SPF, DKIM und DMARC für Microsoft 365 (Exchange Online) einrichten: Schritt für Schritt

Mail-Beglaubigung für Microsoft 365 komplett: der SPF-Eintrag beim DNS-Anbieter, DKIM im Defender-Portal erstellen, CNAMEs veröffentlichen und einschalten, DMARC setzen — mit den zwei typischen Exchange-Online-Fallen.

7 Min. Lesezeit · Stand 7. September 2026

Für Microsoft 365 setzen Sie SPF und DMARC beim DNS-Anbieter Ihrer Domain (dafür gibt es in Microsoft 365 kein Portal), DKIM dagegen im Microsoft-Defender-Portal: security.microsoft.com/authentication → Reiter „DKIM“ → Domain → „DKIM-Schlüssel erstellen“ → die zwei angezeigten CNAMEs im DNS veröffentlichen → Schalter „Nachrichten für diese Domain mit DKIM-Signaturen signieren“ einschalten. Der SPF-Basiseintrag wird bei der Domain-Einrichtung vorgeschlagen; DKIM und DMARC bleiben Handarbeit — und genau dort stecken die zwei Fallen, die uns in der Praxis am häufigsten begegnen.

Schritt 1: SPF beim DNS-Anbieter

Microsoft weist ausdrücklich darauf hin: Für SPF gibt es weder ein Admin-Portal noch ein PowerShell-Cmdlet — der TXT-Eintrag entsteht beim Registrar bzw. DNS-Hoster (z. B. World4You, Strato, IONOS). Microsoft empfiehlt -all, weil DMARC den Rest regelt:

DNS-Eintrag vom Typ TXT:

Name / Host

ihre-domain.at

Wert

v=spf1 include:spf.protection.outlook.com -all

Der Standard für Exchange Online (per DNS bestätigt, 07.09.2026). Weitere Versanddienste kommen in DENSELBEN Eintrag; Microsoft rät, Massenversender auf eine Subdomain zu legen (eigener SPF je Subdomain) und nennt als Grenze zehn DNS-Lookups.

Schritt 2: DKIM im Defender-Portal erstellen

Im Defender-Portal https://security.microsoft.com zu E-Mail & Zusammenarbeit → Richtlinien und Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen — oder direkt https://security.microsoft.com/authentication öffnen.
Reiter „DKIM“ wählen und die eigene Domain anklicken.
Im Detailbereich unten „DKIM-Schlüssel erstellen“ (Create DKIM keys) klicken — Microsoft zeigt danach die zwei CNAME-Einträge unter „CNAMEs veröffentlichen“.
Beide CNAMEs beim DNS-Anbieter anlegen (Hostnamen selector1._domainkey und selector2._domainkey, Ziele exakt aus dem Portal kopieren).
Nach einer Weile zurück ins Portal und den Schalter „Nachrichten für diese Domain mit DKIM-Signaturen signieren“ einschalten. Erst dann ist DKIM aktiv.

DNS-Eintrag vom Typ CNAME:

Name / Host

selector1._domainkey.ihre-domain.at

Wert

selector1-ihre-domain-at._domainkey.ihrtenant.r-v1.dkim.mail.microsoft

Neues Muster laut Microsoft Learn (Stand 2026): Domain mit Bindestrichen, Tenant-Name, ein von Microsoft vergebener Buchstabe (r oder n) und -v1.dkim.mail.microsoft. Ältere Tenants haben Ziele auf …onmicrosoft.com. Nie abtippen — das Portal zeigt die exakten Werte.

DNS-Eintrag vom Typ CNAME:

Name / Host

selector2._domainkey.ihre-domain.at

Wert

selector2-ihre-domain-at._domainkey.ihrtenant.r-v1.dkim.mail.microsoft

Zwei Selektoren, damit Microsoft die Schlüssel unterbrechungsfrei wechseln kann. Beide müssen gesetzt sein.

Schritt 3: DMARC beim DNS-Anbieter

Microsoft legt DMARC nicht für Sie an. Der TXT-Eintrag unter _dmarc kommt wie SPF zum DNS-Anbieter — zuerst mit p=none und Berichtsadresse, nach einigen Wochen Berichte lesen, dann über quarantine auf reject (Stufenplan). Microsoft selbst empfiehlt, in komplexen Umgebungen DKIM und DMARC im Beobachtungsmodus schnell zu setzen, weil die Berichte die vergessenen Absender sichtbar machen:

DNS-Eintrag vom Typ TXT:

Name / Host

_dmarc.ihre-domain.at

Wert

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.at

Jeder Parameter in [[dmarc-eintrag|DMARC-Eintrag erklärt]].

Schritt 4: Kontrolle

Nach dem Einschalten eine Mail an ein Gmail-Postfach schicken und dort „Original anzeigen“ öffnen: spf=pass, dkim=pass mit Ihrer Domain, dmarc=pass ist das Ziel. Oder die Domain hier prüfen — dann sehen Sie auch, ob beide Selektoren auffindbar sind. Im Defender-Portal muss der Status der Domain auf „Gültig“ stehen; „CnameMissing“ heißt, ein CNAME fehlt oder ist noch nicht verteilt.

Offizielle Microsoft-Dokumentation (abgerufen 07.09.2026)

Häufige Fragen

Wo finde ich die DKIM-Einstellung für Exchange Online?

Im Microsoft-Defender-Portal unter https://security.microsoft.com/authentication, Reiter „DKIM“ (Menüweg: E-Mail & Zusammenarbeit → Richtlinien und Regeln → Bedrohungsrichtlinien → E-Mail-Authentifizierungseinstellungen). Dort die Domain anklicken, „DKIM-Schlüssel erstellen“, CNAMEs setzen, Schalter einschalten.

Muss die onmicrosoft.com-Domain auch abgesichert werden?

Microsoft signiert und beglaubigt die Standarddomain selbst; SPF dafür können Sie nicht einmal ändern. Wichtig ist, dass Ihre Benutzer mit der eigenen Domain senden — Mails von der onmicrosoft-Adresse wirken auf Empfänger schnell unseriös.

Meine CNAME-Ziele enden auf onmicrosoft.com, die Anleitung zeigt dkim.mail.microsoft — was stimmt?

Beides kommt vor: Ältere Tenants nutzen Ziele auf …onmicrosoft.com, neuere das Muster …<Buchstabe>-v1.dkim.mail.microsoft. Maßgeblich ist immer, was das Defender-Portal bei Ihrer Domain anzeigt — genau das eintragen.

Wir nutzen zusätzlich einen vorgelagerten Mailfilter — ändert das etwas?

Beim AUSGEHENDEN Versand über den Filter muss dessen Weg ins SPF und idealerweise mit eigenem DKIM signiert sein. Solche Ketten (Filter vor Exchange) sind fehleranfällig — hier lohnt der Blick eines Profis auf den konkreten Mailfluss.