Warum die Meldung absichtlich vage ist
Ein Server, der zwischen „Postfach unbekannt“ und „Postfach existiert, nimmt aber nicht an“ unterscheidet, verrät Angreifern, welche Adressen einer Domain echt sind. Microsoft vermeidet das und antwortet in beiden Fällen mit derselben Zeile. Die Ursache steht also nicht in der Meldung — sie muss erschlossen werden.
Die vier realistischen Ursachen
- Die Domain gehört zu einem Tenant, die Adresse aber zu keinem Postfach. Der häufigste Fall. Die Domain ist in Microsoft 365 verifiziert, der Empfänger existiert dort schlicht nicht — auch nicht als Alias.
- Directory Based Edge Blocking. Der Tenant weist am Perimeter alles ab, was nicht im Verzeichnis steht. Neu angelegte Postfächer sind erst nach dem Verzeichnisabgleich erreichbar; bis dahin ist die Adresse für die Außenwelt nicht vorhanden.
- Eine Nachrichtenflussregel oder eine Sperrliste. Der Tenant blockt gezielt deine Absenderdomain oder deine IP. Dann liegt es nicht am Empfänger, sondern an dir — nur sagt die Meldung das nicht.
- Die Domain ist im falschen Tenant registriert. Passiert nach Firmenübernahmen und bei Testumgebungen: Zwei Tenants beanspruchen dieselbe Domain, der MX zeigt auf den, in dem die Postfächer nicht liegen.
Von außen eingrenzen
- Andere Adresse derselben Domain testen. Kommt eine bekannte, sicher existierende Adresse durch, ist die ursprüngliche Adresse das Problem — nicht du. Wird auch die abgelehnt, deutet das auf eine Sperre gegen deine Domain oder IP.
- Von einer anderen Absenderdomain senden. Geht es von einem Freemail-Konto durch, während deine eigene Domain scheitert, hast du die Antwort: Es ist eine Regel gegen dich.
- MX prüfen. Endet der MX auf
mail.protection.outlook.com, ist Exchange Online tatsächlich zuständig. Zeigt er woanders hin, kommt die Meldung von einem vorgelagerten Filter und ist anders zu lesen.
Was du tun kannst — und was nicht
Liegt es am Empfänger, hilft nur der Kontakt über einen anderen Weg; von außen lässt sich ein fremder Tenant nicht ändern. Liegt es an einer Sperre gegen dich, ist der Weg dahin fast immer über die Authentifizierung: SPF, DKIM und DMARC sauber, ein PTR-Record zur sendenden IP, ein HELO-Name, der zur IP passt. Ein Tenant, der Absender pauschal blockt, macht das selten gegen eine Domain, die sich vollständig ausweist.
Die verwandte Meldung 550 5.1.1 sagt dagegen offen, dass das Postfach unbekannt ist — Server außerhalb von Microsoft 365 antworten meist so.