Outlook „This sender failed our fraud detection checks“: so behebst du es

Was das bedeutet

Empfänger mit Outlook.com, Hotmail oder Outlook im Web sehen oben in deiner E-Mail einen Warnbalken. Der Text lautet meist:

This sender failed our fraud detection checks and may not be who they appear to be. Learn about spoofing

Microsoft konnte nicht bestätigen, dass die E-Mail wirklich von der Domain in der From-Adresse stammt. Die Nachricht wurde trotzdem zugestellt (oft im Junk-Ordner), aber der Leser wird gewarnt, dass sie gefälscht sein könnte: gesendet von jemandem, der sich als du ausgibt.

Diese Warnung ist stärker als das graue „?“-Bild und der Hinweis „We can't verify the sender“. Die bedeuten „nicht überprüft“; diese hier bedeutet „Überprüfung fehlgeschlagen“. Siehst du nur das „?“, lies stattdessen Outlook zeigt „?“ oder „We can't verify the sender“.

Warum das passiert

Microsoft kombiniert SPF, DKIM, DMARC und andere Signale zu einem einzigen Urteil, der zusammengesetzten Authentifizierung (composite authentication, compauth). Der Balken erscheint, wenn dieses Urteil negativ ausfällt. Häufige Gründe:

• Der sendende Server steht nicht in deinem SPF-Eintrag und es gibt keine gültige DKIM-Signatur für deine Domain. Typischer Fall: eine Website, ein CRM oder ein Newsletter-Tool sendet „From“ deiner Domain, ohne dafür autorisiert zu sein.
• Das DMARC-Alignment schlägt fehl: SPF und DKIM bestehen, aber für eine andere Domain (die eigene Domain des Tools), nicht für die in deiner From-Adresse. Siehe DMARC schlägt fehl: SPF und DKIM passen nicht zu deiner Domain.
• Weiterleitungen oder Mailinglisten: Die Nachricht wurde weitergeleitet oder über eine Liste verschickt, die sie verändert hat, sodass SPF fehlschlägt und die DKIM-Signatur bricht.
• Ein Kontaktformular sendet „From“ der Adresse des Besuchers (zum Beispiel einer Gmail-Adresse) über deinen Webserver. Aus Sicht von Microsoft ist das Spoofing.
• Echtes Spoofing: Jemand anderes verschickt gefälschte E-Mails mit deiner Domain.

So prüfst du es

1. Sende eine Test-E-Mail mit demselben Tool oder Server an die einmalige Adresse auf der Startseite von Delivmail. Der Bericht zeigt die Ergebnisse von SPF, DKIM und DMARC und ob jedes davon zu deiner From-Domain passt (Alignment).
2. Lies die Header einer markierten Nachricht im Postfach des Empfängers (in Outlook im Web: die drei Punkte, dann View > View message source). Schau dir Authentication-Results an:

   Authentication-Results: spf=fail (sender IP is 203.0.113.25) smtp.mailfrom=yourdomain.com;
    dkim=none (message not signed) header.d=none;
    dmarc=fail action=none header.from=yourdomain.com;
    compauth=fail reason=001

   Microsoft dokumentiert die Gründe: 000 bedeutet, DMARC ist mit einer quarantine- oder reject-Richtlinie fehlgeschlagen; 001 bedeutet, die implizite Authentifizierung ist fehlgeschlagen (keine Einträge oder schwache wie SPF ~all oder DMARC p=none).
3. Prüfe dein DNS mit dem Domain-Scanner: ein SPF-Eintrag, der alle deine Absender auflistet, ein DKIM-Schlüssel für jedes Tool und ein DMARC-Eintrag.

So behebst du es

1. Liste jeden Dienst auf, der als deine Domain sendet: E-Mail-Anbieter, Website, Rechnungsprogramm, CRM, Newsletter, Helpdesk.
2. Autorisiere jeden davon in SPF (ein Eintrag, höchstens 10 DNS-Lookups):

   Host: yourdomain.com
   Type: TXT
   Value: v=spf1 include:spf.protection.outlook.com include:_spf.example-esp.com -all

   Nutze die include-Werte, die dir jeder Anbieter nennt; das Beispiel oben zeigt nur die Form.
3. Aktiviere DKIM mit deiner eigenen Domain in jedem Tool (nicht mit der Standarddomain des Tools). Genau das hält die Authentifizierung intakt, wenn E-Mails weitergeleitet werden.
4. Veröffentliche DMARC, zuerst im Überwachungsmodus:

   Host: _dmarc.yourdomain.com
   Type: TXT
   Value: v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

   Lies die Berichte, bring jede legitime Quelle in Ordnung und wechsle dann zu quarantine oder reject.
5. Repariere Kontaktformulare: Sende „From“ einer Adresse deiner Domain und setze die Adresse des Besuchers in Reply-To.
6. Wenn du über Microsoft 365 sendest, folge SPF, DKIM und DMARC für Microsoft 365; DKIM ist erst aktiv, wenn du es für deine eigene Domain einschaltest.

Wenn du Empfänger bittest, dich zu den sicheren Absendern hinzuzufügen, verschwindet der Balken nur bei ihnen. Das ist keine Lösung und hilft anderen Empfängern nicht.

Prüfe, ob es behoben ist

• Warte, bis die DNS-Änderungen verbreitet sind, und schick dann einen neuen Test an die Delivmail-Adresse: SPF oder DKIM muss bestehen und zur Domain passen, und DMARC muss bestehen.
• Sende eine neue Nachricht an eine Outlook.com-Adresse und prüfe, dass compauth=pass in ihren Headern steht und der Balken weg ist. Alte Nachrichten behalten ihre Warnung.