Ab dem 5. November 2026 kamen Mails von Firmendomains ohne DMARC-Eintrag bei Outlook.com als abgewiesen zurück.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Was zurückkam und bei wem

MailRoute nennt als Fehlertext 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519). Empfänger waren Privatkonten bei Outlook.com, Hotmail, Live und MSN. Geschäftskonten bei Microsoft 365 als Empfänger scheinen laut EasyDMARC nicht betroffen gewesen zu sein.

Das Auftreten war nicht durchgehend. Manche Mails kamen an, andere nicht, und eine einzelne zugestellte Testmail schließt das Problem deshalb nicht aus.

In den eigenen Tests von EasyDMARC waren die gesperrten Domains genau die, die keinen DMARC-Eintrag veröffentlichen. Microsoft 365 legt für die Kundendomain keinen solchen Eintrag an. Wie viele Absender oder Mails betroffen waren, steht in keiner der Quellen, und einen KI-Bezug nennt ebenfalls keine.

Zwei Berichte, zwei Stände

Am 9. November 2026 beschrieb heise die Lage als laufende Störung. Outlook.com weise offenbar auch Mails kleiner Absender zurück, hieß es dort, und ob Microsoft die Anforderungen verschärft habe oder ein Fehler vorliege, sei offen. Das Swiss IT Magazine zeichnete am 10. November ein ähnliches Bild.

Die Aktualisierungen von MailRoute und EasyDMARC vom 10. November sind jünger und kommen zu einem anderen Ergebnis: Die Ablehnungen haben aufgehört.

Laut MailRoute sagt Microsoft, ein Update der Spam-Regeln habe Mails fälschlich blockiert und sei Ende des 9. November, 11:02 UTC, zurückgenommen worden. EasyDMARC berichtet, Microsoft habe die Ursache im Microsoft 365 Service Health bestätigt (Incident EX1545193): ein Fehlalarm der Spam-Erkennung und keine neue DMARC-Anforderung. Außerdem prüfe Microsoft seine Update-Abläufe und die Erkennungslogik. Der Wortlaut von Microsoft selbst liegt öffentlich nicht vor, denn der Service Health ist laut MailRoute nur für Administratoren des jeweiligen Tenants sichtbar. Die Zeitpunkte weichen dabei ab: Die Community meldete Probleme ab dem 5. November, Microsoft nennt als Beginn den 6. November, 18:00 UTC.

Auch nach dem Ende bleiben Restfälle. Einzelne Administratoren melden laut heise Zurückweisungen trotz korrekter SPF-, DKIM- und DMARC-Einträge. Ob dieselbe Ursache dahintersteckt, sagt keine Quelle; EasyDMARC erwähnt als Möglichkeiten eine Fehlkonfiguration oder ein zweites Problem.

Die Regel, die schon galt

Unabhängig von diesem Vorfall gilt laut heise seit dem 5. Mai 2025 eine Anforderung für große Absender. Domains, die täglich mehr als 5000 Nachrichten an Outlook.com-Konten senden, müssen SPF und DKIM bestehen und DMARC mit mindestens p=none und passendem Alignment einrichten. Eine allgemeine DMARC-Pflicht für Kleinversender kündigt Microsoft dort nicht an, und laut MailRoute gilt nach Microsofts Aussage auch jetzt keine neue.

Ob Microsoft von kleinen Absendern künftig DMARC verlangen wird, steht in keiner Quelle.

Was sich prüfen lässt

Ob die eigene Domain einen Eintrag hat, zeigt laut MailRoute die Abfrage dig +short TXT _dmarc.<domain>. Ein minimaler Eintrag lautet v=DMARC1; p=none. DMARC besteht laut heise nur, wenn SPF oder DKIM für die Domain der sichtbaren Absenderadresse besteht und zu ihr passt.

Bei Microsoft 365 signiert Microsoft laut MailRoute zunächst mit der eigenen onmicrosoft.com-Domain. Das zählt für DMARC nicht, bis DKIM für die eigene Domain eingeschaltet ist.

