Mailflow und SMTP: Warum Nachrichten hängen bleiben

„Mails kommen nicht an" ist selten ein einzelner Fehler. In der Praxis erklären drei Bereiche fast alle Fälle: Connectoren, DNS und Zertifikate. Der Rest sind Filter- und Quarantäneereignisse, bei denen die Nachricht existiert, aber nicht dort liegt, wo der Anwender sie erwartet.

Dieser Beitrag beschreibt ein Vorgehen, das eingrenzt, bevor es ändert.

1. Richtung und Umfang bestimmen

Ohne diese beiden Antworten wird jede weitere Prüfung beliebig:

• Richtung: Betrifft es eingehende, ausgehende oder interne Mails?
• Umfang: Einzelne Empfänger, eine bestimmte Zieldomain oder alle?
• Absender: Menschen oder ein System — Scanner, ERP, Monitoring?
• Seit wann: Und was wurde in diesem Zeitraum geändert?

Ein Muster wie „nur ausgehend, nur an eine Domain, seit Dienstag" führt zu einer anderen Ursache als „alle Richtungen, alle Benutzer, seit heute Morgen".

2. Nachrichtenverfolgung auswerten

Die Nachrichtenverfolgung in Exchange Online zeigt, wo eine Mail zuletzt gesehen wurde und mit welchem Status. Das unterscheidet drei grundlegend verschiedene Fälle:

• Nicht angekommen — die Nachricht hat das System nie erreicht. Ursache liegt außerhalb oder beim Absendersystem.
• Angekommen, aber nicht zugestellt — Connector-, Regel- oder Routingproblem.
• Zugestellt, aber nicht sichtbar — Filter, Quarantäne, Regel im Postfach oder ein anderer Ordner.

Der dritte Fall ist der häufigste und der einzige, bei dem die Nachricht noch vollständig vorliegt.

3. Connectoren

Falsch gesetzte oder doppelte Connectoren leiten Mails an Systeme, die nicht mehr existieren. Nach Migrationen sind alte Connectoren eine der häufigsten Ursachen — sie funktionierten jahrelang und wurden deshalb nie hinterfragt.

• Doppelte Connectoren für dieselbe Domain entfernen; welcher greift, ist sonst nicht vorhersagbar
• Alte Relay-Konfigurationen von Scannern, ERP und Monitoring prüfen und auf Microsoft 365 umstellen
• Nachrichtengrößen auf allen beteiligten Systemen identisch setzen
• Bei Partnerconnectoren die hinterlegten IP-Bereiche gegen die tatsächlichen abgleichen

4. DNS und Authentifizierung

Wenn Mails ankommen, aber im Spam landen, liegt die Ursache meist nicht im Mailflow, sondern in der Authentifizierung. Ein unvollständiger SPF-Eintrag oder fehlendes DKIM führt dazu, dass legitime Systeme als verdächtig behandelt werden. Details dazu stehen im Beitrag zu SPF, DKIM und DMARC.

Bei einer Migration kommt die TTL hinzu: Ist sie hoch, verwenden Empfänger stundenlang den alten MX-Eintrag und liefern an einen Server, der nichts mehr annimmt.

5. Zertifikate

Abgelaufene Zertifikate treffen vor allem hybride Umgebungen und Systeme mit eigenem SMTP-Versand. Charakteristisch ist, dass ein Teil der Mails weiterläuft und ein anderer nicht — Empfänger mit strengerer Prüfung weisen ab, andere nehmen an.

6. Filter und Quarantäne

Nachrichten, die als Spam eingeordnet werden, sind nicht verloren. Hier lohnt der Blick auf drei Stellen: die Quarantäne selbst, die aktiven Transportregeln und die Absenderlisten. Häufig ist eine Regel aus einem früheren Anlass noch aktiv und fängt heute legitime Mails ab.

Absenderlisten sind kein dauerhaftes Mittel. Wer einen Absender freigibt, statt die Authentifizierung zu korrigieren, verschiebt das Problem auf den nächsten Empfänger.

Sonderfall: Systeme statt Menschen

Wenn ausschließlich Systemmails betroffen sind, liegt die Ursache fast immer in der Versandmethode. Viele Geräte und Anwendungen versenden über einen internen Relay oder mit Basisauthentifizierung — Verfahren, die in Microsoft 365 eingeschränkt oder abgeschaltet sind. Die Lösung liegt in der Umstellung auf einen unterstützten Versandweg, nicht in einer Ausnahme.

Dauerhaft stabil halten

Nach der Behebung werden die versendenden Systeme dokumentiert: welches System, welcher Weg, wer zuständig. Die meisten Wiederholungsfälle entstehen nicht durch neue Fehler, sondern weil ein System keiner Person zugeordnet war und beim nächsten Wechsel wieder aus dem Blick geriet.