Vorhaben besprechen

Blog

Microsoft 365: SPF, DKIM und DMARC in Exchange Online richtig setzen

Wer Microsoft 365 mit eigener Domain nutzt, richtet SPF, DKIM und DMARC selbst ein. So setzen Sie die Einträge für Exchange Online richtig, vermeiden die typischen Stolpersteine und kommen in Stufen zu p=reject.

24. Oktober 2026Microsoft 365Exchange OnlineDMARCE-Mail-Sicherheit

Microsoft 365 nimmt Ihnen bei der E-Mail-Authentifizierung viel ab, aber nicht alles. Für die Startdomain mit der Endung onmicrosoft.com richtet Microsoft SPF und DKIM selbst ein. Für Ihre eigene Domain, mit der Ihr Team tatsächlich schreibt, legen Sie die Einträge im DNS selbst an. Fehlen sie oder passen sie nicht zusammen, landen Ihre E-Mails im Spam, werden abgelehnt, oder Betrüger schreiben unter Ihrem Namen.

Dieser Beitrag zeigt die Einrichtung für Exchange Online. Die allgemeinen Grundlagen mit Beispielen für andere Mailsysteme enthält der kostenlose Leitfaden E-Mail-Sicherheit: SPF, DKIM und DMARC in fünf Schritten.

Warum das Thema nicht warten sollte

Große Postfachanbieter verlangen die Authentifizierung inzwischen ausdrücklich. Seit 5. Mai 2025 fordert Microsoft für Outlook.com, Hotmail und Live von Domains, die mehr als 5.000 E-Mails pro Tag an diese Adressen senden, bestandenes SPF und DKIM sowie DMARC mit mindestens p=none, passend zu SPF oder DKIM. Nicht konforme Nachrichten werden mit dem Fehler 550 5.7.515 abgelehnt. Google stellt seit 1. Februar 2024 vergleichbare Anforderungen an Absender mit mehr als 5.000 Nachrichten pro Tag an Gmail-Konten.

Unabhängig vom Versandvolumen gilt: Erst DMARC verknüpft die sichtbare Absenderadresse mit SPF und DKIM (RFC 9989). Genau diese Adresse fälschen Betrüger beim Business Email Compromise und beim Phishing.

Ausgangslage klären: Wer sendet mit Ihrer Domain?

Verschaffen Sie sich vor jeder Änderung einen Überblick. Der kostenlose Microsoft-365-Domain-Check zeigt, ob Ihre Domain zu einem Microsoft-Tenant gehört und wie SPF, DKIM, DMARC und Autodiscover stehen. Erfassen Sie zusätzlich jeden Dienst, der mit Ihrer Domain sendet:

Microsoft empfiehlt, Massen- und Marketingversand über eine eigene Subdomain abzuwickeln, etwa marketing.ihredomain.at. Probleme dieses Versands schaden dann nicht der Reputation Ihrer Hauptdomain, und jede Subdomain hat ihr eigenes Budget an SPF-Abfragen.

Schritt 1: SPF für Exchange Online

Für eine Domain, die nur über Microsoft 365 sendet, lautet der Eintrag laut Microsoft v=spf1 include:spf.protection.outlook.com -all. Sendet zusätzlich ein eigener Server, kommt dessen öffentliche Adresse mit ip4: davor. Einstellen lässt sich SPF in Microsoft 365 nicht: Sie legen den TXT-Eintrag bei Ihrem DNS-Anbieter an.

Schritt 2: DKIM für die eigene Domain aktivieren

DKIM besteht die DMARC-Prüfung nur, wenn die signierende Domain zur Domain in der Absenderadresse passt. Eine Signatur der onmicrosoft.com-Domain passt nicht zu ihredomain.at. Aktivieren Sie DKIM deshalb für jede eigene Domain und Subdomain, mit der Sie senden. Der Vorteil gegenüber SPF: Eine DKIM-Signatur übersteht Weiterleitungen meist, SPF nicht.

  1. Im Microsoft Defender-Portal unter E-Mail & Zusammenarbeit, Richtlinien & Regeln, Bedrohungsrichtlinien, E-Mail-Authentifizierungseinstellungen die Registerkarte DKIM öffnen und die Domain wählen.
  2. Die beiden angezeigten CNAME-Einträge selector1._domainkey und selector2._domainkey beim DNS-Anbieter anlegen. Übernehmen Sie die Ziele exakt aus dem Portal oder aus Get-DkimSigningConfig: Für Domains, die seit Mai 2025 hinzugefügt wurden, verwendet Microsoft ein neues Format mit der Endung dkim.mail.microsoft; ältere Domains zeigen auf ihre onmicrosoft.com-Domain.
  3. Die Signatur aktivieren, sobald Microsoft die Einträge erkennt. Das dauert einige Minuten, mitunter länger.
  4. Die Schlüssellänge prüfen. Wer DKIM mit New-DkimSigningConfig anlegt, erhält ohne Angabe 1024 Bit; RFC 8301 empfiehlt 2048 Bit. Rotate-DkimSigningConfig -Identity ihredomain.at -KeySize 2048 stellt um. Eine Rotation dauert 96 Stunden, und die neue Länge gilt zunächst nur für den nächsten aktiven Selektor.

