Outlooks 550 5.7.515: die Abweisung, die bedeutet, dass Ihre Mail schlicht weg ist.

Was ist 550 5.7.515, und warum ist die Nachricht weg statt im Spam?

Am 5 May 2025 begann Microsoft, Massenmail, die seine Authentifizierungsanforderungen nicht erfüllt, mit einem bestimmten Fehler abzuweisen: 550 5.7.515 Access denied, sending domain [domain] does not meet the required authentication level. Die 550 markiert es als dauerhaften Fehler, und diese eine Ziffer ändert alles daran, wie Sie reagieren sollten. 550 is a 5xx permanent rejection — the message is refused outright, not deferred or retried, and never reaches the recipient. There is no junk-folder fallback at the enforcement stage.

Es ist eine bewusste Abkehr vom älteren Modell, bei dem scheiternde Mail still angenommen und in den Spam-Ordner gelegt wurde. Microsoft befand, dass stilles Aussortieren sowohl Versender als auch Empfänger verwirrte — keiner konnte erkennen, warum eine Nachricht gefiltert worden war — und ersetzte die Mehrdeutigkeit durch eine harte, lesbare Antwort. Das Ergebnis wirkt schroffer, ist aber ehrlicher: statt einer ungesehenen Nachricht in einem Spam-Ordner erhalten Sie ein sofortiges, unmissverständliches Signal, dass mit Ihrer Authentifizierung etwas nicht stimmt.

Der Geltungsbereich ist eng. Microsoft consumer mailboxes only: Outlook.com, Hotmail.com, Live.com, MSN — over 500 million active mailboxes. Not Microsoft 365 / Exchange Online tenant mail. Senders of more than 5,000 messages per day to Microsoft consumer mailboxes. The 5,000/day count is per sending domain. Scheitert Ihre Mail an Microsofts Verbraucheradressen und lautet der Bounce-Code 5.7.515, ist dies das Authentifizierungstor für Massenversender und kein Inhaltsfilter oder eine Reputationssperre — was zählt, weil die Lösung sich völlig von dem unterscheidet, was Sie bei einem Spam-Score- oder Reputationsproblem täten.

Warum die Ausrichtung, nicht das Vorhandensein, meist der Übeltäter ist

Wenn ein Versender darauf besteht, dass seine Einträge korrekt sind, und die Mail dennoch abgewiesen wird, lautet die Antwort fast immer Ausrichtung. The 550 5.7.515 text does not say which of SPF, DKIM, DMARC, or alignment failed — only that the bar was not met. Diagnosis means checking each in turn. Ausrichtung ist die Anforderung, dass SPF oder DKIM bestehen und zugleich unter derselben Domain authentifizieren, die in der From-Adresse erscheint, die der Empfänger sieht, und sie ist leicht zu übersehen, weil die Einzelprüfungen alle grün zeigen können, während die Ausrichtung still scheitert.

Der klassische Fall ist Mail über einen E-Mail-Dienstleister. Ihre Kampagne authentifiziert sauber — SPF besteht für die Sendedomain des ESP, DKIM ist mit dem Schlüssel des ESP signiert — doch die Envelope- und Signaturdomains gehören der Plattform, nicht Ihnen, also sieht DMARC eine Diskrepanz zu Ihrer From-Domain und verzeichnet ein Scheitern. Microsoft weist sie dann ab. Die Lösung ist, einen eigenen Return-Path und eine eigene DKIM-Signaturdomain zu konfigurieren, die zu Ihrer eigenen Domain passen, was jeder seriöse ESP unterstützt, sodass der bestehende Mechanismus sich ausrichtet.

Hier zahlt sich auch die frühere Zustellbarkeitsarbeit aus. The third major enforcement action in 18 months after Gmail and Yahoo (Feb 2024). Together these providers cover the majority of consumer inboxes, closing the last big gap where authentication could be treated as optional. Eine Domain, die DMARC bereits auf eine veröffentlichte Richtlinie bewegt, SPF unter seiner Lookup-Grenze gehalten und DKIM für Gmail und Yahoo ausgerichtet hat, passiert das Microsoft-Tor ohne eine einzige Änderung, weil die Anforderungen sich fast vollständig überschneiden. Die am härtesten von 5.7.515 getroffenen Teams sind jene, die Microsoft als den einen Anbieter behandelt hatten, den sie noch ignorieren konnten.

