Outlook.com „550 5.7.515 Access denied, sending domain doesn't meet the required authentication level“: so behebst du es

Was das bedeutet

Seit 2025 verlangt Microsoft, dass Domains, die viele E-Mails an private Postfächer (Outlook.com, Hotmail.com, Live.com) senden, richtig authentifiziert sind. Erfüllt deine Domain diese Regeln nicht, wird die E-Mail mit dieser Meldung abgelehnt:

550 5.7.515 Access denied, sending domain [yourdomain.com] doesn't meet
the required authentication level.

Die Regeln richten sich vor allem an Absender, die mehr als etwa 5.000 E-Mails pro Tag an diese Postfächer senden, aber es ist für alle eine gute Praxis, sie zu erfüllen.

Warum das passiert

Microsofts Anforderungen an Vielversender sind:

• SPF muss bestehen für die sendende Domain: Dein SPF-Eintrag muss die Server auflisten, die deine E-Mails senden.
• DKIM muss bestehen: Die E-Mail muss eine gültige DKIM-Signatur tragen.
• DMARC muss veröffentlicht sein, mindestens mit p=none, und muss bestehen, wobei SPF oder DKIM mit der Domain in der From-Adresse ausgerichtet ist (idealerweise beide).

Der Fehler erscheint, wenn eines davon fehlt oder fehlschlägt. Typische Fälle:

• Überhaupt kein DMARC-Eintrag.
• Ein Newsletter- oder Marketing-Tool sendet ohne DKIM für deine Domain.
• SPF enthält das Tool nicht oder hat einen Syntaxfehler bzw. zu viele Abfragen.
• DKIM signiert mit der Domain des Anbieters statt mit deiner, also ist es nicht ausgerichtet.

Microsoft empfiehlt außerdem einen funktionierenden Abmeldelink, gültige From- und Reply-To-Adressen und eine regelmäßige Listenpflege.

So prüfst du es

• Sende eine Test-E-Mail: Kopiere auf der Startseite von Delivmail (/) deine einmalige Testadresse und schick eine ganz normale E-Mail von demselben Server, Tool oder Postfach, das den Bounce erhalten hat. Öffne den Bericht, sobald er fertig ist.
• Lies die Abschnitte zu SPF, DKIM und DMARC im Bericht: Alle drei sollten bestehen, und DMARC sollte die Ausrichtung anzeigen.
• Starte den Domain-Scanner unter /domain-scanner, um zu prüfen, dass deine Domain einen einzigen gültigen SPF-Eintrag und einen DMARC-Eintrag hat.
• Wiederhole das für jedes Tool, das an deine Kunden sendet: Postfach, Newsletter-Tool, Shop, CRM.

So behebst du es

1. Veröffentliche einen DMARC-Eintrag, falls du keinen hast. Ein sicherer Anfang ist:

   _dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

2. Korrigiere SPF. Behalte einen einzigen Eintrag, der jeden Dienst enthält, der für dich sendet, zum Beispiel v=spf1 include:spf.provider-example.com ~all, und bleib unter 10 DNS-Abfragen.
3. Schalte DKIM mit deiner eigenen Domain ein in jedem Versand-Tool. Veröffentliche die TXT- oder CNAME-Einträge, die es dir gibt, und klick dann im Tool auf „Verify“.
4. Richte die Domains aus. Die Domain in der From-Adresse sollte mit der DKIM-Signaturdomain übereinstimmen und idealerweise mit der Return-Path-Domain (Bounce-Domain), die SPF nutzt. Viele Tools erlauben einen eigenen Return-Path auf deiner Domain.
5. Füge Marketing-E-Mails einen klaren Abmeldelink hinzu und entferne Adressen, die Bounces erzeugen.

Prüfe, ob es behoben ist

Warte, bis sich die DNS-Änderungen verbreitet haben. Sende von jedem Tool eine neue E-Mail an eine neue Delivmail-Testadresse und prüfe, dass SPF, DKIM und DMARC alle mit Ausrichtung bestehen. Sende dann erneut an die Outlook.com- oder Hotmail-Adresse, die den Bounce verursacht hat. Sobald die Authentifizierung stimmt, sollte genau dieser Fehler verschwinden; andere Filter können trotzdem greifen, also halte deine Listen sauber.