Outlook.com: Die Mail ist echt – und sie kommt trotzdem nicht an

1. Outlook.com: Die Mail ist echt – und sie kommt trotzdem nicht an
   • Zurückweisung trotz gültiger SPF- und DKIM-Prüfung
   • DMARC-Eintrag kann Abhilfe schaffen
   • Bisherige Vorgaben richten sich an Vielversender

Microsofts E-Mail-Dienst Outlook.com weist offenbar auch E-Mails kleiner Absender zurück, deren Domains keinen DMARC-Eintrag veröffentlichen. Betreiber melden seit Anfang November entsprechende Zustellfehler. Ein Moderator im Microsoft-Supportforum stuft das Problem inzwischen als Störung ein. Microsoft untersuche die Ursache, heißt es dort.

Der E-Mail-Dienstleister MailRoute registriert die Rückläufer seit dem 5. November 2026 in seinen Versandprotokollen. Betroffen sind Nachrichten an Outlook.com-, Hotmail-, Live- und MSN-Adressen. Neil Jenkins, Produktchef bei Fastmail, berichtet auf der mailop-Liste von vergleichbaren Fällen bei Kunden mit eigenen Domains. Deren SPF- und DKIM-Prüfungen seien erfolgreich gewesen, es habe lediglich der DMARC-Eintrag gefehlt.

Zurückweisung trotz gültiger SPF- und DKIM-Prüfung

Der Anbieter EasyDMARC beschreibt einen eigenen Test vom 8. November. Eine über Zoho verschickte Nachricht an eine Live.com-Adresse wurde zurückgewiesen, obwohl SPF und DKIM bestanden und die beteiligten Domains zur sichtbaren Absender-Domain passten. Für diese war kein DMARC-Eintrag veröffentlicht. Der Microsoft-Server antwortete mit 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519).

Die Ablehnungen treten MailRoute zufolge nicht durchgehend auf. Manche Nachrichten einer betroffenen Domain kommen an, andere scheitern. Auch ein erneuter Versand könne erfolgreich sein. Eine einzelne zugestellte Testmail schließt das Problem deshalb nicht aus. Im Microsoft-Supportforum melden allerdings auch Administratoren Zurückweisungen bei Domains mit nach eigenen Angaben korrekt eingerichteten SPF-, DKIM- und DMARC-Einträgen. Ob diese Fälle dieselbe Ursache haben, ist bislang offen.

Die neue Rückmeldung nennt keine konkreten Prüfergebnisse, sondern bemängelt pauschal fehlende Authentifizierungsmerkmale. Für Verstöße gegen die bestehenden Anforderungen an Vielversender dokumentiert Microsoft dagegen den Fehlercode 550 5.7.515. Die jetzt beobachteten Rückläufer lassen sich damit nicht ohne Weiteres den bereits veröffentlichten Regeln zuordnen.

DMARC-Eintrag kann Abhilfe schaffen

MailRoute empfiehlt betroffenen Domain-Inhabern, einen DMARC-Eintrag im DNS zu veröffentlichen. Für example.org wäre das ein TXT-Record unter _dmarc.example.org mit dem Wert v=DMARC1; p=none. Auch Microsoft gibt diese minimale Konfiguration in seiner Dokumentation zur E-Mail-Authentifizierung an.

Ein Eintrag allein sorgt allerdings noch nicht für eine bestandene DMARC-Prüfung. Entscheidend ist das von Microsoft erläuterte DMARC-Alignment: Mindestens eine erfolgreiche SPF- oder DKIM-Prüfung muss zur Domain im sichtbaren From-Header passen. Bei SPF betrifft das die Envelope-From-Domain, bei DKIM die Signatur-Domain im d=-Parameter. Eine gültige DKIM-Signatur mit einer fremden, nicht ausgerichteten Domain genügt dafür nicht.

Mit p=none fordert der Domain-Inhaber weder Quarantäne noch Ablehnung bei DMARC-Fehlern. Eine Zustellgarantie ergibt sich daraus nicht, Empfänger können also weiterhin nach eigenen Regeln filtern. Der minimale Eintrag fordert auch keine DMARC-Berichte an. Dafür muss etwa eine Berichtsadresse mit rua=mailto:… ergänzt werden, wie der Standard für aggregierte DMARC-Berichte festlegt.

Bisherige Vorgaben richten sich an Vielversender

Microsoft hatte strengere Anforderungen für Outlook.com am 2. April 2025 angekündigt. Seit dem 5. Mai 2025 müssen Domains, die täglich mehr als 5000 Nachrichten an Outlook.com-Konten senden, SPF und DKIM bestehen sowie DMARC mit mindestens p=none und passendem Alignment einrichten. Die veröffentlichten Outlook.com-Postmaster-Vorgaben nennen weiterhin diese Schwelle. Eine allgemeine DMARC-Pflicht für Kleinversender kündigt Microsoft dort nicht an.

Die Verfahren sollen Absenderfälschungen erschweren. Das BSI hat SPF, DKIM und DMARC bereits 2024 in seiner Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung zusammengeführt.

Die Absenderprüfung in Outlook stand bereits früher in der Kritik, zum Beispiel im Juni 2024 wegen einer mutmaßlichen Umgehung von Schutzmechanismen wie DKIM und DMARC. Microsoft erklärte damals gegenüber der Redaktion, den Fall zu untersuchen.

(fo)