Eine Vereinskasse schickt die Jahresrechnung an zwanzig Mitglieder. Neunzehn Mails kommen an. Die zwanzigste, an eine Hotmail-Adresse, kommt mit einer englischen Fehlermeldung zurück. Das Mitglied merkt davon nichts. Für das Mitglied gab es schlicht nie eine Mail.

Genau das melden Admins seit dem 5. und 6. November in Foren und Mailinglisten: Outlook.com weist Mails ab, wenn die Absender-Domain keinen DMARC-Eintrag hat. Betroffen sind die privaten Adressen bei outlook.com, hotmail.com, live.com und msn.com. Wer selbst nur eine Gmail- oder Web.de-Adresse benutzt, kann sich zurücklehnen. Wer aber eine eigene Domain hat und von dort Mails verschickt, egal ob über den Webhoster, über Mailcow im Keller oder als Benachrichtigung vom NAS, sollte heute fünf Minuten investieren.

DMARC? Drei Einträge im DNS deiner Domain arbeiten zusammen. SPF ist die Liste, welche Server im Namen deiner Domain Post verschicken dürfen. DKIM ist ein Siegel, das dein Mailserver auf jede Mail drückt. DMARC ist der Aushang daneben: „Wenn eine Mail angeblich von mir kommt, aber weder Liste noch Siegel passen, dann macht bitte Folgendes.“ Die Stufe p=none heißt: nichts machen, nur beobachten.

Was der Bounce AS9031519 bedeutet

Die Fehlermeldung, die beim Absender zurückkommt, lautet:

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Am ersten Tag fehlte laut MailRoute der Code in Klammern noch. Die Meldung sagt nicht, welcher der drei Einträge fehlt. Das ist schade, denn in den bisher dokumentierten Fällen ist es fast immer derselbe: DMARC.

Al Iverson, der seit Jahren über Mailzustellung schreibt, hat das am 7. November gegengeprüft. Er hat bei einigen eigenen Domains den DMARC-Eintrag gelöscht und Testmails verschickt. Ergebnis: Outlook.com lehnte ab, obwohl SPF und DKIM bestanden. Eine Firmenadresse bei Microsoft 365 nahm dieselbe Mail an. Sauber gemacht: Statt zu rätseln, hat er einfach den Versuch aufgebaut. Wer also nur an Kollegen mit Firmenadresse schreibt, merkt nichts. Das Problem trifft die privaten Postfächer.

Dazu kommt, dass nicht jede Mail abgewiesen wird, sondern nur ein Teil. Windows Latest zitiert einen Nutzer, bei dem etwa die Hälfte seiner Kontakte seit dem 5. November eine Ablehnung bekam. Manche Mails kamen beim zweiten Versuch durch. Für einen Fehler ist das die unangenehmste Sorte: Er tritt so selten auf, dass niemand nachsieht, und so oft, dass trotzdem etwas verloren geht.

Absicht oder Panne? Microsoft schweigt

Eine offizielle Ankündigung gibt es nicht. Bekannt ist nur eine ältere Regel: Seit Mai 2025 verlangt Microsoft SPF, DKIM und DMARC (mindestens p=none) von Domains, die mehr als 5.000 Mails pro Tag an Outlook.com schicken. Das betrifft Newsletter-Versender, keine Vereinskasse. Neu ist, dass es jetzt offenbar auch kleine Absender trifft.

Wie man das deutet, ist strittig. Iverson hält eine stille Richtlinienänderung für möglich und lässt offen, ob sie bleibt. Windows Latest tippt eher auf eine Störung und berichtet auch von Absendern, die trotz vollständiger Einträge abgewiesen wurden. Im Microsoft-Forum hat bis heute niemand von Microsoft geantwortet. Dort fragt ein Betroffener, wie er bitte all seine Kunden dazu bringen soll, ihre DMARC-Einträge zu prüfen.

