Die drei Einträge arbeiten zusammen: SPF legt fest, welche Server mit Ihrer Domain versenden dürfen. DKIM versieht jede Mail mit einer Signatur, deren öffentlicher Schlüssel im DNS steht. DMARC sagt dem Empfänger, was mit Mails passieren soll, die weder über SPF noch über DKIM zu Ihrer Domain passen. Die Grundlagen erklären wir in der allgemeinen Anleitung zu SPF, DKIM und DMARC.
Gmail und Yahoo verlangen seit Februar 2024 von Massenversendern SPF, DKIM und DMARC, Microsoft stellt seit Mai 2025 für Outlook.com und Hotmail ähnliche Anforderungen. Auch bei kleinem Volumen gilt: Ohne saubere Authentifizierung landen Mails schneller im Spam – gerade bei GMX, WEB.DE und T-Online.
Vorab: Die Einträge setzen Sie bei Ihrem DNS-Anbieter
Microsoft 365 verwaltet das DNS Ihrer Domain in der Regel nicht. Microsoft schreibt selbst, dass es weder im Portal noch per PowerShell eine Möglichkeit gibt, SPF-Einträge zu pflegen – Sie legen sie dort an, wo die Nameserver Ihrer Domain hinzeigen. In Deutschland ist das meist der Webhoster:
- IONOS, STRATO, ALL-INKL: Wo Sie die DNS-Verwaltung finden, zeigen unsere Anleitungen für IONOS, STRATO und ALL-INKL.
- Cloudflare oder anderer DNS-Dienst: Zeigen die Nameserver dorthin, gelten nur die Einträge dort.
Nur die onmicrosoft.com-Adresse? Versenden Sie ausschließlich mit der Startdomain wie firma.onmicrosoft.com, müssen Sie nichts tun: SPF und DKIM richtet Microsoft dafür selbst ein. Diese Anleitung betrifft Ihre eigene Domain, etwa firma.de.
Einrichtung Schritt für Schritt
MX-Eintrag prüfen
Den MX-Wert zeigt das Microsoft 365 Admin Center bei der Einrichtung der Domain unter Einstellungen → Domänen an. Klassisch hat er die Form firma-de.mail.protection.outlook.com (Punkte der Domain durch Bindestriche ersetzt). Übernehmen Sie den Wert exakt so, wie das Admin Center ihn anzeigt.
Warum prüfen: Beim Umzug bleiben oft die alten MX-Einträge des Hosters stehen. Dann landet ein Teil der eingehenden Post im alten Hoster-Postfach. Entfernen Sie alle MX-Einträge, die nicht zu Microsoft gehören.
SPF-Eintrag anlegen oder ergänzen
Ist Microsoft 365 die einzige Quelle für Mails Ihrer Domain, nennt Microsoft diesen TXT-Eintrag auf der Domain selbst (Name leer bzw. @):
v=spf1 include:spf.protection.outlook.com -all
Verschickt zusätzlich der Hoster etwas mit Ihrer Domain – typischerweise das Kontaktformular der Website –, gehören beide in einen Eintrag:
| Hoster | SPF mit Microsoft 365 und Hoster |
|---|---|
| IONOS | v=spf1 include:spf.protection.outlook.com include:_spf-eu.ionos.com -all |
| STRATO | v=spf1 include:spf.protection.outlook.com include:_spf.strato.com -all |
| ALL-INKL | v=spf1 include:spf.protection.outlook.com include:spf.kasserver.com -all |
-all oder ~all? Microsoft empfiehlt -all, weil DMARC dann auch Mails ohne DKIM-Signatur zuverlässig bewerten kann. Sind Sie nicht sicher, ob Sie alle Versender erfasst haben (Formular, Rechnungsprogramm, Drucker mit Scan-to-Mail), beginnen Sie mit ~all und stellen um, sobald die DMARC-Berichte sauber sind. Pro Domain ist nur ein SPF-Eintrag erlaubt, und er darf höchstens 10 DNS-Abfragen auslösen. spf.protection.outlook.com kostet derzeit nur eine, weil Microsoft darin die IP-Bereiche direkt auflistet.
DKIM im Defender-Portal anstoßen
Öffnen Sie das Microsoft Defender-Portal (security.microsoft.com) und gehen Sie zu E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen, Registerkarte DKIM.
- In der Zeile Ihrer Domain den Schalter von Deaktiviert auf Aktiviert stellen.
- Es erscheint ein Fehlerdialog – das ist normal, die CNAME-Einträge fehlen ja noch. Mit OK bestätigen.
