Outlook.com weist Mails ohne DMARC ab
Seit dem 5. November lehnt Microsofts Verbraucher-Maildienst einen Teil der Mails von Domains ohne DMARC-Eintrag ab, auch bei kleinen Absendern. Microsoft schweigt. Was dahintersteckt und wie Unternehmen mit einem DNS-Eintrag gegensteuern.
Eine Rechnung, ein Angebot, eine Terminbestätigung: Wer solche Mails an Kunden mit Adressen bei outlook.com oder hotmail.com schickt, sollte in diesen Tagen einen Blick in die Rückläufer werfen. Seit dem 5. November 2026 weist Microsofts Verbraucher-Maildienst einen Teil der Mails von Domains ab, die keinen DMARC-Eintrag haben. Das berichten die Mail-Dienstleister MailRoute und Suped übereinstimmend aus ihren Protokollen. Eine Ankündigung von Microsoft gibt es nicht.
Was genau passiert
Laut MailRoute betrifft die Ablehnung die Adressen bei outlook.com, hotmail.com, live.com und msn.com. Die Absender bekommen diese Fehlermeldung zurück:
550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)
Am ersten Tag kam dieselbe Meldung laut MailRoute noch ohne den Zusatz in Klammern. Suped dokumentiert in Kundenmeldungen vom 5. und 6. November denselben Code und spricht von zeitweiligen Ablehnungen bei Empfängern von Outlook.com und Hotmail.
Zwei Punkte machen die Sache tückisch:
- Keine Mengengrenze: Microsoft verlangt schon seit Mai 2025 SPF, DKIM und DMARC, aber nur von Absendern mit mehr als 5.000 Mails am Tag. Die gaben dann den Code 5.7.515 zurück. Die neue Ablehnung trifft laut MailRoute auch kleine Absender mit wenig Mailverkehr.
- Nur ein Teil der Mails: Microsoft lehnt nicht jede Mail einer betroffenen Domain ab. Dass eine Testmail ankommt, beweist also nicht, dass alles in Ordnung ist.
Microsoft schweigt bisher
Offiziell bestätigt ist nichts. MailRoute schrieb am 6. November, Microsoft habe weder einen Hinweis für Postmaster noch einen Blogbeitrag oder einen Eintrag zum Dienststatus veröffentlicht. Laut Suped hat ein Microsoft-Moderator im Supportforum nur allgemeine Tipps zur Fehlersuche gegeben, ohne eine Störung oder eine neue Regel zu bestätigen. Ob es um eine gewollte Verschärfung, einen Test oder einen Fehler geht, ist also offen. Für Absender ändert das wenig: Die Mails kommen nicht an.
Die Abhilfe ist ein DNS-Eintrag
DMARC ist ein kurzer Texteintrag im DNS der eigenen Domain. Er sagt empfangenden Servern, wie sie mit Mails umgehen sollen, die die Prüfungen per SPF oder DKIM nicht bestehen. Thomas A. Johnson, Chef von MailRoute, fasst die Lage so zusammen:
„Nobody announced it. The fix is one DNS record.“
Als sicheren Einstieg empfiehlt MailRoute einen TXT-Eintrag unter _dmarc.ihre-domain.de mit dem Wert v=DMARC1; p=none. Diese Einstellung weist Empfänger noch nicht an, Mails abzulehnen. Sie sorgt aber dafür, dass überhaupt eine DMARC-Regel vorhanden ist. Wichtig ist eine Einschränkung, auf die MailRoute selbst hinweist: DMARC besteht nur, wenn SPF oder DKIM für genau die Domain im Absenderfeld passen. Der Eintrag allein reicht also nicht, wenn Newsletter-Tool, Shop oder Buchhaltungssoftware mit fremder Domain signieren.
Was das für Ihr Unternehmen heißt
- Domain prüfen: Schauen Sie nach, ob unter
_dmarcIhrer Domain ein Eintrag existiert. Fehlt er, ist das die dringendste Baustelle. - Alle Absender erfassen: Neben dem Mailserver verschicken oft auch Shop, CRM, Rechnungsprogramm, Kontaktformular und Newsletter-Dienst in Ihrem Namen. Jeder davon braucht passendes SPF oder DKIM.
- Mit p=none beginnen: Erst beobachten, dann über die DMARC-Berichte nachschärfen. Eine strenge Regel ohne Bestandsaufnahme sperrt schnell eigene Mails aus.
- Rückläufer auswerten: Suchen Sie im Postfach und in den Protokollen Ihrer Dienste nach dem Code AS9031519.
- Nebendomains nicht vergessen: Auch Domains, die nur für Formulare oder Kampagnen genutzt werden, brauchen die Einträge.
- Sicherheit mitdenken: Saubere Absenderprüfung schützt auch davor, dass Betrüger in Ihrem Namen Mails verschicken. Wie gezielt solche Mails eingesetzt werden, zeigt die Phishing-Warnung des BSI.
Fazit
Ob Microsoft die Regel bestätigt oder wieder zurücknimmt: SPF, DKIM und DMARC gehören längst zur Grundausstattung jeder Firmendomain, und Google und Microsoft fordern sie von großen Absendern ohnehin. Wer sie jetzt einrichtet, verliert keine Rechnungen mehr an stille Ablehnungen und erschwert nebenbei Betrug mit der eigenen Domain. Wenn Sie Ihre Domain prüfen lassen möchten, sprechen Sie mich gern an.
