Am 9. November 2026 um 16:46 Uhr berichtete heise: Outlook.com weist offenbar auch Mails kleiner Absender zurück, wenn deren Domain keinen DMARC-Eintrag veröffentlicht. Betroffen waren Nachrichten an Outlook.com-, Hotmail-, Live- und MSN-Adressen^[1]. DMARC ist ein Eintrag im DNS, dem Adressbuch des Internets, und legt fest, wie Empfänger mit Mails umgehen sollen, die nicht nachweislich von Ihrer Domain stammen.

Stand 10. November ist der Fehler laut Microsoft behoben: Ein fehlerhaftes Update der Spamregeln wurde zurückgenommen^[2]. Was bedeutet das für Kontaktformulare, Shop- und Systemmails, und was sollten Betreiber jetzt prüfen?

Laut heise registrierte der E-Mail-Dienstleister MailRoute die Rückläufer seit dem 5. November in seinen Versandprotokollen. In einem Test des Anbieters EasyDMARC lautete die Fehlermeldung „550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records“, der Mail fehlten also Nachweise ihrer Echtheit^[1]. Der Mailanbieter Fastmail meldete Fälle, in denen SPF und DKIM bestanden und nur der DMARC-Eintrag fehlte^[1].

Am 9. November um 09:24 Uhr (MEZ) bestätigte ein Moderator aus Microsofts externem Supportteam im Supportforum eine laufende Störung, deren Ursache Microsoft untersuche^[3]. Am 10. November um 06:36 Uhr erklärte Microsoft den Vorfall EX1545193 für behoben: Ein Update der Spamregeln habe Mails an Outlook.com, Hotmail.com und Live.com fälschlich markiert und blockiert, es sei vollständig zurückgenommen. Als Zeitraum nennt Microsoft den 6. November, 19:00 Uhr, bis 9. November, 12:02 Uhr^[2]. DMARC erwähnt die Meldung nicht; der Zusammenhang stammt aus Beobachtungen von Betreibern und Testdiensten.

Ein Testbericht des Zustellbarkeitsdienstes GlockApps zeigt den Verlauf: Am 7. November wiesen alle 16 getesteten Outlook.com- und Hotmail-Postfächer eine Mail ohne DMARC-Eintrag ab. Am 9. November um 16:09 Uhr nahmen alle 16 dieselbe Mail wieder an, allerdings im Spamordner^[4].

Seit dem 5. Mai 2025 gelten für den Versand an Outlook.com, Hotmail.com und Live.com strengere Vorgaben, aber nur für Domains, die mehr als 5.000 Mails pro Tag verschicken: SPF und DKIM müssen bestehen, dazu kommt ein DMARC-Eintrag mit mindestens p=none, der zu SPF oder DKIM passt^[5]. Eine allgemeine DMARC-Pflicht für kleine Absender nennen Microsofts veröffentlichte Vorgaben nicht^[1]. Für Verstöße gegen die Vielversender-Regeln dokumentiert Microsoft den Fehlercode 550 5.7.515, zu den jetzt beobachteten Abweisungen passt er laut heise nicht^[1].

Andere große Anbieter sind teils strenger. Gmail verlangt von allen Absendern SPF oder DKIM und empfiehlt, immer SPF, DKIM und DMARC einzurichten; Pflicht ist DMARC erst ab mehr als 5.000 Mails pro Tag an private Gmail-Konten^[6]. GMX verlangt eine gültige DKIM-Signatur, deren Domain zur Absenderdomain passt, SPF allein genügt dort nicht, DMARC wird empfohlen^[7].

Alle drei Verfahren beantworten dieselbe Frage: Stammt diese Mail wirklich von der Domain, die als Absender erscheint? SPF (Sender Policy Framework) legt im DNS fest, welche Server Mails für eine Domain verschicken dürfen. DKIM (DomainKeys Identified Mail) versieht die Mail mit einer digitalen Signatur, die zeigt, dass sie unterwegs nicht verändert wurde^[8].

