Anleitung zur Einrichtung von DMARC für Office 365 (2026)

Nutzen Sie diese Schritt-für-Schritt-Anleitung, um DMARC für Office 365 einzurichten. Erfahren Sie mehr über relevante Änderungen bei den Compliance-Anforderungen, gängige Methoden zur Fehlerbehebung und warum Microsoft 365 allein für die E-Mail-Sicherheit nicht ausreicht.

Microsoft unterstützt und empfiehlt die Einrichtung von DMARC für Office 365, auch bekannt als Microsoft 365 oder M365. Dies ermöglicht es Kunden, E-Mail-Authentifizierungsprotokolle einheitlich für alle ihre registrierten Domains einzuführen. Als Experte für Authentifizierungsprotokolle erläutern wir in diesem Blog die Vorgehensweise zur Konfiguration von DMARC für Office 365, um E-Mails zu validieren, die folgende Merkmale aufweisen:

• Online-E-Mail-Routing-Adressen mit Microsoft haben
• Benutzerdefinierte Domains im Verwaltungszentrum hinzugefügt haben
• Geparkte oder inaktive, aber registrierte Domains haben

Lesen Sie diesen Leitfaden, um mehr über DMARC für Microsoft 365 zu erfahren, die Schritte zur Einrichtung, die Änderung der Authentifizierungsanforderungen und darüber, warum Tools wie PowerDMARC notwendig sind, um die Durchsetzung schrittweise einzuführen.

Kurzantwort

Falls Sie eine Kurzfassung benötigen, finden Sie hier die grundlegenden Schritte zur Einrichtung von DMARC in Microsoft 365:

1. SPF konfigurieren: Fügen Sie „v=spf1 include:spf.protection.outlook.com -all“ zu Ihren DNS-Einstellungen hinzu.
2. DKIM aktivieren: Gehen Sie zu Microsoft 365 Defender → E-Mail und Zusammenarbeit → Richtlinien und Regeln → Bedrohungsrichtlinien → DKIM → Domain auswählen → Aktivieren (erfordert zwei CNAME-Einträge)
3. DMARC veröffentlichen: Erstellen Sie unter _dmarc.yourdomain.com einen TXT-Eintrag, der mit „v=DMARC1; p=none; rua=mailto:[email protected]“ beginnt.
4. Berichte 2–4 Wochen lang überwachen, dann schrittweise auf p=Quarantäne → p=Ablehnen umstellen

Eine ausführlichere Anleitung finden Sie am Ende dieses Blogbeitrags.
Hinweis: Dieser Schnellweg funktioniert nur, wenn alle legitimen Microsoft 365- und Drittanbieter-Absenderquellen korrekt authentifiziert und abgeglichen sind. Wenn Sie Plattformen wie CRMs, Marketing-Automatisierungstools, Helpdesk-Systeme oder Abrechnungstools verwenden, identifizieren Sie diese, bevor Sie mit der Durchsetzung fortfahren.

Was ist DMARC und warum ist es für Microsoft 365 wichtig?

DMARC steht für „Domain-based Message Authentication, Reporting, and Conformance“. Es handelt sich um ein E-Mail-Authentifizierungsprotokoll, das dazu beiträgt, Domains vor Spoofing, Phishing und unbefugter Nutzung zu schützen.

DMARC baut auf SPF und DKIM auf. Es prüft, ob eine Nachricht die SPF- oder DKIM-Prüfung besteht und ob die Domain, die diese Prüfung besteht, mit der sichtbaren „From“-Domain übereinstimmt. Anschließend teilt es den empfangenden Mail-Servern mit, wie sie mit Nachrichten verfahren sollen, die die Authentifizierung nicht bestehen.

Für Microsoft 365-Nutzer ist DMARC aus zwei Gründen von Bedeutung:

• Es trägt dazu bei, Angreifer daran zu hindern, sich als Ihre Domain auszugeben.
• Es stärkt das Vertrauen und verbessert die Zustellbarkeit legitimer ausgehender E-Mails.

Exchange Online Protection überprüft eingehende E-Mails auf DMARC-Konformität, doch dadurch wird Ihre eigene Domain nicht automatisch vor Identitätsbetrug durch Dritte geschützt. Um die Identität ausgehender E-Mails zu schützen, müssen Sie SPF-, DKIM- und DMARC-Einträge für Ihre Domain veröffentlichen.

