Microsoft 365 „550 5.7.520 ... does not allow external forwarding“: so behebst du es

Was das bedeutet

Jemand in einer Microsoft-365-Organisation hat eine automatische Weiterleitung (eine Posteingangsregel oder eine Postfachweiterleitung) an eine Adresse außerhalb der Organisation eingerichtet, zum Beispiel an eine private Gmail-Adresse. Als eine Nachricht ankam und Microsoft 365 sie weiterleiten wollte, hat die Richtlinie für ausgehenden Spam die Weiterleitung blockiert und einen Bounce geschickt. Microsoft dokumentiert diesen Text:

5.7.520 Access denied, Your organization does not allow external forwarding. Please contact your administrator for further assistance. AS(7555)

Wer den Bounce bekommt, kann verwirren: Er geht an den ursprünglichen Absender, der vielleicht außerhalb der Organisation ist und nichts falsch gemacht hat. Die Lösung liegt immer bei der Organisation, die weiterleitet.

Warum das passiert

Automatische Weiterleitung an externe Adressen ist ein klassisches Datenleck: Angreifer, die ein Postfach übernehmen, legen oft eine versteckte Regel an, die alle E-Mails an sie kopiert. Microsoft steuert das deshalb in der Richtlinie für ausgehende Spamfilter (outbound spam filter policy), mit drei Einstellungen:

• Automatic - System-controlled (Standard). Seit 2021 verhält sich das für neue Organisationen und für die meisten bestehenden wie „Off“, Weiterleitung ist also blockiert, solange niemand sie erlaubt hat.
• On - Forwarding is enabled: Externe Weiterleitung ist erlaubt.
• Off - Forwarding is disabled: Externe Weiterleitung ist blockiert und erzeugt den Bounce 5.7.520.

Zwei weitere Steuerungen können Weiterleitungen ebenfalls blockieren: Remotedomänen (remote domains, die Option „Allow automatic forwarding“ pro externer Domain) und Nachrichtenflussregeln (mail flow rules). Erlaubt eine Steuerung und blockiert eine andere, gewinnt die Sperre.

So prüfst du es

1. Bestätige, dass der Bounce 5.7.520 und AS(7555) enthält. Notiere das weiterleitende Postfach, das im Bounce steht (es ist der Empfänger der ursprünglichen Nachricht, nicht die Endadresse).
2. Öffne im Microsoft-Defender-Portal Email & collaboration > Policies & rules > Threat policies > Anti-spam, öffne die ausgehende Richtlinie, die für diesen Benutzer gilt, und sieh dir Automatic forwarding rules an. Oder in PowerShell:

   Get-HostedOutboundSpamFilterPolicy | Format-List Name,AutoForwardingMode
   Get-HostedOutboundSpamFilterRule | Format-List Name,HostedOutboundSpamFilterPolicy,From,FromMemberOf

3. Finde heraus, wer extern weiterleitet, mit dem Bericht Auto forwarded messages im Exchange Admin Center, und prüfe das Postfach selbst:

   Get-Mailbox user@yourdomain.com | Format-List ForwardingSmtpAddress,DeliverToMailboxAndForward
   Get-InboxRule -Mailbox user@yourdomain.com | Where-Object {$_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo}

4. Erinnert sich niemand daran, die Regel angelegt zu haben, behandle das Konto als kompromittiert, bevor du irgendetwas anderes tust: siehe ein gehacktes E-Mail-Konto versendet Spam.

So behebst du es

Option 1: nicht weiterleiten (oft die beste Antwort)

Gib dem Benutzer auf anderem Weg Zugriff: die Outlook-App auf dem Handy, ein freigegebenes Postfach oder eine Stellvertretung. Weiterleitung hat außerdem einen Preis bei der Zustellbarkeit: Weitergeleitete Nachrichten fallen am Ziel oft bei SPF durch und können im Spam landen, wie in E-Mail-Weiterleitung bricht SPF erklärt.

Option 2: Weiterleitung nur für die Leute erlauben, die sie brauchen

Stell die Standardrichtlinie nicht für alle auf „On“. Lege eine eigene ausgehende Richtlinie an, die nur für die erlaubten Benutzer oder die erlaubte Gruppe gilt:

New-HostedOutboundSpamFilterPolicy -Name "Allow forwarding" -AutoForwardingMode On
New-HostedOutboundSpamFilterRule -Name "Allow forwarding" `
  -HostedOutboundSpamFilterPolicy "Allow forwarding" -From user@yourdomain.com

Dasselbe geht im Defender-Portal (eine ausgehende Richtlinie anlegen, die Benutzer wählen, Automatic forwarding rules auf On - Forwarding is enabled stellen). Setze die Standardrichtlinie ausdrücklich auf Off statt „Automatic“, damit das Verhalten eindeutig ist.

Option 3: einschränken, wohin E-Mails gehen dürfen

Nutze Remotedomänen, um automatische Weiterleitung nur an bestimmte Partnerdomains zu erlauben, und blockiere sie für die Standard-Remotedomäne (*). Denk daran, dass eine Sperre an irgendeiner Stelle eine Erlaubnis schlägt.

Wenn du der externe Absender bist

Auf deiner Seite gibt es nichts zu ändern: Deine E-Mail hat das Postfach des Empfängers erreicht, nur die Weiterleitung ist fehlgeschlagen. Sag dem Empfänger (über einen anderen Kanal), dass seine Weiterleitungsregel blockiert ist, damit er mit seinem Administrator sprechen kann.

Prüfe, ob es behoben ist

• Es kann eine Weile dauern, bis Richtlinienänderungen greifen. Sende dann von einer externen Adresse eine Test-E-Mail an das weiterleitende Postfach und prüfe, ob die Kopie an der externen Adresse ankommt.
• Um zu sehen, wie die weitergeleitete Kopie für Filter aussieht, stelle die Weiterleitung vorübergehend auf die einmalige Adresse auf der Startseite von Delivmail: Der Bericht zeigt, ob SPF, DKIM und ARC die Weiterleitung überstehen.
• Prüfe den Bericht Auto forwarded messages regelmäßig, damit eine vergessene oder bösartige Regel nicht aktiv bleibt.