Schwierige Empfänger: Microsoft und T-Online

Modul 6: Bounces und Problemlösung · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion kennen Sie die eigenen Regeln von zwei Empfängern, die häufig für Fragen sorgen, Microsoft (Outlook.com, Hotmail und Microsoft 365) und T-Online, und wissen Sie, was Sie als Nutzer und was der Administrator eines Versandservers bei einer Verzögerung oder Blockade tun kann.

Kernbegriffe: Outlook.com und Exchange Online Protection, neue IP-Adresse ohne Reputation, 451 4.7.500 Server busy, 550 5.7.606 banned sending IP, Delist-Portal sender.office.com, SNDS, JMRP, Ordner Junk-E-Mail, sichere Absender, T-Online, eigenes Reputationssystem, Forward-Confirmed Reverse DNS, Kontaktdaten auf der Website der PTR-Domain, keine Whitelisting, postmaster.t-online.de

Warum gerade diese beiden?

Microsoft empfängt die Mail von Outlook.com, Hotmail und Live.com, und daneben von einem großen Teil der Unternehmen (über Microsoft 365, mit Exchange Online Protection als Filter). T-Online ist der größte Maildienst Deutschlands. Beide nutzen neben den üblichen Standards ein eigenes Reputationssystem. Mail, die bei Gmail problemlos ankommt, kann bei ihnen verzögert oder abgelehnt werden. Wer Kunden oder Kontakte in Deutschland hat oder viel an Hotmail-Adressen mailt, stößt früher oder später darauf.

Microsoft: vorübergehend ausgebremst mit 4.7.500

Die bekannteste Meldung von Microsoft ist:

451 4.7.500 Server busy. Please try again later from [203.0.113.25]. (AS843)

Der Text sagt „Server ausgelastet“, aber das stimmt nicht: Es handelt sich um eine bewusste Drosselung. Microsoft verwendet diese Codereihe (4.7.500 bis 4.7.699), wenn eine versendende IP-Adresse noch wenig Reputation hat oder wenn sich das Verhalten plötzlich ändert, zum Beispiel bei einem starken Anstieg der Mailmenge. Microsoft beschreibt es selbst als eine vorübergehende Beschränkung, um verdächtige Aktivität zu bewerten, die von selbst aufgehoben wird, wenn sich die Mail als in Ordnung erweist.

Was bedeutet das für Sie?

• Es handelt sich um einen vorübergehenden Fehler (4xx). Der versendende Server speichert die Mail und versucht es erneut. Meistens kommt die Mail nach einem oder mehreren Versuchen doch noch an, manchmal nach Stunden.
• Erhalten Sie eine Verzögerungsmeldung, senden Sie die Mail nicht erneut. Das erhöht das Volumen und verschlimmert die Drosselung.
• Ist das für Sie ein Problem (zum Beispiel bei Login-Codes oder Rechnungen, die sofort ankommen müssen), melden Sie es bei Ihrem Anbieter mit der Verzögerungsmeldung dazu.

Was der Administrator des Versandservers tun kann:

1. Prüfen, ob die Grundlagen stimmen: PTR mit FCrDNS, keine Blocklist, SPF und DKIM für die Domains, die über den Server mailen (Lektion 5.1 und 5.2).
2. Aufwärmen: eine neue IP-Adresse zunächst nur einen kleineren Teil des Verkehrs versenden lassen und schrittweise mehr.
3. Das Tempo pro Empfänger begrenzen: weniger gleichzeitige Verbindungen zu Microsoft und eine angemessene Wartezeit zwischen Versuchen, damit der Server nicht immer wieder gegen die Bremse läuft.
4. Bei SNDS und JMRP anmelden (siehe unten).

Microsoft: blockiert mit 5.7.606

Ist die IP-Adresse wirklich blockiert, erhalten Sie einen endgültigen Fehler:

550 5.7.606 Access denied, banned sending IP [203.0.113.25]. To request removal from this list please visit https://sender.office.com/ and follow the directions.

