Outlook-Fehler 550 5.7.515: Ursache und Lösung für KMU

Was die Meldung bedeutet

Die Rückmeldung von Microsoft lautet sinngemäss so:

550 5.7.515 Access denied, sending domain example.com does not meet the required authentication level.

Übersetzt: Zugriff verweigert, die Absenderdomain erfüllt die verlangte Stufe der Echtheitsprüfung nicht. Die Zahl 550 steht für einen endgültigen Fehler. Die Mail wurde nicht zugestellt, und Ihr Mailserver versucht es auch nicht noch einmal.

Gemeint ist die Domain in der sichtbaren Absenderadresse, also das, was nach dem @ in «Von» steht. Der Fehler sagt nichts über den Inhalt Ihrer Mail. Er sagt nur: Microsoft konnte nicht ausreichend bestätigen, dass die Mail wirklich von Ihrer Domain stammt.

Drei Begriffe kommen dabei immer wieder vor:

• SPF: ein DNS-Eintrag mit der Liste der Server, die für Ihre Domain Mails senden dürfen.
• DKIM: eine digitale Signatur, die Ihr Mailsystem jeder Mail mitgibt. Der passende Schlüssel liegt in Ihrem DNS.
• DMARC: ein DNS-Eintrag, der SPF und DKIM mit der Absenderadresse verknüpft und festlegt, was mit durchgefallenen Mails geschehen soll.

Wer betroffen ist

Microsoft hat im April 2025 neue Regeln für Absender mit grossem Volumen angekündigt. Sie gelten seit Mai 2025 für die Mail-Dienste für Privatkunden: Outlook.com, Hotmail, Live.com und MSN. Ursprünglich wollte Microsoft solche Mails zuerst in den Junk-Ordner verschieben. Kurz vor dem Start hat Microsoft entschieden, sie stattdessen mit 5.7.515 abzulehnen.

Als grossen Absender bezeichnet Microsoft im Blog Domains mit mehr als 5000 Mails pro Tag. Der Hilfeartikel zum Fehler spricht von 5000 oder mehr Nachrichten an die Privatkunden-Dienste, alle mit derselben Domain in der Absenderadresse. Massgebend ist also Ihre Domain, nicht das einzelne Programm. Newsletter, Webshop und Buchhaltung zählen zusammen, wenn alle mit @example.com senden.

Viele KMU liegen unter dieser Schwelle. Trotzdem lohnt sich die Korrektur: Microsoft empfiehlt die gleichen Einstellungen ausdrücklich allen Absendern, und Google stellt für Gmail seit Februar 2024 vergleichbare Anforderungen.

Was Microsoft genau verlangt

Laut Microsoft müssen Mails von grossen Absendern alle diese Punkte erfüllen:

1. SPF besteht: Der sendende Server ist im SPF-Eintrag erlaubt.
2. DKIM besteht: Die Mail trägt eine gültige Signatur.
3. DMARC ist veröffentlicht: mindestens mit der Regel p=none, also «nur beobachten».
4. DMARC besteht: SPF oder DKIM, besser beide, sind auf die Absenderadresse ausgerichtet.

Ausrichtung heisst: Die Domain, die SPF oder DKIM bestätigt, muss zur Domain in der Absenderadresse passen. Eine Subdomain wie news.example.com gilt dabei als passend. Ein Beispiel: Sie senden von info@example.com. Signiert Ihr Newsletter-Dienst mit d=example.com, ist DKIM ausgerichtet. Signiert er mit seiner eigenen Domain, besteht DKIM zwar technisch, hilft für DMARC aber nicht.

Wichtig: p=none genügt als Regel. Die Prüfung selbst muss trotzdem bestehen. Ein DMARC-Eintrag allein behebt den Fehler also nicht, wenn SPF oder DKIM nicht stimmen.