Beide CNAME-Einträge sind Pflicht: Ohne selector2 lässt sich der Schlüssel nicht rotieren.

Schritt 3: DMARC in Stufen bis p=reject

Microsofts Ziel für alle eigenen Domains und Subdomains ist p=reject, eingeführt in Stufen, damit keine legitimen E-Mails verloren gehen. Der Eintrag steht als TXT unter _dmarc.ihredomain.at.

  1. Beobachten: v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.at. Die Sammelberichte zeigen, welche Server mit Ihrer Domain senden und ob sie SPF und DKIM passend bestehen. Werten Sie sie mit einem Werkzeug oder Dienst aus; für das Lesen von Hand sind die XML-Berichte nicht gedacht.
  2. Quarantäne: Bestehen alle legitimen Absender, folgt p=quarantine.
  3. Ablehnen: Nach einer weiteren Beobachtungsphase folgt p=reject.

RFC 9989 empfiehlt, zuerst mindestens einen Monat p=none und ebenso lange p=quarantine zu veröffentlichen und die Ergebnisse zu vergleichen (Abschnitt 7.4). Wer p=reject veröffentlicht, darf sich nicht allein auf SPF verlassen, sondern muss gültig mit DKIM signieren. Übereilen Sie die Umstellung nicht: Ausgehende E-Mails, die beim Empfänger an DMARC scheitern, stellt Microsoft über einen eigenen Hochrisiko-Zustellpool zu, sobald Ihre Domain p=quarantine oder p=reject veröffentlicht.

Vorsicht bei älteren Anleitungen: Microsofts Beispiele enthalten noch das Tag pct. Der im Mai 2026 veröffentlichte DMARC-Standard RFC 9989 hat es gestrichen; für Testphasen gibt es stattdessen t=y.

Zwei weitere Einträge gehören dazu:

Schritt 4: Eingehende E-Mails richtig auswerten

DMARC wirkt in beide Richtungen. Für eingehende Nachrichten steuert die Anti-Phishing-Richtlinie in Microsoft Defender, ob Exchange Online die DMARC-Richtlinie des Absenders befolgt. Die Einstellung „DMARC-Eintragsrichtlinie berücksichtigen, wenn die Nachricht als Spoofing erkannt wird“ ist standardmäßig aktiv: Nachrichten von Domains mit p=quarantine kommen dann in die Quarantäne, Nachrichten von Domains mit p=reject werden abgelehnt.

Checkliste für Exchange Online

Häufige Fragen

Reicht SPF, wenn wir nur Microsoft 365 nutzen?

Nein. SPF prüft nur den technischen Absender im Umschlag der E-Mail und scheitert bei Weiterleitungen. Microsoft selbst schreibt, dass SPF allein nicht ausreicht. Erst DMARC verbindet die sichtbare Absenderadresse mit SPF und DKIM.

Brauchen Subdomains eigene Einträge?

Jede Subdomain, die E-Mails sendet, braucht einen eigenen SPF-Eintrag und eine eigene DKIM-Konfiguration. Die DMARC-Richtlinie der Hauptdomain gilt für alle Subdomains mit, sofern Sie nichts anderes festlegen.

Wie lange dauert der Weg zu p=reject?

Das hängt davon ab, wie viele Dienste mit Ihrer Domain senden. RFC 9989 nennt mindestens einen Monat je Stufe; bis alle Absender sauber authentifiziert sind, können laut Standard auch viele Monate vergehen.

Die Einrichtung in Ihrem Tenant oder eine Prüfung der bestehenden Konfiguration übernehmen auf Wunsch die TOMORIS EXPERTS für Microsoft Security. Begriffe wie Exchange Online und DNS erklärt das Lexikon.

Quellen

Microsoft-365-Domain kostenlos prüfen

IHR NÄCHSTER SCHRITT

Was soll als
Nächstes besser
funktionieren?

Beschreiben Sie kurz Ihr Vorhaben. Wir ordnen ein und schlagen einen sinnvollen nächsten Schritt vor.

Vorhaben besprechen