Microsoft 365 und DKIM: Beide CNAME-Einträge richtig übernehmen

Nicht die Werte eines anderen Microsoft-Kontos verwenden

Für eine eigene Domain verlangt Microsoft 365 passende DKIM-CNAME-Ziele. Diese Werte hängen von Ihrer Domain und Ihrem Microsoft-Mandanten ab. Microsoft verwendet dabei unterschiedliche beziehungsweise neuere Zielformate. Berechnen Sie die Ziele nicht selbst aus einem alten Beispiel. Die aktuelle Microsoft-Anleitung beschreibt die maßgeblichen Werte und beide Selektoren.

Vorbereiten

Sie brauchen die Berechtigung für die Domainkonfiguration in Microsoft 365 und Zugriff auf die aktive DNS-Zone. Lassen Sie sich die konkreten CNAME-Vorgaben für Ihre Domain anzeigen. Übliche Namen sind selector1._domainkey und selector2._domainkey; die Ziele müssen exakt aus Ihrem Microsoft-Konto stammen.

Schritt für Schritt

1. Wählen Sie in der Microsoft-DKIM-Verwaltung die richtige eigene Domain.
2. Kopieren Sie beide angezeigten CNAME-Namen und Ziele in eine Notiz.
3. Öffnen Sie die aktive DNS-Zone, nicht nur eine ungenutzte Plesk-Kopie.
4. Legen Sie beide CNAME-Einträge an. Wenn die Domain im Namensfeld ergänzt wird, verwenden Sie nur den angezeigten Selektorteil.
5. Vergleichen Sie die gespeicherten vollständigen Namen mit der Microsoft-Vorgabe.
6. Prüfen Sie die DNS-Antwort für beide Namen und führen Sie danach die Microsoft-Prüfung beziehungsweise Aktivierung aus.
7. Senden Sie anschließend eine neue eigene Testnachricht an eine externe Adresse und prüfen Sie deren Authentifizierungsergebnis.

Häufige Fehler

• Nur ein Selektor wurde angelegt. Der zweite ist unter anderem für den Schlüsselwechsel relevant.
• Ein Ziel stammt von einer anderen Domain oder einem früheren Mandanten.
• Die eigene Domain hängt zweimal am Namen.
• Ein vorgeschalteter DNS-Webproxy verdeckt den CNAME. DKIM-Verweise müssen als die vom Anbieter verlangten DNS-Daten auflösbar bleiben.

Nicht überschreiben: Bestehende andere Versanddienste können eigene Selektoren benötigen. Microsoft-365-DKIM ersetzt außerdem keine saubere SPF- und DMARC-Konfiguration und legt keine Postfächer an.

Wenn Microsoft nach korrekten öffentlichen Antworten weiterhin einen Fehler meldet, notieren Sie Domain, Selektornamen, Zeitpunkt und den genauen Microsoft-Status für den Support.

Weiterführende Anleitungen

• Unterstriche und Selektoren erklärt
• Weitere Versandquelle in SPF berücksichtigen
• DMARC erst nach Prüfung verschärfen

Offizielle Grundlagen

• Microsoft 365: DKIM konfigurieren und Zielwerte ermitteln
• Microsoft 365: DNS-Einträge für die eigene Domain übernehmen