SMTP: 550 5.4.1 Recipient address rejected: Access denied

So sieht die Meldung aus

550 5.4.1 Recipient address rejected: Access denied. AS(201806281) [DB3EUR04FT012.eop-eur04.prod.protection.outlook.com]

Häufige Ursachen

• Die Empfängeradresse hat einen Tippfehler, oder die Person oder der Alias wurde entfernt oder nie angelegt.
• Die Domain ist in Exchange Online auf „Internal Relay“ gestellt, das Postfach liegt aber auf einem anderen Server, und kein Connector leitet die Mail weiter.
• Das Postfach wurde gerade erst angelegt oder umbenannt, und die Änderung ist noch nicht verteilt.
• Der MX der Domain zeigt auf Microsoft 365, die Postfächer liegen aber woanders, z. B. nach einer Migration.
• Bei einer Verteilerliste akzeptiert sie nur authentifizierte Absender, oder die Liste wurde gelöscht.

Prüfen

1. Wohin zeigt der MX der Empfängerdomain?
   dig +short MX example.comKopieren
2. Die Abweisung im eigenen Postfix-Log finden
   journalctl -u postfix --since today --no-pager | grep ' 5.4.1 ' | tail -n 10Kopieren
3. Existiert der Empfänger im Tenant? (Exchange-Online-PowerShell, als Admin)
   Get-Recipient user@example.com | Format-List PrimarySmtpAddress,RecipientTypeKopieren
4. Welchen Typ hat die akzeptierte Domain? (Exchange-Online-PowerShell, als Admin)
   Get-AcceptedDomain | Format-Table DomainName,DomainTypeKopieren

Lösung

• Die Adresse Buchstabe für Buchstabe mit dem Empfänger prüfen und mit der primären Adresse testen.
• Fehlt das Postfach oder der Alias, ihn anlegen oder die Adresse dem richtigen Benutzer zuweisen. Kurz warten, bis es verteilt ist.
• Liegen Postfächer noch lokal, die akzeptierte Domain auf Internal Relay stellen und den ausgehenden Connector anlegen, oder die Domain Authoritative lassen, wenn alle Postfächer in Exchange Online liegen.
• Nach einer Migration den MX-Eintrag auf das System verlegen, das jetzt die Postfächer hält.
• Den Test von außen erneut senden und eine eventuelle neue Abweisung vergleichen.

Häufige Fragen

Wie unterscheidet sich das von 550 5.1.1?

5.1.1 sagt, der Benutzer sei unbekannt. 5.4.1 mit Access denied ist die Antwort der verzeichnisbasierten Randblockade von Exchange Online, die auch verbirgt, ob eine Adresse existiert. Die Ursache ist meist trotzdem, dass der Empfänger nicht gefunden wird.

Kann der Absender das allein beheben?

Der Absender kann die Schreibweise prüfen und den Empfänger um Bestätigung der Adresse bitten. Ist die Adresse richtig, kann nur der Admin des Empfängers es im Tenant beheben.