SPF, DKIM und DMARC für Microsoft 365 einrichten

Was das bedeutet

Mit Microsoft 365 sendet Exchange Online deine E-Mails. Deine Domain muss den Empfängern mit drei DNS-Einträgen zeigen, dass sie Microsoft vertraut:

• SPF führt die Server von Microsoft als erlaubte Absender auf.
• DKIM signiert jede E-Mail mit einem Schlüssel, der mit deiner Domain verknüpft ist.
• DMARC sagt den Empfängern, was sie mit E-Mails tun sollen, die scheitern, und schickt dir Berichte.

Wenn du DKIM für deine eigene Domain nie aktiviert hast, signiert Microsoft mit deiner onmicrosoft.com-Domain. Diese Signatur besteht, passt aber nicht zu deiner Absenderadresse (From) und hilft deinem DMARC deshalb nicht.

Warum das wichtig ist

Gmail, Yahoo und Outlook.com erwarten SPF und DKIM und von Massenversendern DMARC. Microsoft selbst lehnt immer mehr E-Mails ab, die diese Prüfungen nicht bestehen, oder schiebt sie in den Junk-Ordner.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. SPF, DKIM und DMARC sollten alle bestehen, und DKIM sollte d=yourdomain.com zeigen.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine SPF- und DMARC-Einträge zu lesen.

So behebst du es

1. SPF

Behalte bei deinem DNS-Anbieter einen einzigen TXT-Eintrag, der mit v=spf1 beginnt, auf @. Nur für Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Wenn andere Tools für dich senden, füge ihre Includes in dieselbe Zeile ein. Nutze ~all, solange du nicht sicher bist, dass die Liste vollständig ist.

2. DKIM

1. Öffne das Microsoft Defender-Portal und geh zu E-Mail & Zusammenarbeit, Richtlinien & Regeln, Bedrohungsrichtlinien, E-Mail-Authentifizierungseinstellungen und dann zum Tab DKIM.
2. Wähle deine eigene Domain. Microsoft zeigt zwei CNAME-Einträge mit den Namen selector1._domainkey und selector2._domainkey.
3. Kopiere genau die Werte, die im Portal angezeigt werden: Sie zeigen auf einen Microsoft-Host, der aus deinem Domain- und Mandantennamen gebildet wird. Rate sie nicht.
4. Füge beide CNAME-Einträge bei deinem DNS-Anbieter hinzu.
5. Warte, bis sie sichtbar sind, und schalte dann Nachrichten für diese Domain mit DKIM-Signaturen signieren ein.

Dank zwei Selektoren kann Microsoft die Schlüssel wechseln, ohne dass etwas kaputtgeht. Behalte beide Einträge für immer.

3. DMARC

Füge einen TXT-Eintrag mit dem Namen _dmarc hinzu:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Lies die Berichte ein paar Wochen lang. Sobald jede echte Quelle besteht, wechsle zu p=quarantine und dann zu p=reject.

4. Vergiss den Rest nicht

• Jedes zusätzliche Tool (Newsletter, Rechnungen, Website-Formulare) braucht sein eigenes SPF-Include und seine eigene DKIM-Einrichtung.
• Wenn du nur die onmicrosoft.com-Domain besitzt, musst du dort nichts tun: Microsoft verwaltet sie.

Prüfe, ob es behoben ist

• Starte den Domain-Scanner noch einmal: ein gültiger SPF-Eintrag und ein DMARC-Eintrag.
• Sende eine neue Test-E-Mail aus Outlook: Alle drei Zeilen sollten bestehen, mit einer DKIM-Signatur deiner eigenen Domain.
• Mit der DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard kannst du die täglichen Berichte verfolgen, bevor du deine Richtlinie verschärfst.

Offizielle Hilfe: SPF, DKIM und DMARC für Microsoft 365.