Ich würde nicht abwarten, wer recht behält. Fehlt DMARC bei dir, ist der Eintrag in beiden Fällen richtig: Er kostet eine Zeile im DNS, ändert an deiner übrigen Zustellung nichts und ist für große Absender bei Microsoft ohnehin schon Pflicht. Wer dagegen alle drei Einträge sauber hat und trotzdem abgewiesen wird, kann auf seiner Seite nichts tun. Dann bleiben der zweite Versuch und eine Meldung an den eigenen Mailanbieter.

Eine Regel dieser Tragweite, bekannt gemacht allein über eine Fehlermeldung, die nicht einmal sagt, was fehlt: Wenn das Absicht ist, hat Microsoft die Ankündigung vergessen.

Schaubild in drei Schritten: DMARC-Eintrag per dig nachsehen, TXT-Eintrag _dmarc mit v=DMARC1; p=none setzen, Testmail an outlook.com schicken
Nachsehen, eintragen, testen: mehr braucht es für den Anfang nicht.

DMARC-Eintrag prüfen und setzen

Zuerst nachsehen, ob deine Domain schon einen hat. Unter Linux und macOS:

dig +short TXT _dmarc.deine-domain.de

Unter Windows geht dasselbe mit nslookup -type=TXT _dmarc.deine-domain.de. Kommt eine Zeile mit v=DMARC1 zurück, bist du fertig und lässt den Eintrag, wie er ist. Ein zweiter DMARC-Eintrag daneben macht die Sache nicht besser, sondern ungültig.

Kommt nichts zurück, legst du beim Domain-Anbieter einen neuen TXT-Eintrag an:

  • Name: _dmarc (manche Oberflächen wollen _dmarc.deine-domain.de)
  • Typ: TXT
  • Wert: v=DMARC1; p=none

Mit p=none ändert sich am Verhalten deiner Mails nichts. Der Eintrag sagt Outlook.com nur, dass es ihn gibt. Schärfere Stufen wie quarantine oder reject kannst du später angehen, wenn du weißt, welche Dienste alles in deinem Namen verschicken. Für heute reicht die eine Zeile.

Ein Haken bleibt. DMARC gilt nur als bestanden, wenn SPF oder DKIM zu der Domain passt, die im Absenderfeld steht. Fachleute nennen das Alignment. Verschickt dein NAS also über einen fremden SMTP-Dienst Mails mit deiner Domain im Absender, sollte dieser Dienst in deinem SPF-Eintrag stehen oder mit deiner Domain signieren. Ob es bei dir stimmt, verrät der Kopf einer Mail, die du an dich selbst schickst: Dort stehen Zeilen mit spf=pass und dkim=pass, oder eben nicht.

Danach ein paar Testmails an eine Hotmail- oder Outlook.com-Adresse schicken, falls du eine hast. DNS-Änderungen brauchen je nach Anbieter Minuten bis Stunden, bis sie überall gelten.

Hast du gar keine eigene Domain, sondern bist selbst der Empfänger, dem Mails fehlen, dann kannst du im eigenen Postfach nichts einstellen. Schick dem Absender die Fehlermeldung samt Code. Wahrscheinlich weiß er noch gar nicht, dass seine Mails nicht ankommen.

Wenn dein Homelab ohnehin schon unter eigener Domain läuft, hängt an dieser Domain inzwischen mehr als eine Webseite. Was das für die HTTP-Warnung im Browser bedeutet, steht in unserem Beitrag zu Chrome und dem Heimnetz.

Hast du schon einen Bounce mit AS9031519 bekommen, oder fehlen dir seit letzter Woche Mails im Hotmail-Postfach? Und falls du DMARC gerade erst eingetragen hast: Kommen deine Mails jetzt durch? Schreib's in die Kommentare, dann sehen wir, wie breit das wirklich ist.

Falls Microsoft die Sache noch erklärt oder zurückdreht, steht es im Newsletter, der jeden Sonntag kommt und auch die Meldungen der Woche einordnet, die keinen eigenen Beitrag bekommen.

Quellen