Der E-Mail-Dienstleister MailRoute sieht seit dem 5. November Bounces mit der Meldung „Message lacks SPF/DKIM/DMARC Auth Records“, sobald Kunden an Outlook.com, Hotmail, Live oder MSN schreiben. Betroffen sind Domains ohne DMARC-Eintrag, auch kleine Absender mit wenigen Mails am Tag. Ein einzelner DNS-Eintrag soll das Problem beheben.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Microsoft weist laut MailRoute seit dem 5. November einen Teil der Mails an Outlook.com, Hotmail, Live und MSN ab, wenn die Absenderdomain keinen DMARC-Eintrag veröffentlicht hat.[1]
Das Wichtigste in Kürze
- MailRoute meldet seit dem 5. November Ablehnungen mit dem Code 550 5.7.1 bei Outlook.com, Hotmail, Live und MSN.
- Betroffen sind Domains ohne DMARC-Eintrag, auch wenn SPF und DKIM funktionieren.
- Abgelehnt wird nur ein Teil der Mails, eine einzelne zugestellte Nachricht beweist also nichts.
- Abhilfe schafft ein TXT-Eintrag unter _dmarc mit dem Wert v=DMARC1; p=none, sofern SPF oder DKIM zur Absenderadresse passen.
Was genau lehnt Outlook.com ab?
Der Absender erhält eine Fehlermeldung mit dem Wortlaut „550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records“, am ersten Tag ohne, später mit einer angehängten Serverkennung.[1] Die betroffenen Domains hatten laut MailRoute meist ein funktionierendes SPF. Gefehlt hat der DMARC-Eintrag, der beide Prüfungen mit der sichtbaren Absenderadresse verknüpft.
Microsoft verlangt seit dem 5. Mai 2025 von Domains mit mehr als 5.000 Mails am Tag SPF, DKIM und DMARC mit mindestens p=none. Nicht konforme Mails sollten zunächst im Junk-Ordner landen, ein Ablehnungsdatum wollte der Konzern später nennen.[2] Die neue Ablehnung trifft laut MailRoute dagegen auch kleine Absender.
Warum fällt der Fehler so selten auf?
MailRoute beobachtet, dass Outlook.com nur einen Teil der Mails einer betroffenen Domain abweist: Die erste Nachricht an eine Hotmail-Adresse kommt an, die nächste bounct, ein erneuter Versand klappt. Der Absender hält die Meldung eventuell für eine Störung.[1] Der Empfänger erfährt nie, dass ihm jemand geschrieben hat.
In Microsoft 365 wertet Microsoft eingehende Mails von Domains ohne DMARC-Eintrag laut eigener Dokumentation als „bestguesspass“, also als geschätzten Treffer.[3] Am Privatkundendienst gilt diese Nachsicht nach MailRoutes Beobachtung nicht mehr durchgehend. Wenige große Anbieter bestimmen so, wer zugestellt wird, wie die Konzentration der Mailserver bei Google und Microsoft zeigt.
Kein DMARC-Eintrag, keine Mail: Eine Zeile im DNS entscheidet, ob Rechnungen und Terminbestätigungen bei Hotmail-Kunden ankommen.
Michael Dobler, Herausgeber Dr. Web
Was heißt das für Betriebe im deutschsprachigen Raum?
Prüfen Sie jede Domain, von der Ihr Betrieb Mails verschickt, mit dem Befehl dig +short TXT _dmarc.ihredomain.de. Kommt keine Zeile mit „v=DMARC1“ zurück, fehlt der Eintrag. MailRoute empfiehlt als Einstieg einen TXT-Eintrag mit dem Namen _dmarc und dem Wert v=DMARC1; p=none, der nach Angaben des Unternehmens die Behandlung durch andere Empfänger nicht verändert.[1]
Der Eintrag allein genügt nicht, wenn weder SPF noch DKIM zur Absenderadresse passen. Das trifft vor allem Mails, die ein Dienst im Namen Ihrer Domain verschickt: das Newsletter-Tool, das Buchungssystem, das Rechnungsprogramm oder das Kontaktformular Ihrer WordPress-Website. Grundlagen dazu liefern unsere Beiträge zu SPF und DKIM.
Ergänzen Sie im Eintrag eine Berichtsadresse mit rua=mailto: und verschärfen Sie die Richtlinie erst auf quarantine und reject, wenn die Berichte keinen legitimen Absender mehr als fehlerhaft zeigen. So empfiehlt es Microsoft in seiner Anleitung.[3] Wie verbreitet das Versäumnis ist, zeigt die Auswertung, nach der 68,4 Prozent der Domains keine wirksame DMARC-Richtlinie haben.
Quellen
3 Quellen anzeigenQuellen ausblenden
- MailRouteOutlook.com Is Quietly Rejecting Email From Domains Without DMARC
- Microsoft Tech CommunityStrengthening Email Ecosystem: Outlook’s New Requirements for High-Volume Senders (2. April 2025, aktualisiert am 30. April 2025)
- Microsoft LearnSet up DMARC to validate email in Microsoft 365 (abgerufen am 9. November 2026)
Mehr Newshunger?
- DMARC gibt es seit 2012: 68,4 Prozent der Domains ohne wirksame Richtlinie
- Selbst gehostete Mailserver: Der Anteil sinkt auf 22,4 Prozent
- E-Mail war nie kostenlos: Was zuverlässige Zustellung heute wirklich kostet
- heade.rs: Ein kostenloser Domain-Check, der sich nicht rechnen muss
- Bounce Rate im E-Mail-Marketing: So bleiben Sie unter 2 Prozent
- Sichere E-Mail im Unternehmen: Was müssen KMU beachten?
- Microsoft-365-Postfach gekapert: Rüstungszulieferer IEH findet keine Spur des Datenabflusses
