Outlook.com weist E-Mails zurück: Fehler 550 5.7.23 / AS9031519

Seit Anfang November 2026 kommt es vermehrt zu Zustellproblemen beim Versand von E-Mails an private Microsoft-Mailadressen. Betroffen sind insbesondere Adressen bei Outlook.com, Outlook.de, Hotmail, Live und MSN.

Absender erhalten dabei beispielsweise folgende Unzustellbarkeitsmeldung:

550 5.7.23 The message was rejected because of Sender Policy Framework violation 550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records (AS9031519)

Das Besondere: Die Fehlermeldung deutet zunächst auf eine fehlerhafte Absenderauthentifizierung hin. Nach aktuellen Erkenntnissen können jedoch auch Nachrichten betroffen sein, bei denen SPF und DKIM erfolgreich geprüft wurden. Auffällig häufig fehlt bei den betroffenen Absenderdomains lediglich ein veröffentlichter DMARC-Eintrag.

Auch heise online berichtet inzwischen über das Problem. Demnach werden entsprechende Rückläufer seit dem 5. November beobachtet. Ein Moderator im Microsoft-Supportforum hat das Verhalten inzwischen als Störung eingeordnet, deren Ursache von Microsoft untersucht wird. [heise.de]

SPF, DKIM und DMARC: Was steckt dahinter?

Für die Authentifizierung von E-Mails werden hauptsächlich drei Verfahren eingesetzt:

• SPF (Sender Policy Framework) legt fest, welche Mailserver E-Mails im Namen einer Domain versenden dürfen.
• DKIM (DomainKeys Identified Mail) versieht ausgehende Nachrichten mit einer kryptografischen Signatur.
• DMARC (Domain-based Message Authentication, Reporting and Conformance) baut auf SPF und DKIM auf und legt fest, wie der empfangende Mailserver mit nicht korrekt authentifizierten Nachrichten umgehen soll.

Beim aktuell beobachteten Microsoft-Fehler können Nachrichten offenbar selbst dann zurückgewiesen werden, wenn SPF und DKIM erfolgreich sind, aber für die Absenderdomain kein DMARC-Eintrag veröffentlicht wurde. heise online beschreibt genau solche Fälle. [heise.de]

Wir konnten das Fehlerbild selbst nachvollziehen

Im Rahmen unserer eigenen Analyse konnten wir das Verhalten reproduzieren.

Eine über Microsoft 365 versendete Testnachricht wurde von Outlook.com mit dem Fehler AS9031519 zurückgewiesen.

Da der Versand zusätzlich über ein E-Mail-Security-Gateway erfolgte, haben wir zunächst dessen Ausgangsserver ordnungsgemäß in die SPF-Konfiguration aufgenommen.

Die anschließende Prüfung zeigte:

SPF = PASS

Outlook.com lehnte die Nachricht jedoch weiterhin mit AS9031519 ab.

Für die verwendete Absenderdomain existierte zu diesem Zeitpunkt noch kein veröffentlichter DMARC-Eintrag.

Daraufhin wurde zunächst eine DMARC-Richtlinie im Monitoring-Modus angelegt:

v=DMARC1; p=none;

Eine anschließend versendete Testnachricht wurde von Outlook.com erfolgreich angenommen.

Dies deckt sich mit den inzwischen öffentlich dokumentierten Beobachtungen. Auch dort wird die Veröffentlichung eines DMARC-Eintrags mit p=none als mögliche Abhilfe beschrieben. [heise.de]

Was sollten Unternehmen jetzt prüfen?

Wer derzeit Unzustellbarkeitsmeldungen beim Versand an Outlook.com, Outlook.de, Hotmail, Live oder MSN erhält, sollte seine E-Mail-Authentifizierung kontrollieren.

1. SPF überprüfen

Der SPF-Eintrag sollte alle Systeme berücksichtigen, die tatsächlich E-Mails im Namen der eigenen Domain versenden.

Dazu gehören beispielsweise:

• Microsoft 365
• E-Mail-Security-Gateways
• Warenwirtschafts- oder ERP-Systeme
• Newsletter-Dienste
• Ticketsysteme
• Webserver und Kontaktformulare
• weitere externe Versanddienste

Wichtig: Für eine Domain sollte nicht einfach ein zweiter SPF-Eintrag angelegt werden. Unterschiedliche Versanddienste müssen in einer gemeinsamen SPF-Policy berücksichtigt werden.

2. DKIM überprüfen

Ausgehende E-Mails sollten nach Möglichkeit mit DKIM signiert werden. Bei Microsoft 365 lässt sich DKIM für eigene Domains entsprechend konfigurieren.

3. DMARC überprüfen

Mit einer DNS-Abfrage lässt sich feststellen, ob bereits ein DMARC-Eintrag vorhanden ist.

Unter Windows beispielsweise mit PowerShell:

Resolve-DnsName _dmarc.example.de -Type TXT

Existiert noch kein DMARC-Eintrag, kann als vorsichtiger Einstieg beispielsweise eine Monitoring-Richtlinie verwendet werden:

Name: _dmarc Typ: TXT Wert: v=DMARC1; p=none;

p=none weist empfangende Mailserver zunächst nicht an, Nachrichten aufgrund der eigenen DMARC-Richtlinie abzulehnen oder in Quarantäne zu verschieben.

Eine bereits vorhandene produktive DMARC-Richtlinie sollte jedoch nicht ungeprüft verändert oder abgeschwächt werden.

Nicht vorschnell nur den SPF ändern

Der Fehlercode 550 5.7.23 bezeichnet die Ablehnung ausdrücklich als SPF-Verletzung. Das kann bei der Fehlersuche auf die falsche Fährte führen.

Aktuell werden auch Fälle dokumentiert, in denen SPF und DKIM erfolgreich geprüft wurden und Microsoft die Nachricht dennoch mit AS9031519 zurückweist. [heise.de]

Daher sollte immer die gesamte Authentifizierungskette aus SPF, DKIM und DMARC betrachtet werden.

Microsoft untersucht die Störung

Nach Angaben von heise online hat ein Moderator im Microsoft-Supportforum das Verhalten inzwischen als Störung eingestuft. Die Ursache wird demnach untersucht. Die Ablehnungen können zudem intermittierend auftreten: Manche Nachrichten einer betroffenen Domain werden angenommen, andere zurückgewiesen. [heise.de]

Eine einzelne erfolgreich zugestellte Nachricht bedeutet daher nicht zwangsläufig, dass die Domain nicht von dem Problem betroffen ist.

Sie sind betroffen?

Wenn Sie beim Versand an Outlook.com, Outlook.de, Hotmail, Live oder MSN aktuell Unzustellbarkeitsmeldungen erhalten, unterstützen wir Sie im CNS Service Desk gerne bei der technischen Analyse.

Besonders relevant sind Fehlermeldungen mit:

550 5.7.23 550 5.7.1 AS9031519

Anhand der vollständigen Unzustellbarkeitsmeldung können wir den tatsächlichen Versandweg sowie SPF, DKIM und DMARC gezielt überprüfen und feststellen, ob Anpassungen an der DNS- oder E-Mail-Konfiguration erforderlich sind.

Weiterführende Informationen: heise online: Outlook.com – Die Mail ist echt und sie kommt trotzdem nicht an [heise.de]