Gilt 5.7.515, wenn ich über einen ESP sende?

Ja, und die Plattform, über die Sie senden, befreit Sie nicht — es ist Ihre From-Domain, die Microsoft beurteilt, nicht die Reputation Ihres Anbieters. Über einen großen, gut beleumundeten E-Mail-Dienstleister zu senden nimmt die Hürde nicht automatisch, weil es beim Tor darum geht, ob die Authentifizierung sich an der Domain Ihres From-Headers ausrichtet, die Ihnen gehört, gleich wessen Server die Nachricht tragen. Ein seriöser ESP gibt Ihnen die Werkzeuge zum Ausrichten, richtet aber nicht standardmäßig für Sie aus.

Die praktische Folge ist, dass Sie die Ausrichtungskonfiguration in den Einstellungen Ihres ESP vornehmen müssen und nicht annehmen dürfen, sie sei erledigt. Das heißt meist, Ihre Domain zu verifizieren, die DKIM-Signierung mit dem Selektor Ihrer eigenen Domain statt dem der Plattform zu aktivieren und einen eigenen Return-Path (manchmal eigenes MAIL FROM oder Bounce-Domain genannt) zu setzen, damit die Envelope-Domain zu Ihrer From-Domain passt. Jede große Plattform dokumentiert dies; der Schritt wird leicht übersprungen, weil die Mail bis zum Moment der Microsoft-Abweisung scheinbar einwandfrei sendet.

Auch deshalb kann eine einzelne Organisation einen Teil ihrer Mail abgewiesen und einen Teil zugestellt sehen. Geht Ihre Transaktionsmail über einen korrekt ausgerichteten Dienst und Ihre Marketingmail über einen anderen, der nie für Ausrichtung konfiguriert wurde, sammelt nur der zweite Strom 5.7.515-Fehler. Jeden Sendedienst einzeln zu prüfen — jede Plattform, die als Ihre Domain sendet — ist die einzige Weise, sicherzugehen, dass Sie alle abgedeckt haben.

Wo wir stehen

Wir sagen das Beruhigende zuerst, weil die Berichterstattung über diese Änderung alarmistisch war: haben Sie die Authentifizierungsarbeit geleistet, die Gmail und Yahoo bereits verlangten, ist das Microsoft-Tor kein neues Projekt. Die Anforderungen überschneiden sich fast vollständig, und eine korrekt authentifizierte, ausgerichtete Domain passiert 5.7.515 ohne Microsoft-spezifische Konfiguration. Ein Großteil der Panik um diesen Fehler stammt von Versendern, die auf einen Schlag entdecken, dass eine aufgeschobene Authentifizierung bei jedem großen Anbieter überfällig war — Microsoft war schlicht der letzte, der sie durchsetzte.

Die ehrlichen Vorbehalte sind zwei. Erstens: unterdrücken Sie die Adressen nicht, die dieser Fehler abweist; es sind gute Empfänger hinter einem Problem auf Senderseite, und sie zu löschen höhlt Ihre Liste still aus, während Sie glauben, sie zu bereinigen. Zweitens: die Schwelle von 5.000 pro Tag ist eine Startlinie, kein sicherer Hafen — Microsoft has said full rejection of all non-compliant mail (beyond the 5,000/day threshold) will follow on a date to be announced — the 5,000/day line is the current trigger, not a permanent ceiling. Senden Sie überhaupt an Microsoft-Postfächer, ist der richtige Zug, Authentifizierung und Ausrichtung jetzt korrekt zu machen, bei welchem Volumen auch immer, statt zu warten, bis die Schwelle zu Ihnen herabsinkt. Wir hosten Sende-Infrastruktur und richten SPF, DKIM, DMARC und ausgerichtete Return-Paths als Teil der Einrichtung ein; senden Sie über einen ESP, gilt dieselbe Ausrichtungsarbeit, und wir sagen Ihnen gern, wann Ihre bestehende Einrichtung die Hürde bereits nimmt.