Microsoft 365 „550 5.1.8 Access denied, bad outbound sender“

Was das bedeutet

Ein Nutzer von Microsoft 365 versucht, eine E-Mail zu senden, und bekommt zurück:

550 5.1.8 Access denied, bad outbound sender

Microsoft hat dieses Konto auf seine Liste der eingeschränkten Entitäten gesetzt. Das passiert, wenn ein Konto viel Spam sendet oder die Versandlimits überschreitet. Das Konto kann weiterhin E-Mails empfangen, aber keine mehr senden.

In den meisten Fällen wurde das Konto gehackt: Jemand hat das Passwort gestohlen (oft mit einer Phishing-E-Mail) und damit Spam gesendet. Manchmal ist es ein legitimer, aber sehr großer Massenversand aus einem normalen Postfach. Postfächer von Microsoft 365 haben tägliche Versandlimits und sind nicht für Newsletter gedacht.

Warum das wichtig ist

• Der Nutzer kann keine E-Mails senden, bis ein Administrator das Konto entsperrt.
• Wenn das Konto gehackt wurde, hat der Angreifer vielleicht noch Zugriff, hat versteckte Weiterleitungsregeln angelegt oder vertrauliche E-Mails gelesen.
• Spam, der von deiner Domain gesendet wird, kann ihren Ruf schädigen und sie auf Blacklists bringen.

So prüfst du es

• Öffne im Microsoft Defender-Portal die Seite Eingeschränkte Entitäten: Der gesperrte Nutzer ist dort aufgeführt.
• Schau dir den Ordner Gesendete Elemente und die Anmeldeprotokolle an, um Nachrichten und Anmeldungen zu finden, die der Nutzer nicht kennt.
• Prüfe deine Blacklists: Gib deine Domain unter /domain-scanner ein oder prüfe deine Versand-IPs unter /blacklists.

So behebst du es

1. Sichere zuerst das Konto. Setze das Passwort zurück, melde den Nutzer von allen Sitzungen ab und schalte die Multi-Faktor-Authentifizierung (MFA) ein.
2. Such nach Fallen, die der Angreifer hinterlassen hat. Entferne unbekannte Posteingangsregeln, Weiterleitungen an externe Adressen und unbekannte Apps oder Geräte, die mit dem Konto verbunden sind.
3. Scanne den Computer des Nutzers auf Schadsoftware, wenn das Passwort von dort gestohlen worden sein könnte.
4. Entsperre den Nutzer. Geh im Defender-Portal auf die Seite Eingeschränkte Entitäten, wähle den Nutzer aus und entsperre ihn. Es kann bis zu 24 Stunden dauern, bis das wirkt. Microsoft begrenzt, wie oft ein Konto entsperrt werden kann, also überspring die vorherigen Schritte nicht.
5. Verlege Massenversände woandershin. Wenn die Sperre von einem echten Newsletter kam, sende ihn über einen eigenen E-Mail-Marketing-Dienst, nicht über ein normales Postfach.

Microsoft erklärt den gesamten Ablauf unter Reagieren auf ein kompromittiertes E-Mail-Konto.

Prüfe, ob es behoben ist

Sende nach dem Entsperren eine kurze E-Mail von dem Konto an eine externe Adresse. Sende dann davon eine Test-E-Mail an die Adresse auf der Delivmail-Startseite /: Der Bericht sollte zeigen, dass SPF, DKIM und DMARC bestehen und kein Blacklist-Eintrag vorliegt. Mit der DMARC-Überwachung im kostenpflichtigen Dashboard behältst du in den folgenden Wochen unerwarteten Versand von deiner Domain im Blick.