E-Mail-Authentifizierung in Outlook: Einrichtung von SPF, DKIM und DMARC

Die meisten Absender befolgen die Anleitung zur Einrichtung der E-Mail-Authentifizierung in Outlook, fügen die erforderlichen DNS-Einträge hinzu, sehen grüne Häkchen in einem Validierungstool und gehen davon aus, dass die Authentifizierung damit abgeschlossen ist. Dann sinkt die Zustellbarkeit, Nachrichten landen im Spam-Ordner oder Microsoft meldet Authentifizierungsprobleme, die unmöglich erscheinen, da auf dem Papier alles korrekt aussieht.

Die E-Mail-Authentifizierung in Outlook ist komplexer als die bloße Veröffentlichung von SPF-, DKIM- und DMARC-Einträgen. Microsoft 365 hat eigene Einrichtungsanforderungen, häufige Konfigurationsfehler und Authentifizierungsprüfungen, die im DNS zwar erfolgreich durchlaufen werden, aber fehlschlagen, wenn Outlook Ihre E-Mail tatsächlich empfängt.

In diesem Leitfaden erfahren Sie, wie die E-Mail-Authentifizierung in Outlook funktioniert, wie Sie SPF, DKIM und DMARC für Microsoft 365 korrekt konfigurieren, wie sich die Anforderungen von Microsoft weiterentwickelt haben und wie Sie überprüfen können, ob Ihre Authentifizierung unter realen Empfangsbedingungen tatsächlich funktioniert.

Warum die Outlook-Authentifizierung im Jahr 2026 eine wichtige Rolle spielt 

Wenn Sie E-Mails über Microsoft 365 versenden, erwartet Outlook nun, dass SPF, DKIM und DMARC korrekt konfiguriert sind, bevor Ihre Nachrichten als vertrauenswürdig eingestuft werden können.

Hier ist ein kurzer Überblick über die Entwicklung der Outlook-Authentifizierungsvorschriften:

• Februar 2024: Google und Yahoo begannen, Authentifizierungsanforderungen für Massenversender durchzusetzen, wodurch SPF, DKIM und DMARC für E-Mail-Programme mit hohem Versandvolumen verbindlich wurden.
• April 2025: Microsoft kündigte ähnliche Anforderungen für Massenversender an, deren E-Mails an Outlook.com-, Hotmail-, Live- und MSN-Postfächer gerichtet sind.
• Mai 2025: Die Durchsetzung der Vorschriften begann, wobei nicht konforme Nachrichten zunehmend in den Spam-Ordner umgeleitet wurden.
• Nach Mai 2025: Microsoft warnte, dass nicht konforme Massen-E-Mails später zurückgewiesen würden, bis die DNS-Einträge korrigiert seien.
• Microsoft kennzeichnet solche Authentifizierungsablehnungen mit dem Code 550 5.7.515, wenn die sendende Domäne die erforderliche Authentifizierungsstufe nicht erfüllt.
• 2026: Die Authentifizierung gilt mittlerweile als Standard. Fehlgeschlagene Authentifizierungsversuche können dazu führen, dass E-Mails im Spam-Ordner landen oder ganz abgelehnt werden, während die Reputation des Absenders und der Inhalt weiterhin darüber entscheiden, ob authentifizierte E-Mails den Posteingang erreichen.

Die formellen Anforderungen von Microsoft richten sich an Absender mit hohem E-Mail-Aufkommen, doch E-Mail-Anbieter nutzen die Authentifizierung zunehmend als Vertrauenssignal für alle E-Mails.

Für B2B-Outbound-Teams ist die praktische Realität ganz einfach: Ganz gleich, ob Sie täglich 200 oder 20.000 E-Mails versenden – SPF, DKIM und DMARC sind nicht mehr optional. Sie bilden die Grundlage, auf der alle anderen Zustellbarkeitssignale aufbauen.

Die Authentifizierung allein garantiert zwar nicht, dass Ihre E-Mail im Posteingang landet, doch wenn die Authentifizierung fehlschlägt, kann dies dazu führen, dass Ihre E-Mail den Posteingang gar nicht erst erreicht.

