Microsoft 365 Business Standard für E-Mail mit Ihrer Unternehmensdomäne einrichten: Das komplette Admin-Handbuch

Microsoft 365 Business Standard zu kaufen ist der einfache Teil. Woran Unternehmen stolpern, ist die Reihenfolge bei der Einrichtung: Fügen Sie die Domäne in der falschen Reihenfolge hinzu, überspringen Sie einen DNS-Eintrag oder aktivieren Sie DKIM, bevor die zugehörigen Einträge existieren, dann empfangen Ihre brandneuen Postfächer entweder nie E-Mails oder landen still im Spam-Ordner aller Empfänger. Diese Anleitung führt die komplette Admin-Einrichtung in der von Microsoft vorgesehenen Reihenfolge durch — Tarif kaufen, Domäne hinzufügen und überprüfen, Benutzer erstellen, die E-Mail-DNS-Einträge veröffentlichen (MX, SPF, DKIM, DMARC) und Outlook verbinden — anhand eines Beispielunternehmens, Johnson Consulting (johnsonconsulting.com), damit Sie jeden Bildschirm Schritt für Schritt nachvollziehen können.

Eine wichtige Weiche vor dem Start: Diese Anleitung behandelt den Kauf von Microsoft 365 direkt bei Microsoft. Wenn Sie Ihre Microsoft 365-E-Mail über GoDaddy gekauft haben, sind die Admin-Bildschirme und DNS-Schritte anders — folgen Sie stattdessen unserer Anleitung zur Einrichtung von GoDaddy Microsoft 365 E-Mail und nutzen Sie diese Anleitung nur für die Konzepte.

Kurzantwort: Melden Sie sich im Microsoft 365 Admin Center an, gehen Sie zu Einstellungen → Domänen → Domäne hinzufügen und überprüfen Sie den Besitz mit dem TXT-Eintrag, den Microsoft Ihnen gibt (er sieht so aus: MS=ms12345678). Erstellen Sie Ihre Benutzer und weisen Sie ihnen Business Standard-Lizenzen zu. Veröffentlichen Sie dann die DNS-Einträge bei Ihrem Registrar: MX auf <your-token>.mail.protection.outlook.com, SPF als einziger TXT-Eintrag v=spf1 include:spf.protection.outlook.com -all, ein Autodiscover-CNAME auf autodiscover.outlook.com, die beiden DKIM-CNAMEs aus dem Microsoft Defender-Portal (anschließend die Signierung im Portal einschalten) und ein DMARC-TXT-Eintrag unter _dmarc, der mit p=none beginnt. Outlook verbindet sich danach von selbst über Autodiscover — keine Servernamen zum Eintippen.

Was Sie vor dem Start brauchen

Mit diesen Dingen bereit dauert die gesamte Einrichtung unter einer Stunde, die meiste Zeit warten Sie auf DNS:

• Admin-Zugriff auf das DNS Ihrer Domäne (dort, wo die Domäne registriert ist — GoDaddy, Cloudflare, Namecheap und so weiter). Fast jeder Schritt passiert dort.
• Die Anmeldung als globaler Administrator für den neuen Mandanten (das Konto, das den Tarif gekauft hat).
• Ihre Benutzerliste — Namen und die E-Mail-Adressen, die jede Person bekommen soll.
• Geduld für die DNS-Propagation. Einträge sind normalerweise innerhalb von Minuten aktiv, Microsoft lässt im schlimmsten Fall aber bis zu 72 Stunden für die Überprüfung zu. Machen Sie die TXT-Überprüfung zuerst und den Rest, während Sie warten.

Ein Benennungstipp, der später Schmerzen erspart: Legen Sie das Format der primären Adresse jeder Person (zum Beispiel firstname@ oder firstname.lastname@) fest, bevor Sie Benutzer erstellen, und bleiben Sie konsequent. Primäre Adressen nachträglich zu ändern ist möglich, aber fummelig.

Schritt 1 — Tarif kaufen und im Admin Center anmelden

Kaufen Sie Business Standard auf der Website von Microsoft (microsoft.com), wählen Sie monatliche oder jährliche Abrechnung und notieren Sie sich die temporäre .onmicrosoft.com-Adresse, die bei der Registrierung erstellt wurde — Sie werden sie im DKIM-Schritt wiedersehen. Melden Sie sich dann unter admin.microsoft.com an. Die Startseite zeigt Ihr Abonnement, Ihre Benutzerzahl und Verknüpfungen zu den Bereichen, die diese Anleitung nutzt: Benutzer, Einstellungen → Domänen und den Link zum Microsoft Defender-Portal für die E-Mail-Authentifizierung.

Arbeiten Sie alles in dieser Reihenfolge ab. Vor allem: Fügen Sie die Domäne hinzu, bevor Sie Benutzer erstellen — Benutzer, die auf der temporären .onmicrosoft.com-Domäne erstellt wurden, müssen später neu adressiert werden, während Benutzer, die nach der Überprüfung der Domäne erstellt werden, von Anfang an die richtige Adresse erhalten.

