So beheben Sie Fehler 550 5.7.509: Zugriff in Exchange Online verweigert
Fehler 550 5.7.509 bezieht sich auf die DMARC-Nachrichtenauthentifizierung und wird als Bounceback empfangen, wenn Sie eine E-Mail senden und der Empfänger Ihre E-Mail aufgrund eines DMARC-Fehlers ablehnt. Der genaue Fehler sieht wie folgt aus:
style="color: #333333; Schriftfamilie: SegoeUI, Lato, 'Helvetica Neue', Helvetica, Arial, serifenlos; Schriftgröße: 14px; Schriftstil: normal; Schriftvariantenligaturen: normal ; Font-Variant-Caps: normal; Hintergrundfarbe: #ffffff;">550 5.7.509: Zugriff verweigert, die sendende Domain yourdomain.com besteht die DMARC-Überprüfung nicht und verfügt über eine DMARC-Richtlinie zur Ablehnung
In diesem Tutorial zeige ich Ihnen, wie Sie den Exchange Online-Fehler problemlos beheben können.
Wie funktioniert DMARC?
DMARC steht für Domain-based Message Authentication, Reporting & Conformance und ist eine Methode und ein Prozess, die Mail-Server dabei unterstützen, festzustellen, ob eine Nachricht legitim ist. Die auf der sendenden Domäne konfigurierte DMARC-Richtlinie unterstützt dann den empfangenden Mailserver bei der Handhabung eingehender E-Mails, die die DMARC-Prüfung nicht bestehen.
Nachfolgend finden Sie ein Diagramm, das zur Visualisierung des DMARC-Authentifizierungsprozesses beiträgt:
Um das obige Bild zusammenzufassen:
1. Ein Benutzer sendet zunächst eine neue E-Mail-Nachricht. Der sendende E-Mail-Server verarbeitet diese Nachricht und sendet sie basierend auf dem MX-Eintrag, der in der Domäne des Empfängers im öffentlichen DNS konfiguriert ist, an den E-Mail-Server des Empfängers.
2. Der E-Mail-Dienst des Empfängers führt dann drei verschiedene Prüfungen der Domain durch, sobald er die E-Mail erhält:
- Zunächst prüft der Server des Empfängers, ob die IP-Adresse des Absenderservers mit der der autorisierten Server im SPF-Eintrag im öffentlichen DNS übereinstimmt.
- Zweitens gleicht der Server des Empfängers die verschlüsselte DKIM-Signatur im Nachrichtenheader mit dem DKIM-Eintrag im öffentlichen DNS ab.
- Abschließend überprüft der Server des Empfängers den DMARC-Eintrag für die Domäne des Absenders im öffentlichen DNS. Dieser Datensatz legt fest, wie mit der Nachricht umgegangen wird, wenn die erste oder zweite Prüfung fehlschlägt.
3. Drittens: Wenn sowohl die SPF- als auch die DKIM-Prüfung erfolgreich sind, führt DMARC zu einem bestandenen Ergebnis und die E-Mail-Nachricht wird an die Mailbox des Empfängers gesendet. Sollte DMARC basierend auf der konfigurierten DMARC-Richtlinie im öffentlichen DNS des Absenders zu einem Fehler führen, wird die Nachricht entweder in die Quarantäne geschickt oder mit einem NDR an den Absender abgelehnt, der den Fehler 550 5.7.509 enthält.
4. Wenn schließlich der DMARC-Datensatz des Absenders für aggregierte oder forensische Berichterstattung konfiguriert ist, wird eine E-Mail entweder im XML- oder Klartextformat mit Informationen zur E-Mail-Nachricht an das gewünschte Ziel (normalerweise ein dediziertes Postfach oder eine DMARC-Analyseplattform) gesendet.
EasyDMARChaben ein einfaches und benutzerfreundliches Tool für die DMARC-Berichterstellung, probieren Sie es aus!
Warum habe ich den Fehler 550 5.7.509 erhalten?
Der Grund, warum Sie den Fehler 550 5.7.509 erhalten haben, liegt darin, dass Sie nicht ordnungsgemäß authentifiziert sind, um im Namen Ihrer Domain zu senden. Wenn Ihre Domain beispielsweise ourcloudnetwork.com lautet und Ihre E-Mail-Adresse [email ist. Der von Ihnen verwendete E-Mail-Dienst, z. B. Microsoft 365, stimmt nicht mit dem DKIM- oder SPF-Eintrag überein, der bei Ihrem öffentlichen DNS-Anbieter (z. B. GoDaddy) konfiguriert ist, und wird daher als fehlgeschlagen zurückgegeben.
Das bedeutet nicht, dass es nicht einmal richtig konfiguriert wurde, es könnte bedeuten, dass sich etwas geändert hat. Daher sollten Sie prüfen, wer Zugriff hat, um Änderungen an Ihren öffentlichen DNS-Einträgen vorzunehmen, da häufig Drittanbieter den Zugriff anfordern (z. B. Webentwickler), obwohl dieser Zugriff in Wirklichkeit nur bei Ihrem vertrauenswürdigen IT-Anbieter erfolgen sollte.