So richten Sie SPF für Outlook / Microsoft 365 ein

SPF teilt Outlook mit, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. Für Microsoft 365 bedeutet dies, einen SPF-Eintrag zu veröffentlichen, der die Versandinfrastruktur von Microsoft sowie alle anderen Plattformen autorisiert, die E-Mails unter Verwendung Ihrer Domain versenden.

Bei der Konfiguration von SPF:

• Veröffentlichen Sie einen einzelnen SPF-TXT-Eintrag für die Domain.
• Microsofts SPF-Mechanismus einbinden: include:spf.protection.outlook.com.
• Fügen Sie alle legitimen Versandplattformen hinzu, wie beispielsweise Ihr CRM, Ihre Marketingplattform, Ihr Outreach-Tool, Ihren Helpdesk oder Ihr Abrechnungssystem.
• Verwenden Sie nach Möglichkeit die vom Anbieter empfohlenen „include:“-Mechanismen, anstatt IP-Adressen manuell hinzuzufügen.
• Überprüfen Sie den Datensatz jedes Mal, wenn eine neue Versandplattform hinzugefügt wird.

Ein typischer Microsoft 365-SPF-Eintrag sieht in etwa so aus:

v=spf1 include:spf.protection.outlook.com ~all

Die meisten Organisationen benötigen zusätzliche „include:“-Anweisungen für andere Versandtools.

Eines der häufigsten SPF-Probleme ist die Überschreitung des Limits von 10 DNS-Lookups. Jeder „include:“-Mechanismus verbraucht Lookups, und da im Laufe der Zeit immer mehr Tools hinzugefügt werden, kann der Eintrag so komplex werden, dass empfangende Provider ihn nicht mehr korrekt auswerten können.

Bevor Sie Ihre SPF-Konfiguration speichern:

• Vergewissern Sie sich, dass für die Domain nur ein SPF-Eintrag vorhanden ist.
• Stellen Sie sicher, dass alle legitimen Versandplattformen enthalten sind.
• Stellen Sie sicher, dass der Eintrag die Grenzwerte für die SPF-Abfrage einhält.
• Testen Sie SPF nach der Vornahme von Änderungen, um sicherzustellen, dass der Test erfolgreich verläuft.

Sobald SPF korrekt konfiguriert ist, besteht der nächste Schritt darin, DKIM zu aktivieren, damit Outlook überprüfen kann, ob Ihre Nachrichten während der Übermittlung nicht verändert wurden.

Eine DNS-Abfrage bestätigt lediglich, dass der Eintrag korrekt ausgewertet wird, gibt jedoch keinen Aufschluss darüber, ob die SPF-Prüfung erfolgreich ist, sobald Outlook die Nachricht tatsächlich empfängt. Der kostenlose SPF-Checker von MailReach testet die Authentifizierung durchgehend unter realen Empfangsbedingungen und hilft dabei, Konfigurationsprobleme aufzudecken, die von reinen DNS-Tools möglicherweise übersehen werden. 

So richten Sie DKIM für Outlook / Microsoft 365 ein

DKIM hilft Outlook dabei, zu überprüfen, ob eine E-Mail tatsächlich von Ihrer Domain gesendet wurde und nach dem Verlassen des Absenderservers nicht verändert wurde. Bei Microsoft 365 erfordert die Einrichtung von DKIM einige zusätzliche Schritte, da Ihre benutzerdefinierte Domain standardmäßig nicht automatisch authentifiziert wird.

Viele Absender gehen davon aus, dass DKIM bereits konfiguriert ist, da Microsoft ausgehende E-Mails über seine eigene Infrastruktur signiert. Diese Standard-Signatur authentifiziert jedoch die Microsoft-Domäne und nicht Ihre eigene. Um Ihre eigene Domäne zu authentifizieren, müssen Sie DKIM separat konfigurieren.