Weitere Informationen zur Implementierung finden Sie unter den DMARC-Leitfaden von PowerDMARC.

DMARC 2026: Aktuelles zu den RFCs 9989, 9990 und 9991

Im Mai 2026 wurde DMARC durch drei IETF-RFCs aktualisiert:

RFC 9989 ersetzt RFC 7489 und RFC 9091 und erhebt DMARC in den Status eines vorgeschlagenen Standards. Für Domaininhaber ist die wichtigste praktische Änderung der Übergang von der Erkennung organisatorischer Domains auf Basis der Public Suffix List zum DNS-Tree-Walk.

Bestehende DMARC-Einträge beginnen nach wie vor mit:

txt

v=DMARC1

Die meisten Microsoft 365-Administratoren tun dies also nicht ihre DNS-Einträge sofort neu erstellen. Sie sollten jedoch Folgendes überprüfen:

• sp= Verhalten der Subdomain-Richtlinie
• Jede beliebige komplexe Struktur aus delegierten Subdomains
• Domains und Subdomains, die E-Mails über Microsoft 365 oder Plattformen von Drittanbietern versenden
• Nicht versendende und inaktive Domains, die gesperrt werden sollten

Falls Ihr Unternehmen eine komplexe Domain-Hierarchie verwendet, sollten Sie für jede Domain und Subdomain, von der E-Mails versendet werden, explizite DMARC-Einträge veröffentlichen. Dies verringert Unklarheiten, wenn Empfänger von einer älteren DMARC-Verarbeitung auf das Verhalten gemäß RFC 9989 umstellen.

Weitere Informationen finden Sie im Leitfaden von PowerDMARC zu den Aktualisierung der DMARC-RFCs 9989, 9990 und 9991.

Übernimmt Microsoft 365 die DMARC-Verwaltung für Sie?

Microsoft 365 führt eine DMARC-Überprüfung für eingehende E-Mails durch, konfiguriert jedoch den Schutz der ausgehenden Domäne für Ihre benutzerdefinierte Domäne nicht vollständig.

Exchange Online Protection überprüft automatisch die SPF-, DKIM- und DMARC-Einstellungen der Nachrichten, die Ihre Organisation erhält. Dies trägt dazu bei, Benutzer vor gefälschten eingehenden E-Mails zu schützen.

Bei ausgehenden E-Mails sieht die Verantwortungslage anders aus. Sie müssen für jede sendende Domain SPF konfigurieren, DKIM aktivieren und einen DMARC-Eintrag im DNS veröffentlichen.

Am einfachsten lässt sich dieser Unterschied so verstehen: Microsoft schützt Ihren Microsoft 365-Posteingang, während DMARC die Identität Ihrer Domain im gesamten E-Mail-Ökosystem schützt.

Wenn Sie sich ausschließlich auf native Microsoft 365-Steuerelemente verlassen, fehlen Ihnen möglicherweise dennoch:

• Für Menschen lesbare DMARC-Berichte
• Einblick in Absender von Drittanbietern
• Leitfaden für den Übergang von „p=none“ zu „enforcement“
• Zentrale Überwachung domänenübergreifend
• Verwaltung der SPF-Abfrage-Limits
• Benachrichtigungen, wenn Anbieter oder DNS-Einträge nicht mehr übereinstimmen

Eine detaillierte Aufschlüsselung finden Sie unter warum Microsoft 365-Nutzer weiterhin DMARC benötigen.

Voraussetzungen: SPF und DKIM für Microsoft 365 einrichten

Bevor Sie einen DMARC-Eintrag veröffentlichen, stellen Sie sicher, dass sowohl SPF als auch DKIM für Ihre Domain korrekt konfiguriert sind. DMARC führt keine eigene Authentifizierung von E-Mails durch, sondern stützt sich vollständig auf die Ergebnisse von SPF und/oder DKIM. Fehlen diese oder sind sie nicht aufeinander abgestimmt, schlägt DMARC fehl, und legitime E-Mails können beeinträchtigt werden, sobald die Durchsetzung aktiviert ist.

Schritt 1: SPF für Microsoft 365 konfigurieren

SPF (Sender Policy Framework) legt fest, welche Mailserver berechtigt sind, E-Mails für Ihre Domain zu versenden.

