MX Lookup — MX-Abfrage

Was bedeutet die MX-Priorität?

Die Priorität (RFC 5321 nennt sie Präferenz) legt die Reihenfolge fest: Ein Absender versucht die niedrigste Zahl zuerst und geht nur weiter, wenn dieser Server nicht antwortet oder die Nachricht mit einer vorübergehenden 4xx-Antwort zurückstellt.

Server mit derselben Zahl teilen sich die Last: Der Absender wählt einen zufällig. Nur die Reihenfolge zählt, nicht die Abstände, und 0 ist eine gültige Zahl. Ein MX-Eintrag genügt, wenn sich der Name dahinter auf viele Server verteilt, wie bei Microsoft 365 und Mimecast.

Unser Rat zum Backup-MX: Ein Backup bei einem anderen Unternehmen, das weniger filtert als Ihr primärer Server, ist ein bekannter Weg für Spam, und gehostete Anbieter betreiben ohnehin redundante Server hinter einem MX-Namen. Wenn Sie eines behalten, muss es dieselben SPF- und Spamprüfungen anwenden wie der primäre Server (RFC 7208, Anhang F).

MX-Einträge für Microsoft 365

Microsoft 365 gibt jeder Domain einen MX-Eintrag unter mail.protection.outlook.com, etwa microsoft-com.mail.protection.outlook.com, meist mit Priorität 0. Der erste Teil ist ein Token, den Sie aus dem Microsoft 365 Admin Center kopieren: Er sieht oft aus wie die Domain mit Bindestrichen, aber nicht immer.

Domains, die eingehendes SMTP DANE aktivieren, erhalten stattdessen einen Host unter mx.microsoft, etwa siemens-com.h-v1.mx.microsoft: Diese Zone ist mit DNSSEC signiert, daher können Absender das Zertifikat des Servers mit DANE prüfen. Während des Umzugs sind beide Einträge aktiv, der neue zuerst hinter dem alten, dann vor ihm, bis der alte entfernt wird. Microsoft plant nicht, mail.protection.outlook.com zu signieren, daher ist der bisherige Host nicht veraltet.

Mails kommen nicht an? Wo MX bei der Fehlersuche ansetzt

Lesen Sie zuerst den Bounce: Sein Statuscode sagt, welcher Schritt gescheitert ist. MX-Probleme zeigen sich als „host not found“ oder lange Verzögerungen; ein fehlendes Postfach ist 5.1.1; Fehler bei der Authentifizierung sind 5.7.x-Ablehnungen.

Gehen Sie die Liste von oben durch: Die Domain muss existieren, ihr MX muss den Anbieter nennen, den Sie nutzen, jeder MX-Host muss auflösen und auf Port 25 antworten, und erst dann entscheiden SPF, DKIM, DMARC und Blacklists, wo eine Nachricht landet.

MX-Hosts bekannter Anbieter

Die meisten Domains richten ihren MX auf einen von wenigen Dutzend Anbietern, und jeder veröffentlicht erkennbare Hostnamen. Daran erkennt das Tool den Mail-Anbieter einer Domain, und so können Sie eine Einrichtung mit den Werten des Anbieters abgleichen.

Gateways wie Mimecast, Proofpoint und Barracuda stehen vor dem Postfach-Host; das Tool liest dann SPF und Autodiscover, um die wahrscheinlichen Postfächer dahinter zu nennen.