Bei der Konfiguration von DKIM:

• Veröffentlichen Sie die beiden von Microsoft 365 generierten DKIM-CNAME-Einträge (selector1 und selector2).
• Aktivieren Sie die DKIM-Signatur für Ihre benutzerdefinierte Domain im Microsoft Defender-Portal.
• Verwenden Sie 2048-Bit-Schlüssel, wann immer Microsoft diese unterstützt.
• Überprüfen Sie, ob die DKIM-Signierung aktiv ist, nachdem die Einträge übernommen wurden.
• Richten Sie für jede weitere Versandplattform, die Ihre Domain nutzt, einen eigenen DKIM-Eintrag ein.

Wenn Ihre Domain E-Mails über mehrere Plattformen versendet, verfügt jede Plattform über einen eigenen DKIM-Selektor und einen eigenen Signaturschlüssel. Ein für Microsoft 365 erstellter DKIM-Eintrag authentifiziert nicht automatisch Nachrichten, die über Ihr CRM, Ihre Outreach-Plattform, Ihren Helpdesk oder Ihr Marketing-Tool versendet werden.

Eines der häufigsten Probleme bei der Einrichtung ist die Meldung „DKIM nicht konfiguriert“, selbst nachdem die erforderlichen Einträge hinzugefügt wurden. Dies wird häufig durch Verzögerungen bei der DNS-Propagierung oder falsch konfigurierte Selektoren verursacht.

Nach der Einrichtung:

• Vergewissern Sie sich, dass beide CNAME-Einträge korrekt veröffentlicht wurden.
• Stellen Sie sicher, dass die DKIM-Signierung in Microsoft 365 aktiviert ist.
• Stellen Sie sicher, dass DKIM bei zugestellten Nachrichten funktioniert, nicht nur im DNS.
• Führen Sie den Test jedes Mal erneut durch, wenn Sie eine neue Versandplattform hinzufügen.
• Stellen Sie sicher, dass die DKIM-Signaturdomäne mit Ihrer „From:“-Domäne für DMARC übereinstimmt.

Ein im DNS vorhandener DKIM-Eintrag garantiert nicht, dass die DKIM-Prüfung erfolgreich ist, wenn Outlook die Nachricht empfängt. Überprüfen Sie stets das Authentifizierungsergebnis bei zugestellten E-Mails und nicht nur die DNS-Konfiguration.

Der kostenlose DKIM-Checker von MailReach führt diese Überprüfung durchgängig durch und deckt Unstimmigkeiten bei Selektor und Schlüssel auf, darunter auch den Fall, dass eine Domain weiterhin als „onmicrosoft.com“ signiert, was von reinen DNS-Tools als gültig gemeldet wird. 

So richten Sie DMARC ein

DMARC baut auf SPF und DKIM auf. Es überprüft, ob mindestens eine dieser Authentifizierungsmethoden erfolgreich ist und mit der in der sichtbaren „Von:“-Adresse angegebenen Domain übereinstimmt. Außerdem gibt es den E-Mail-Anbietern vor, wie sie vorgehen sollen, wenn die Authentifizierung fehlschlägt.

In vielen Anleitungen zur DMARC-Einrichtung wird empfohlen, für maximalen Schutz direkt auf „p=reject“ umzustellen. Für die meisten Unternehmen, insbesondere solche, die mehrere Versandplattformen nutzen, ist dies jedoch riskant. Wenn legitime Absender nicht ordnungsgemäß authentifiziert wurden, kann eine strenge DMARC-Richtlinie gültige geschäftliche E-Mails blockieren.

Bei der Konfiguration von DMARC:

• Veröffentlichen Sie einen DMARC -TXT-Eintrag unter _dmarc.yourdomain.com.
• Beginnen Sie mit einer Überwachungsrichtlinie von p=none.
• Fügen Sie mithilfe des Tags „rua=“ eine Sammeladresse für die Berichterstattung hinzu.
• Stellen Sie sicher, dass SPF oder DKIM erfolgreich geprüft werden und mit Ihrer „From:“-Domain übereinstimmen.
• Überprüfen Sie die Berichte, bevor Sie Änderungen an den Richtlinien vornehmen.

