Microsoft 365 „550 5.7.750 ... unregistered domains“: so behebst du es

Was das bedeutet

Microsoft 365 hat den Versand verweigert, weil die E-Mail von einer Domain gesendet wurde, die deine Organisation nicht in Microsoft 365 registriert hat. Der Bounce lautet meist:

550 5.7.750 Service unavailable. Client blocked from sending from unregistered domains.

Eine „nicht registrierte“ (oder „nicht bereitgestellte“) Domain ist eine Domain, die nicht in deiner Liste der akzeptierten Domains (accepted domains) steht, die du also nie im Microsoft 365 Admin Center hinzugefügt und verifiziert hast. Microsoft erlaubt nur eine begrenzte Menge E-Mails von solchen Domains; darüber sperrt es den Absender.

Warum das passiert

• Eine zweite Marke oder eine alte Domain wird in der From-Adresse verwendet (zum Beispiel shop-yourdomain.com), aber nur yourdomain.com wurde zu Microsoft 365 hinzugefügt.
• Eine Anwendung oder ein lokaler Server leitet über einen Connector weiter und sendet von vielen verschiedenen Domains, zum Beispiel ein Ticketsystem, das die Domain jedes Kunden verwendet, oder ein Server, der E-Mails für mehrere Firmen weiterleitet.
• Ein zu weit gefasster Hybrid- oder Relay-Connector, der E-Mails von beliebigen Absendern annimmt und über Microsoft 365 weiterleitet.
• Ein Angreifer hat einen eingehenden Connector angelegt in deinem Tenant, um Spam von zufälligen Domains zu senden. Microsoft nennt das als eine der Ursachen.

So prüfst du es

1. Sieh dir die gebouncte Nachricht an: Welche Adresse steht in der From-Zeile, und gehört diese Domain dir?
2. Liste die akzeptierten Domains deines Tenants auf:

   Get-AcceptedDomain | Format-Table DomainName,DomainType,Default

   Im Admin Center steht dieselbe Liste unter Settings > Domains; jede Domain sollte einen fehlerfreien Status zeigen.
3. Führe eine Nachrichtenablaufverfolgung für die letzten ausgehenden E-Mails durch und gruppiere sie nach Absenderdomain. Jede Domain, die nicht in der Liste oben steht, ist ein Kandidat.
4. Prüfe die Connectors, vor allem eingehende, die du nicht kennst:

   Get-InboundConnector | Format-List Name,ConnectorType,SenderIPAddresses,SenderDomains,TlsSenderCertificateName,WhenCreated

5. Prüfe die Domain mit dem Domain-Scanner von Delivmail, um MX, SPF und DMARC zu sehen. Eine Domain, deren SPF nicht spf.protection.outlook.com enthält, sollte ohnehin nicht über Microsoft 365 senden.

So behebst du es

Nur ein Admin des sendenden Tenants kann das beheben.

1. Füge jede Domain hinzu, von der du sendest, und verifiziere sie

Das ist die häufigste Lösung. Geh im Microsoft 365 Admin Center zu Settings > Domains > Add domain und lege dann bei deinem DNS-Anbieter den TXT-Verifizierungseintrag an, den Microsoft anzeigt. Zum Beispiel:

Host: shop-yourdomain.com (or @)
Type: TXT
Value: MS=ms12345678

Nutze genau den Wert, den Microsoft dir gibt. Nach der Verifizierung füge auch SPF und DKIM für diese Domain hinzu, wie in SPF, DKIM und DMARC für Microsoft 365 beschrieben, damit ihre E-Mails authentifiziert und nicht nur akzeptiert sind. Sendest du von einer Subdomain, gilt dasselbe: siehe E-Mail-Authentifizierung für Subdomains.

2. Korrigiere Anwendungen, die fremde Domains verwenden

Microsoft 365 ist kein Relay für Domains, die dir nicht gehören. Stelle die Anwendung so ein, dass sie von einer deiner eigenen Domains sendet (und setze bei Bedarf die Adresse des Kunden in Reply-To), oder leite diesen Verkehr über einen transaktionalen E-Mail-Dienst, der jede Domain sauber authentifizieren kann.

3. Zieh deine Connectors enger

Microsoft empfiehlt einen zertifikatbasierten Connector: Der eingehende Connector erkennt deinen lokalen Server an seinem TLS-Zertifikat, und die Domain des Zertifikats muss eine akzeptierte und verifizierte Domain in deinem Tenant sein. So ist weitergeleitete E-Mail an eine Domain gebunden, die dir gehört, statt an „alles von dieser IP“.

4. Entferne Connectors, die du nicht angelegt hast

Findest du einen unbekannten Connector, behandle ihn als Sicherheitsvorfall: Deaktiviere ihn, prüfe Admin-Konten und Anmeldungen, setze Zugangsdaten zurück und erzwinge MFA für Admins. Große Spamwellen über einen bösartigen Connector können auch zu einer vollständigen Tenant-Sperre führen (5.7.705).

5. Bitte Microsoft, die Sperre aufzuheben

Laut Microsoft sollst du den Support kontaktieren, sobald die Ursache behoben ist, damit die Sperre aufgehoben werden kann. Füge einen Beispiel-Bounce und die Liste der Domains bei, die du hinzugefügt hast, oder der Connectors, die du korrigiert hast.

Prüfe, ob es behoben ist

• Sende von derselben Anwendung oder demselben Server einen Test mit der neu hinzugefügten Domain in der From-Adresse an die einmalige Adresse auf der Startseite von Delivmail. Der Bericht sollte zeigen, dass SPF und DKIM bestehen und zu dieser Domain passen.
• Sende dann eine gebouncte Nachricht erneut. Es kann etwas dauern, bis sich DNS-Änderungen für die Verifizierungs- und SPF-Einträge verbreitet haben.
• Halte die Liste der akzeptierten Domains aktuell, wenn deine Firma eine neue Marke oder Domain hinzufügt.