550 5.7.1 Unauthenticated email is not accepted due to domain's DMARC policy

So sieht die Meldung aus

550 5.7.1 Unauthenticated email from example.com is not accepted due to domain's DMARC policy. Please contact the administrator of example.com domain if this was a legitimate mail.

Häufige Ursachen

• Ein Dienst sendet Mail für deine Domain (Newsletter-Tool, CRM, Ticketsystem), steht aber nicht in deinem SPF und signiert nicht mit dem DKIM-Schlüssel deiner Domain.
• Das Alignment scheitert: SPF oder DKIM besteht, aber für die Domain des Anbieters, nicht für die Domain der From-Adresse.
• Ein Weiterleiter oder eine Mailingliste ändert die Nachricht oder den sendenden Server, was SPF und DKIM bricht.
• Die Richtlinie wurde auf p=reject gesetzt, bevor alle Absender bereit waren.
• Der SPF-Eintrag ist kaputt, z. B. über dem Lookup-Limit, sodass SPF für alle scheitert.

Prüfen

1. Wie lautet deine DMARC-Richtlinie?
   dig +short TXT _dmarc.example.comKopieren
2. Was steht in deinem SPF-Eintrag?
   dig +short TXT example.com | grep spf1Kopieren
3. Welches Ergebnis hat der Empfänger gesehen? In die Unzustellbarkeitsmeldung oder die Header schauen
   grep -iE 'authentication-results|dmarc=|spf=|dkim=' bounce.emlKopieren
4. Ist der DKIM-Schlüssel für den sendenden Selector veröffentlicht?
   dig +short TXT selector1._domainkey.example.comKopieren

Lösung

• Den sendenden Dienst in deinen SPF-Eintrag aufnehmen und unter 10 DNS-Abfragen bleiben. Der SPF-Check zählt sie.
• DKIM für deine eigene Domain beim Dienst aktivieren, damit er mit d=example.com signiert und nicht mit seiner eigenen Domain.
• Sicherstellen, dass die From-Adresse dieselbe Domain nutzt, die SPF oder DKIM bestätigt (Alignment).
• Sind Absender nicht bereit, zurück auf p=none oder quarantine gehen und zuerst die Aggregatberichte (rua) lesen.
• Bei weitergeleiteter Post auf DKIM setzen, das eine Weiterleitung übersteht, nicht auf SPF.

Häufige Fragen

Warum scheitert es nur bei manchen Empfängern?

Nur Empfänger, die DMARC durchsetzen, lehnen ab. Andere, etwa kleine Server, ignorieren deine Richtlinie vielleicht.

Wie komme ich sicher zu p=reject?

Mit p=none und einer Berichtsadresse beginnen, jeden legitimen Absender anhand der Berichte korrigieren, dann auf quarantine und erst später auf reject. Der DMARC-Generator erstellt den Eintrag.