Microsoft 365 „550 5.7.1 RESOLVER.RST.AuthRequired“: so behebst du es

Was das bedeutet

Du hast eine E-Mail an eine Adresse bei Microsoft 365 geschickt, meist eine Gruppe (Verteilerliste, Microsoft-365-Gruppe, Adresse eines Teams-Teams), einen E-Mail-aktivierten öffentlichen Ordner oder ein eingeschränktes Postfach. Dieser Empfänger nimmt nur Nachrichten von authentifizierten Absendern an, also von Personen, die in derselben Organisation angemeldet sind. Du gehörst nicht dazu, deshalb wurde die Nachricht abgelehnt. Microsoft dokumentiert diesen Text für öffentliche Ordner:

Remote Server returned '<xxxxxxxx> #5.7.1 smtp;550 5.7.1 RESOLVER.RST.AuthRequired; authentication required [Stage: CreateMessage]'

RESOLVER.RST steht für „recipient restriction“ (Empfängereinschränkung). Neuere Bounces zeigen statt 5.7.1 oft einen genaueren Code:

• 5.7.133: Absender für die Gruppe nicht authentifiziert.
• 5.7.134: Absender für das Postfach nicht authentifiziert.
• 5.7.13 oder 5.7.135: Absender für den öffentlichen Ordner nicht authentifiziert.
• 5.7.136: Absender für einen E-Mail-Benutzer nicht authentifiziert.

Im lesbaren Teil steht meist, dass die Gruppe „only accepts messages from people in its organization or on its allowed senders list“ (nur Nachrichten von Personen aus der Organisation oder von der Liste zulässiger Absender annimmt).

Warum das passiert

Das ist eine Einstellung, keine Spam-Entscheidung. Dein SPF, DKIM und deine IP-Reputation haben damit nichts zu tun. Typische Situationen:

• Ein Unternehmen legt sales@ oder support@ als Verteilergruppe oder Microsoft-365-Gruppe an. Standardmäßig nehmen diese Gruppen nur interne Absender an, also kommen die E-Mails der Kunden zurück.
• Die E-Mail-Adresse eines Teams-Teams oder ein öffentlicher Ordner, der als gemeinsamer Posteingang dient, wurde nie für externe Absender geöffnet.
• Ein Admin hat ein Postfach bewusst auf interne Absender beschränkt.
• Ein Kontaktformular auf der Website sendet über einen externen Dienst an eine Gruppenadresse, und das zählt als externer Absender.

Steht im Bounce stattdessen 5.7.124 Sender not in allowed-senders list, nimmt die Gruppe nur eine namentliche Liste von Absendern an; die Lösung ist dann, den Absender zu dieser Liste hinzuzufügen.

So prüfst du es

1. Lies den Bounce: Er nennt den eingeschränkten Empfänger und, bei 5.7.133 bis 5.7.136, dessen Typ.
2. Wenn du der Absender bist, prüfe, ob die Adresse wirklich zur gewünschten Organisation gehört (schau dir ihren MX mit dem Domain-Scanner von Delivmail an), kontaktiere sie dann auf anderem Weg und leite ihnen den Bounce weiter.
3. Wenn du Admin bist, prüfe die Einstellung in Exchange Online PowerShell:

   Get-DistributionGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled,AcceptMessagesOnlyFromSendersOrMembers
   Get-UnifiedGroup sales@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-MailPublicFolder support@yourdomain.com | Format-List RequireSenderAuthenticationEnabled
   Get-Mailbox info@yourdomain.com | Format-List RequireSenderAuthenticationEnabled

   True bedeutet, dass nur interne, authentifizierte Absender angenommen werden.

So behebst du es

Nur der Admin beim Empfänger (oder der Besitzer der Gruppe) kann das ändern. Entscheide zuerst, ob Externe an die Adresse schreiben sollen: Wenn du alle zulässt, erreichen auch Spam und Phishing alle Gruppenmitglieder.

Verteilergruppe

Öffne im Exchange admin center Recipients > Groups, wähle die Gruppe, dann Settings, und aktiviere die Option, mit der Personen außerhalb der Organisation an die Gruppe senden dürfen. Oder:

Set-DistributionGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

Microsoft-365-Gruppe oder Teams-Team

Geh im Microsoft 365 admin center zu Teams & groups > Active teams & groups, öffne die Gruppe und aktiviere in ihren Einstellungen die Option, dass Personen außerhalb der Organisation dem Team E-Mails schicken dürfen. Oder:

Set-UnifiedGroup sales@yourdomain.com -RequireSenderAuthenticationEnabled $false

E-Mail-aktivierter öffentlicher Ordner

Die Schritte laut Microsoft: Exchange admin center, Public folders, Ordner bearbeiten, Mail flow settings, dann unter Message Delivery Restrictions > Accept messages from die Option Require that all senders are authenticated deaktivieren und All senders wählen. Oder:

Set-MailPublicFolder support@yourdomain.com -RequireSenderAuthenticationEnabled $false

Postfach

Set-Mailbox info@yourdomain.com -RequireSenderAuthenticationEnabled $false

Sicherere Alternativen

• Für eine gemeinsame Adresse wie support@ nimm ein freigegebenes Postfach (Shared Mailbox): Es nimmt externe E-Mails standardmäßig an und speichert eine einzige Kopie, statt an jedes Mitglied zu senden.
• Um eine Gruppe nur für einen Partner zu öffnen, lege seine Adresse als E-Mail-Kontakt an und setze sie auf die Liste zulässiger Absender der Gruppe, statt die Gruppe für alle zu öffnen.
• Für Gruppen mit mehr als 5.000 Mitgliedern gelten zusätzliche Einschränkungen (Moderation); Microsoft dokumentiert sie separat.

Wenn du eine Gruppe für externe Absender öffnest, prüfen die Filter von Microsoft diese Nachrichten trotzdem. E-Mails von Absendern mit schwacher Authentifizierung können weiterhin im Junk landen, wie in E-Mails landen in Outlook im Junk-Ordner erklärt.

Prüfe, ob es behoben ist

• Änderungen brauchen eine Weile, bis sie repliziert sind. Sende dann einen Test von einem externen Postfach (zum Beispiel einer privaten Adresse) an die Gruppe oder den Ordner.
• Bekommt der ursprüngliche Absender weiterhin einen Bounce, vergleiche den Code: Ein anderer Code (zum Beispiel 5.1.10 Empfänger nicht gefunden) deutet auf ein anderes Problem hin.
• Wenn du der Absender bist und sicher sein willst, dass deine eigene Konfiguration sauber ist, schick einen Test an die Adresse auf der Startseite von Delivmail.