Microsoft 550 5.7.1: In der Nachricht fehlen SPF-/DKIM-/DMARC-Authentifizierungsdatensätze (AS9031519)

Seit dem 5. November 2026 berichten E-Mail-Betreiber und Nutzer, dass einige Nachrichten an Microsoft-Postfächer mit einem Authentifizierungsfehler zurückgewiesen werden, darunter auch E-Mails von Absendern mit geringem Versandvolumen. Einige Betreiber führen diese Fehler auf fehlende DMARC-Einträge zurück, doch die Berichte lassen nicht auf eine neue, allgemein gültige Richtlinie von Microsoft schließen. 

Hinweis: Das beschriebene Verhalten betrifft die E-Mail-Dienste von Microsoft für Privatkunden; eine pauschale Änderung für Microsoft 365-Geschäftskunden wurde noch nicht festgelegt.

In der Ablehnungsbegründung heißt es:

550 5.7.1 Nachricht abgelehnt: Der Nachricht fehlen SPF-/DKIM-/DMARC-Authentifizierungsdatensätze (AS9031519)

Wenn Sie diese Fehlermeldung erhalten haben, sollten Sie zunächst überprüfen, ob die Domain in Ihrer sichtbaren Absenderadresse über einen gültigen DMARC-Eintrag verfügt.

In dieser Anleitung wird erläutert, was der Fehler bedeutet, wie Sie ihn untersuchen können und was zu tun ist, wenn für Ihre Domain bereits DMARC konfiguriert ist.

So beheben Sie den Microsoft 550 5.7.1 DMARC-Fehler

Wenn Sie die Fehlermeldung „AS9031519“ erhalten, führen Sie bitte die folgenden Schritte zur Fehlerbehebung durch, bevor Sie Änderungen an Ihrer bestehenden E-Mail-Authentifizierungskonfiguration vornehmen.

1. Überprüfen Sie den DMARC-Eintrag Ihrer Domain

Überprüfen Sie zunächst die Domain in der sichtbaren Absenderadresse der abgelehnten E-Mail. Dies ist die Domain, die Empfänger sehen, wenn sie Ihre Nachricht erhalten.

Nutzen Sie den PowerDMARC DMARC-Checker , um den DMARC-Eintrag abzurufen und zu überprüfen, ob der Eintrag vorhanden ist, eine gültige Syntax aufweist und eine wirksame Richtlinie festlegt.

Wenn kein gültiger DMARC-Eintrag gefunden wird, müssen Sie möglicherweise einen veröffentlichen.

Beachten Sie, dass das Vorhandensein eines TXT-Eintrags, der mit „v=DMARC1“ beginnt, nicht automatisch bedeutet, dass Ihre DMARC-Konfiguration gültig ist. Der Eintrag muss außerdem eine gültige Richtlinie und Syntax aufweisen.

2. Einen DMARC-Eintrag veröffentlichen, falls noch keiner vorhanden ist

Falls für Ihre Domain noch keine DMARC-Richtlinie vorhanden ist, können Sie mithilfe des DMARC-Record-Generatorserstellen.

Verwenden Sie für einen reinen Überwachungszweck einen Datensatz, der in etwa so aussieht:

Host/Name: _dmarc
Typ: TXT
Wert: v=DMARC1; p=none; rua=mailto:[email protected]

Hier ist die Bedeutung der einzelnen Komponenten:

• v=DMARC1 kennzeichnet den Datensatz als DMARC-Richtlinie.
• „p=none“ weist empfangende Server an, bei Nachrichten, die die DMARC-Prüfung nicht bestehen, keine DMARC-Quarantäne- oder Ablehnungsrichtlinie anzuwenden.
• „rua“ gibt die E-Mail-Adresse an, an die die zusammengefassten DMARC-Berichte gesendet werden.