- Der Status lautet jetzt CnameMissing. Klicken Sie auf die Zeile der Domain: Im Detailbereich stehen unter CNAMEs veröffentlichen die beiden Werte, die Sie im DNS brauchen.
Warum dieser Schritt so wichtig ist: Laut Microsoft werden Mails von eigenen Domains derzeit nicht mit DKIM signiert, solange Sie das nicht einrichten. DMARC kann sich dann nur auf SPF stützen – und SPF bricht bei jeder Weiterleitung.
Zwei CNAME-Einträge im DNS anlegen
Microsoft 365 nutzt immer zwei Selektoren, damit Schlüssel ohne Ausfall gewechselt werden können. Legen Sie bei Ihrem DNS-Anbieter zwei CNAME-Einträge an:
| Typ | Name | Ziel | Hinweis |
|---|---|---|---|
| CNAME | selector1._domainkey | selector1-firma-de._domainkey.firma.n-v1.dkim.mail.microsoft | Beispiel – Wert aus dem Portal kopieren |
| CNAME | selector2._domainkey | selector2-firma-de._domainkey.firma.n-v1.dkim.mail.microsoft | Beispiel – Wert aus dem Portal kopieren |
Die Namen sind bei allen Microsoft-365-Kunden gleich, die Ziele nicht: Sie enthalten Ihre Domain mit Bindestrichen, den Namen Ihres Microsoft-365-Mandanten und einen Buchstaben, den Microsoft vergibt (etwa n oder r). Ältere Einrichtungen zeigen noch auf …._domainkey.firma.onmicrosoft.com. Kopieren Sie deshalb immer die Werte aus dem Portal, nie aus einer Anleitung.
Achtung bei der Namenseingabe: Tragen Sie bei den meisten Anbietern nur selector1._domainkey ein, nicht selector1._domainkey.firma.de – sonst entsteht ein doppelter Domainname. Ein CNAME darf außerdem nicht neben einem anderen Eintrag mit demselben Namen stehen.
DKIM-Signatur einschalten
Laut Microsoft dauert es einige Minuten, manchmal länger, bis die neuen CNAME-Einträge erkannt werden. Öffnen Sie dann wieder den Detailbereich der Domain auf der Registerkarte DKIM und schalten Sie Nachrichten für diese Domäne mit DKIM-Signaturen signieren ein. Erkennt Microsoft die Einträge, wechselt der Status auf Gültig und der Schalter auf Aktiviert.
Bleibt es bei CnameMissing? Prüfen Sie mit unserem Domain-Check (Selektor selector1 eingeben), ob die Einträge öffentlich sichtbar sind. Häufige Ursachen: Tippfehler im Ziel, doppelter Domainname im Namen oder die Einträge stehen beim falschen DNS-Anbieter.
DMARC unter _dmarc anlegen
Auch DMARC legen Sie selbst beim DNS-Anbieter an: einen TXT-Eintrag mit dem Namen _dmarc. Microsoft empfiehlt, mit p=none zu beginnen und die Ergebnisse zu beobachten:
v=DMARC1; p=none; rua=mailto:dmarc@firma.de
Sind in den Berichten nur noch Ihre eigenen, korrekt authentifizierten Versender zu sehen, stellen Sie auf p=quarantine und später auf p=reject um. Microsoft beschreibt dafür auch den Weg über pct= in Stufen von 10 bis 100 Prozent.
Gibt es schon einen DMARC-Eintrag? Manche Hoster legen p=none als Standard an. Bearbeiten Sie diesen, statt einen zweiten anzulegen. Für die Berichte eignet sich ein freigegebenes Postfach oder eine Gruppe besser als das Postfach einer Person – die täglichen XML-Berichte füllen sonst den Posteingang.
Testen
Schicken Sie eine Mail aus Outlook an ein Postfach außerhalb Ihrer Organisation und prüfen Sie im Header die Zeile „Authentication-Results“: Dort sollten spf=pass, dkim=pass und dmarc=pass stehen, und bei DKIM sollte header.d= Ihre eigene Domain zeigen – nicht onmicrosoft.com.
Schneller geht es mit unserem kostenlosen E-Mail-Spam-Test: Mail aus Outlook an die Testadresse schicken, und der Bericht zeigt SPF, DKIM und DMARC samt Domain-Abgleich, den sendenden Server und Sperrlisten. Die DNS-Einträge allein prüft der SPF-, DKIM- und DMARC-Check.