Sobald die DMARC-Berichterstellung aktiviert ist:

• Überprüfen Sie die Berichte, um alle Plattformen zu identifizieren, die E-Mails für Ihre Domain versenden.
• Achten Sie auf Fehler bei der Authentifizierung und der Ausrichtung.
• Beheben Sie Probleme mit SPF, DKIM und der Domain-Zuordnung.
• Stellen Sie sicher, dass alle legitimen Absender die DMARC-Prüfung bestehen.
• Führen Sie die Überwachung fort, bis die Ergebnisse durchweg einwandfrei sind.

Nach Abschluss der Überwachung:

• Wechsle zu „p=quarantine“, um fehlerhafte E-Mails in den Spam-Ordner zu verschieben.
• Überprüfen Sie weiterhin die Berichte und achten Sie auf etwaige Probleme.
• Wechseln Sie erst dann zu „p=reject“, wenn Sie sicher sind, dass alle legitimen E-Mails die Authentifizierung bestehen.

Wenn Sie im Überwachungsmodus beginnen, erhalten Sie Einblick darin, wie E-Mails von Ihrer Domain versendet werden, und können so verhindern, dass legitime Nachrichten durch eine zu strenge Richtlinie blockiert werden.

So überprüfen Sie, ob Ihre Outlook-Authentifizierung tatsächlich funktioniert

Viele Absender hören nach der Überprüfung des DNS auf und gehen davon aus, dass alles funktioniert. Das Problem ist, dass ein DNS-Eintrag zwar vorhanden sein kann, die Authentifizierung aber dennoch fehlschlägt – aufgrund von Abgleichproblemen, Konfigurationsfehlern, nicht übereinstimmenden Selektoren oder einer unvollständigen Einrichtung.

Führen Sie den folgenden Vorgang durch, um die Authentifizierung unter realen Empfangsbedingungen zu überprüfen.

Schritt 1: Überprüfen Sie, ob die Einträge im DNS vorhanden sind

Überprüfen Sie zunächst, ob Ihre SPF-, DKIM- und DMARC-Einträge korrekt veröffentlicht sind.

Bitte überprüfen Sie Folgendes:

• Für Ihre Domain ist ein SPF-TXT-Eintrag vorhanden.
• Ihre DKIM-Selektoren sind veröffentlicht und zugänglich.
• Unter _dmarc.yourdomain.com ist ein DMARC-Eintrag vorhanden.
• Die Datensätze enthalten die von Ihrem E-Mail-Anbieter erwarteten Werte.

Dies bestätigt, dass die Konfiguration öffentlich sichtbar ist, sagt jedoch nichts darüber aus, ob die Authentifizierung erfolgreich ist.

Schritt 2: Eine echte E-Mail an Outlook senden

Die Authentifizierung wird geprüft, wenn Outlook eine Nachricht empfängt.

Senden Sie eine Test-E-Mail von derselben Plattform, die Sie normalerweise für Kundenansprache, Marketing oder geschäftliche E-Mails nutzen, an:

• Ein Outlook.com-Postfach
• Ein Hotmail.com-Postfach
• Wenn möglich, ein Microsoft 365-Business-Postfach

Anhand echter Posteingänge können Sie überprüfen, wie Microsoft Ihre Nachrichten in der Praxis verarbeitet.

Schritt 3: SPF-Ergebnisse überprüfen

Öffnen Sie die zugestellte Nachricht und überprüfen Sie die Authentifizierungsergebnisse.

Stellen Sie sicher, dass:

• SPF wird als „Bestanden“ angezeigt.
• Der sendende Server ist durch Ihren SPF-Eintrag autorisiert.
• Die authentifizierte Domain stimmt mit der von Ihnen erwarteten Domain überein.

Wenn SPF fehlschlägt, kann Outlook nicht überprüfen, ob der sendende Server berechtigt ist, im Namen Ihrer Domäne E-Mails zu versenden.

Schritt 4: DKIM-Ergebnisse überprüfen

Überprüfen Sie anschließend die DKIM-Signatur.

Bitte überprüfen Sie, ob:

• DKIM wird als „Bestanden“ angezeigt.
• Die Signatur wurde erfolgreich überprüft.
• Die Signaturdomäne gehört zu Ihrer Organisation.
• Es wird der richtige Selektor verwendet.