Für eine reine Microsoft 365-Domäne lautet der Standard-SPF-Eintrag:

v=spf1 include:spf.protection.outlook.com -all

Wenn Sie Absender von Drittanbietern verwenden, nehmen Sie diese in denselben SPF-Eintrag auf:

v=spf1 include:spf.protection.outlook.com include:_spf.salesforce.com -all

Wichtig: Pro Domain darf nur ein SPF-TXT-Eintrag vorhanden sein. Mehrere SPF-Einträge führen zu einem SPF-PermError und können die Authentifizierung beeinträchtigen.

SPF hat zudem eine feste Obergrenze von 10 DNS-Abfragen. Wird diese überschritten, führt dies zu einem SPF-PermError, den DMARC als Fehler interpretiert. Wenn Sie mehrere SaaS-Dienste nutzen, verwenden Sie den gehosteten SPF-Dienst von PowerSPF mit Makros , um das Limit dauerhaft einzuhalten, ohne manuelle DNS-Änderungen vornehmen zu müssen. Sie können außerdem Ihren aktuellen SPF-Eintrag überprüfen oder diesen SPF-Generator kostenlos nutzen.

Schritt 2: DKIM für Microsoft 365 aktivieren

DKIM (DomainKeys Identified Mail) versieht Ihre E-Mails mit einer kryptografischen Signatur. Dadurch können empfangende Server überprüfen, ob die Nachricht nicht verändert wurde und tatsächlich von Ihrer Domain stammt.

⚠️  DKIM in Microsoft 365 ist für benutzerdefinierte Domänen standardmäßig nicht aktiviert. Sie müssen es im Admin-Center ausdrücklich aktivieren.

Manuelle DKIM-Einrichtung: DNS + Admin-Center

1. Zum Microsoft 365 Defender-Portal wechseln
2. Navigieren Sie zu „E-Mail und Zusammenarbeit“ → „Richtlinien und Regeln“ → „Bedrohungsrichtlinien“ → „Einstellungen für die E-Mail-Authentifizierung“ → „DKIM“
3. Wählen Sie Ihre Domain aus.

Bevor Sie die Funktion aktivieren können, werden Sie von Microsoft aufgefordert, zwei CNAME-Einträge hinzuzufügen:

selector1._domainkey
selector1-<CustomDomainWithDashes>._domainkey.<InitialDomainPrefix>.<DynamicPartitionCharacter>-v1.dkim.mail.microsoft

selector2._domainkey
selector2-<CustomDomainWithDashes>._domainkey.<InitialDomainPrefix>.<DynamicPartitionCharacter>-v1.dkim.mail.microsoft

1. Nachdem Sie diese CNAME-Einträge veröffentlicht haben, kehren Sie zum Defender-Portal zurück und aktivieren Sie die Option „DKIM aktivieren“.

Nach der Aktivierung beginnt Microsoft damit, alle ausgehenden E-Mails mit DKIM zu signieren. Überprüfen Sie Ihre Konfiguration mit dem kostenlosen DKIM-Checker.

So richten Sie DMARC für Office 365 ein

Nachdem SPF und DKIM konfiguriert wurden, können Sie DMARC veröffentlichen. Die Einrichtung von DMARC für Microsoft 365 erfolgt bei den meisten benutzerdefinierten Domänen über das DNS und nicht im Microsoft 365-Verwaltungscenter.

Schritt 1: Alle E-Mail-Absender ermitteln

Bevor Sie einen DMARC-Eintrag veröffentlichen, benötigen Sie einen vollständigen Überblick darüber, wer E-Mails im Namen Ihrer Domain versendet. Wird ein legitimer Absender nicht erfasst, kann dies nach Aktivierung der Durchsetzung zu Zustellungsfehlern führen.

Zu den gängigen Absenderquellen in Microsoft 365 gehören:

• Microsoft 365 (Exchange Online)
• Marketing-Plattformen (Mailchimp, HubSpot, Klaviyo)
• CRM-Systeme (Salesforce, HubSpot CRM)
• Support-Tools (Zendesk, Freshdesk, Intercom)
• Interne Anwendungen oder lokale E-Mail-Server
• E-Mail-Gateways oder Sicherheitsgeräte von Drittanbietern

Genau hier scheitern viele DMARC-Einführungen. Eine Domain mag zwar den Anschein erwecken, ausschließlich für „Microsoft 365“ bestimmt zu sein, doch Rechnungen, Newsletter, Passwort-Zurücksetzungen, Ticket-Updates und Benachrichtigungen der Personalabteilung stammen oft von außerhalb von Microsoft 365.