Wichtige Mails aus dem Zeitraum müssten neu gesendet werden, weil Outlook.com abgewiesene Nachrichten laut MailRoute nicht wiederholt. Das BSI hat SPF, DKIM und DMARC nach Angaben von heise 2024 in der Technischen Richtlinie TR-03182 zusammengeführt. Der Hintergrund zum Thema Phishing steht im Artikel 86% Phishing KI-gesteuert: Mittelstand muss reagieren.

Unsere Einschätzung

Ein Betrieb, der Angebote und Rechnungen an Privatkunden mit Hotmail- oder Outlook.com-Adresse schickt, kann in diesen Tagen Rückläufer mit einem schwer lesbaren Fehlercode bekommen haben. Naheliegend ist, die Panne beim Empfänger zu vermuten und die Mail ein zweites Mal zu schicken, ohne weiter nachzusehen.

Aus unserer Sicht ist der Vorfall vor allem ein Anlass zum Nachsehen. Nach Microsofts Angabe, wie MailRoute und EasyDMARC sie wiedergeben, war es ein Fehler und keine neue Regel. Die Frage nach dem DMARC-Eintrag stand aber schon vorher im Raum und lässt sich mit einer einzigen Abfrage klären.

Wir würden zuerst die Domain prüfen, von der Kunden die Mails sehen, und danach jedes Programm, das im Namen des Betriebs Mails verschickt, also Newsletter-Tool, Buchungsplattform und Rechnungsprogramm mit eigener Absenderdomain. Dort gehört die Signatur ebenfalls geprüft, weil auch deren Mails an Privatkunden mit Outlook.com-Adresse zurückkommen können. Wichtige Mails vom 5. bis 9. November würden wir einmal gezielt neu versenden, am besten mit kurzem Hinweis, warum.

Eine schärfere Einstellung als p=none halten wir für den Anfang nicht für nötig. Zuerst zählt, dass für die Domain überhaupt ein Eintrag existiert.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 11. November 2026):

Häufige Fragen

Hat Microsoft für Outlook.com eine neue DMARC-Pflicht eingeführt?

Laut MailRoute sagt Microsoft nein: Ein Update der Spam-Regeln habe Mails fälschlich blockiert und sei zurückgenommen worden. Kleine Absender haben nach dieser Aussage keine neue DMARC-Pflicht. Eine bestehende Anforderung gilt laut heise seit dem 5. Mai 2025 für Domains, die täglich mehr als 5000 Nachrichten an Outlook.com-Konten senden.

Wann wurden die Mails abgewiesen?

Rückläufer meldeten Betreiber laut heise seit Anfang November, MailRoute registrierte sie seit dem 5. November 2026. Laut EasyDMARC nennt Microsoft als Auswirkungszeitraum den 6. November, 18:00 UTC, bis zum 9. November 2026, 11:02 UTC. Betroffen waren laut MailRoute Privatkonten bei Outlook.com, Hotmail, Live und MSN.

Wie lässt sich prüfen, ob die eigene Domain einen DMARC-Eintrag hat?

Laut MailRoute zeigt die Abfrage dig +short TXT _dmarc. den Eintrag an. Ein minimaler Eintrag lautet v=DMARC1; p=none. DMARC besteht laut heise nur, wenn SPF oder DKIM für die Domain der sichtbaren Absenderadresse besteht und zu ihr passt.

Was sollte ein Betrieb nach dem Vorfall regeln?

Aus unserer Sicht zuerst prüfen, ob die Absenderdomain einen DMARC-Eintrag hat, und dasselbe für Newsletter-Tools, Buchungsplattformen und Rechnungsprogramme mit eigener Absenderdomain tun. Wichtige Mails vom 5. bis 9. November würden wir neu senden, denn Outlook.com wiederholt abgewiesene Mails laut MailRoute nicht. Bei Microsoft 365 zählt die Signatur mit der onmicrosoft.com-Domain laut MailRoute erst dann für DMARC, wenn DKIM für die eigene Domain eingeschaltet ist.

Wer im Betrieb weiß, ob die eigene Absenderdomain einen DMARC-Eintrag hat?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 11. November 2026. Stand der Recherche: 11. November 2026.