Wichtige Hinweise zum DNS:

• Ersetzen Sie „example.com“ und „[email protected]“ durch Ihre tatsächliche Domain und Ihre Meldeadresse. Das Meldepostfach muss vorhanden sein; andernfalls sollten Sie die Adresse und die Einrichtungsanweisungen Ihres DMARC-Überwachungsdienstes verwenden.
• Veröffentlichen Sie den Eintrag unter _dmarc für die entsprechende Domain. Einige DNS-Anbieter fügen Ihren Domainnamen automatisch an, überprüfen Sie daher die Benutzeroberfläche, bevor Sie den Hostnamen eingeben.
• Falls bereits ein DMARC-Eintrag vorhanden ist, überschreiben Sie diesen nicht und veröffentlichen Sie kein Duplikat. Eine Domain sollte unter dem entsprechenden DNS-Namen über einen gültigen DMARC-Richtlinieneintrag verfügen.

Überprüfen Sie nach der Veröffentlichung das öffentliche DNS-Ergebnis mit einem DMARC-Checker, sobald die DNS-Caches aktualisiert wurden. Senden Sie anschließend eine neue Test-E-Mail an den betroffenen Microsoft-Empfänger. Zuvor abgelehnte Nachrichten müssen möglicherweise erneut gesendet werden.

Hinweis: Die Veröffentlichung von DMARC kann das in einigen gemeldeten Fällen festgestellte Problem fehlender Datensätze beheben, garantiert jedoch weder die Zustellung noch die Beseitigung aller möglichen Ursachen für diese Ablehnung.

3. Überprüfung der SPF- und DKIM-Authentifizierung und -Übereinstimmung

Die Veröffentlichung von DMARC ist nur ein Teil der E-Mail-Authentifizierung. Sie müssen außerdem sicherstellen, dass Ihre legitimen Versanddienste die Nachrichten korrekt authentifizieren.

Die von Microsoft veröffentlichten Anforderungen für Absender mit hohem E-Mail-Aufkommen sehen vor, dass sowohl SPF als auch DKIM die Überprüfung bestehen müssen. Damit DMARC die Überprüfung besteht, muss zudem mindestens einer dieser Mechanismen mit der Domain in der sichtbaren Absenderadresse übereinstimmen.

Bitte überprüfen Sie Folgendes:

• SPF: Überprüfen Sie, ob die Absender-IP-Adresse durch den SPF-Eintrag für die Domäne des Umschlagabsenders autorisiert ist. Für die DMARC-Übereinstimmung muss diese Domäne mit der sichtbaren „From“-Domäne übereinstimmen.
• DKIM: Stellen Sie sicher, dass ausgehende Nachrichten mit einer gültigen DKIM-Signatur signiert sind. Die signierende Domain (d=) muss mit der sichtbaren „Von“-Domäne übereinstimmen, damit DKIM zu einem erfolgreichen DMARC-Check beiträgt.
• Microsoft 365 DKIM: Wenn Sie Microsoft 365 mit einer benutzerdefinierten Domain verwenden, aktivieren Sie die DKIM-Signatur für diese Domain, anstatt sich ausschließlich auf die Standard-Signaturdomain von Microsoft zu verlassen.
• Drittanbieter: Überprüfen Sie jeden Dienst, der in Ihrem Namen E-Mails versendet, einschließlich Marketingplattformen, CRM-Systeme, Anbieter von Transaktions-E-Mails und andere externe Anwendungen.

Beachten Sie, dass die bloße Veröffentlichung von SPF- und DKIM-Einträgen noch nicht beweist, dass Ihre Nachrichten die Authentifizierung bestehen. Sie müssen die tatsächlichen Authentifizierungsergebnisse für die über die einzelnen Dienste versendeten Nachrichten überprüfen.

4. Überwachen Sie DMARC-Berichte auf Authentifizierungsfehler

Nachdem Sie Ihren DMARC-Eintrag veröffentlicht oder validiert haben, sollten Sie die Gesamtberichte überwachen, um zu verstehen, wie verschiedene Absenderquellen Ihre E-Mails authentifizieren.

Anhand dieser Berichte können Sie Folgendes ermitteln:

• Legitime Absenderquellen, die die SPF- und DKIM-Prüfung bestehen bzw. nicht bestehen.
• Ausrichtungsprobleme, die die DMARC-Authentifizierung beeinträchtigen.
• Unbefugte Quellen, die versuchen, E-Mails über Ihre Domain zu versenden.
• Authentifizierungsprobleme, die sich auf die Zustellung von E-Mails auswirken können.