Dies kommt bei Mail an Microsoft 365-Umgebungen vor. Der Administrator der IP-Adresse kann die Entfernung über das Delist-Portal sender.office.com beantragen: E-Mail-Adresse und IP-Adresse eingeben, die Bestätigungsmail öffnen und dort „Delist IP“ wählen. Laut Microsoft kann es danach bis zu 24 Stunden dauern, bis die Blockade aufgehoben ist. Beheben Sie jedoch zuerst die Ursache: Eine IP-Adresse, die nach der Entfernung wieder Spam versendet, landet schnell wieder auf der Liste.

Bei Outlook.com und Hotmail (der Verbraucherseite) funktioniert die Entfernung über ein separates Formular der Absender-Unterstützung von Microsoft. Eine manuelle Whitelist gibt es bei Microsoft nicht: Es bleibt ein automatisches Reputationssystem.

Microsoft: SNDS und JMRP

Microsoft bietet zwei kostenlose Dienste für Administratoren einer versendenden IP-Adresse:

• SNDS (Smart Network Data Services): Pro IP-Adresse sehen Sie, wie viel Mail Microsoft erhalten hat, wie viel davon als Spam eingestuft wurde, wie viele Beschwerden es gab und ob die Adresse in Spamfallen gelandet ist. Ein Farbcode (grün, gelb, rot) zeigt den Stand an.
• JMRP (Junk Mail Reporting Program): Markiert ein Outlook.com-Nutzer Ihre Mail als unerwünscht, erhalten Sie eine Kopie. So sehen Sie, welche Mail Beschwerden auslöst.

Beide sind nur sinnvoll für diejenigen, die selbst eine IP-Adresse verwalten: einen eigenen Server oder den Anbieter eines geteilten Servers. Als gewöhnlicher Nutzer eines Hostingpakets oder Maildienstes melden Sie sich hier nicht selbst an.

Microsoft: im Ordner Junk-E-Mail

Oft wird Mail nicht abgelehnt, sondern in den Ordner Junk-E-Mail verschoben, vor allem von Absendern, die Microsoft noch nicht kennt. Dort helfen keine Fehlercodes, weil es keine Bounce gibt. Was funktioniert:

• SPF, DKIM und DMARC korrekt eingerichtet (Modul 4). Sind Sie Massenversender, verlangt Microsoft, dass sowohl SPF als auch DKIM erfolgreich sind (Lektion 5.3).
• Feste Kontakte bitten, Ihre Adresse zu ihren Kontakten oder sicheren Absendern hinzuzufügen, und Mail, die im Junk-Ordner lag, als „Kein Junk“ zu markieren. Das zählt für die Reputation.
• Keine Newsletter über Ihr gewöhnliches Postfach (Lektion 7.1).

T-Online: ein eigenes System

T-Online (der Maildienst der Deutschen Telekom, mit Adressen auf @t-online.de und @magenta.de) ist für seine strengen eigenen Regeln bekannt. Auf der Postmasterseite postmaster.t-online.de stehen die Anforderungen für versendende Server. Die wichtigsten:

1. Die Internetstandards einhalten, darunter die RFCs für SMTP und für den Aufbau von Nachrichten, sowie Forward-Confirmed Reverse DNS (Lektion 5.1).
2. Der Name im Reverse DNS muss zu einer Domain mit einer Website führen, auf der steht, wie Sie den Administrator direkt erreichen können. T-Online verweist dabei auf die europäische E-Commerce-Richtlinie (Richtlinie 2000/31/EG, Artikel 5) über die vorgeschriebenen Angaben eines Diensteanbieters. In Deutschland heißt eine solche Seite Impressum.
3. Keine Mail direkt von dynamischen Adressen, Einwählanschlüssen oder „anonymen“ Cloudservern: Diese sollten über das Relay eines geeigneten Anbieters versendet werden.
4. Die Anzahl gleichzeitiger Verbindungen begrenzen. Bei zu vielen erhalten Sie 421 Maximum parallel connections for your IP-Address reached.
5. Kein Open Relay, ausgehende Mail auf Spam und Viren filtern, und bei TLS ein gültiges Zertifikat.

Eine Blockade einer IP-Adresse sieht bei T-Online zum Beispiel so aus:

554 IP=203.0.113.25 - A problem occurred. (Ask your postmaster for help or to contact tosa@rx.t-online.de to clarify.)

In der Praxis begegnen Ihnen auch Varianten mit einem Hinweis auf eine schlechte oder fehlende Reputation. Die Botschaft lautet stets: Diese IP-Adresse darf derzeit nicht zustellen.

