Drei Adressen, die man auseinanderhalten muss
An einem einzigen Versand hängen drei verschiedene Identitäten, und diese Meldung entsteht, wenn zwei davon nicht zusammenpassen:
- Das angemeldete Konto — womit sich dein Programm am Server ausgewiesen hat.
- Der Envelope-Absender (
MAIL FROM) — wohin Unzustellbarkeitsmeldungen gehen. - Der From-Header — was der Empfänger sieht.
Microsoft 365 verlangt, dass das angemeldete Konto den From-Header führen darf. Fehlt diese Freigabe, kommt 5.7.60 — unabhängig davon, ob SPF und DKIM in Ordnung sind.
Die typischen Auslöser
- Versand aus einem freigegebenen Postfach. Ein Mitarbeiter meldet sich mit seinem eigenen Konto an und setzt
info@als Absender. Ohne die Berechtigung „Senden als“ auf dem freigegebenen Postfach wird abgewiesen. „Senden im Auftrag von“ reicht dafür nicht — das schreibt einen sichtbarenSender:-Header und ist etwas anderes. - Eine Anwendung mit Dienstkonto. Ein Monitoring-System, ein Warenwirtschaftssystem oder ein Formular meldet sich mit einem technischen Konto an, will aber unter
noreply@senden. Dieselbe fehlende Freigabe. - Alias statt Postfach. Ein Alias ist keine eigene Absenderidentität. Viele Umgebungen erlauben das Senden unter einer Zweitadresse nicht ohne ausdrückliche Konfiguration.
- Falscher Einlieferungsweg. Wer unter fremder Domain senden will, darf sich nicht am authentifizierten Postausgang anmelden, sondern braucht einen dafür eingerichteten Connector — dann prüft der Server die Absenderidentität nicht mehr gegen ein Konto.
Warum SPF hier nicht hilft
Ein gültiger SPF-Record erlaubt einer IP, für eine Domain zu senden. Er sagt nichts darüber aus, welches angemeldete Konto welche Absenderadresse führen darf. Beides sind unabhängige Ebenen: SPF regelt den Übergang zwischen Servern, die Send-As-Berechtigung regelt den Zugriff innerhalb eines Tenants. Deshalb bleibt 5.7.60 bestehen, auch wenn dein SPF-Record makellos ist — und deshalb ist das Aufweichen des Records hier der falsche Reflex.
Nach der Freigabe
Berechtigungsänderungen wirken nicht sofort; in gehosteten Umgebungen dauert die Verteilung bis zu einer Stunde. Wer direkt nach dem Setzen erneut testet und dieselbe Meldung sieht, hat meist nichts falsch gemacht, sondern zu früh gemessen.