Typische Fehler mit Microsoft 365
- DKIM nie eingeschaltet: Die Domain ist in Microsoft 365 eingerichtet, Mails gehen raus – aber im Defender-Portal steht DKIM noch auf „Deaktiviert“. Dann trägt die Mail keine DKIM-Signatur Ihrer Domain, und DMARC hängt allein an SPF.
- Zweiter SPF-Eintrag: Zum Hoster-SPF kommt ein zweiter TXT-Eintrag mit
v=spf1 include:spf.protection.outlook.com -allhinzu. Ergebnis laut Microsoft:permerror, SPF schlägt für alle Versender fehl. Zusammenführen statt doppeln. - Hartes
-allmit vergessenem Formular: Das Kontaktformular verschickt weiter über den Hoster, dessenincludefehlt. Mit-allund DMARCp=rejectwerden diese Mails abgewiesen. Erst alle Versender erfassen, dann verschärfen. - CNAME-Ziel aus einer Anleitung kopiert: Die Ziele sind für jeden Mandanten anders. Ein abgeschriebener Beispielwert führt dauerhaft zu „CnameMissing“.
- Alte MX-Einträge: Neben dem Microsoft-MX stehen noch MX-Einträge des Hosters. Ein Teil der eingehenden Post landet im alten Postfach.
Newsletter über Microsoft 365 verschicken?
Exchange Online ist für die Geschäftskorrespondenz gebaut. Jedes Postfach darf höchstens 10.000 Empfänger pro Tag erreichen, und für externe Empfänger hat Microsoft seit 2025 zusätzliche Grenzen eingeführt. Wird ein Limit überschritten, kann das Postfach vorübergehend gar nichts mehr senden – auch keine Angebote und Rechnungen.
Microsoft selbst empfiehlt, Massenversanddienste nicht über die Hauptdomain laufen zu lassen, sondern über eine Unterdomain wie news.firma.de. So beeinträchtigen Probleme mit Newslettern nicht die Reputation der Mails Ihrer Mitarbeitenden. Ein spezialisierter Dienst bringt außerdem One-Click-Abmeldung, Bounce-Verarbeitung und Statistiken mit. Einen Überblick gibt unser Vergleich der E-Mail-Marketing-Software, die Einrichtung eines Anbieters zeigen wir am Beispiel Brevo.
Signiert Microsoft schon mit Ihrer Domain? Schicken Sie eine Mail aus Outlook an unsere Testadresse – der Bericht zeigt SPF, DKIM und DMARC samt Domain-Abgleich.
E-Mail-Test startenWie es weitergeht
Mit sauberer Authentifizierung ist die technische Grundlage gelegt. Ob Ihre Mails im Posteingang landen, entscheiden danach vor allem Reputation, Inhalt und Beschwerderate. Kommen Mails bei deutschen Anbietern nicht an, hilft Mails kommen nicht an: GMX, WEB.DE und T-Online. Nutzen Sie Google statt Microsoft, lesen Sie unsere Anleitung für Google Workspace.
Häufige Fragen
- Richtet Microsoft 365 SPF, DKIM und DMARC automatisch ein?
- Nur für die Startdomain mit onmicrosoft.com. Für Ihre eigene Domain legen Sie SPF, die beiden DKIM-CNAME-Einträge und DMARC selbst beim DNS-Anbieter an und schalten DKIM anschließend im Defender-Portal ein.
- Welcher SPF-Eintrag ist für Microsoft 365 richtig?
- Wenn nur Microsoft 365 mit Ihrer Domain versendet: v=spf1 include:spf.protection.outlook.com -all. Versendet zusätzlich der Hoster, etwa für das Kontaktformular, ergänzen Sie dessen include im selben Eintrag. Pro Domain darf es nur einen SPF-Eintrag geben.
- Wo schalte ich DKIM in Microsoft 365 ein?
- Im Microsoft Defender-Portal unter E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen, Registerkarte DKIM. Zuerst zeigt das Portal die beiden CNAME-Werte an, nach dem Eintragen im DNS schalten Sie die Signatur dort ein.
- Was bedeutet der Status CnameMissing?
- Microsoft findet die beiden CNAME-Einträge selector1._domainkey und selector2._domainkey nicht oder nicht mit dem erwarteten Ziel. Prüfen Sie Schreibweise, Ziel und den richtigen DNS-Anbieter und warten Sie nach dem Anlegen einige Minuten.
- Kann ich mit Microsoft 365 Newsletter verschicken?
- Für kleine Verteiler technisch ja, empfehlenswert ist es nicht: Exchange Online begrenzt Empfänger pro Tag, und Microsoft rät, Massenmails über eine Unterdomain und einen spezialisierten Dienst zu verschicken.