Microsoft 365 „550 5.7.705 / 5.7.708 Access denied“: Tenant gesperrt

Was das bedeutet

Diese beiden Fehler bedeuten, dass Microsoft 365 deine ganze Organisation (deinen „Tenant“) am Versand von E-Mails nach außen gehindert hat, nicht nur einen Benutzer. Microsoft dokumentiert sie so:

550 5.7.705 Access denied, tenant has exceeded threshold.
550 5.7.708 Access denied, traffic not accepted from this IP.

• 5.7.705: So viele ausgehende E-Mails deines Tenants sahen nach Spam oder Massen-E-Mails aus, dass Microsoft den Versand des Tenants gesperrt hat.
• 5.7.708: Deine E-Mails kamen von einer IP-Adresse mit niedriger Reputation. Laut Microsoft betrifft das vor allem neue Kunden, zum Beispiel in einer Microsoft-365-Testversion.

Ist nur eine Person gesperrt und sagt der Bounce 5.1.8 Access denied, bad outbound sender, ist das eine Sperre pro Benutzer: Sieh dir stattdessen 550 5.1.8 bad outbound sender an.

Warum das passiert

5.7.705

• Ein kompromittiertes Admin-Konto, mit dem Connectors angelegt wurden, die Spam über deinen Tenant weiterleiten.
• Ein kompromittierter lokaler Server oder eine Anwendung, die E-Mails über Exchange Online leitet.
• Mehrere kompromittierte Benutzerkonten, die gleichzeitig Phishing versenden.
• Legitime, aber schlecht gezielte Massen-E-Mails (alte Listen, viele Beschwerden), die über Microsoft 365 gesendet werden, das nicht für Massenversand gedacht ist.
• Selten ein erneuertes Abonnement, das abgelaufen war: Laut Microsoft kann der Versand während der Erneuerung gesperrt sein, meist nicht länger als einen Tag.

5.7.708

• Ein Test-Tenant oder ein sehr neuer Tenant, der an externe Empfänger sendet. Neue Tenants senden aus IP-Pools mit niedrigerer Reputation, bis echte Lizenzen zugewiesen sind und der Tenant eine Vorgeschichte hat.

So prüfst du es

1. Führe im Exchange Admin Center eine Nachrichtenablaufverfolgung (message trace) für die letzten Tage durch und sieh dir das ausgehende Volumen pro Absender an. Spitzen, unbekannte Absender oder Betreffzeilen, die du nicht geschrieben hast, sind Anzeichen für Missbrauch.
2. Prüfe im Microsoft-Defender-Portal Restricted entities auf gesperrte Benutzer sowie die Warnungen zu „suspicious email sending patterns“ oder „user restricted from sending email“.
3. Prüfe die Connectors (Mail flow > Connectors) auf alles, was du nicht angelegt hast:

   Get-InboundConnector | Format-List Name,Enabled,SenderIPAddresses,WhenCreated
   Get-OutboundConnector | Format-List Name,Enabled,SmartHosts,WhenCreated

4. Suche in den Anmeldeprotokollen von Entra nach Admin- oder Benutzeranmeldungen aus ungewöhnlichen Ländern oder Apps.
5. Prüfe deine eigenen IPs (lokaler Server, Relay) mit dem Blacklist-Check von Delivmail. Ein Eintrag dort heißt meist, dass der Spam wirklich hinausgegangen ist.

So behebst du es

Nur ein Admin kann diese Fehler beheben. Die Anweisung von Microsoft ist eindeutig: Behebe zuerst die Ursache und kontaktiere dann den Microsoft-Support, um die Sperre aufheben zu lassen. Der Support hebt sie nicht auf, solange noch Spam hinausgeht.

Aufräumen (5.7.705)

1. Setze die Passwörter zurück und widerrufe die Sitzungen aller kompromittierten Admin- und Benutzerkonten, entferne unbekannte MFA-Methoden, Posteingangsregeln und Weiterleitungen (Schritt für Schritt für gehackte Konten).
2. Lösche oder deaktiviere Connectors, die du nicht angelegt hast, und prüfe, wer Admin-Rollen hat.
3. Sichere jeden lokalen Server und jede App ab, die über Microsoft 365 weiterleitet: Spiel Updates ein, verlange Authentifizierung und stell sicher, dass es kein offenes Relay ist.
4. Erzwinge MFA für alle, angefangen bei den Admins, und blockiere die Legacy-Authentifizierung, wo es geht.
5. Verlege Newsletter und Massenversand zu einem eigenen E-Mail-Marketing-Dienst mit authentifizierter Domain.

Die Aufhebung der Sperre beantragen

Eröffne eine Supportanfrage im Microsoft 365 Admin Center (Support > Help & support oder über deinen Partner). Füge einen Beispiel-Bounce mit dem vollständigen Fehler, das Datum des Beginns und eine kurze Liste dessen bei, was du gefunden und behoben hast. Self-Service-Formulare zum Delisting von IP-Sperren (für Fehler 5.7.606 banned IP) gelten nicht für eine Tenant-Sperre.

5.7.708 bei einem Test-Tenant

Laut Microsoft sollst du den Support kontaktieren und um eine IP-Ausnahme bitten, bis du Exchange-Online-Lizenzen zuweist. In der Praxis bringen dich der Kauf und die Zuweisung von Lizenzen, der Versand von deiner eigenen verifizierten Domain (nicht onmicrosoft.com) und anfangs ein niedriges Volumen aus dem Pool mit niedriger Reputation heraus.

Prüfe, ob es behoben ist

• Wenn der Support bestätigt, dass die Sperre aufgehoben ist, sende von einem normalen Benutzer eine Test-E-Mail an die einmalige Adresse auf der Startseite von Delivmail. Prüfe SPF, DKIM und DMARC: Ein missbrauchter Tenant hatte oft auch eine schwache Authentifizierung (richte sie für Microsoft 365 ein).
• Sende eine der gebouncten Nachrichten erneut an ihren externen Empfänger.
• Behalte das ausgehende Volumen und die Warnungen ein paar Wochen im Blick; ein zweiter Vorfall führt meist zu einer längeren Sperre.