Outlook.com lehnte Mails ohne DMARC ab: Was Sie jetzt prüfen sollten

Mehrere Tage lang kamen Mails an Adressen bei Outlook.com, Hotmail, Live und MSN nicht an, obwohl der Absender alles richtig signiert hatte. Microsoft lehnte Nachrichten von Domains ab, die keinen DMARC-Eintrag veröffentlichen. Betroffen waren auch kleine Absender, für die Microsoft bisher gar keine DMARC-Pflicht vorsieht. Laut dem DMARC-Anbieter EasyDMARC hat Microsoft die Ursache inzwischen behoben. Stand dieses Beitrags ist der 10. November 2026.

Die Ablehnung traf auch korrekt signierte Mails

Der Mailfilter-Dienst MailRoute sah die ersten Ablehnungen am 5. November in seinen eigenen Logs. Die Fehlermeldung lautete „550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records“, später ergänzt um den Code „AS9031519“. Den gleichen Wortlaut dokumentiert heise online.

EasyDMARC hat das Problem am 8. November nachgestellt. Eine Testdomain bei Zoho Mail bestand SPF und DKIM, beide passend zur Absenderdomain. Nur der DMARC-Eintrag fehlte. Die Mail an eine Live.com-Adresse kam mit Fehler 550 zurück.

Das Muster war unregelmäßig. Manche Mails derselben Domain kamen an, andere nicht, ein zweiter Versuch klappte teils. Laut heise berichteten einige Administratoren im Microsoft-Forum auch von Ablehnungen trotz vollständigem SPF, DKIM und DMARC. Ob das dieselbe Ursache hat, ist offen. Geschäftspostfächer bei Microsoft 365 mit eigener Domain waren laut EasyDMARC offenbar nicht betroffen, nur die kostenlosen Verbraucherpostfächer.

Für Onlineshops heißt das konkret: Bestellbestätigungen, Versandmitteilungen und Passwort-Mails an Kunden mit Hotmail- oder Outlook-Adresse können in diesen Tagen verloren gegangen sein.

Microsoft spricht von einer Störung, nicht von einer neuen Regel

Am 9. November ordnete ein Moderator im Microsoft-Q&A-Forum das Problem als „service degradation“ ein, also als Beeinträchtigung des Dienstes. Microsoft untersuche die Ursache. Der Moderator ist laut Profil externes Personal, kein Microsoft-Mitarbeiter im engeren Sinn.

Genauer wird EasyDMARC. Der Anbieter zitiert eine Meldung mit der Kennung EX1545193, die nur Administratoren von Microsoft-365-Mandanten sehen. Danach hat ein Update der Spam-Regeln Nachrichten fälschlich blockiert. Microsoft habe das Update vollständig zurückgerollt. Die Auswirkungen nennt die Meldung für den Zeitraum vom 6. November, 18:00 Uhr UTC, bis zum 9. November, 11:02 Uhr UTC. DMARC kommt in der Meldung laut EasyDMARC nicht vor. Dass gerade Domains ohne DMARC betroffen waren, beruht auf Tests und Berichten von Administratoren.

Eine allgemeine DMARC-Pflicht für kleine Absender hat Microsoft nicht angekündigt. Die Postmaster-Dokumentation nennt laut heise weiter nur die Schwelle von 5.000 Mails pro Tag.

Für große Versender gilt die DMARC-Pflicht schon seit Mai 2025

Am 2. April 2025 hat Microsoft neue Anforderungen für Outlook.com angekündigt. Domains, die mehr als 5.000 Mails pro Tag an Outlook.com, Hotmail oder Live schicken, brauchen seither SPF, DKIM und DMARC. Für DMARC reicht die Richtlinie p=none, aber SPF oder DKIM muss zur Absenderdomain passen. Seit dem 5. Mai 2025 landen Mails, die das nicht erfüllen, im Junk-Ordner. Für eine spätere Ablehnung nennt Microsoft den Fehler „550 5.7.515“.

Die Novemberstörung hatte also einen anderen Fehlercode und traf Absender jeder Größe. Sie zeigt aber, wo Mails ohne DMARC hängen bleiben können.

So setzen Sie einen DMARC-Eintrag

Ob Ihre Domain schon einen Eintrag hat, zeigt dieser Befehl. Bleibt die Ausgabe leer, fehlt er:

dig +short TXT _dmarc.ihre-domain.de

Den Mindesteintrag empfiehlt MailRoute. Laut heise steht dieselbe Konfiguration auch in der Microsoft-Dokumentation. Es ist ein TXT-Eintrag unter _dmarc mit diesem Wert:

v=DMARC1; p=none

Drei Punkte sollten Sie dabei beachten. Erstens besteht eine Mail DMARC nur, wenn SPF oder DKIM zur sichtbaren Absenderdomain passt. Der Eintrag allein bringt nichts. Zweitens garantiert p=none keine Zustellung, Empfänger können weiter filtern. Drittens bekommen Sie nur mit einer Berichtsadresse Rückmeldung, etwa mit dem Zusatz rua=mailto:dmarc@ihre-domain.de. Die Berichte zeigen, welche Dienste in Ihrem Namen Mails senden und wo das Alignment scheitert.

EasyDMARC nennt typische Fehler, die DMARC trotz Eintrag scheitern lassen. Dazu gehören zwei DMARC-Einträge für dieselbe Domain und ein SPF-Eintrag mit mehr als zehn DNS-Abfragen oder einem fehlenden Versanddienst. Ebenso scheitert eine DKIM-Signatur mit der Domain des Anbieters statt der eigenen. Bei Microsoft 365 ist das etwa eine Adresse auf onmicrosoft.com.

Abgewiesene Mails müssen Sie neu senden

Eine Ablehnung mit 550 ist endgültig. Outlook.com versucht die Zustellung laut EasyDMARC nicht erneut. Wer vom 5. bis 9. November Mails an Microsoft-Verbraucheradressen verschickt hat, sollte die Bounces in diesem Zeitraum durchsehen. Wichtige Nachrichten wie Rechnungen oder Zugangsdaten schicken Sie am besten noch einmal.

Haben Sie DMARC gesetzt und sehen trotzdem weiter Ablehnungen, rät EasyDMARC, im Header einer zugestellten Mail auf dmarc=pass zu prüfen. Den Fall können Sie dann mit Serverdetails und Zeitstempel beim Microsoft-Sender-Support melden.

Wir sehen uns Ihre DNS-Einträge an

Bei Fragen zu SPF, DKIM und DMARC auf Ihrem Server helfen wir im Rahmen unserer Managed Server.

Wenn Sie wissen wollen, ob Ihre Domain betroffen sein könnte, schreiben Sie uns.