Modul 7 · 7.1

Deutsch

Nederlands English Deutsch Français Dansk Español Svenska Italiano Português Română Hrvatski Norsk

Microsoft 365 verknüpfen

Modul 7: Externe Dienste verknüpfen · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie die DNS-Einträge für Microsoft 365 setzen und prüfen, ob sie korrekt stehen.

Kernbegriffe: Verifizierungs-TXT (MS=ms...), MX zu Microsoft, SPF-Include, DKIM-CNAME (selector1 und selector2), Autodiscover, Verwaltungscenter

Warum Microsoft 365 Einträge benötigt

Mit Microsoft 365 kommt Ihre E-Mail bei Microsoft an. Ihre Website kann ganz normal bei Ihrem eigenen Webhoster bleiben. Für diese Aufteilung benötigt Microsoft ein paar Dinge aus Ihrem DNS:

einen Nachweis, dass die Domain Ihnen gehört (Verifizierung);
den Ort, an dem Mail ankommt (MX);
die Erlaubnis, in Ihrem Namen zu mailen (SPF);
eine Unterschrift unter Ihrer Mail (DKIM);
einen Eintrag, mit dem Outlook selbst die Einstellungen findet (Autodiscover).

Sie setzen diese Einträge bei der Stelle, die das DNS Ihrer Domain verwaltet. Wissen Sie nicht, wer das ist? Schauen Sie sich die Nameserver Ihrer Domain an (Lektion 2.1). Ändern Sie es an anderer Stelle, passiert nichts.

Wichtigste Regel dieser Lektion: Übernehmen Sie immer genau das, was das Verwaltungscenter von Microsoft für Ihre Domain anzeigt. Die Beispiele unten zeigen, wie die Einträge aussehen. Die genauen Werte unterscheiden sich je Domain und Abonnement, und Microsoft passt das Format manchmal an.

Schritt 1: die Domain verifizieren

Wenn Sie im Microsoft 365-Verwaltungscenter eine Domain hinzufügen, erhalten Sie einen TXT-Eintrag mit einem Code:

example.com.   3600   IN   TXT   "MS=ms12345678"

Setzen Sie diesen Eintrag auf die nackte Domain (@). Klicken Sie anschliessend im Verwaltungscenter auf Verifizieren. Klappt das nicht sofort, warten Sie eine Viertelstunde und versuchen Sie es erneut: Manchmal hat ein Resolver noch die alte Antwort im Cache (Lektion 6.1). Dieser TXT-Eintrag darf neben anderen TXT-Einträgen stehen, auch neben Ihrem SPF-Eintrag (Lektion 4.2).

Schritt 2: der MX zu Microsoft

Der MX-Eintrag verweist auf einen Mailserver, der zu Ihrer Domain gehört. Lange war das die Domain mit Bindestrichen statt Punkten, gefolgt von mail.protection.outlook.com:

example.com.   3600   IN   MX   0 example-com.mail.protection.outlook.com.

Neuere Abonnements erhalten manchmal eine Adresse, die auf mx.microsoft endet, zum Beispiel etwas wie example-com.x-v1.mx.microsoft. Das ist kein Tippfehler: .microsoft ist eine echte Top-Level-Domain. Welche der beiden Sie erhalten, sehen Sie im Verwaltungscenter. Übernehmen Sie sie genau, mit dem Punkt am Ende, falls Ihr Panel danach fragt (Lektion 2.2).

Zwei Dinge gehen hier häufig schief:

Alte MX-Einträge stehen lassen. Entfernen Sie die MX-Einträge zu Ihrem vorherigen Mailserver. Bleiben sie stehen, kommt ein Teil Ihrer Mail noch an der alten Stelle an, auch bei höherer Priorität (Lektion 4.1).
Lokale Zustellung bei Ihrem Webhoster. Viele Hosting-Panels liefern Mail von Ihrer eigenen Website (Kontaktformular, Webshop) direkt in das Postfach auf demselben Server aus, wenn dieser annimmt, dass Ihre Mail dort liegt. In DirectAdmin heisst diese Einstellung „Diesen Server zur Bearbeitung meiner E-Mails verwenden“. Wenn Sie den MX auf Microsoft setzen, schalten Sie diese lokale Zustellung aus. Sonst kommen Formulare nie bei Microsoft an. In anderen Panels heisst das zum Beispiel „Remote mail exchanger“ oder „Lokale Mail deaktivieren“.

