DKIM, SPF und DMARC für Microsoft 365: die vollständige Einrichtung

Microsoft 365 signiert ausgehende E-Mails vom ersten Tag an, aber mit der eigenen Domain onmicrosoft.com, nicht mit Ihrer. DMARC zählt nur eine Signatur im Namen der Domain, die in der Absenderadresse steht: Eine eigene Domain ohne eingerichtetes DKIM stützt sich daher allein auf SPF und scheitert, sobald eine Nachricht weitergeleitet wird. Dieser Leitfaden folgt der Dokumentation von Microsoft, nachgelesen am 14. November 2026.

1. SPF

Ein TXT-Eintrag an der Domain:

v=spf1 include:spf.protection.outlook.com -all

Senden weitere Dienste in Ihrem Namen, ergänzen Sie deren include: im selben Eintrag: ein SPF-Eintrag je Domain, höchstens zehn DNS-Abfragen. Der kostenlose SPF-Check zählt sie.

2. Ihre zwei CNAME-Werte finden

DKIM in Microsoft 365 verwendet zwei CNAME-Einträge, keinen TXT-Eintrag mit einem Schlüssel. Microsoft verwahrt die Schlüssel und tauscht sie aus; Ihr DNS verweist nur darauf.

Gehen Sie im Microsoft Defender-Portal zu E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → Einstellungen für die E-Mail-Authentifizierung (Email authentication settings), öffnen Sie den Reiter DKIM und wählen Sie Ihre Domain. Die Details zeigen die zwei zu veröffentlichenden Einträge. Oder in Exchange Online PowerShell:

Get-DkimSigningConfig -Identity ihredomain.example | Format-List Selector1CNAME,Selector2CNAME

Die Hostnamen sind für alle gleich: selector1._domainkey und selector2._domainkey. Die Ziele nicht. Ältere Domains verweisen auf einen Namen, der auf .onmicrosoft.com endet; neuere auf einen Namen, der auf -v1.dkim.mail.microsoft endet, mit einem von Microsoft vergebenen Zeichen. Übernehmen Sie die für Ihre Domain angezeigten Werte; bauen Sie sie nicht von Hand nach einem Beispiel.

3. Beide Einträge veröffentlichen

Legen Sie die zwei CNAME-Einträge bei Ihrem DNS-Anbieter an. Beide sind nötig, auch wenn jeweils nur ein Selektor signiert: Der andere dient dem Schlüsselwechsel. Den Schlüssel stattdessen als TXT-Eintrag zu veröffentlichen, funktioniert nicht.

Manche DNS-Anbieter hängen den Domainnamen selbst an den Host an: Geben Sie dann selector1._domainkey ein, nicht selector1._domainkey.ihredomain.example.

4. Die Signatur aktivieren

Zurück im Reiter DKIM stellen Sie den Schalter Ihrer Domain auf Aktiviert. Sieht Microsoft die CNAME-Einträge noch nicht, sagt es das und zeigt sie erneut an: Warten Sie, bis sich die DNS-Änderung verbreitet hat, und versuchen Sie es noch einmal. Danach meldet der Status, dass DKIM-Signaturen für diese Domain erstellt werden.

5. Eine echte Nachricht prüfen

Senden Sie eine Nachricht an ein Postfach außerhalb Ihrer Organisation und lesen Sie die Header: dkim=pass mit header.d= gleich Ihrer Domain, nicht onmicrosoft.com. Der E-Mail-Header-Analyzer liest sie für Sie, und der DKIM-Check fragt selector1 und selector2 ab.

6. DMARC

Beginnen Sie mit dem Beobachten:

_dmarc  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.example"

Lesen Sie zwei Wochen lang die Berichte: Sie zeigen jeden Dienst, der in Ihrem Namen sendet, und welche scheitern. Folgen Sie dann Von p=none zu p=reject.

Was schiefgeht

Der Schalter bleibt nicht aktiviert: Die CNAME-Einträge fehlen, sind falsch geschrieben oder noch nicht sichtbar. Der Status CnameMissing besagt dasselbe.
Nur selector1 wurde veröffentlicht: Die Signatur funktioniert heute und bricht beim nächsten Schlüsselwechsel. Veröffentlichen Sie beide.
Ein CNAME nach einem alten Beispiel: Das Format hat sich für neuere Domains geändert. Nutzen Sie die Werte des Portals.
DKIM besteht mit onmicrosoft.com: Die Signatur mit der eigenen Domain ist nicht aktiviert, daher scheitert DMARC weiter bei weitergeleiteten E-Mails.
Ein anderer Dienst sendet in Ihrem Namen: Ein Newsletter- oder Rechnungstool braucht sein eigenes DKIM mit Ihrer Domain; die Einträge von Microsoft decken es nicht ab.

Ist alles veröffentlicht, liest die vollständige E-Mail-Authentifizierungsprüfung SPF, DKIM und DMARC auf einmal.