Eine DMARC-Überwachungsplattform wie PowerDMARC kann diese Berichte in einem übersichtlichen Dashboard zusammenfassen, wodurch sich Authentifizierungsfehler über mehrere Domains und Versanddienste hinweg leichter untersuchen lassen.

Eine Überwachungsrichtlinie ist nicht dasselbe wie Schutz

Für Absender, bei denen die gemeldete Ablehnung durch Microsoft auftritt, empfiehlt es sich, einen DMARC-Eintrag mit p=none kann helfen, das unmittelbare Problem zu beheben. Wenn Sie dies jedoch als Ende des Prozesses betrachten, entstehen wichtige Lücken in der Sicherheit Ihrer Domain.

A p=none Richtlinie weist empfangende Mailserver an, die DMARC-Ergebnisse zu überwachen, ohne Durchsetzungsmaßnahmen gegen Nachrichten zu ergreifen, die die Überprüfung nicht bestehen. Sie legt eine DMARC-Richtlinie fest, verhindert jedoch nicht, dass nicht authentifizierte Nachrichten die Empfänger erreichen. Und sofern der Eintrag keinen ordnungsgemäß konfigurierten rua enthält, haben Sie möglicherweise nur wenig Einblick darin, wie Ihre Domain genutzt wird.

Diese Transparenz ist entscheidend. Ohne die Überprüfung der DMARC-Berichte können Sie nicht zuverlässig alle Dienste identifizieren, die in Ihrem Namen E-Mails versenden, Authentifizierungs- und Übereinstimmungsfehler erkennen oder legitimen Datenverkehr von potenziellem Domain-Missbrauch unterscheiden.

Folgendes laufen Unternehmen Gefahr zu übersehen, wenn sie bei p=none:

• Unbekannte Absender: Möglicherweise wissen Sie nicht, welche Plattformen, Anwendungen oder Dienste von Drittanbietern Ihre Domain zum Versenden von E-Mails nutzen.
• Anhaltende Anfälligkeit für Spoofing: Eine reine Überwachungsrichtlinie weist die Empfänger nicht an, Nachrichten, die den DMARC-Test nicht bestehen, unter Quarantäne zu stellen oder abzulehnen.
• Lücken bei der Authentifizierung: Das Vorhandensein von SPF- und DKIM-Einträgen bedeutet nicht automatisch, dass DMARC erfolgreich ist. Mindestens ein Mechanismus muss erfolgreich sein und mit der in der Absenderadresse angezeigten Domain übereinstimmen.
• Keine Fortschritte bei der Durchsetzung: Ohne die Überprüfung von Berichten und die Behebung berechtigter Probleme bei der Absenderquelle gibt es keine klare Grundlage für den Übergang zu einer strengeren DMARC-Richtlinie.

In der Praxis wird folgender Ansatz verwendet: p=none als Überwachungsphase zu verwenden. Überprüfen Sie die Ergebnisse, autorisieren Sie legitime Absender und beheben Sie Abgleichprobleme, bevor Sie zu p=quarantine oder p=reject.

Das Ziel sollte nicht einfach darin bestehen, einen Bericht zu veröffentlichen, der eine gemeldete Zustellprüfung erfüllt. Vielmehr sollte es darum gehen, jeden Dienst, der E-Mails im Namen Ihrer Domain versendet, zu verstehen, zu verwalten und zu schützen.

Was ist, wenn Ihre Domain bereits über einen DMARC-Eintrag verfügt?

Ein fehlender DMARC-Eintrag ist nicht die Ursache für jede gemeldete Ablehnung unter der Nummer AS9031519. In den Microsoft-Q&A-Diskussionen finden sich Berichte über sporadisch auftretende Fehler, darunter auch Fälle, in denen Absender angeben, dass SPF, DKIM und DMARC bereits korrekt konfiguriert sind.

Falls für Ihre Domain bereits DMARC eingerichtet ist, sollten Sie die vollständige Ablehnung untersuchen, anstatt einen weiteren Eintrag zu veröffentlichen oder Ihre bestehende Richtlinie zu ändern.

