Microsoft lehnt E-Mails ohne DMARC-Einträge ohne Vorankündigung ab

Am Freitagmorgen, dem 7. November 2026, bemerkten Administratoren einen plötzlichen Anstieg abgelehnter E-Mails, die an von Microsoft betriebene Domains wie hotmail.com und outlook.com gesendet wurden. Die Ablehnungsnachricht verwies auf fehlende Authentifizierungseinträge, insbesondere auf das Fehlen von DMARC-Richtlinien, obwohl gültige SPF- und DKIM-Konfigurationen vorhanden waren. Diese nicht angekündigte Änderung hat die Kommunikation für zahlreiche selbst gehostete Mailserver und kleine Unternehmen mit Standard-DNS-Setups gestört.

Was passiert ist

Das Problem wurde erstmals vom Hosting-Anbieter Mythic Beasts identifiziert, nachdem deren Logs über 500 Ablehnungen am Donnerstag zeigten, die zuvor nicht aufgetreten waren. Der von Microsofts Servern zurückgegebene Fehlercode lautete 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records. Entscheidend war, dass die abgelehnten Nachrichten vollständig gültige Sender Policy Framework (SPF)- und DomainKeys Identified Mail (DKIM)-Einträge besaßen. Die einzige fehlende Komponente war ein Domain-based Message Authentication, Reporting, and Conformance (DMARC)-Eintrag in der DNS-Zone der Domain.

Um eine Lösung zu testen, fügte das Team für mehrere betroffene Domains einen DMARC-Eintrag mit einer auf "none" gesetzten Richtlinie hinzu. Diese Richtlinie teilt empfangenden Servern mit, dass der Domain-Inhaber keine spezifische Anweisung zur Behandlung nicht authentifizierter Mails hat, was effektiv so wirkt, als existiere keine Richtlinie. Sobald dieser Eintrag veröffentlicht war, akzeptierten Microsofts Server die E-Mails wieder. Eine breitere Umfrage im Fediverse bestätigte, dass andere unabhängige Betreiber identische Ausfälle erlebten, was auf eine weitreichende Änderung der eingehenden Mailfilterlogik von Microsoft hinweist, statt auf einen isolierten Konfigurationsfehler.

Anfangs führte das Fehlen einer Ankündigung zu Spekulationen, dass dies eine bewusste Verschärfung der Sicherheitsstandards sein könnte. Im letzten Jahr hatte Microsoft die Anforderung eingeführt, dass Domains, die mehr als 5.000 Nachrichten pro Tag senden, einen DMARC-Eintrag veröffentlichen müssen; diese Änderung war jedoch lange im Voraus kommuniziert worden. Die aktuelle Verschiebung schien alle Absender unabhängig vom Volumen und ohne Warnung zu betreffen. Eine Aktualisierung des ursprünglichen Berichts stellte später klar, dass die Änderung wahrscheinlich unbeabsichtigt war, doch Microsoft hatte noch nicht entschieden, wie der Konfigurationsfehler zurückgerollt werden soll.

Wichtige Details

• Fehlermeldung: Abgelehnte E-Mails geben 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records zurück.
• Betroffene Dienste: Die Zustellung von Mails an hotmail.com und outlook.com ist beeinträchtigt.
• Ursache: Fehlender DMARC-DNS-Eintrag, auch wenn SPF und DKIM korrekt konfiguriert sind.
• Vorläufige Lösung: Das Veröffentlichen eines DMARC-Eintrags mit einer p=none-Richtlinie stellt die Zustellbarkeit wieder her.
• Umfang: Die Änderung scheint alle Absender zu betreffen, nicht nur solche mit hohem Volumen, die 5.000 tägliche Nachrichten überschreiten.
• Status: Microsoft hat keine offizielle Stellungnahme oder einen Zeitplan für das Zurückrollen herausgegeben, obwohl interne Quellen darauf hindeuten, dass die Änderung versehentlich erfolgte.

