Mimecast „550 Rejected by header based Anti-Spoofing policy“, „Envelope blocked“ und Proofpoint „554 5.7.0 Blocked“: Lösungen

Was das bedeutet

Viele Unternehmen schützen ihre Postfächer mit einem Sicherheits-Gateway: einem Filter, der jede E-Mail prüft, bevor sie den eigenen Server des Unternehmens erreicht. Mimecast und Proofpoint gehören zu den verbreitetsten. Wenn sie deine E-Mail ablehnen, kommt der Bounce vom Filter des Empfängers, eingerichtet von der IT des Empfängers. Die Meldungen sehen meist so aus:

550 Rejected by header based Anti-Spoofing policy: user@example.com

550 Envelope blocked - User Entry - https://...

554 5.7.0 Blocked - see https://ipcheck.proofpoint.com/?ip=203.0.113.10

Proofpoint kann auch einen Code 550 5.7.1 mit Worten wie „Reject for policy reason“ zurückgeben. Barracuda, ein weiterer verbreiteter Filter, hat eigene Codes, die in einer separaten Anleitung behandelt werden.

Warum das passiert

Mimecast „Anti-Spoofing policy“

Das bedeutet, dass die E-Mail angeblich von der eigenen Domain des empfangenden Unternehmens kommt (oder von einer Domain, die es schützt), aber von außen eingetroffen ist. Mimecast behandelt das als mögliches Spoofing. Typische legitime Fälle: eine Website, ein CRM oder ein Rechnungstool, das „als“ Domain des Kunden sendet, ein woanders gehosteter Scanner oder eine externe Agentur, die Newsletter für das Unternehmen verschickt.

Mimecast „Envelope blocked - User Entry“

Jemand im empfangenden Unternehmen, oft der Empfänger selbst, hat deine Adresse oder Domain blockiert, zum Beispiel aus seiner Spam-Übersicht heraus. Das ist eine persönliche oder administrative Sperre, kein Reputationsproblem.

Proofpoint „Blocked - see ipcheck.proofpoint.com“

Proofpoint hat einen schlechten Reputationswert für deine sendende IP-Adresse. Das passiert bei IPs, die Spam verschickt haben, auf öffentlichen Sperrlisten stehen, neu sind oder mit schlechten Absendern geteilt werden.

Andere Ablehnungen wegen „Policy“

Das Unternehmen lehnt vielleicht bestimmte Anhangstypen ab, E-Mails ohne bestandenes DMARC, neu registrierte Domains oder bestimmte Länder. Nur die IT kann dir sagen, welche Regel gegriffen hat.

So prüfst du es

1. Mach einen Delivmail-Test. Sende vom selben Server oder Tool eine E-Mail an die einmalige Adresse auf der Startseite (/). Prüfe SPF, DKIM und DMARC, die sendende IP, Blacklists und den Inhaltsscore. Filter berücksichtigen all das.
2. Prüfe Sperrlisten. Gib die sendende IP und deine Domain unter /blacklists ein.
3. Nutze das Tool von Proofpoint. Öffne ipcheck.proofpoint.com und gib die IP aus dem Bounce ein. Es zeigt dir, ob die IP gesperrt ist, und bietet ein Formular für die Entfernung an.
4. Bewahre den vollständigen Bounce auf, mit Datum, Uhrzeit und einer eventuellen Referenz-ID. Die IT braucht das, um deine E-Mail in ihren Logs zu finden.

So behebst du es

1. Behebe zuerst, was auf deiner Seite liegt. Sorge dafür, dass SPF, DKIM und DMARC bestehen und mit deiner From-Domain ausgerichtet sind, und beseitige jeden Eintrag auf Sperrlisten.
2. Bei IP-Sperren durch Proofpoint reiche das Formular auf ipcheck.proofpoint.com ein, nachdem du die Ursache behoben hast. Bei einem geteilten Anbieter schick den Bounce an deinen Anbieter: Er verwaltet die IP.
3. Bei Anti-Spoofing sende nicht aus deinen eigenen Systemen als Domain des Empfängers, außer das Unternehmen hat es so eingerichtet. Sende entweder von deiner eigenen Domain oder bitte das Unternehmen, deinen Dienst zu autorisieren (in seinem SPF und DKIM und in seiner Mimecast-Richtlinie).
4. Bei „User Entry“-Sperren kontaktiere den Empfänger über einen anderen Kanal (Telefon, eine andere Adresse) und bitte ihn, die Sperre aus seiner Absenderliste zu entfernen.
5. Kontaktiere die IT. Bitte deinen Ansprechpartner, deine Anfrage an die IT- oder Sicherheitsabteilung weiterzuleiten. Fass dich kurz und präzise:
   • den vollständigen Bounce-Text und den Zeitpunkt;
   • deine sendende IP und deine Domain;
   • eine einzeilige Erklärung, warum du ihnen schreibst (Kunde, Lieferant...);
   • die Bitte, deine Domain oder IP zuzulassen oder dir zu sagen, welche Regel gegriffen hat.

Versuche nie, einen Firmenfilter durch wechselnde Adressen oder Domains zu umgehen: Das sieht genau wie Spam aus und macht alles schlimmer.

Prüfe, ob es behoben ist

Mach einen neuen Delivmail-Test und prüfe, dass die Authentifizierung besteht und die Blacklists sauber sind. Sobald die IT eine Änderung bestätigt oder Proofpoint die Sperre aufhebt (oft innerhalb von ein oder zwei Tagen), sende eine kurze E-Mail an den Empfänger und bitte ihn, den Eingang zu bestätigen. Firmenfilter können E-Mails auch ohne Bounce in Quarantäne stellen, daher ist nur eine Antwort ein echter Beweis.