Bitte überprüfen Sie Folgendes:

1. Sehen Sie sich die vollständige Bounce-Meldung an: Achten Sie auf die vollständige Diagnose, einschließlich AS9031519, des empfangenden Hosts und des Zeitstempels.
2. Überprüfen Sie den öffentlichen DNS-Eintrag: Vergewissern Sie sich, dass der DMARC-Eintrag gültig ist und unter dem richtigen DNS-Namen veröffentlicht wurde. Überprüfen Sie außerdem, ob doppelte Einträge oder Syntaxfehler vorliegen.
3. Ermitteln Sie die Absenderquelle: Stellen Sie fest, ob die abgelehnte E-Mail von Microsoft 365, Google Workspace, einer Marketingplattform, einem CRM oder einem anderen Dienst stammt.
4. Überprüfen Sie die tatsächlichen Authentifizierungsergebnisse: Sehen Sie sich die SPF-, DKIM- und DMARC-Ergebnisse für Nachrichten an, die über den betroffenen Dienst versendet wurden. Vergewissern Sie sich, dass mindestens ein erfolgreicher Mechanismus mit der sichtbaren „From“-Domäne übereinstimmt.
5. Vergleichen Sie erfolgreiche und abgelehnte Versuche sorgfältig miteinander: Eine erfolgreich zugestellte Vergleichsnachricht kann bei der Untersuchung Ihrer Konfiguration helfen, doch anhand ihrer Header lässt sich nicht feststellen, was mit einer separat abgelehnten Nachricht geschehen ist.

Sollte das Problem weiterhin bestehen, wenden Sie sich bitte an Ihren E-Mail-Dienstanbieter oder den Microsoft-Absender-Support. Fügen Sie die vollständige Diagnose, den UTC-Zeitstempel, den Empfänger-Host sowie relevante Sendeprotokolle bei. Schwärzen Sie vertrauliche Informationen, bevor Sie die Protokolle öffentlich teilen.

Vereinzelte Berichte über Ablehnungen deuten darauf hin, dass das Problem möglicherweise über fehlende DMARC-Einträge hinausgeht. Gehen Sie nicht davon aus, dass jeder Vorfall dieselbe Ursache hat.

Warum lehnt Microsoft manche E-Mails ohne DMARC ab?

Die Berichte vom November 2026 haben auf eine mögliche Änderung bei der Auswertung von Authentifizierungsdatensätzen durch die E-Mail-Infrastruktur von Microsoft für Privatkunden hingewiesen.

Um den Unterschied zu verstehen, ist es wichtig, das neu gemeldete Verhalten von AS9031519 von den zuvor von Microsoft veröffentlichten Anforderungen für Absender mit hohem E-Mail-Aufkommen zu unterscheiden.

Von Microsoft veröffentlichte Anforderungen zur Authentifizierung von Massen-E-Mails

Am 2. April 2025 kündigte Microsoft strengere Anforderungen an die E-Mail-Authentifizierung für Absender mit hohem E-Mail-Aufkommen, die die E-Mail-Dienste für Privatkunden des Unternehmens nutzen.

Die Anforderungen traten am 5. Mai 2025 in Kraft und gelten für Domains, die täglich mehr als 5.000 E-Mails an Outlook.com, Hotmail, Live.com und zugehörige Privatadressen versenden. In der Support-Dokumentation von Microsoft wird der Schwellenwert mit 5.000 oder mehr Nachrichten angegeben, bei denen in der sichtbaren Absenderadresse dieselbe Domain verwendet wird.

Gemäß diesen veröffentlichten Anforderungen müssen Absender mit hohem Versandvolumen:

• Veröffentlichen Sie gültige SPF- und DKIM-Einträge, wobei beide Authentifizierungsprüfungen bestanden werden müssen.
• Veröffentlichen Sie einen gültigen DMARC-Eintrag, der zunächst einen p=none verwenden.
• Stellen Sie sicher, dass mindestens ein Validierungsmechanismus – SPF oder DKIM – mit der sichtbaren „From“-Domäne übereinstimmt, damit DMARC die Prüfung besteht.