Ein DKIM-Eintrag kann im DNS vorhanden sein, obwohl die eigentliche Signatur bei der Überprüfung fehlschlägt; daher ist es wichtig, zugestellte E-Mails zu überprüfen.

Schritt 5: DMARC-Ergebnisse überprüfen

DMARC sollte die empfangene Nachricht ebenfalls weiterleiten.

Stellen Sie sicher, dass:

• DMARC wird als „Bestanden“ angezeigt.
• SPF oder DKIM wurden erfolgreich überprüft.
• Die authentifizierte Domäne stimmt mit der sichtbaren „From:“-Domäne überein.
• Es werden keine Ausrichtungsfehler gemeldet.

Dieser Schritt bestätigt, dass Outlook Ihre Authentifizierung genau so erkennt, wie es vorgesehen ist.

Schritt 6: Platzierung im Posteingang überprüfen

Authentifizierung und Platzierung im Posteingang sind nicht dasselbe.

Selbst wenn SPF, DKIM und DMARC alle die Überprüfung bestehen:

• Die E-Mail landet möglicherweise trotzdem im Spam-Ordner.
• Reputationsprobleme können sich auf die Platzierung auswirken.
• Inhalts- und Interaktionssignale können Filterentscheidungen beeinflussen.

Überprüfen Sie, ob die Nachricht dort eintrifft:

• Posteingang
• Müll
• Weitere gefilterte Ordner

So lässt sich feststellen, ob es sich um ein Authentifizierungsproblem oder ein Reputationsproblem handelt.

Dies manuell über mehrere Posteingänge hinweg durchzuführen, ist mühsam. Der kostenlose E-Mail-Zustellbarkeitstest von MailReach versendet E-Mails über ein Netzwerk aus echten Google Workspace- und Microsoft 365-Posteingängen und zeigt an, ob Ihre E-Mails im Posteingang, im Spam-Ordner oder in gefilterten Ordnern landen. Zudem erhalten Sie Ihre SPF-, DKIM- und DMARC-Ergebnisse sowie eine nach Priorität geordnete Liste mit Abhilfemaßnahmen, sodass Sie mit einem einzigen Test unterscheiden können, ob es sich um ein Authentifizierungsproblem oder ein Reputationsproblem handelt. 

Schritt 7: Nach jeder Änderung erneut testen

Die Authentifizierung sollte immer dann überprüft werden, wenn Sie:

• Eine neue Versandplattform hinzufügen.
• Wechseln Sie den E-Mail-Anbieter.
• DNS-Einträge aktualisieren.
• Einen neuen DKIM-Selektor aktivieren.
• Passen Sie Ihre DMARC-Richtlinie an.

Schon kleine Konfigurationsänderungen können die Authentifizierungsergebnisse beeinflussen, ohne dass dabei offensichtliche Fehler auftreten.

Eine DNS-Abfrage zeigt Ihnen, dass die Einträge vorhanden sind. Ein Authentifizierungstest unter realen Bedingungen zeigt Ihnen, ob Outlook ihnen tatsächlich vertraut. Letzteres ist entscheidend.

Häufige Fehler bei der Outlook-Authentifizierung (und wie man sie behebt)

Die meisten Probleme bei der Outlook-Authentifizierung werden durch Konfigurationsfehler verursacht, die auf den ersten Blick korrekt erscheinen, aber zu Fehlern führen, wenn Microsoft die E-Mail tatsächlich auswertet. Die gute Nachricht ist, dass die meisten dieser Probleme vorhersehbaren Mustern folgen. Sobald man weiß, worauf man achten muss, lassen sie sich in der Regel leicht erkennen und beheben.

SPF überschreitet das Limit von 10 Abfragen

SPF-Einträge können maximal 10 DNS-Abfragen enthalten. Jede „include:“-Anweisung beansprucht einen Teil dieses Limits, da Outlook diesen Verweisen nachgehen muss, um festzustellen, ob ein sendender Server autorisiert ist.

