungen SPF und DKIM erfolgreich sind. heise Security hat den Fall zusammengetragen. Für Unternehmen mit eigener Domain ist das kein Randphänomen, sondern ein Grund, jetzt die eigene Konfiguration zu prüfen.

Was genau passiert gerade?

Der E-Mail-Dienstleister MailRoute registriert die Rückläufer seit dem 5. November 2026 in seinen Versandprotokollen. Betroffen sind Nachrichten an Outlook.com-, Hotmail-, Live- und MSN-Adressen – also die Privatkunden-Adressen von Microsoft. Neil Jenkins, Produktchef beim E-Mail-Anbieter Fastmail, berichtet auf der mailop-Mailingliste von vergleichbaren Fällen bei Kunden mit eigenen Domains: SPF- und DKIM-Prüfung seien erfolgreich gewesen, lediglich der DMARC-Eintrag habe gefehlt.

Der Anbieter EasyDMARC beschreibt einen eigenen Test vom 8. November: Eine über Zoho verschickte Nachricht an eine Live.com-Adresse wurde zurückgewiesen, obwohl SPF und DKIM bestanden und die beteiligten Domains zur sichtbaren Absender-Domain passten. Der Microsoft-Server antwortete mit der Fehlermeldung „550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)”.

Im Microsoft-Supportforum stuft ein Moderator das Problem inzwischen als Störung ein; Microsoft untersuche die Ursache. Ob es sich also um einen Fehler oder um eine still eingeführte Verschärfung handelt, ist zum jetzigen Zeitpunkt offen.

Warum das gerade kleine und mittlere Unternehmen trifft

Microsofts offiziell dokumentierte Verschärfung richtet sich bislang an Vielversender: Seit dem 5. Mai 2025 müssen Domains, die täglich mehr als 5000 Nachrichten an Outlook.com-Konten senden, SPF und DKIM bestehen sowie DMARC mit mindestens der Richtlinie p=none und passendem Alignment einrichten. Angekündigt hatte Microsoft das am 2. April 2025. Für Verstöße gegen diese Vielversender-Regeln ist der Fehlercode 550 5.7.515 dokumentiert.

Die jetzt beobachteten Rückläufer passen nicht zu diesen veröffentlichten Regeln: Die Outlook.com-Postmaster-Vorgaben nennen weiterhin die 5000er-Schwelle, eine allgemeine DMARC-Pflicht für Kleinversender kündigt Microsoft dort nicht an. Der neue Fehlercode nennt zudem keine konkreten Prüfergebnisse, sondern bemängelt pauschal fehlende Authentifizierungsmerkmale.

Für ein Unternehmen mit 10 bis 100 Mitarbeitern heißt das: Sie liegen mit Ihrem Versandaufkommen mit hoher Wahrscheinlichkeit weit unter der offiziellen Schwelle – und können trotzdem betroffen sein. Sobald Kunden, Bewerber oder Geschäftspartner eine Adresse bei Outlook.com, Hotmail, Live oder MSN nutzen, landet Ihre Mail im schlimmsten Fall nirgendwo, obwohl sie technisch korrekt versendet wurde.

Das Tückische: Der Fehler tritt nicht zuverlässig auf

MailRoute zufolge treten die Ablehnungen nicht durchgehend auf. Manche Nachrichten einer betroffenen Domain kommen an, andere scheitern – und selbst ein erneuter Versand kann erfolgreich sein. Eine einzelne zugestellte Testmail schließt das Problem also nicht aus. Wer kurz testet, eine erfolgreiche Zustellung sieht und sich dann in Sicherheit wiegt, täuscht sich möglicherweise.

Hinzu kommt: Im Microsoft-Supportforum melden auch Administratoren Zurückweisungen bei Domains, bei denen SPF, DKIM und DMARC nach eigener Angabe korrekt eingerichtet sind. Ob diese Fälle dieselbe Ursache haben, ist bislang unklar.

Was ist DMARC – und warum reicht der Eintrag allein nicht?

DMARC ergänzt die beiden Prüfverfahren SPF und DKIM um eine Richtlinie, die der Domain-Inhaber im DNS veröffentlicht. Konkret ist das ein TXT-Eintrag unter _dmarc.ihredomain – für die Beispieldomain example.org also _dmarc.example.org – mit dem minimalen Wert v=DMARC1; p=none. Genau diesen Eintrag empfiehlt MailRoute betroffenen Domain-Inhabern, und auch Microsoft gibt diese minimale Konfiguration in seiner Dokumentation zur E-Mail-Authentifizierung an.