Wenn Sie sich nicht sicher sind, welche Systeme in Ihrem Namen E-Mails versenden, beginnen Sie mit „p=none“ und nutzen Sie die DMARC-Gesamtberichte, um diese zu ermitteln.

Schritt 2: Erstellen Sie Ihren DMARC-Eintrag

Ein DMARC-Eintrag ist ein TXT-Eintrag, der in Ihrem DNS unter _dmarc.yourdomain.comveröffentlicht wird. Nutzen Sie den DMARC-Eintragsgenerator , um in Sekundenschnelle einen gültigen, fehlerfreien Eintrag zu erstellen.

Ein empfohlener Startdatensatz sieht folgendermaßen aus:

v=DMARC1; p=none; rua=mailto:[email protected];

Das lässt sich wie folgt aufschlüsseln:

• v=DMARC1 — gibt die DMARC-Version an
• p=none — Überwachungsmodus (keine Durchsetzung; ausschließlich Datenerfassung)
• rua=mailto:… — wohin die RUA-Zusammenfassungsberichte gesendet werden

Schritt 3: Veröffentlichen Sie den DMARC-Eintrag im DNS

Fügen Sie bei Ihrem DNS-Hosting-Anbieter den folgenden TXT-Eintrag hinzu:

Hinweis: Nach der Veröffentlichung kann es einige Zeit dauern (in der Regel einige Minuten bis zu einigen Stunden), bis der Datensatz weltweit verfügbar ist.

Überprüfen Sie Ihren Eintrag nach der Veröffentlichung mit einem DMARC-Checker, um sicherzustellen, dass keine Syntaxfehler vorliegen und der Eintrag korrekt aufgelöst wird.

Schritt 4: DMARC-Berichte überwachen

Nachdem Sie DMARC mit einer „p=none“-Richtlinie aktiviert haben, erhalten Sie DMARC-Gesamtberichte (RUA) von den empfangenden Servern. Diese Berichte bieten Einblick in folgende Aspekte: Wer versendet E-Mails unter Verwendung Ihrer Domain, welche Nachrichten bestehen die Authentifizierung oder scheitern daran und wie ist der Übereinstimmungsstatus für SPF und DKIM.

DMARC-Berichte liegen im XML-Rohformat vor und sind ohne entsprechende Tools schwer zu interpretieren. Der Berichtsanalysator von PowerDMARC wandelt diese in übersichtliche Dashboards um, sodass Sie Probleme erkennen und sicher auf die Durchsetzung hinarbeiten können.

Schritt 5: Gehen Sie schrittweise zur Durchsetzung über

Sobald Sie sich vergewissert haben, dass alle legitimen Absender ordnungsgemäß authentifiziert sind, verschärfen Sie Ihre DMARC-Richtlinie schrittweise:

Stufe 1 – Überwachung (p = keine):

v=DMARC1; p=none; rua=mailto:[email protected]

Stufe 2 – Quarantäne (verdächtige E-Mails landen im Spam-Ordner):

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=25; t=y

Stufe 3 – Durchsetzung (Ablehnung nicht authentifizierter E-Mails):

v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=r; aspf=r

Tipp: Lehnen Sie nicht vorschnell ab. Eine verfrühte Durchsetzung ist der häufigste Grund dafür, dass legitime E-Mails während der Einführung blockiert werden.

Schritt 6: DMARC für verschiedene Domain-Typen konfigurieren

Die Vorgehensweise hängt von der Domäne ab, die Sie konfigurieren.

Schritt 7: Überprüfen und verwalten Sie Ihre Microsoft 365-DMARC-Konfiguration

DMARC ist keine einmalige Einrichtung. Wenn sich Ihr E-Mail-Umfeld verändert, muss sich auch Ihre Konfiguration anpassen. Selbst wenn der Wert „p=reject“ erreicht ist, ist eine kontinuierliche Überwachung unerlässlich, um die Zustellbarkeit und Sicherheit aufrechtzuerhalten.

Sie sollten regelmäßig:

• DMARC-Berichte überprüfen
• SPF-Einträge bei Hinzufügen neuer Absender aktualisieren
• Stellen Sie sicher, dass DKIM aktiviert und korrekt konfiguriert bleibt
• Auf unbefugte Aktivitäten achten

Einführung der DMARC-Richtlinie: Warum eine schrittweise Umsetzung wichtig ist

Der direkte Übergang zu einer Ablehnungsrichtlinie ist einer der häufigsten Fehler bei der DMARC-Implementierung. Ohne Einblick in Ihre E-Mail-Abläufe kann die Durchsetzung dieser Richtlinie die legitime Kommunikation beeinträchtigen.