Schritt 3: SPF ergänzen, nicht verdoppeln

Microsoft möchte in Ihrem SPF-Eintrag stehen haben:

include:spf.protection.outlook.com

Haben Sie bereits einen SPF-Eintrag? Erstellen Sie dann keinen zweiten, sondern setzen Sie den Include in den bestehenden Eintrag. Zwei SPF-Einträge machen Ihr SPF ungültig (Lektion 4.3). Versendet Ihre Website Mail über den Server Ihres Webhosters, lassen Sie das ebenfalls im Eintrag stehen:

example.com.   3600   IN   TXT   "v=spf1 a mx include:spf.hosting.example include:spf.protection.outlook.com ~all"

Beachten Sie das Limit von zehn DNS-Abfragen: Jeder Include zählt mit, und die Includes von Microsoft zählen selbst ebenfalls wieder Abfragen.

Schritt 4: DKIM mit zwei CNAME-Einträgen

Microsoft signiert Ihre Mail mit einem Schlüssel, der bei Microsoft liegt. Sie erstellen nur zwei Verweise, als CNAME:

selector1._domainkey.example.com.   3600   IN   CNAME   selector1-example-com._domainkey.example.x-v1.dkim.mail.microsoft.
selector2._domainkey.example.com.   3600   IN   CNAME   selector2-example-com._domainkey.example.x-v1.dkim.mail.microsoft.

Seit Mai 2025 erhalten neue Domains dieses Format, endend auf dkim.mail.microsoft. Der Buchstabe vor -v1 (hier x) unterscheidet sich je Abonnement. Ältere Domains haben oft noch das Format, das auf onmicrosoft.com endet, zum Beispiel selector1-example-com._domainkey.example.onmicrosoft.com. Beide funktionieren. Auch hier gilt: Kopieren Sie die Werte aus dem Verwaltungscenter (bei den DKIM-Einstellungen im Defender-Portal) und erfinden Sie sie nicht selbst.

Warum zwei? Microsoft wechselt die Schlüssel von Zeit zu Zeit (Schlüsselrotation). Steht nur selector1 in Ihrem DNS, funktioniert DKIM bis zum ersten Wechsel und fällt danach plötzlich weg. Erstellen Sie also immer beide.

Sind die CNAME-Einträge sichtbar, schalten Sie DKIM im Verwaltungscenter ein. Ein häufiger Fehler ist, einen TXT-Eintrag zu erstellen, wo ein CNAME verlangt wird; Microsoft meldet dann, dass der CNAME fehlt.

Achten Sie auf den Namen: In Ihrem Panel tragen Sie meist nur selector1._domainkey ein. Tippen Sie den vollständigen Namen ein und hängt Ihr Panel selbst Ihre Domain dahinter, erhalten Sie selector1._domainkey.example.com.example.com (Lektion 8.4).

Schritt 5: Autodiscover

Outlook sucht beim Einrichten eines Kontos nach autodiscover.<Ihre Domain>. Lassen Sie diesen Namen auf Microsoft verweisen:

autodiscover.example.com.   3600   IN   CNAME   autodiscover.outlook.com.

Steht bereits ein A-Eintrag oder ein Wildcard, der autodiscover auf Ihren Webserver leitet? Ein CNAME mit demselben Namen darf nicht neben einem anderen Eintrag stehen: Entfernen Sie zuerst den A-Eintrag für autodiscover. Gegen einen Wildcard (*) müssen Sie nichts tun: Ein eigenständiger Name hat Vorrang (Lektion 3.3).

Und DMARC?

Microsoft fragt beim Einrichten nicht danach, aber ohne DMARC landet Mail häufiger im Spam. Haben Sie bereits einen DMARC-Eintrag, kann dieser stehen bleiben. Sorgen Sie aber dafür, dass SPF und DKIM für Microsoft zuerst korrekt stehen, bevor Sie die Richtlinie auf quarantine oder reject setzen (Lektion 4.5).

In der Praxis: so sieht es in einem Panel aus

Im Beispielpanel Mein WebOké finden Sie im Reiter DNS einer Domain eine Karte E-Mail-Einstellungen mit Schnelleinrichtung. Wählen Sie dort Microsoft 365, sehen Sie vorab, welche Einträge erstellt werden: MX, SPF-Ergänzung und Autodiscover, und die lokale Zustellung wird ausgeschaltet. Die Verifizierungs-TXT und die DKIM-CNAMEs erhalten Sie von Microsoft selbst; diese fügen Sie separat mit Eintrag hinzufügen hinzu. In DirectAdmin machen Sie dasselbe über MX-Einträge (Vorlage Microsoft 365, und das Häkchen für Zustellung aus) und DNS-Verwaltung.