Zwei Punkte werden dabei gern übersehen:

Erstens sorgt der Eintrag allein noch nicht für eine bestandene DMARC-Prüfung. Entscheidend ist das sogenannte DMARC-Alignment: Mindestens eine erfolgreiche SPF- oder DKIM-Prüfung muss zur Domain im sichtbaren From-Header passen. Bei SPF betrifft das die Envelope-From-Domain, bei DKIM die Signatur-Domain im d=-Parameter. Eine gültige DKIM-Signatur mit einer fremden, nicht ausgerichteten Domain genügt dafür nicht. Praktisch relevant wird das, wenn Sie nicht nur über Ihren eigenen Mailserver senden, sondern auch über externe Dienste – der geschilderte Test lief etwa über Zoho. Für jeden Versandweg, der mit Ihrer Domain im Absender auftritt, sollten Sie prüfen, ob SPF oder DKIM zur sichtbaren Absender-Domain ausgerichtet ist.

Zweitens ist p=none bewusst harmlos: Sie fordern damit weder Quarantäne noch Ablehnung bei DMARC-Fehlern an. Eine Zustellgarantie ergibt sich daraus nicht – Empfänger können weiterhin nach eigenen Regeln filtern. Der minimale Eintrag fordert auch keine DMARC-Berichte an. Wer diese auswerten will, muss etwa eine Berichtsadresse mit rua=mailto:… ergänzen, wie der Standard für aggregierte DMARC-Berichte festlegt.

Was Sie jetzt konkret tun sollten

Erstens: Prüfen Sie, ob Ihre Firmendomain überhaupt einen DMARC-Eintrag hat. Das ist eine Frage an Ihren DNS – im Zweifel an Ihren Administrator oder Ihren IT-Dienstleister. Fehlt der Eintrag, gehören Sie bei den aktuellen Outlook.com-Ablehnungen genau zur beschriebenen Zielgruppe.

Zweitens: Veröffentlichen Sie bei fehlendem Eintrag die Minimalvariante v=DMARC1; p=none als TXT-Record unter _dmarc.ihredomain. Das ist risikoarm, weil Sie damit keine Ablehnung Ihrer Mails anfordern, und entspricht sowohl der Empfehlung von MailRoute als auch der Microsoft-Dokumentation.

Drittens: Prüfen Sie das Alignment für alle Versandwege. Jeder Dienst, der mit Ihrer Domain sendet, braucht eine erfolgreiche SPF- oder DKIM-Prüfung, die zur From-Domain passt.

Viertens: Verlassen Sie sich nicht auf eine einzelne erfolgreiche Testmail. Beobachten Sie stattdessen Ihre Rückläufer – die Fehlermeldung 550 5.7.1 mit dem Hinweis auf fehlende Authentifizierungsmerkmale ist das aktuelle Warnsignal.

Fünftens: Wenn der Eintrag steht, können Sie in Ruhe über eine Berichtsadresse (rua=) nachdenken, um künftig sichtbar zu machen, wer alles mit Ihrer Domain sendet.

Was noch unklar ist

Ob Microsoft hier eine Störung behebt oder eine neue Regel einführt, ist offen. Ebenso ist unklar, ob die gemeldeten Ablehnungen trotz korrekter Konfiguration dieselbe Ursache haben. Und wie lange dieser Zustand anhält, weiß derzeit niemand. Wer Ihnen hier schon fertige Antworten verkauft, spekuliert.

Einordnung

Unabhängig davon, wie der aktuelle Fall ausgeht, zeigt die Entwicklung klar in eine Richtung: Das BSI hat SPF, DKIM und DMARC bereits 2024 in seiner Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung zusammengeführt, und Microsoft hat seine Anforderungen für Vielversender 2025 verschärft. Einen sauber konfigurierten DMARC-Eintrag zu haben, ist damit keine Kür mehr, sondern zunehmend Grundvoraussetzung dafür, dass Ihre E-Mails überhaupt ankommen. Wer jetzt prüft und gegebenenfalls nachzieht, ist auf der sicheren Seite – egal, ob sich der aktuelle Vorfall als Störung oder als Vorgeschmack einer allgemeinen Pflicht herausstellt.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.