Schritt 2 — Domäne hinzufügen und Besitz überprüfen

Gehen Sie zu Einstellungen → Domänen → Domäne hinzufügen, geben Sie Ihre Domäne ein (in unserem Beispiel johnsonconsulting.com) und wählen Sie Einen TXT-Eintrag verwenden, um den Besitz zu überprüfen. Microsoft erzeugt einen mandantenspezifischen Wert, der so aussieht:

Type:  TXT
Host:  @
Value: MS=ms48291073
TTL:   3600

Tragen Sie diesen Eintrag genau wie gezeigt bei Ihrem Registrar ein — der MS=-Wert ist einzigartig für Ihren Mandanten, kopieren Sie also nie einen aus einem Tutorial (auch nicht aus diesem; unserer ist eine Illustration). Ist Ihr Registrar GoDaddy, Cloudflare oder ein anderer Domain Connect-Partner, kann Microsoft anbieten, sich anzumelden und den Eintrag für Sie hinzuzufügen. Gehen Sie so oder so zurück in den Assistenten und klicken Sie auf Überprüfen.

Die Überprüfung ist normalerweise in wenigen Minuten abgeschlossen. Der TXT-Eintrag kann gelöscht werden, sobald die Domäne überprüft ist — er beweist den Besitz, er transportiert keine E-Mails.

Schritt 3 — Benutzer erstellen und Lizenzen zuweisen

Gehen Sie zu Benutzer → Aktive Benutzer → Benutzer hinzufügen. Geben Sie für jede Person den Namen ein, wählen Sie Ihre überprüfte Domäne nach dem @ im Benutzernamen und aktivieren Sie unter Lizenzen Microsoft 365 Business Standard. Der gewählte Benutzername ist die primäre E-Mail-Adresse: Aus emily@johnsonconsulting.com werden in einem Schritt Emilys Postfach, OneDrive und Teams-Identität.

Erstellen Sie jetzt alle, solange Sie hier sind — einschließlich eines dedizierten Admin-Kontos, wenn Sie die täglichen Postfächer von der Mandantenverwaltung trennen möchten. Legen Sie temporäre Kennwörter fest und lassen Sie die Benutzer sie bei der ersten Anmeldung ändern.

Schritt 4 — Die E-Mail-DNS-Einträge veröffentlichen

Zurück unter Einstellungen → Domänen wählen Sie Ihre Domäne aus, und Microsoft listet die Einträge auf, die Ihr Registrar braucht. Es gibt vier Gruppen, und der E-Mail-Verkehr läuft erst dann korrekt, wenn alle vier existieren.

MX — wohin eingehende E-Mails zugestellt werden

Type:     MX
Host:     @
Value:    johnsonconsulting-com.mail.protection.outlook.com
Priority: 0 or 1 (the lowest number at your registrar)
TTL:      3600

Der Wert wird aus einem Token gebildet, das einzigartig für Ihre Domäne ist (Ihre Punkte werden zu Bindestrichen). Kopieren Sie ihn also von Ihrer eigenen Domänen-Seite, statt ihn aus irgendeiner Anleitung abzutippen. Löschen Sie alte MX-Einträge eines früheren E-Mail-Anbieters — E-Mails gehen an den Eintrag mit der niedrigsten Priorität, und veraltete Einträge sind der klassische Grund, warum neue Microsoft 365-Postfächer „nie etwas empfangen“.

SPF — welche Server als Ihre Domäne senden dürfen

Type:  TXT
Host:  @
Value: v=spf1 include:spf.protection.outlook.com -all

Diese exakte Zeichenfolge ist für jeden Microsoft 365-Mandanten gleich. Zwei Regeln, die zählen: Eine Domäne darf nur einen SPF-Eintrag haben (führen Sie Sender darin zusammen, fügen Sie nie einen zweiten hinzu), und wenn Sie später einen weiteren Sendedienst hinzufügen, ergänzen Sie dessen include: in diesem Eintrag, statt einen neuen zu erstellen.

Autodiscover — wie Outlook das Postfach findet

Type:  CNAME
Host:  autodiscover
Value: autodiscover.outlook.com

Dieser kleine Eintrag ist der Grund, warum sich Outlook in Schritt 7 nur mit E-Mail-Adresse und Kennwort verbindet. Überspringen Sie ihn, wird jedes Gerät zum Kampf mit der manuellen Einrichtung.

Schritt 5 — DKIM-Signierung einschalten (zwei Orte, beide erforderlich)

DKIM signiert Ihre ausgehenden E-Mails kryptografisch, und die Einrichtung hat zwei Seiten: Einträge bei Ihrem Registrar und ein Schalter in Microsofts Portal. Nur die Einträge zu veröffentlichen startet die Signierung nicht.