Absender, die diese Anforderungen nicht erfüllen, können eine gesonderte Ablehnung erhalten:

550 5.7.515 Zugriff verweigert, die sendende Domäne erfüllt nicht die erforderliche Authentifizierungsstufe.

Dies unterscheidet sich von AS9031519. Ersteres steht im Zusammenhang mit den von Microsoft veröffentlichten Anforderungen für Absender mit hohem E-Mail-Aufkommen, während es sich bei Letzterem um die von Betreibern im November 2026 gemeldete Ablehnung aufgrund von Authentifizierungsproblemen handelt.

Was sagen uns die Berichte vom November 2026?

In den neueren Berichten wird beschrieben, dass es zu Ablehnungen bei einigen Absendern kommt, die außerhalb des zuvor veröffentlichten Schwellenwerts für hohe Versandmengen liegen.

Forscher im Bereich E-Mail-Zustellung dokumentierten den Diagnosecode AS9031519 am 6. November 2026 in ihren eigenen Beobachtungen zum ausgehenden E-Mail-Verkehr. Zu den untersuchten Fällen gehörten Domains ohne DMARC-Einträge, selbst wenn SPF und DKIM bereits konfiguriert waren. Es wurde außerdem berichtet, dass die Ablehnung sporadisch auftrat, wobei einige Nachrichten derselben Domain akzeptiert wurden.

Auch einzelne Nutzer und E-Mail-Administratoren haben das Problem in Microsoft Q&A-Diskussionen gemeldet. Dazu gehören Fälle, in denen Absender von Microsoft 365 E-Mails an Empfänger von Outlook.com oder Hotmail senden, sowie Berichte darüber, dass Nachrichten zeitweise abgelehnt werden.

Aus den vorliegenden Berichten geht Folgendes hervor:

• Bei einigen Absendern mit geringem Versandvolumen kam es zu Ablehnungen.
• In mehreren untersuchten Fällen wurden fehlende DMARC-Einträge festgestellt.
• Bei einigen betroffenen Domains waren SPF und DKIM bereits konfiguriert.
• Die Veröffentlichung eines gültigen DMARC-Eintrags hat Berichten zufolge in einigen Fällen Abhilfe geschaffen.
• Nicht jede Nachricht wird abgelehnt, und es wurden auch sporadische Ausfälle gemeldet.

Microsoft hat eine allgemeine Ausweitung seiner DMARC-Anforderungen auf alle Absender nicht öffentlich bestätigt. Die Berichte vom November sollten daher als beobachtetes Verhalten betrachtet werden und nicht als Beweis für eine neu angekündigte Richtlinie, die für jeden Absender mit geringem Versandvolumen gilt.

Für Unternehmen besteht die praktische Vorgehensweise darin, ihre Authentifizierungskonfiguration zu überprüfen, den gesamten Bounce-Vorgang zu untersuchen und die weiteren Entwicklungen zu beobachten, anstatt davon auszugehen, dass jede Ablehnung denselben Grund hat.

Was bedeutet der Fehler 550 5.7.1 eigentlich?

Der SMTP-Statuscode 550 5.7.1 ist ein allgemeiner Ablehnungscode, der darauf hinweist, dass eine Nachricht aufgrund eines Problems im Zusammenhang mit der Autorisierung oder den Richtlinien abgelehnt wurde. Dies kann verschiedene Ursachen haben, darunter unvollständige SPF-Einträge, fehlerhafte Konfigurationen des Connectors oder Sicherheitsrichtlinien des empfangenden Servers.

In diesem speziellen Fall weist die Diagnosemeldung auf eine Ablehnung im Zusammenhang mit der Authentifizierung hin:

Der Nachricht fehlen SPF-/DKIM-/DMARC-Authentifizierungsdatensätze (AS9031519)

Die Diagnose ist spezifischer als der allgemeine SMTP-Statuscode. Sie deutet auf ein Authentifizierungsproblem hin, das von der E-Mail-Infrastruktur für Privatkunden von Microsoft gemeldet wurde, obwohl die verfügbaren Berichte nicht belegen, dass ein fehlender DMARC-Eintrag für jeden einzelnen Vorfall verantwortlich ist.