Nutzen Sie ein anderes Panel, wie cPanel, Plesk, Cloudflare oder den DNS-Bildschirm Ihres Registrars? Dort heissen die Schaltflächen anders, aber die Felder sind dieselben: Name, Typ, Wert und TTL. Manche Registrare haben auch eine Schaltfläche „Microsoft 365“, die die Einträge auf einmal setzt.

Zusammenfassung

Übernehmen Sie alle Werte aus dem Microsoft 365-Verwaltungscenter, nicht aus einem Beispiel.
Verifizierung: TXT MS=ms... auf @. MX: die Adresse, die Microsoft für Ihre Domain angibt; entfernen Sie alte MX-Einträge.
SPF: Fügen Sie include:spf.protection.outlook.com zu Ihrem bestehenden Eintrag hinzu, erstellen Sie keinen zweiten.
DKIM: zwei CNAMEs, selector1 und selector2, beide nötig wegen Schlüsselrotation.
Autodiscover: CNAME zu autodiscover.outlook.com, und schalten Sie die lokale Zustellung bei Ihrem Webhoster aus.

Quiz

Aufgabe

Aufgabe Z7.1: Microsoft 365 erkennen. Schauen Sie sich an, wie zwei echte Organisationen Microsoft 365 verwenden: microsoft.com und sidn.nl (die Website von SIDN, der Registry von .nl in den Niederlanden).

Suchen Sie den MX-Eintrag von sidn.nl und von microsoft.com. Welche der beiden nutzt das alte Format (mail.protection.outlook.com) und welche das neue (mx.microsoft)?
Suchen Sie im SPF-Eintrag von sidn.nl den Include von Microsoft und schreiben Sie ihn ab.
Suchen Sie den CNAME-Eintrag von selector1._domainkey.sidn.nl. Auf welches Wort endet der Zielname (die letzten beiden Labels)?

Tragen Sie Ihre Antworten in das Eingabefeld ein. Die Kontrolle fragt die Einträge zum Zeitpunkt der Einreichung live ab; ändert die Organisation etwas, zählt die neue Antwort.

Aufgabe O7.1: Selbst einrichten in Ihrer Übungszone. Verknüpfen Sie Ihre Übungszone <code>.dnspractice.eu mit einem nachgebildeten Microsoft 365. In der Übungszone nutzen Sie den Testdienst office-demo.dnspractice.eu; bei Ihrer echten Domain übernehmen Sie die Werte aus dem Verwaltungscenter von Microsoft 365.

Verifizierung: Setzen Sie einen TXT-Eintrag auf <code>.dnspractice.eu mit dem Code, den Ihnen die Aufgabenseite gibt (MS=oefen-<code>-<...>).
MX: Lassen Sie <code>.dnspractice.eu Mail empfangen auf mail.protection.office-demo.dnspractice.eu. mit Priorität 0. Entfernen Sie andere MX-Einträge auf <code>.dnspractice.eu.
SPF: Ergänzen Sie den bestehenden SPF-Eintrag auf <code>.dnspractice.eu um include:_spf.office-demo.dnspractice.eu, und lassen Sie mx darin stehen. Es darf nur einen SPF-Eintrag geben.
DKIM: Erstellen Sie einen CNAME selector1._domainkey.<code>.dnspractice.eu zu selector1.dkim.office-demo.dnspractice.eu. und einen CNAME selector2._domainkey.<code>.dnspractice.eu zu selector2.dkim.office-demo.dnspractice.eu.
Autodiscover: Erstellen Sie einen CNAME autodiscover.<code>.dnspractice.eu zu autodiscover.office-demo.dnspractice.eu.

Aufgabe O7.1

Diese Aufgabe erledigen Sie in Ihrer eigenen Übungszone: einer echten DNS-Zone auf den Nameservern von WebOké, nur für Sie. Melden Sie sich mit Ihrer E-Mail-Adresse an. Sie erhalten einen Login-Link per E-Mail und kehren anschliessend zu dieser Lektion zurück. Wir verwenden Ihre Adresse ausschliesslich für den Kurs.

Weiterführende Informationen

Diese Seiten beschreiben die Schritte in den Panels von WebOké (DirectAdmin und Mein WebOké). In anderen Panels funktioniert es auf dieselbe Weise.

Cookies bei WebOké

Cookie-Einstellungen

Notwendig

Marketing