Eine schrittweise Einführung ermöglicht es Ihnen, Probleme zu überwachen und zu beheben, bevor Sie strenge Richtlinien anwenden. Die meisten Unternehmen verfolgen einen schrittweisen Ansatz, der von der Überwachung über die Quarantäne bis hin zur Ablehnung reicht. Die Dauer der einzelnen Phasen hängt von der Komplexität Ihrer E-Mail-Umgebung ab, und das Überspringen von Schritten erhöht lediglich das Risiko unbeabsichtigter Zustellungsfehler.

Wie Exchange Online eingehende DMARC-Nachrichten verarbeitet

Exchange Online Protection überprüft automatisch alle eingehenden Nachrichten auf DMARC-Konformität. Seit Juli 2023befolgt Microsoft standardmäßig die vom Absender veröffentlichte Richtlinie. Wenn der MX-Eintrag der Empfängerdomäne direkt auf Microsoft 365 verweist, werden Nachrichten, die bei einer p=reject-Richtlinie die DMARC-Prüfung nicht bestehen, am Gateway abgelehnt. Ebenso werden Nachrichten, die bei einer p=quarantine-Richtlinie die DMARC-Prüfung nicht bestehen, in Quarantäne verschoben. Dies wird durch die Richtlinie „„DMARC-Eintrag-Richtlinie beachten, wenn die Nachricht als gefälscht erkannt wird‘ in der Anti-Phishing-Richtlinie gesteuert, die standardmäßig aktiviert ist.

Eine detaillierte Anleitung zur Konfiguration dieser Einstellung und aller damit verbundenen Optionen finden Sie im Leitfaden von PowerDMARC zu Anti-Phishing-Richtlinie für Office 365.

Quelle: Microsoft

Das „oreject“-Verhalten erklärt

Zuvor wandte Microsoft bei eingehenden Nachrichten, die die p=reject-Richtlinie des Absenders nicht erfüllten, eine interne Übersteuerung namens „action=oreject“ (Origin Reject) an. Anstatt die E-Mail direkt am Gateway zurückzuweisen, leitete EOP sie in den Junk-Ordner des Empfängers weiter und versah den Header mit der Aktion „oreject“.

Microsoft hat dies bewusst so gehandhabt; weitergeleitete E-Mails und der Verkehr über Mailinglisten verstoßen während der Übertragung häufig gegen SPF und DKIM, und eine strikte Ablehnung mit „p=reject“ hätte dazu geführt, dass erhebliche Mengen legitimer E-Mails verworfen worden wären. Der Spam-Ordner stellte einen Kompromiss dar: Die Empfänger konnten die E-Mails bei Bedarf wiederherstellen, und die Richtlinie des Absenders wurde technisch gesehen eingehalten.

Wann Sie heute noch „oreject“ sehen werden

Seit der Änderung der Standardeinstellung wertet EOP „p=reject“ nun bei direkten MX-Flüssen als echte Ablehnung aus. Das bisherige Verhalten ist jedoch nicht vollständig verschwunden. In den folgenden drei Szenarien wird weiterhin „oreject“ angezeigt:

1. „Honor DMARC“ ist in Ihrer Anti-Phishing-Richtlinie deaktiviert: Überprüfen Sie dies unter „Microsoft 365 Defender“ → „E-Mail und Zusammenarbeit“ → „Bedrohungsrichtlinien“ → „Anti-Phishing“ → „Spoof-Einstellungen“
2. E-Mails werden über ein Gateway eines Drittanbieters (Proofpoint, Mimecast) geleitet, bevor sie Microsoft 365 erreichen: Aktivieren Sie im Defender-Portal die erweiterte Filterung für Konnektoren.
3. Eine Zulassungsregel auf Mandantenebene umgeht die Filterung: Absender auf der Zulassungsliste, vertrauenswürdige eingehende Konnektoren oder SCL-1-Regeln umgehen die DMARC-Durchsetzung vollständig

Einführung in Compauth und die Composite-Authentifizierung

Microsoft ergänzt die DMARC-Ergebnisse durch Reputationssignale mithilfe eines Systems namens „Composite Authentication“ (Compauth). Das bedeutet, dass eine Nachricht technisch gesehen den DMARC-Test nicht bestehen, aber dennoch zugestellt werden , wenn die Reputationssignale von Microsoft darauf hindeuten, dass der Absender legitim ist (compauth=pass). Umgekehrt kann eine Nachricht DMARC bestehen und dennoch als Spam aussortiert werden , wenn „compauth“ fehlschlägt. Überprüfen Sie bei der Fehlerbehebung von DMARC-Zustellungsproblemen in M365 stets den Header „Authentication-Results“ auf den „reason=“-Code. Lesen Sie dazu diese vollständige Anleitung zu compauth-Fehler und Composite Authentication .