Darüber hinaus haben Sie diese Fehlermeldung erhalten, da Sie Ihre DMARC-Richtlinie mit der Einstellung „Ablehnen“ konfiguriert haben. Dies ist der strengste Ansatz, bei dem Nachrichten mit Fehler 550 5.7.509 abgelehnt werden, wenn die Richtlinie nicht erfüllt wird.
So beheben Sie Fehler 550 5.7.509
Um diesen Fehler zu beheben, werde ich alle notwendigen Schritte hervorheben, die Sie in Ihrer Umgebung durchführen sollten, damit E-Mails korrekt als legitim markiert werden und die DMARC-Prüfungen bestehen. Folgen Sie den unteren Schritten:
Schritt 1: Identifizieren Sie Ihren sendenden Server
Manchmal, insbesondere wenn Sie nicht an der Einrichtung der E-Mail-Lösung Ihrer Organisation beteiligt waren, ist der sendende Server nicht derselbe wie der Server, den Sie für den Zugriff auf Ihre E-Mails verwenden. Das folgende Diagramm zeigt beispielsweise einen Fall, in dem der Absender Exchange Online als primären E-Mail-Server verwendet. In Exchange Online ist ein Sendeconnector konfiguriert, der ausgehende E-Mails an einen E-Mail-Filterdienst eines Drittanbieters weiterleitet, bevor sie an den Empfänger weitergeleitet werden.
Es ist dann von entscheidender Bedeutung, dass dieser E-Mail-Filterdienst korrekt für SPF und DKIM konfiguriert ist, damit DMARC passieren kann. Ich empfehle Ihnen, Ihren E-Mail-Fluss in ein Diagramm umzuwandeln, damit alle anderen sich einfacher damit vertraut machen können.
Schritt 2. Überprüfen und korrigieren Sie Ihren SPF-Eintrag
Sobald Sie mit Ihrem E-Mail-Fluss vertraut sind, müssen Sie zunächst überprüfen, ob Ihr SPF-Eintrag korrekt mit dem E-Mail-Dienst konfiguriert ist, der im Namen Ihrer Domain sendet. Wenn Sie möchten, können Sie testen, ob Ihre SPF-Prüfung derzeit erfolgreich ist, indem Sie eine E-Mail an einen Dienst senden, der Ihre E-Mails standardmäßig nicht ablehnt (z. B. ein persönliches GMail-Konto) und die Nachrichteneigenschaften anzeigen. Hier ist ein Beispiel aus einer Test-E-Mail, die ich mir selbst von einem Spoofing-Dienst gesendet habe:
Es gibt einige Methoden, um zu überprüfen, wie Ihr SPF-Eintrag konfiguriert ist. Der schnellste Weg ist die Verwendung des Tools nslookup in der Befehlszeile auf Ihrer Workstation. Führen Sie den folgenden Befehl aus und ändern Sie „ourcloudnetwork.com“ in Ihre E-Mail-Domäne:
nslookup -type=txt ourcloudnetwork.comHier sind meine Ergebnisse:
Wenn dieser Befehl kein Ergebnis zurückgibt, das v=spf1 enthält, dann wissen Sie, dass dies Teil des Problems ist. SPF-Einträge können schnell überschrieben oder entfernt werden, wenn jemand bei Ihrem DNS-Registrar eine Änderung vornimmt, beispielsweise alle Einträge zurücksetzt oder die Nameserver ändert.
Stellen Sie sicher, dass Ihr SPF-Eintrag korrekt konfiguriert ist. Der SPF-Eintrag sollte ein TXT-basierter DNS-Eintrag sein und mit v=spf1 beginnen und mit -all enden (vorzugsweise). Es sollte ein Abschnitt include: vorhanden sein, der entweder die öffentliche IP-Adresse des sendenden E-Mail-Servers oder eine bestimmte SPF-Subdomäne enthält, die von Ihrem E-Mail-Anbieter bereitgestellt wird. Der SPF-Eintrag von Microsoft 365 lautet beispielsweise spf .protection.outlook.com.
Schritt 3. Überprüfen und beheben Sie DKIM für Ihre Domain
Das Ziel von DKIM ähnelt dem von SPF: Es soll überprüft werden, ob der Absender berechtigt ist, im Namen der sendenden Domäne zu senden. Obwohl es etwas anders funktioniert. DKIM nutzte Kryptografie, um eine E-Mail mit einem privaten Schlüssel vom autorisierten Sendeserver (in vielen Fällen Microsoft 365) zu signieren. Die Empfänger der E-Mail verwenden dann den öffentlichen Schlüssel, der von den öffentlichen DNS-Servern der sendenden Domänen veröffentlicht wurde, um die Nachricht zu überprüfen. Sofern die der E-Mail beigefügte Signatur während der Übertragung nicht verändert wurde, besteht die Nachricht die DKIM-Verifizierung.
In einigen Fällen ist DKIM möglicherweise nicht konfiguriert (oder war es noch nie). Wenn außerdem ein E-Mail-Dienst eine E-Mail sendet, ohne DKIM zu signieren (entweder legitim oder böswillig), wird DKIM als „none“ zurückgegeben (dkim=none). Dies kann jedoch dazu führen, dass der Empfänger die E-Mail aufgrund mangelnder Authentifizierung ablehnt.