T-Online: was können Sie tun?

T-Online sagt ausdrücklich, dass es kein Whitelisting anbietet. Eine blockierte Adresse kann jedoch freigegeben werden, wenn die Ursache behoben ist. Der Weg dorthin:

• Als gewöhnlicher Nutzer (Sie mailen über ein Hostingpaket oder einen Maildienst): Senden Sie die vollständige Bounce an Ihren Anbieter. Nur der Administrator des Versandservers kann Kontakt mit T-Online aufnehmen; Sie können die IP-Adresse nicht selbst freigeben lassen.
• Als Administrator des Versandservers: Prüfen Sie zunächst die oben genannten Anforderungen (PTR, FCrDNS, eine erreichbare Website mit Kontaktdaten auf der Domain aus dem PTR, keine Blocklist), und nehmen Sie danach Kontakt über die in der Fehlermeldung genannte Adresse oder über das Kontaktformular auf postmaster.t-online.de auf. Bei immer wiederkehrenden vorübergehenden Blockaden ohne bekannte Ursache nennt T-Online die Postmaster-Adresse. Rechnen Sie nicht mit einer Empfangsbestätigung.
• Kurzfristig: Mail an einen wichtigen T-Online-Empfänger kann vorübergehend über eine andere Route (einen anderen Anbieter oder Versanddienst) versendet werden, oder Sie vereinbaren eine andere Adresse.

Und der Rest?

Auch andere große deutsche Dienste wie GMX und Web.de sowie viele Unternehmensfilter haben eigene Reputationssysteme. Das Muster ist überall gleich: Ein Versandserver mit korrektem PTR, guter Authentifizierung, einem ruhigen und regelmäßigen Versandmuster und wenig Beschwerden kommt fast überall an. Bei einem Problem lesen Sie die Bounce, suchen den Code bei der Partei nach, die ihn ausgestellt hat, und lassen den Administrator des Versandservers handeln.

Zusammenfassung

• 451 4.7.500 Server busy von Microsoft ist eine bewusste, vorübergehende Drosselung der IP-Adresse, oft bei wenig Reputation oder einem starken Anstieg. Nicht erneut versenden.
• 550 5.7.606 bedeutet eine blockierte IP-Adresse; der Administrator beantragt die Entfernung über sender.office.com, nachdem die Ursache behoben wurde.
• SNDS und JMRP geben Administratoren einer IP-Adresse Einblick in ihre Reputation bei Microsoft.
• T-Online verlangt unter anderem FCrDNS und eine Website mit Kontaktdaten auf der Domain aus dem PTR und bietet kein Whitelisting an.
• Als Nutzer lösen Sie das nicht selbst: Geben Sie die vollständige Bounce an Ihren Anbieter weiter.

Quiz

Aufgabe

Aufgabe O6.4: Eine Blockade bei einem großen Empfänger untersuchen. Sie erhalten einen Fall: Ein Verein versendet seit einer Woche seine Mail über einen neuen eigenen Server; Mail an Hotmail-Adressen kommt Stunden später an, und Mail an T-Online-Adressen kommt mit einer IP-Blockade zurück. Beantworten Sie: (1) was bedeuten die beiden Meldungen, (2) wer muss was tun, (3) welche fünf Dinge prüfen Sie am Server, und (4) was kann der Verein kurzfristig tun? Danach sehen Sie die Musterantwort.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Paneele von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• Meine E-Mail kommt nicht an oder landet im Spam: So finden Sie die Ursache heraus
• E-Mails von Ihrem VPS versenden und Reverse DNS einrichten
• DirectAdmin Anleitung 9.4: Meine Mail landet beim Empfänger im Spam
• Microsoft, Email nondelivery reports and SMTP errors in Exchange Online: https://learn.microsoft.com/en-us/troubleshoot/exchange/email-delivery/ndr/non-delivery-reports-in-exchange-online
• Microsoft, Office 365 Anti-Spam IP Delist Portal: https://sender.office.com/
• Microsoft, SNDS und JMRP: https://sendersupport.olc.protection.outlook.com/snds/
• T-Online Postmaster (Anforderungen und Kontakt): https://postmaster.t-online.de/