Dieses Problem tritt oft schleichend auf. Eine Domäne beginnt mit Microsoft 365 und fügt dann ein CRM, eine Marketingplattform, einen Helpdesk, ein Outreach-Tool und einige weitere Dienste hinzu. Der SPF-Eintrag ist weiterhin im DNS vorhanden, doch sobald das Abfrage-Limit überschritten ist, kann Outlook ihn nicht mehr vollständig auswerten. SPF kann fehlschlagen, obwohl auf den ersten Blick alles einwandfrei zu funktionieren scheint.

So behebst du es:

• Überprüfen Sie alle Plattformen, die derzeit zum Versenden von E-Mails für Ihre Domain berechtigt sind.
• Entfernen Sie veraltete oder nicht mehr verwendete `include:`-Anweisungen.
• Führen Sie die Versandtools nach Möglichkeit zusammen.
• Überwachen Sie die Anzahl der Abrufe, sobald eine neue Plattform hinzugefügt wird.
• Führen Sie nach jeder Änderung erneut einen SPF-Test durch, um sicherzustellen, dass er weiterhin erfolgreich ist.

Verwendung der Standard-DKIM-Einstellungen von Microsoft

Microsoft 365 signiert E-Mails automatisch mit einer DKIM-Signatur von onmicrosoft.com. Viele Absender gehen davon aus, dass DKIM damit vollständig konfiguriert ist.

Die Standard-Signatur von Microsoft authentifiziert die Microsoft-Domäne, nicht Ihre benutzerdefinierte Domäne. Ihre E-Mail erscheint möglicherweise als DKIM-signiert, während Ihre eigene Domäne für DMARC-Abgleichzwecke nicht authentifiziert ist.

So behebst du es:

• Veröffentlichen Sie die beiden DKIM-CNAME-Einträge, die Microsoft für Ihre Domain generiert.
• Aktivieren Sie die DKIM-Signatur für die benutzerdefinierte Domain in Microsoft Defender.
• Stellen Sie sicher, dass DKIM mit Ihrer Domain und nicht mit onmicrosoft.com signiert wird.
• Konfigurieren Sie für jede weitere Versandplattform separate DKIM-Einträge.
• Testen Sie DKIM anhand tatsächlich zugestellter Nachrichten und nicht nur anhand von DNS-Einträgen.

DMARC besteht auf dem Papier, scheitert jedoch bei der Abstimmung

Die Veröffentlichung eines DMARC-Eintrags bedeutet nicht automatisch, dass DMARC erfolgreich ist.

DMARC verlangt, dass entweder SPF oder DKIM mit der in der sichtbaren „From:“-Adresse angegebenen Domain übereinstimmt. Eine Nachricht kann die SPF-Prüfung bestehen und dennoch die DMARC-Prüfung nicht bestehen, wenn die Authentifizierung auf einer anderen Domain erfolgt.

Dies ist eine häufige Ursache für Authentifizierungsfehler in Outlook, da der Eintrag zwar vorhanden ist, die Prüfungen offenbar konfiguriert sind, DMARC jedoch bei der Zustellung dennoch fehlschlägt.

So behebst du es:

• Stellen Sie sicher, dass die SPF-authentifizierte Domain mit der sichtbaren „From:“-Domain übereinstimmt.
• Stellen Sie sicher, dass die DKIM-Signaturdomäne mit der sichtbaren „From:“-Domäne übereinstimmt.
• Überprüfen Sie die DMARC-Berichte auf Abweichungen.
• Testen Sie echte E-Mails, anstatt sich auf DNS-Abfragen zu verlassen.
• Beheben Sie Ausrichtungsprobleme, bevor Sie über „p=none“ hinausgehen.

Zu früherer Wechsel zu „p=reject“

In vielen Anleitungen zur DMARC-Konfiguration wird empfohlen, für maximalen Schutz direkt auf „p=reject“ umzustellen. Für Unternehmen, die mehrere Tools einsetzen, kann dies sehr schnell zu Problemen führen.

Vergessene CRM-Systeme, Abrechnungssysteme, Helpdesks und interne Anwendungen versenden oft auch nach der Aktivierung der DMARC-Durchsetzung weiterhin E-Mails. Wenn diese Systeme nicht ordnungsgemäß authentifiziert sind, können legitime Unternehmens-E-Mails blockiert werden.

