Bounce „554 5.4.6 Hop count exceeded - possible mail loop“: so behebst du es

Was das bedeutet

Jedes Mal, wenn eine E-Mail einen Server durchläuft, fügt dieser Server eine Received-Zeile in die Header ein. Das ist ein „Hop“. Sammelt eine Nachricht zu viele Hops, gehen Server davon aus, dass sie im Kreis läuft (eine Mailschleife), und stoppen sie mit einem Bounce. Meist sieht das so aus:

554 5.4.6 Hop count exceeded - possible mail loop

Microsoft 365 verwendet 554 5.4.14 Hop count exceeded - possible mail loop, manchmal gefolgt von ATTR1 oder ATTR34. Laut Microsoft kommt 5.4.14 von Exchange Online und 5.4.6 meist von einem lokalen Exchange-Server. Postfix nutzt ebenfalls den Status 5.4.6, zum Beispiel mit dem Text mail for yourdomain.com loops back to myself oder mail forwarding loop for user@yourdomain.com.

Warum das passiert

• Weiterleitung im Kreis. Adresse A leitet an B weiter, und B leitet zurück an A (oder über C). Häufig, nachdem auf einem alten und einem neuen Postfach Weiterleitungen eingerichtet wurden.
• Der MX zeigt auf einen Server, der die Domain nicht kennt. Der Server empfängt die E-Mail, hält sich nicht für das Endziel, schlägt den MX nach und schickt sie an… sich selbst. Bei Postfix passiert das, wenn die Domain in mydestination oder den Einstellungen für virtuelle Domains fehlt.
• Zwei Systeme glauben jeweils, das andere habe das Postfach. Typisch bei Hybrid-Exchange oder während einer Migration: lokal wird in die Cloud geschickt, die Cloud schickt zurück nach lokal.
• Falsche Connectors oder Gateways. Ein Filter-Gateway schickt E-Mails an Microsoft 365, und ein Connector oder eine Regel schickt sie zurück zum Gateway.
• Akzeptierte Domain auf Relay gestellt. In Exchange Online leitet eine Domain mit „internal relay“ unbekannte Empfänger an einen anderen Server weiter, der sie zurückschickt.
• Automatische Antworten und Weiterleitungsregeln, die sich gegenseitig antworten.

So prüfst du es

1. Öffne den Bounce und lies die Header der zurückgekommenen Nachricht. Lies die Received-Zeilen von unten nach oben. Du siehst dieselben zwei oder drei Servernamen immer wieder: Sie bilden die Schleife. Unsere Anleitung E-Mail-Header lesen erklärt jede Zeile.
2. Prüfe die MX-Einträge der Empfängerdomain mit dem Domain-Scanner oder mit dig MX yourdomain.com +short. Sie müssen auf den Server oder Dienst zeigen, der die Postfächer wirklich hostet. Siehe auch MX-Eintrag zeigt auf einen CNAME oder eine IP.
3. Bei Postfix prüfe, dass die Domain als lokal oder virtuell deklariert ist:

   postconf mydestination virtual_mailbox_domains relay_domains
   postconf -n | grep -i transport

4. Bei Microsoft 365, in Exchange Online PowerShell:

   Get-AcceptedDomain | Format-Table Name,DomainType
   Get-Mailbox user@yourdomain.com | Format-List ForwardingAddress,ForwardingSmtpAddress
   Get-InboxRule -Mailbox user@yourdomain.com
   Get-InboundConnector; Get-OutboundConnector

   Die Nachrichtenablaufverfolgung im Exchange admin center zeigt ebenfalls, welchen Weg eine Nachricht genommen hat.

So behebst du es

1. Unterbrich Weiterleitungskreise. Leite nur in eine Richtung weiter und entferne die Weiterleitung vom alten Postfach, sobald eine Migration abgeschlossen ist.
2. Mach einen Server maßgeblich. Füge die Domain bei Postfix zu mydestination (lokale Benutzer) oder virtual_mailbox_domains (virtuelle Benutzer) hinzu, nie zu beiden, und führe dann systemctl reload postfix aus. Stelle die Domain in Exchange Online auf Authoritative, außer einige Postfächer liegen wirklich woanders.
3. Korrigiere den MX, damit er auf das System zeigt, das die Postfächer hostet. Aktualisiere ihn nach einem Anbieterwechsel bei deinem DNS-Anbieter und entferne alte Einträge.
4. Korrigiere das Hybrid-Routing. Sorge dafür, dass jedes Postfach nur an einem Ort existiert (ein Postfach in der Cloud muss lokal ein „Remote Mailbox“ sein, kein zweites Postfach), und dass Connectors nur für Empfänger, die wirklich auf der anderen Seite liegen, dorthin senden.
5. Überprüfe Gateways. Sitzt ein Filterdienst vor deinen Postfächern, dürfen der eingehende Weg (Gateway → Postfach) und der ausgehende Weg (Postfach → Gateway → Internet) dieselbe Nachricht nicht zurückschicken.
6. Beende Autoresponder-Duelle mit Regeln, die nicht auf automatische Nachrichten antworten.

Prüfe, ob es behoben ist

Sende eine neue Nachricht an die Adresse, die in der Schleife hing, und prüfe, dass sie mit nur wenigen Received-Zeilen ankommt. Hast du DNS geändert, gib der Verbreitung Zeit. Schick dann einen Test von dieser Domain an die Adresse auf der Startseite von Delivmail, um zu bestätigen, dass auch ausgehende E-Mails und Authentifizierung nach der Routing-Änderung in Ordnung sind.