Lösung Schritt für Schritt

1. Rückläufer lesen: Notieren Sie, aus welchem System die abgelehnte Mail kam, zum Beispiel Newsletter-Dienst, Shop oder Buchhaltung. Manche Rückläufer nennen zusätzlich die Prüfergebnisse wie Spf=Fail oder Dkim=Fail.
2. Domain prüfen: Geben Sie Ihre Domain im kostenlosen Domain-Check ein. Sie sehen auf einen Blick, ob SPF, DKIM und DMARC vorhanden und gültig sind.
3. SPF vervollständigen: Es darf nur einen TXT-Eintrag mit v=spf1 geben, und darin müssen alle Versandwege stehen. Beispiel für Microsoft 365 plus einen Newsletter-Dienst: v=spf1 include:spf.protection.outlook.com include:[Angabe Ihres Newsletter-Dienstes] -all. Achten Sie auf die Grenze von zehn DNS-Abfragen: SPF-Fehler «too many DNS lookups» – warum zehn Abfragen reichen müssen.
4. DKIM in jedem System einschalten: In Microsoft 365 tragen Sie zwei CNAME-Einträge wie selector1._domainkey.example.com ein und aktivieren danach die Signatur. Die Anleitung dazu: Microsoft 365: Mails landen im Spam – DKIM ist oft nicht eingeschaltet. Bei Newsletter-Diensten und Shops heisst die Funktion oft «eigene Domain authentifizieren». Der Dienst gibt Ihnen die DNS-Einträge vor.
5. DMARC setzen: Legen Sie einen TXT-Eintrag mit dem Namen _dmarc an, Wert zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc-berichte@example.com. Die Adresse nach rua= empfängt die Berichte der Empfänger. Es darf nur einen solchen Eintrag geben.
6. Wirkung testen: Senden Sie aus jedem System eine Mail an ein eigenes Outlook.com-Postfach. Öffnen Sie dort die Nachrichtenquelle beziehungsweise die Kopfzeilen der Mail. In der Zeile Authentication-Results sollten spf=pass, dkim=pass und dmarc=pass stehen, dazu header.d=example.com.
7. Abgelehnte Mails neu senden: Microsoft stellt sie nicht nachträglich zu. Warten Sie, bis die DNS-Änderung wirkt. Das dauert je nach Einstellung einige Minuten bis wenige Stunden.

Typische Fehler

• Gar kein DMARC-Eintrag: SPF und DKIM stimmen, aber _dmarc fehlt. Für Microsoft reicht das nicht.
• DMARC am falschen Ort: Manche DNS-Editoren hängen die Domain automatisch an. Wer _dmarc.example.com einträgt, erhält dann _dmarc.example.com.example.com. Tragen Sie nur _dmarc ein.
• Zwei SPF- oder zwei DMARC-Einträge: Beide Fälle machen die Prüfung ungültig. Führen Sie die Einträge zu einem zusammen.
• Newsletter-Dienst ohne eigene Domain: Der Dienst signiert mit seiner Domain. DKIM besteht, ist aber nicht ausgerichtet, und auch SPF prüft dann die Domain des Dienstes.
• Neues System vergessen: Ein neues CRM oder Ticketsystem sendet mit Ihrer Adresse, steht aber weder im SPF noch hat es DKIM.
• Weiterleitungen: Wird eine Mail über einen anderen Server weitergeleitet, scheitert SPF oft. DKIM übersteht die Weiterleitung meist. Ein Grund mehr, DKIM überall einzuschalten.

Abgrenzung zu ähnlichen Fehlern

• 550 5.7.26 bei Gmail: Gmail lehnt ab, weil weder SPF noch DKIM bestehen. Ursache und Lösung sind ähnlich: Fehler 550 5.7.26 «unauthenticated email» – Bedeutung und Lösung.
• 550 5.7.509 bei Microsoft: Die Mail fällt bei DMARC durch, und Ihr eigener Eintrag sagt p=reject. Hier blockiert Ihre eigene Regel, nicht die Regel für grosse Absender: «Rejected due to DMARC policy» – die eigene Domain blockiert die eigenen Mails.
• Meldungen mit IP-Adresse und Blacklist: Dann geht es um den Ruf des sendenden Servers, nicht um die Einträge Ihrer Domain.
• Mail kommt an, aber im Junk-Ordner: Das ist kein Rückläufer. Ursache sind meist Ruf, Inhalt oder fehlende Abmeldelinks.

Sind SPF, DKIM und DMARC stabil, können Sie DMARC später verschärfen. Wie Sie dabei vorgehen: DMARC von p=none auf quarantine und reject – wann ist es sicher?.

Was DomainRadar bei 5.7.515 übernimmt

DomainRadar prüft SPF, DKIM und DMARC Ihrer Domain laufend und erhält die DMARC-Berichte über eine eigene Berichtsadresse. Auch Outlook.com schickt solche Berichte. Sie sehen pro Versandsystem, ob es besteht und ausgerichtet ist, und erhalten einen Alarm, wenn die Quote bestandener Mails einbricht oder eine unbekannte Quelle auftaucht. Sie können DomainRadar 14 Tage kostenlos testen.

Bounce-Decoder