So behebst du es:

• Beginnen Sie mit p=none und erfassen Sie die DMARC-Berichte.
• Ermitteln Sie alle Systeme, die E-Mails unter Ihrer Domain versenden.
• Beheben Sie zunächst die Fehler bei der Authentifizierung und der Ausrichtung.
• Wechseln Sie zu „p=quarantine“, bevor Sie „p=reject“ in Betracht ziehen.
• Führen Sie die vollständige Durchsetzung erst dann ein, wenn durch kontinuierliche Überwachung bestätigt wurde, dass legitime E-Mails durchgelassen werden.

Unter der Annahme, dass „Veröffentlichung des Datensatzes“ „Funktionsfähigkeit“ bedeutet

Eine DNS-Abfrage bestätigt lediglich, dass ein Eintrag vorhanden ist. Sie bestätigt jedoch nicht, dass Outlook beim Empfang einer E-Mail die SPF-, DKIM- und DMARC-Prüfung erfolgreich durchführt.

Dies vermittelt ein falsches Gefühl der Sicherheit. Im DNS scheint alles korrekt konfiguriert zu sein, während E-Mails weiterhin im Spam-Ordner landen oder bei der Zustellung die Authentifizierungsprüfungen nicht bestehen.

So behebst du es:

• Senden Sie Test-E-Mails an die Posteingänge von Outlook und Gmail.
• Überprüfen Sie die SPF-, DKIM- und DMARC-Ergebnisse in den Kopfzeilen der empfangenen E-Mail.
• Führen Sie nach jeder Änderung der DNS-Einstellungen oder der Versandplattform einen Test durch.
• Überwachen Sie regelmäßig die Authentifizierungsergebnisse.
• Führen Sie End-to-End-Authentifizierungstests durch, anstatt sich ausschließlich auf eine DNS-Validierung zu verlassen.

Verwendung einer Subdomain für die Kaltakquise

Viele Absender gehen davon aus, dass die Verwendung einer Subdomain die Kaltakquise vollständig von ihren primären geschäftlichen E-Mails trennt.

Zwar sorgen Subdomains für eine gewisse Abgrenzung, doch können Mailbox-Anbieter sie weiterhin der übergeordneten Domain zuordnen. Wenn Outreach-Kampagnen Beschwerden oder eine geringe Resonanz hervorrufen, können Reputationssignale dennoch Auswirkungen auf die Marke insgesamt haben.

So behebst du es:

• Verwenden Sie für die Kaltakquise eine separate sekundäre Domain.
• Die sekundäre Domäne separat authentifizieren.
• Erwärmen Sie den Outreach-Bereich, bevor Sie das Volumen erhöhen.
• Trennen Sie den Traffic aus den Bereichen Kundenansprache, Marketing und Transaktionen.
• Schützen Sie Ihre primäre Unternehmensdomain vor unnötigen Reputationsrisiken.

Schwarze Listen jagen, anstatt den Ruf wiederherzustellen

Eine Warnmeldung wegen einer Blacklist wirkt oft dringlich, weshalb viele Absender bei sinkender Zustellbarkeit zunächst auf Blacklist-Prüfungen setzen.

Tatsächlich stützt sich Outlook in erster Linie auf Microsofts eigene Reputationssysteme, Beschwerdedaten, Interaktionssignale und Authentifizierungsergebnisse. Die meisten öffentlichen Blacklists haben kaum Einfluss darauf, ob eine E-Mail im Outlook-Posteingang landet.

Wenn authentifizierte E-Mails regelmäßig im Spam-Ordner landen, liegt das Problem in der Regel eher in der Reputation, der Interaktionsrate oder dem Versandverhalten als in einer Eintragung auf einer Blacklist.

So behebst du es:

• Überprüfen Sie, ob die Blacklist tatsächlich von Microsoft verwendet wird.
• Konzentrieren Sie sich zunächst auf die Beschwerdequoten und die Absenderreputation.
• Verbesserung der Authentifizierung und der Datenqualität der Liste.
• Beobachten Sie, ob die E-Mails im Posteingang landen, anstatt sich allein auf den Status auf der Blacklist zu verlassen.
• Betrachten Sie die Überprüfung auf Blacklists als Diagnosesignal und nicht als Strategie zur Verbesserung der Zustellbarkeit.