Verschärfung der Kontrollen im Wareneingang durch Transportvorschriften

Für Organisationen, die eine garantierte Ablehnung von E-Mails wünschen, die die DMARC-Prüfung nicht bestehen, ist eine Exchange Online-Transportregel der zuverlässigste Mechanismus:

1. Gehen Sie zu Exchange-Verwaltungscenter → E-Mail-Fluss → Regeln → Neue Regel erstellen
2. Bedingung festlegen: Ein Nachrichten-Header enthält eines der folgenden Wörter. Header-Name: Authentication-Results. Header-Wert: dmarc=fail action=oreject
3. Aktion festlegen: Die Nachricht mit der Begründung „Die Nachricht hat die DMARC-Authentifizierung nicht bestanden und wurde gemäß den Richtlinien der Organisation abgelehnt“ ablehnen

1. (Optional) Ausnahme für vertrauenswürdige interne Absender oder bekannte legitime Weiterleiter hinzufügen
2. Stellen Sie den Regelmodus in der ersten Woche auf „Test ohne Richtlinie“ oder, falls verfügbar, auf „Test mit Richtlinienhinweisen“ ein; überprüfen Sie die erfassten Nachrichten in der Nachrichtenverfolgung, bevor Sie auf „Durchsetzen“ umschalten.

Wenden Sie diesen Ansatz an, wenn gesetzliche Vorschriften oder interne Richtlinien eine tatsächliche Zurückweisung fehlerhafter E-Mails vorschreiben, wenn Ihr Unternehmen ein besonders attraktives Ziel für Spoofing-Angriffe ist (Finanzwesen, Rechtsabteilung, Kommunikation der Geschäftsleitung) oder wenn Sie ein einheitliches Verhalten sowohl bei direkten MX- als auch bei Gateway-Verbindungen von Drittanbietern gewährleisten möchten.

Microsofts DMARC-Durchsetzung ab Mai 2025: Was hat sich geändert?

Im Mai 2025 führte Microsoft eine wesentliche Änderung im Umgang mit nicht authentifizierten E-Mails von externen Absendern ein. Diese Änderung betrifft in erster Linie Absender mit hohem E-Mail-Aufkommen, hat jedoch weitreichende Auswirkungen auf alle Organisationen.

Vergleich der Durchsetzungsmaßnahmen von E-Mail-Anbietern

Von Microsoft eingeführte wichtige Anforderungen

• DMARC-Pflicht für Massenversender: Domains, die täglich mehr als 5.000 E-Mails an Microsoft-Privatkundendienste versenden, müssen über einen gültigen DMARC-Eintrag verfügen
• Gilt für das E-Mail-Ökosystem von Microsoft für Privatkunden: Outlook.com, Hotmail.com und Live.com
• Mindestanforderung: DMARC mit p=none – selbst eine Überwachungsrichtlinie ist akzeptabel, aber das Fehlen eines DMARC-Eintrags wird in großem Maßstab nicht mehr toleriert
• Starker Fokus auf die Domänenübereinstimmung: Eine Authentifizierung allein reicht nicht aus, SPF und DKIM müssen mit der sichtbaren „Von“-Domain übereinstimmen
• Harte Ablehnung wegen Nichteinhaltung: 550 5.7.515 Zugriff verweigert, die sendende Domäne erfüllt nicht die erforderliche Authentifizierungsstufe

Mit dieser Änderung gleicht sich Microsoft an Apple an, den E-Mail-Authentifizierungsanforderungen von Google und Yahoo, was bedeutet, dass die größten E-Mail-Anbieter nun alle eine Authentifizierung für Massenversender durchsetzen. Siehe die DMARC-Anforderungen von Microsoft für Outlook für eine vollständige Checkliste zur Einhaltung der Vorschriften.

