SPF, DKIM und DMARC für Microsoft 365: Schritt für Schritt
Dies ist die praktische, Schritt-für-Schritt-Version für Microsoft 365 — wer zuerst verstehen möchte, was SPF, DKIM und DMARC eigentlich tun, liest diese Leitfäden. Dieser hier behandelt nur die Microsoft-spezifischen Einträge und Portal-Schritte.
SPF für Microsoft 365
Fügen Sie einen einzelnen TXT-Eintrag an der Wurzel Ihrer Domain hinzu:
v=spf1 include:spf.protection.outlook.com -all
Microsofts eigene Dokumentation setzt standardmäßig auf -all (Hard Fail) statt auf das anderswo übliche ~all (Soft Fail) — ein strengerer Ausgangspunkt, den man kennen sollte, bevor man einen Eintrag aus dem Beispiel eines anderen Anbieters übernimmt.
DKIM für Microsoft 365 — zwei CNAMEs statt einem TXT
Anders als bei Googles einzelnem TXT-Eintrag nutzt DKIM bei Microsoft 365 zwei von Microsoft erzeugte CNAME-Einträge, die jeweils auf einen von Microsoft gehosteten Schlüssel verweisen:
selector1._domainkey.yourdomain.com. CNAME selector1-yourdomain-com._domainkey.<tenant>.onmicrosoft.com. selector2._domainkey.yourdomain.com. CNAME selector2-yourdomain-com._domainkey.<tenant>.onmicrosoft.com.
- Holen Sie die beiden CNAME-Werte für selector1._domainkey und selector2._domainkey aus dem Microsoft Defender Portal (Email & collaboration → Policies & rules → Threat policies → Email authentication settings → DKIM) oder über das PowerShell-Cmdlet Set-DkimSigningConfig
- Fügen Sie beide CNAME-Einträge genau wie angegeben hinzu
- Aktivieren Sie die DKIM-Signierung für die Domain auf demselben Bildschirm im Defender-Portal — wie bei Google schaltet allein das Veröffentlichen der Einträge die Signierung nicht ein
DMARC für Microsoft 365
Wie überall sonst: ein TXT-Eintrag unter _dmarc.ihredomain.de, direkt im DNS veröffentlicht statt über eine Microsoft-spezifische Oberfläche. Beginnen Sie mit p=none — den vollständigen Rollout-Pfad finden Sie in unserem DMARC-Leitfaden.
_dmarc.yourdomain.com. TXT "v=DMARC1; p=none; rua=mailto:[email protected]"
Alle drei überprüfen
Sobald jeder Eintrag veröffentlicht und die DKIM-Signierung aktiviert ist, bestätigt eine E-Mail-Sicherheitsprüfung, dass SPF, DKIM und DMARC korrekt auflösen und übereinstimmen.
Fehler, die diese Einrichtung zerstören
- Nur einer der beiden erforderlichen CNAME-Einträge wird hinzugefügt — beide werden gebraucht, und ein fehlender lässt DKIM nicht validieren
- Die CNAME-Einträge werden veröffentlicht, aber die DKIM-Signierung im Defender-Portal nie aktiviert
- Hybride Exchange-Umgebungen, in denen ein Teil der Mail über lokale Server läuft, die vom Mechanismus include:spf.protection.outlook.com nicht abgedeckt sind, sodass deren eigene IPs dem SPF-Eintrag hinzugefügt werden müssen
Ihre Einrichtung überprüfen
Sehen Sie die Theorie in der Praxis — führen Sie E-Mail-Sicherheitsprüfung für Ihre eigene Domain aus.