Langfristige Aufrechterhaltung der E-Mail-Authentifizierung in Outlook

E-Mail-Anbieter verschärfen ihre Vertrauensanforderungen kontinuierlich. Die Authentifizierung ist zunehmend weniger ein Wettbewerbsvorteil als vielmehr eine Grundvoraussetzung. Am besten schneiden jene Domains ab, die ihre Absenderquellen regelmäßig überprüfen, die Authentifizierung nach Änderungen verifizieren, DMARC-Berichte überwachen und Probleme erkennen, bevor sie sich auf die Zustellung auswirken.

Der nächste Schritt besteht nicht einfach darin, Datensätze zu veröffentlichen und dann weiterzumachen. Es geht darum, sicherzustellen, dass Outlook Ihre E-Mail so anzeigt, wie Sie es beabsichtigen. Das bedeutet, unter realen Empfangsbedingungen zu testen, die Authentifizierung über einen längeren Zeitraum hinweg zu überwachen und sicherzustellen, dass neue Tools nicht unbemerkt zu Fehlern führen.

Der E-Mail-Zustellbarkeitstest von MailReach überprüft die Authentifizierung durchgängig und nicht nur im DNS, und automatisierte Tests mit Slack- oder Webhook-Benachrichtigungen melden Abweichungen sofort, sobald ein neues Tool unbemerkt einen Rekord bricht. 

FAQs

Richtet Microsoft 365 DKIM automatisch ein? 

Dies gilt nicht für Ihre benutzerdefinierte Domain. Microsoft 365 signiert standardmäßig mit einem onmicrosoft.com-Schlüssel, was nicht dasselbe ist wie die Authentifizierung Ihrer eigenen Domain. Sie müssen zwei CNAME-Einträge veröffentlichen und die DKIM-Signierung für Ihre Domain im Defender-Portal aktivieren.

Warum landen meine authentifizierten E-Mails immer noch im Outlook-Spam-Ordner? 

Denn die Authentifizierung ist nur eine von drei Säulen der Zustellbarkeit. Microsoft berücksichtigt außerdem die Absenderreputation (Engagement) und den Inhalt. Selbst wenn Sie die SPF-, DKIM- und DMARC-Prüfungen bestehen, können Ihre E-Mails dennoch als Spam eingestuft werden, wenn Ihre Reputation schlecht ist oder Ihre Inhalte die Filter auslösen. 

Welche Anforderungen stellt Microsoft an Massenversender? 

In Anlehnung an die im Februar 2024 in Kraft getretenen Richtlinien von Google und Yahoo verlangt Microsoft von Absendern mit hohem Versandvolumen (etwa 5.000 oder mehr Nachrichten pro Tag an Outlook.com, Hotmail und Live), dass sie sich mittels SPF, DKIM und DMARC authentifizieren; andernfalls besteht die Gefahr, dass ihre E-Mails als Spam eingestuft und blockiert werden. Bei ausgehenden B2B-E-Mails ist eine Authentifizierung unabhängig vom Versandvolumen erforderlich.

Ist DMARC für Outlook erforderlich? 

Für Absender mit hohem Versandvolumen: ja. Für alle anderen wird dies dringend empfohlen und zunehmend erwartet. Beginnen Sie mit „p=none“, um die Situation zu beobachten, und gehen Sie dann zur Durchsetzung über, sobald Ihre Berichte bestätigen, dass alle legitimen Absender die Überprüfung bestehen.

Behebt „ email warmup “ das Problem mit der Outlook-Authentifizierung? 

Nein. Das „Warmup“ stärkt die Reputation des Absenders, was eine andere Säule ist als die Authentifizierung. Bei der Authentifizierung geht es um die DNS-Einrichtung; das „Warmup“ sorgt für Interaktion. Beides ist wichtig, und das „Warmup“ dient ausschließlich der Kaltakquise im B2B-Bereich.

‍