Hintergrund

Die E-Mail-Authentifizierung stützt sich auf drei Hauptprotokolle, um Spoofing und Phishing zu verhindern. SPF listet die IP-Adressen auf, die autorisiert sind, E-Mails für eine Domain zu senden. DKIM fügt jeder Nachricht eine digitale Signatur hinzu, sodass der Empfänger überprüfen kann, ob sie während der Übertragung nicht verändert wurde. DMARC baut auf diesen beiden Protokollen auf, indem es festlegt, was der empfangende Server tun soll, wenn eine Nachricht die SPF- oder DKIM-Prüfungen nicht besteht. Richtlinien können auf "none" (nur überwachen), "quarantine" (in Spam verschieben) oder "reject" (vollständig blockieren) gesetzt werden.

Obwohl DMARC eine Best Practice für Sicherheit ist, verzichten viele kleine selbst gehostete Setups darauf, da es sorgfältiges Monitoring erfordert, um sicherzustellen, dass legitime Mails nicht versehentlich blockiert werden. Historisch haben große Anbieter DMARC-Anforderungen schrittweise eingeführt, oft beginnend mit Absendern mit hohem Volumen. Die plötzliche Durchsetzung der Präsenz von DMARC, sogar bei einer passiven "none"-Richtlinie, stellt eine signifikante Verschiebung dar, wie eingehende Filter die Identität des Absenders validieren. Es macht DMARC von einer empfohlenen Sicherheitsverbesserung zu einer obligatorischen strukturellen Anforderung für die grundlegende Zustellung.

Warum es wichtig ist

Für Teams, die ihre eigene Software betreiben oder selbst gehostete Mails verwalten, unterstreicht dieser Vorfall die Fragilität der Abhängigkeit von externen Plattformen mit intransparenten operativen Änderungen. Ohne vorherige Ankündigung können kritische Geschäftskommunikationen in schwarze Löcher verschwinden, ohne dass es einen sofortigen Weg gibt, das Problem zu diagnostizieren, es sei denn, man überwacht Bounce-Logs genau. Die Tatsache, dass gültige SPF- und DKIM-Einträge nicht ausreichten, betont, dass Compliance-Anforderungen sich schneller entwickeln, als viele kleine Betreiber nachverfolgen können.

Darüber hinaus verschärft die Unmöglichkeit, Microsoft für Support zu kontaktieren, das Problem. Kleine IT-Leiter und Entwickler müssen sich auf Community-Foren und Trial-and-Error-Debugging verlassen, um Zustellprobleme zu lösen. Dies erhöht den operativen Aufwand für kleine Teams, die möglicherweise keine dedizierten Experten für E-Mail-Zustellbarkeit haben. Es dient auch als Erinnerung daran, dass "set and forget"-DNS-Konfigurationen riskant sind, wenn große Empfänger ihre Validierungslogik unerwartet ändern.

Was Sie tun können

• Überprüfen Sie Ihre DNS: Stellen Sie sicher, ob Ihre Domain einen DMARC-Eintrag hat, indem Sie Online-Lookup-Tools oder Befehlszeilen-Utilities wie dig verwenden.
• Fügen Sie einen temporären Eintrag hinzu: Falls fehlend, fügen Sie einen TXT-Eintrag für _dmarc.yourdomain.com mit dem Wert v=DMARC1; p=none; hinzu, um die unmittelbare Zustellbarkeit wiederherzustellen.
• Überwachen Sie Bounce-Logs: Prüfen Sie Ihre Mailserver-Logs auf 550 5.7.1-Fehler, um verpasste Nachrichten der letzten Tage zu identifizieren.
• Validieren Sie bestehende Einträge: Stellen Sie sicher, dass Ihre SPF- und DKIM-Einträge weiterhin gültig und mit Ihrer aktuellen Mail-Infrastruktur abgestimmt sind.
• Kommunizieren Sie mit Benutzern: Wenn Sie Kunden kennen, die Microsoft-Mails nutzen, informieren Sie sie über mögliche Verzögerungen und bitten Sie sie, ihre Spam-Ordner zu prüfen.
• Planen Sie strengere Richtlinien: Sobald die Zustellbarkeit wiederhergestellt ist, erwägen Sie den Wechsel von p=none zu p=quarantine oder p=reject, nachdem Sie überprüft haben, dass alle legitimen Quellen die Authentifizierung bestehen.