Microsoft „550 5.7.509 ... does not pass DMARC verification and has a DMARC policy of reject“: so behebst du es

Was das bedeutet

Deine Domain veröffentlicht eine DMARC-Richtlinie reject, die Empfängern sagt: „Wenn eine E-Mail, die angeblich von uns kommt, DMARC nicht besteht, lehnt sie ab.“ Microsoft (Outlook.com und Microsoft 365) hat genau das getan. Der Bounce sieht meist so aus:

550 5.7.509 Access denied, sending domain yourdomain.com does not pass
DMARC verification and has a DMARC policy of reject.

DMARC besteht nur, wenn SPF oder DKIM besteht und die geprüfte Domain mit der Domain in der sichtbaren From-Adresse übereinstimmt. Das nennt man Ausrichtung (Alignment).

Warum das passiert

• Ein Versanddienst ist nicht authentifiziert für deine Domain: Ein Newsletter-Tool, CRM, Shop oder eine Website sendet mit deiner From-Adresse, aber ohne deinen DKIM-Schlüssel und von Servern, die nicht in deinem SPF stehen.
• SPF besteht, ist aber nicht ausgerichtet: Der Dienst nutzt seine eigene Bounce-Domain, also besteht SPF für die Domain des Dienstes, nicht für deine.
• DKIM signiert mit der falschen Domain: Die E-Mail wird mit der Standarddomain des Anbieters signiert statt mit deiner.
• Weiterleitung: Eine von einem anderen Server weitergeleitete E-Mail kann SPF brechen, und eine Mailingliste, die den Inhalt verändert, kann DKIM brechen.
• Spoofing: Jemand anderes verschickt gefälschte E-Mails mit deiner Domain. In diesem Fall macht DMARC mit der Ablehnung genau seinen Job.

So prüfst du es

• Sende eine Test-E-Mail: Kopiere auf der Startseite von Delivmail (/) deine einmalige Testadresse und schick eine ganz normale E-Mail von demselben Server, Tool oder Postfach, das den Bounce erhalten hat. Öffne den Bericht, sobald er fertig ist.
• Lies den DMARC-Abschnitt. Er zeigt, ob SPF und DKIM bestehen und ob beide jeweils mit deiner From-Domain ausgerichtet sind.
• Prüfe deine Einträge unter /domain-scanner: ein SPF-Eintrag, ein DMARC-Eintrag und wo möglich DKIM.
• Lies deine DMARC-Sammelberichte, um jeden Dienst zu finden, der als deine Domain sendet. Das kostenpflichtige Dashboard von Delivmail liest diese Berichte und fasst sie für dich zusammen.

So behebst du es

1. Finde den Dienst, der die abgelehnte E-Mail gesendet hat. Sieh dir den Bounce und die Header der Originalnachricht an.
2. Richte DKIM mit deiner eigenen Domain ein in diesem Dienst. Die meisten Tools geben dir einen oder mehrere DNS-Einträge (TXT oder CNAME) zum Veröffentlichen. DKIM ist der zuverlässigste Weg, DMARC zu bestehen, weil es Weiterleitungen übersteht.
3. Füge den Dienst zu deinem SPF-Eintrag hinzu, wenn er von eigenen Servern sendet, und richte eine eigene Bounce-Domain (Return-Path) auf deiner Domain ein, wenn der Dienst das anbietet.
4. Behalte einen einzigen SPF-Eintrag und bleib unter 10 DNS-Abfragen.
5. Wenn du es nicht schnell beheben kannst, senke deine Richtlinie vorübergehend auf p=quarantine oder p=none, während du den Dienst korrigierst. Geh zurück auf reject, sobald alle deine Dienste bestehen.
6. Wenn die E-Mails nicht von dir sind, ändere nichts an DMARC: p=reject schützt deine Domain.

Prüfe, ob es behoben ist

Warte, bis sich die DNS-Änderungen verbreitet haben (meist Minuten, manchmal einige Stunden). Sende eine neue E-Mail vom selben Dienst an eine neue Delivmail-Testadresse und prüfe, dass DMARC mit ausgerichtetem SPF oder DKIM besteht. Sende dann erneut an die Microsoft-Adresse, die den Bounce verursacht hat. Behalte deine DMARC-Berichte im Blick, um weitere Dienste zu finden, die noch fehlschlagen.