550 5.4.1 Recipient address rejected: Access denied

Delivery has failed to these recipients or groups:
buero@empfaenger.example
Diagnostic information for administrators:
Generating server: mail.absender.example
buero@empfaenger.example
Remote Server returned '550 5.4.1 Recipient address rejected: Access denied.
    AS(201806281) [XX0EUR02FT000.eop-EUR02.prod.protection.outlook.com]'

So ist so ein Rückläufer aufgebaut, mit Beispieladressen, nach dem Muster aus der Microsoft-Dokumentation. 5.4.1 mit dem Text „Recipient address rejected: Access denied“ heißt: Die Adresse buero@empfaenger.example gibt es im Microsoft-365-Mandanten des Empfängers nicht. Microsoft nennt die Funktion dahinter Directory-Based Edge Blocking, kurz DBEB: Eine Mail an eine unbekannte Adresse wird „at the service network perimeter“ abgewiesen, bevor Virenfilter, Spamfilter oder Transportregeln sie überhaupt sehen.

Mit deinem SPF, DKIM, DMARC oder dem Inhalt der Mail hat ein 5.4.1 nichts zu tun. Geprüft wurde nur die Adresse. Wenn sie richtig geschrieben ist, liegt der Fehler beim Empfänger, und nur dessen Administrator kann ihn beheben. Der Rückläufer ist dafür sein wichtigstes Werkzeug, also schick ihn mit.

Die Codes für Ablehnungen wegen SPF, DKIM, DMARC, Sperrlisten oder fehlender Anmeldung (5.7.1, 5.7.26, 5.7.509) stehen in E-Mail abgelehnt: 550 5.7.1. Hier geht es um die Familie, bei der es um den Empfänger geht.

Woran man erkennt, dass Microsoft beim Empfänger abgelehnt hat#

Drei Stellen im Rückläufer entscheiden:

1. Der Server in eckigen Klammern am Ende der Zeile. Endet er auf prod.protection.outlook.com, war es Exchange Online Protection, also der Eingang von Microsoft 365. Bei welchem Mandanten, sagt die Empfängerdomain.
2. AS(201806281). Diese Kennung taucht in den Microsoft-Foren bei praktisch jedem 5.4.1 dieser Art auf. Eine offizielle Erklärung dazu veröffentlicht Microsoft nicht, an der Bedeutung des Codes ändert sie nichts.
3. „Generating server“. Laut Microsoft ist das der Server, der den Rückläufer geschrieben hat, hier der eigene Ausgangsserver. Abgelehnt hat der Server, dessen Antwort hinter „Remote Server returned“ steht.

Nebenbei: Nach RFC 3463 heißt X.4.1 eigentlich „No answer from host“. Microsoft verwendet den Code für die Ablehnung am Eingang, deshalb hilft das RFC hier nicht weiter, der Text dahinter schon.

Es gibt einen zweiten 5.4.1 mit anderem Text: Relay Access Denied. Microsoft beschreibt ihn so: Der Server, der den Fehler erzeugt, nimmt für die Domain des Empfängers keine Post an, die Ursache ist eine falsche Konfiguration von Mailserver oder DNS. Das ist meist ein MX-Eintrag, der auf das falsche System zeigt. Einen echten Fall davon, mit Postfix statt Microsoft, beschreibt E-Mail abgelehnt: 550 5.7.1. Wie man den MX abfragt, steht in MX-Eintrag prüfen.

Die Ursachen, und wer sie beheben muss#

Die Umzugsfalle beschreibt Microsoft selbst. Ist die Domain in Exchange Online als „Authoritative“ eingetragen, sucht der Dienst den Empfänger nur dort und weist ab, wenn er ihn nicht findet. Steht sie auf „Internal relay“, reicht er unbekannte Empfänger an den alten Server weiter. Wer den MX auf Microsoft 365 umstellt, bevor alle Postfächer angelegt oder synchronisiert sind, und die Domain auf „Authoritative“ stehen hat, erzeugt für jede noch fehlende Adresse genau diesen Rückläufer. Microsoft rät, die Domain auf „Internal relay“ zu lassen, bis alle gültigen Empfänger in Exchange Online angekommen sind. Auch dynamische Verteilergruppen aus einem lokalen Exchange werden nicht synchronisiert und deshalb von DBEB blockiert.

Die verwandten Codes bei Microsoft 365#

Die untere Hälfte der Tabelle ist die gefährlichere. Bei 5.1.8 ist das Konto meist schon übernommen worden und hat Spam verschickt. Microsoft trägt es dann unter Email & collaboration > Review > Restricted entities im Defender-Portal ein. Freischalten soll man es erst, nachdem das Passwort geändert, die Mehrfaktor-Anmeldung eingeschaltet und das Postfach auf fremde Weiterleitungsregeln geprüft ist. Danach dauert es laut Microsoft meist eine Stunde, höchstens 24 Stunden. In der Exchange-Online-PowerShell geht dasselbe mit:

Get-BlockedSenderAddress
Remove-BlockedSenderAddress -SenderAddress buero@beispiel.at

Bei 5.1.10 gibt es noch eine zweite Lesart. Microsoft schreibt: Hat ein Spammer deine Adresse als Absender gefälscht, landen die Rückläufer bei dir, ohne dass dein Konto übernommen wurde. Das heißt Backscatter. Sind im Ordner „Gesendete Elemente“ keine fremden Mails, ist es meist genau das. Dagegen hilft eine DMARC-Richtlinie, siehe E-Mail-Spoofing.