Wenn ein E-Mail-Dienst eine E-Mail mit DKIM signiert, der öffentliche Schlüssel jedoch nicht zum Entschlüsseln der Signatur übereinstimmt, wird im Header Ihrer E-Mail der folgende Fehler angezeigt:
Um Ihren DKIM-Eintrag zu reparieren, sollten Sie die Anweisungen Ihres E-Mail-Anbieters befolgen, da die Schritte zum Aktivieren der DKIM-Signierung seitens des E-Mail-Dienstes bei jedem Anbieter unterschiedlich sind. Für Microsoft 365 sollten Sie die folgenden Schritte ausführen:
Melden Sie sich beim Microsoft Defender Admin Portal an > Richtlinien und Regeln > Bedrohungsrichtlinien > E-Mail-Authentifizierungseinstellungen > DKIM > Wählen Sie Ihre Domain aus und aktivieren Sie DKIM
Zu diesem Zeitpunkt erhalten Sie die erforderlichen DNS-Einträge, die Sie Ihrem öffentlichen DNS-Anbieter hinzufügen müssen.
An diesem Punkt sollten die meisten Menschen, wenn Sie SPF und DKIM richtig konfiguriert haben, keine Bounce-Back-Nachrichten und E-Mails mehr erhalten erfolgreich geliefert. Wenn Sie jedoch andere Dienste von Drittanbietern zum Versenden von E-Mails verwenden oder weiterhin NDR-Nachrichten empfangen, fahren Sie mit den nächsten Schritten fort.
Schritt 4: Setzen Sie Ihren DMARC auf „none“ zurück und konfigurieren Sie DMARC-Berichte
Grundsätzlich wird der Fehler 550 5.7.509 als Bounce-Back-E-Mail zurückgegeben, wenn Ihre DMARC-Richtlinie auf „Ablehnen“ (dmarc=reject) konfiguriert ist. Die einfachste Lösung (kurzfristig) besteht also darin, Ihre DMARC-Richtlinie auf keine zurückzusetzen, während Sie weiterhin mit der Fehlersuche und -behebung etwaiger Probleme fortfahren.
Zu diesem Zeitpunkt sind sowohl Schritt 2 als auch Schritt 3 für SPF und DKIM immer noch am relevantesten, es ist jedoch wahrscheinlich, dass Sie zum Versenden einen E-Mail-Dienst eines Drittanbieters verwenden E-Mails von Ihrer Domain. Beispiele hierfür könnten Spesensysteme, HR-Systeme oder Marketingsysteme sein.
DMARC unterstützt auch die Berichterstellung, wenn die Prüfung einer E-Mail anhand des DMARC-Datensatzes fehlschlägt. Dadurch können Sie als Administrator diese Berichts-E-Mails überprüfen, um Konfigurationsprobleme für die Dienste zu identifizieren, die E-Mails im Namen Ihrer Domain versenden. Leider verfügen die meisten E-Mail-Dienste nicht über einen integrierten Analysedienst. DMARC-Berichte können jedoch an alle E-Mails gesendet werden, um sie zu lesen und zu interpretieren. Idealerweise sollte für eine genaue Berichtsanalyse ein Drittanbieterdienst verwendet werden.
Hier ist ein Beispiel für einen DMARC-Eintrag, bei dem die Richtlinie auf „Keine“ eingestellt ist:
v=DMARC1; p=none; pct=100; [email ; fo=1"Um diese Richtlinie aufzuschlüsseln:
- P=none - Dadurch wird die DMARC-Richtlinie auf „Keine“ gesetzt und den Empfängern empfohlen, nichts mit E-Mails zu unternehmen, die die DMARC-Prüfung nicht bestehen.
- pct=100 - Dies bedeutet, dass die Richtlinie für 100 % der empfangenen E-Mails gilt.
- rua=%email% - Dies ist das Ziel, an das Sie aggregierte Berichte über DMARC-Fehler erhalten möchten.
Schritt 5. Setzen Sie Ihre DMARC-Richtlinie wieder auf „Ablehnen“.
Manchmal besteht der schwierigste Teil einer DMARC-Bereitstellung darin, zu wissen, wann Sie Ihre DMARC-Richtlinie wieder auf „Ablehnen“ (p=reject) ändern müssen. Wenn Sie dies zu früh tun, kann dies dazu führen, dass E-Mails zurückgeschickt werden und erneut gesendet werden müssen. Wenn Sie dies jedoch zu lange tun, sind Sie noch stärker der Gefahr von Manipulationen durch böswillige Akteure ausgesetzt.
Ich empfehle Ihnen, maximal einen Monat einzuplanen, um zu überprüfen, ob Sie alle im Rahmen Ihrer DMARC-Berichte erhaltenen Informationen erfasst und umgesetzt haben. Dadurch können alle Dienste erfasst und aufgelöst werden, die höchstens einmal im Monat E-Mails versenden.