Diese Unterscheidung ist wichtig, da die Fehlersuche beim falschen Authentifizierungsmechanismus Zeit kosten und dazu führen kann, dass das zugrunde liegende Übertragungsproblem ungelöst bleibt.

Häufig gestellte Fragen

1. Reicht „p=none“ aus, oder muss ich „p=reject“ angeben?

Eine „p=none“-Richtlinie ist ein akzeptabler Ausgangspunkt, wenn DMARC zum ersten Mal implementiert wird. Wenn Sie jedoch bei einer reinen Überwachungsrichtlinie bleiben, ist Ihre Domain weiterhin anfällig für Spoofing und Identitätsdiebstahl. Die Durchsetzung von DMARC ist die einzige Möglichkeit, Angreifer daran zu hindern, E-Mails von Ihrer eigenen Domain aus zu versenden. 

Stellen Sie sicher, dass Sie Ihre Richtlinie auf „p=quarantine“ und schließlich auf „p=reject“ aktualisieren, sobald Sie alle legitimen Absender überprüft und Probleme bei der Zuordnung behoben haben.

2. Wie kann ich überprüfen, ob mein neuer DMARC-Eintrag sichtbar ist?

Verwenden Sie ein DMARC-Abfragetool, um die öffentlichen DNS-Einträge Ihrer Domain abzufragen.

Vergewissern Sie sich, dass der Eintrag unter dem richtigen _dmarc-Hostnamen erscheint und dass seine Syntax und Richtlinie gültig sind. Sobald die DNS-Caches aktualisiert wurden, senden Sie eine neue Test-E-Mail an den betroffenen Microsoft-Empfänger, um zu überprüfen, ob sich die Zustellung verbessert hat.

3. Kann der Empfänger diesen Fehler selbst beheben?

Im Allgemeinen nicht. DMARC wird im DNS der sendenden Domain konfiguriert, daher muss der Domaininhaber oder E-Mail-Administrator die Ursache ermitteln und die erforderlichen Änderungen vornehmen.

Wenn Sie eine zurückgewiesene Nachricht erhalten haben, wenden Sie sich bitte an den Absender und leiten Sie ihm die vollständige Rückmeldung weiter. Der E-Mail-Administrator des Absenders kann dann die Authentifizierungsdaten der Absenderdomain überprüfen und die Ursache für die Zurückweisung untersuchen.

Wenn der Absender bestätigt, dass seine Authentifizierung korrekt konfiguriert ist, das Problem jedoch weiterhin besteht, muss die Ursache möglicherweise von seinem E-Mail-Anbieter oder von Microsoft untersucht werden.

So hilft Ihnen PowerDMARC bei der Untersuchung von E-Mail-Ablehnungen durch Microsoft

Die Verwaltung der E-Mail-Authentifizierung über mehrere Domains und Versanddienste hinweg erfordert eine kontinuierliche Überwachung. PowerDMARC unterstützt Unternehmen dabei, ihre Authentifizierungskonfigurationen zu überprüfen, Fehler zu untersuchen und ihre Fortschritte bei der Umsetzung von DMARC zu überwachen.

Mit PowerDMARC können Sie:

• E-Mail-Authentifizierung prüfen: Überprüfen Sie DMARC-Einträge und überwachen Sie die SPF-, DKIM- und DMARC-Authentifizierungsergebnisse für alle Ihre Domains.
• Authentifizierungsfehler untersuchen: Nutzen Sie konsolidierte Berichte und Authentifizierungsanalysen, um problematische Absenderquellen, Abgleichfehler und unbefugte Aktivitäten zu identifizieren.
• Überwachen Sie den Fortschritt bei der Durchsetzung: Verfolgen Sie Ihre DMARC-Richtlinie, prüfen Sie aggregierte Berichte und gehen Sie mit besserer Transparenz in Ihrem E-Mail-Ökosystem auf „p=quarantine“ oder „p=reject“ über.

Starten Sie Ihre 15-tägige kostenlose Testphase von PowerDMARC und verschaffen Sie sich einen besseren Überblick über Ihre E-Mail-Authentifizierung, Domainsicherheit und Zustellbarkeit.