Warum Microsoft 365 allein nicht ausreicht

Microsoft 365 bietet zwar einen starken Schutz für eingehende E-Mails, verfügt jedoch nur über begrenzte Funktionen zur Verwaltung und Überwachung von DMARC in großem Maßstab.

Keine für Menschen lesbaren Berichte

Microsoft versendet nun DMARC-Berichte an Unternehmensnutzer , wenn der MX-Eintrag direkt auf Office 365 verweist. Diese XML-Rohdateien sind jedoch ohne spezielle Tools schwer zu interpretieren. Ohne eine ordnungsgemäße Analyse fehlt es Unternehmen an Transparenz darüber, wer E-Mails in ihrem Namen versendet und ob diese Absender ordnungsgemäß authentifiziert sind.

Keine Leitlinien zur Durchsetzung

Microsoft bietet keine automatisierte Anleitung für den Übergang von der Überwachung zur Durchsetzung. Daher müssen Administratoren die Daten manuell auswerten und Entscheidungen treffen, die sich auf die E-Mail-Zustellung auswirken können.

Nicht für die laufende Verwaltung geeignet

Eine spezielle DMARC-Lösung wandelt nicht nur Rohdaten aus Berichten in verwertbare Erkenntnisse um. Sie ermöglicht eine kontinuierliche Überwachung, vereinfacht die Verwaltung von Richtlinien und unterstützt Unternehmen dabei, sicher und schrittweise eine vollständige Durchsetzung zu erreichen – und zwar in einem Umfang, den Microsoft 365 einfach nicht bietet.

Behebung häufiger DMARC-Probleme in Office 365

Auch Sie können Teil der der Microsoft-Lerngemeinschaft werden, um über Office 365 und die Anforderungen an das Authentifizierungsprotokoll auf dem Laufenden zu bleiben.

Weiterentwicklung von DMARC in Microsoft 365

DMARC in Microsoft 365 ist ein zweiseitiges Problem. Exchange Online Protection übernimmt die Validierung eingehender E-Mails automatisch für Sie, doch der Schutz ausgehender E-Mails liegt vollständig in Ihrer Verantwortung. Die Änderungen bei der Durchsetzung ab Mai 2025 machen diese Verantwortung für alle, die E-Mails in großem Umfang versenden, besonders dringlich, wobei die Veröffentlichung von DMARCbis im Mai 2026 signalisiert, dass die E-Mail-Branche DMARC als dauerhafte, formelle Infrastruktur betrachtet.

Der sicherste Weg ist zwar langsamer, aber effektiv: Verwenden Sie zunächst „p=none“, beobachten Sie Ihre Berichte zwei bis vier Wochen lang, beheben Sie die Probleme bei den Absendern, die dabei auffallen, und wechseln Sie dann zu „p=quarantine“ und schließlich zu „p=reject“. Das Überspringen dieser Schritte führt dazu, dass legitime Geschäfts-E-Mails während der Einführung nicht mehr zugestellt werden.

Sobald die Durchsetzung eintritt, verlagert sich der Schwerpunkt von der Einrichtung auf die Überwachung. Es kommen neue Absender hinzu, und Drittanbieter ändern ihre Infrastruktur – all dies kann unbemerkt zu Abweichungen führen, wenn niemand die Berichte im Auge behält. Machen Sie die E-Mail-Sicherheit zu einer Priorität, indem Sie Ihren aktuellen DMARC-Eintrag überprüfen, um festzustellen, wo Sie heute stehen.

Eine vollständige Übersicht über alle DMARC-Tags, Richtlinien und Implementierungsoptionen finden Sie im DMARC-Leitfaden.

Häufig gestellte Fragen

Richtet Microsoft 365 DMARC automatisch ein?

Microsoft überprüft DMARC für eingehende E-Mails, konfiguriert es jedoch nicht für Ihre benutzerdefinierte Domain. Sie müssen den ausgehenden DMARC-TXT-Eintrag selbst manuell veröffentlichen. Für den Domain-Schutz müssen Sie die SPF-, DKIM- und DMARC-Einträge selbst im DNS veröffentlichen.

Verlangt Microsoft DMARC?

Ja. Microsoft hat für Domains, die täglich mehr als 5.000 E-Mails an Outlook.com, Hotmail.com und Live.com versenden, ab 2025 die Verwendung von DMARC (mindestens p=none) vorgeschrieben. Nicht konforme Absender werden auf Serverebene zurückgewiesen, ohne dass ihre E-Mails den Posteingang erreichen. Microsoft empfiehlt außerdem allen Absendern nachdrücklich, DMARC unabhängig vom Versandvolumen zu implementieren.