Beide haben eine Lücke: Sie prüfen nicht, ob ihre Domain zur sichtbaren Absenderadresse passt^[8]. Das erledigt DMARC. Eine Mail besteht, wenn SPF oder DKIM besteht und die dabei geprüfte Domain zur Absenderdomain passt, im Fachjargon „Alignment“, also Ausrichtung^[9]. Zusätzlich legt der Eintrag fest, was mit durchgefallenen Mails geschehen soll:

Erstens ist der Einstieg risikoarm. Nach dem aktuellen DMARC-Standard RFC 9989 vom Mai 2026 sollen Empfänger ihre Behandlung der Mails wegen p=none nicht ändern^[10]. Zweitens rät Microsoft selbst dazu: Fehlt der Eintrag, wertet Microsoft 365 die Prüfung nur als vermutlich bestanden („bestguesspass“) und empfiehlt, einen ausdrücklichen DMARC-Eintrag zu veröffentlichen^[9].

Drittens zeigen DMARC-Berichte, angefordert über die Angabe rua, welche Server und Dienste Mails für Ihre Domain verschicken und wie viele davon bestehen^[11]. So fallen vergessene Absender auf, etwa ein altes Kontaktformular. Viertens hätte ein Eintrag in diesem Fall geholfen: Im GlockApps-Test stoppte jede geprüfte DMARC-Variante die Abweisungen, auch p=none nur auf der Hauptdomain^[4].

So sieht ein Einstiegs-Eintrag im Beispiel des Standards aus^[10]:

; DMARC Policy Record for the domain example.com
_dmarc  IN TXT ( "v=DMARC1; p=none; "
                 "rua=mailto:dmarc-feedback@example.com" )

Beim DNS-Anbieter heißt das meist: Name _dmarc, Typ TXT, als Wert die beiden Textstücke aus den Anführungszeichen hintereinander, mit einer Berichtsadresse Ihrer Domain statt example.com^[9].

Die Grenzen: p=none gibt Empfängern keine Anweisung für durchgefallene Mails und schützt damit nicht vor gefälschten Absendern; als Ziel nennt Microsoft p=reject^[9]. Auch saubere Authentifizierung garantiert keine Zustellung, schreibt Microsoft selbst^[8]; im GlockApps-Test landete angenommene Post teils im Spam^[4]. Und laut heise melden Administratoren auch Abweisungen trotz nach eigenen Angaben korrekter Einträge; ob dieselbe Ursache dahintersteckt, ist offen^[1].

Website-Mails kommen oft nicht aus dem eigenen Postfach. Ein Kontaktformular sendet oft direkt über den Webserver, ein Shop über das Shopsystem, ein Newsletter über einen externen Dienst. Jede dieser Quellen muss SPF oder DKIM mit Ihrer Domain bestehen. Microsoft beschreibt den typischen Fehler: Ein externer Dienst verschickt in Ihrem Namen, nutzt aber seine eigene Domain als technische Absenderadresse und signiert nicht mit Ihrer; SPF besteht, DMARC scheitert^[9].

Ein zweiter Klassiker sind Formulare, die die Adresse des Besuchers als Absender eintragen. DMARC verlangt, dass gültige Quellen zur Domain im Absenderfeld gehören^[9], Ihr Webserver gehört aber nie zur Domain von Gmail oder GMX. Besser: Absender ist eine Adresse Ihrer Domain, die Adresse des Besuchers steht im Antwortfeld (Reply-To).

Bei Shops geht es um Bestellbestätigungen, Rechnungen und Passwort-Links; fehlen sie, landet die Rückfrage im Support. Der DMARC-Eintrag der Hauptdomain gilt automatisch für Subdomains ohne eigenen Eintrag, SPF und DKIM brauchen sie dagegen jeweils selbst^[9].