Messung: Wie viele Tiroler Domains bei Microsoft 365 annehmen#

In eigener Sache: Am 05.10.2026 um 08:13 UTC habe ich die MX- und SPF-Einträge von 149 Tiroler Domains abgefragt, 34 Tourismusverbände und 115 Betriebe aus meiner Akquise-Liste, passiv per DNS-over-HTTPS. Drei gibt es nicht mehr, bleiben 146. Es ist dieselbe Abfrage wie im Hoster-Vergleich zu DKIM, SPF und DMARC.

• 67 der 146 Domains nehmen ihre Post direkt bei Microsoft 365 an, erkennbar am MX auf *.mail.protection.outlook.com. Wer an eine falsche Adresse bei einer dieser Domains schreibt, bekommt in aller Regel genau den Rückläufer vom Anfang, sobald DBEB greift. Laut Microsoft ist das der Fall, wenn alle Empfänger der Domain in Exchange Online liegen.
• 4 der 67 haben zusätzlich einen MX auf einen anderen Server. Microsoft unterstützt für eine Domain in Exchange Online nur einen MX-Eintrag. Je nachdem, welchen Server der Absender erwischt, kommt der Rückläufer dann von Microsoft oder vom anderen System, oder die Mail landet auf einem Server, den niemand mehr liest.
• 16 weitere Domains erlauben Microsoft 365 im SPF-Eintrag, nehmen ihre Post aber über einen Filterdienst an, meist Hornetsecurity. Für sie gilt: Den Rückläufer schreibt zuerst der Filterdienst. Ob dahinter Microsoft die Adresse kennt, sieht der Absender erst, wenn der Dienst ihm die Antwort durchreicht.

Namen veröffentliche ich nicht. Wohin die Post einer Domain geht, zeigt der E-Mail-Check.

Was zu tun ist#

Als Absender:

1. Adresse Zeichen für Zeichen prüfen, auch Bindestriche und Umlaute in der Domain. Microsoft nennt die falsche Adresse ausdrücklich als häufigste Ursache für 5.1.x.
2. Den Eintrag aus der Autovervollständigung löschen: in Outlook die Adresse eintippen, den Vorschlag mit den Pfeiltasten wählen und mit Entf entfernen, dann die Adresse neu schreiben.
3. Stimmt die Adresse, den Empfänger auf anderem Weg erreichen, per Telefon oder Kontaktformular, und den vollständigen Rückläufer als Anhang weitergeben.

Als Administrator des Empfängers:

1. Gibt es den Empfänger? Im Microsoft 365 Admin Center unter Benutzer > Aktive Benutzer suchen und prüfen, ob die Adresse als primäre Adresse oder als Alias eingetragen ist.
2. Betrifft es die ganze Domain? Dann unter Exchange Admin Center > Mail flow > Accepted domains den Domaintyp prüfen. Läuft ein Umzug oder ein Hybrid-Betrieb, gehört dort „Internal relay“ hin, bis alle Empfänger angelegt sind. Für Fälle, in denen alles stimmt und trotzdem jede Adresse abgewiesen wird, nennt Microsoft als Abhilfe, den Typ einmal auf „Internal relay“ und wieder zurück auf „Authoritative“ zu stellen.
3. Hybrid: Läuft die Verzeichnissynchronisierung? Ein manueller Lauf auf dem Server mit Entra Connect Sync geht mit Start-ADSyncSyncCycle -PolicyType Delta.
4. Nur ein MX-Eintrag, und der zeigt auf <domain>.mail.protection.outlook.com.

Was nicht hilft#

SPF, DKIM oder DMARC der eigenen Domain umbauen. Bei 5.4.1 hat der Empfängerserver nur die Adresse geprüft, nicht die Absenderdomain.

Dieselbe Mail an dieselbe Adresse noch einmal schicken. Ein Code mit 5 ist nach RFC 3463 dauerhaft. Ohne Änderung an der Adresse oder beim Empfänger kommt derselbe Rückläufer.

Den Inhalt kürzen oder den Anhang entfernen. DBEB greift vor jedem Inhaltsfilter.

Bei 5.1.8 einfach das Konto freischalten. Ohne neues Passwort und Mehrfaktor-Anmeldung ist es nach kurzer Zeit wieder gesperrt.

Häufige Fragen#

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Das Paket E-Mail-Schutz prüft MX, SPF, DKIM und DMARC einer Domain, räumt doppelte MX-Einträge nach einem Umzug auf und richtet die Berichte ein, mit denen man solche Fehler früh sieht. Kostenlos vorab: der E-Mail-Check und der Blacklist-Check für die IP-Adresse des eigenen Servers.

Stand 05.10.2026. Quellen an diesem Tag abgerufen, DNS-Messung am 05.10.2026 um 08:13 UTC.