Was bedeutet der Fehler 550 5.7.515?

Dieser Microsoft 365-Fehler bedeutet, dass Ihre E-Mails abgelehnt werden, da Ihre Absenderdomain die Authentifizierungsanforderungen nicht erfüllt. Um das Problem zu beheben, müssen Sie einen gültigen DMARC-Eintrag veröffentlichen (mindestens „p=none“) und sicherstellen, dass sowohl SPF als auch DKIM konfiguriert und auf Ihre Absenderdomain abgestimmt sind.

Warum werden E-Mails immer noch mit dem Status „p=reject“ zugestellt?

Es gibt vier häufige Gründe: (1) „Honor DMARC“ ist in Ihrer Anti-Phishing-Richtlinie deaktiviert; (2) ein Gateway eines Drittanbieters ist vor Microsoft 365 geschaltet; (3) „Erweiterte Filterung für Konnektoren“ ist nicht aktiviert; (4) die Composite-Authentifizierung (Compauth) von Microsoft überschreibt das DMARC-Fehlerergebnis; (5) eine Zulassungsregel des Mandanten umgeht die Filterung vollständig. Obwohl Microsoft bei Absendern mit hohem Versandvolumen zu einer strengeren „True Rejection“ übergegangen ist, bleiben diese Überschreibungen in falsch konfigurierten Umgebungen weiterhin aktiv.

Soll ich „Quarantäne“ oder „Ablehnen“ wählen?

Beginnen Sie mit der Überwachung (p=none), um Ihre Absenderquellen zu verstehen, gehen Sie dann zur Quarantäne über und wenden Sie die Ablehnung erst an, wenn Sie sicher sind, dass alle legitimen Quellen erfasst sind. Der direkte Sprung zur Ablehnung ohne vorherige Überwachung ist die Hauptursache für den Verlust legitimer E-Mails während der DMARC-Einführung.

Was bedeutet DMARCbis für Microsoft 365-Administratoren?

DMARCbis (RFC 9989, veröffentlicht im Mai 2026) erhebt DMARC offiziell zum „Proposed Standard“. Für die meisten M365-Administratoren sind keine unmittelbaren DNS-Änderungen erforderlich; bestehende DMARC-Einträge bleiben gültig. Die wichtigste Änderung, die es zu beachten gilt, ist der „DNS Tree Walk“-Ansatz zur Ermittlung von Organisationsdomänen, der die „Public Suffix List“ ersetzt. Überprüfen Sie Ihr „sp=“-Tag (Subdomain-Richtlinie), um sicherzustellen, dass es unter der neuen Logik weiterhin korrekt angewendet wird.

Gilt DMARC auch für Domains unter onmicrosoft.com?

Ja. Die Domain „onmicrosoft.com“ (MOERA) wird oft übersehen, wird jedoch von Angreifern aktiv für Spoofing-Angriffe genutzt. SPF wird von Microsoft für MOERA-Domains automatisch eingerichtet, DKIM und DMARC müssen jedoch manuell veröffentlicht werden. Wenden Sie für diese Domains eine strenge „p=reject“-Richtlinie an, da sie in der Regel nicht für legitime ausgehende E-Mails verwendet werden.

Ist DMARC für die Einhaltung der PCI-DSS-Vorgaben erforderlich?

Seit dem 31. März 2025 schreibt Abschnitt 5.4.1 des PCI DSS v4.0 allen Organisationen, die Zahlungskartendaten verarbeiten, Anti-Phishing-Maßnahmen – darunter DMARC, SPF und DKIM – uneingeschränkt vor. Alle Bewertungen im Jahr 2026 werden gemäß PCI DSS v4.0.1 ohne Übergangsfrist durchgeführt. Wenn Ihre Organisation Kartenzahlungen abwickelt und Microsoft 365 nutzt, ist DMARC eine zwingende Compliance-Anforderung.

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• SPF-Flattening: Was ist das und wozu braucht man es? – 28. Juli 2026
• DMARC für Office 365 – Einrichtungsanleitung (2026) – 21. Juli 2026
• So beheben Sie die Fehlermeldungen „DKIM-Signatur ist ungültig“ und „Body-Hash nicht verifiziert“ – 16. Juli 2026