1. Öffnen Sie das Microsoft Defender-Portal (security.microsoft.com) → E-Mail & Zusammenarbeit → Richtlinien und Regeln → Bedrohungsrichtlinien → Einstellungen für die E-Mail-Authentifizierung → Registerkarte DKIM.
2. Wählen Sie Ihre Domäne aus und betätigen Sie den Schalter für die Signierung. Existieren die CNAME-Einträge noch nicht, zeigt das Portal einen CnameMissing-Fehler — und genau diese Meldung zeigt die beiden exakten Einträge an, die Sie veröffentlichen müssen.
3. Fügen Sie beide CNAMEs bei Ihrem Registrar hinzu:
   selector1._domainkey → (target shown in the Defender portal)
   selector2._domainkey → (target shown in the Defender portal)
   Die Ziele sind mandantenspezifisch. Seit Mai 2025 erhalten neue Domänen Ziele in einem Format wie selector1-johnsonconsulting-com._domainkey.johnsonconsulting.<partition>-v1.dkim.mail.microsoft, während ältere Mandanten die Legacy-Form mit der Endung .onmicrosoft.com zeigen. Beides ist normal — kopieren Sie Ihre Zeichen für Zeichen aus dem Portal.
4. Warten Sie ein paar Minuten, gehen Sie dann zurück ins Portal und schalten Sie die Signierung ein. Dieser letzte Klick ist der Schritt, der am häufigsten vergessen wird.

Schritt 6 — DMARC hinzufügen (nachdem SPF und DKIM existieren)

DMARC sagt Empfängern, was mit E-Mails geschehen soll, die SPF und DKIM nicht bestehen, und es baut auf beiden auf — es kommt also zuletzt und erst, wenn die beiden anderen aktiv sind. Microsoft 365 hat dafür keine Portalseite; Sie fügen einen TXT-Eintrag bei Ihrem Registrar hinzu:

Type:  TXT
Host:  _dmarc
Value: v=DMARC1; p=none; rua=mailto:dmarc@johnsonconsulting.com

Beginnen Sie ein oder zwei Wochen mit p=none (nur überwachen), während Sie die Berichte an der rua-Adresse beobachten. Steigen Sie dann auf p=quarantine um und schließlich auf p=reject, sobald Sie sicher sind, dass jeder legitime Sender korrekt zugeordnet ist. p=reject am ersten Tag zu veröffentlichen, bevor Sie wissen, ob DKIM signiert, ist der schnellste Weg, Ihre eigenen E-Mails ablehnen zu lassen.

Schritt 7 — Outlook verbinden

Mit veröffentlichtem Autodiscover ist das Verbinden von Outlook absichtlich langweilig — und so soll es sein. Öffnen Sie Outlook, gehen Sie zu Datei → Konto hinzufügen, geben Sie die Adresse des Benutzers ein (emily@johnsonconsulting.com), klicken Sie auf Verbinden und geben Sie das Kennwort ein. Autodiscover findet den Mandanten, das Postfach und die richtigen Einstellungen von selbst; das Konto erscheint innerhalb von ein, zwei Minuten im Ordnerbereich, und die Statusleiste zeigt es als verbunden an. Unsere vollständige Anleitung zu diesem Teil, einschließlich der Bildschirme beim ersten Start für neue Benutzer, finden Sie unter Geschäftliche E-Mail in Outlook einrichten: Eine komplette Anleitung.

Senden Sie eine Testnachricht an eine externe Adresse (ein privates Gmail- oder Hotmail-Konto) und antworten Sie darauf. Erfolgreich gesendet plus eingehende Antwort, ohne Umweg über den Spam-Ordner, bedeutet: Die ganze Kette — MX, SPF, DKIM und DMARC — macht ihren Job.

Wenn die E-Mails nicht fließen: die drei üblichen Ursachen

• Empfangen schlägt fehl, Senden funktioniert: Der MX-Eintrag zeigt noch auf den alten Anbieter, oder der Registrar hat ihn nie gespeichert. Prüfen Sie die Domänen-Seite — Microsoft markiert fehlende Einträge mit einer roten „Beheben“-Meldung und sagt Ihnen genau, welcher es ist.
• E-Mails landen überall im Spam: DKIM-Einträge veröffentlicht, aber die Signierung im Defender-Portal nie eingeschaltet, oder SPF hat zwei Einträge (ungültig). Suchen Sie zuerst nach doppelten v=spf1-TXT-Einträgen.
• Outlook fragt immer wieder nach Einstellungen: Der Autodiscover-CNAME fehlt oder zeigt auf ein veraltetes Ziel. Outlook kann Ihren Mandanten ohne ihn nicht erraten.

Wenn Sie alles eingerichtet haben und Outlook auf einem Computer trotzdem mit einem bestimmten Fehlercode zickt, steht die Lösung meist in unserem Error Codes Hub, der jede von uns veröffentlichte Anleitung zu einzelnen Codes sammelt.

Kommen Sie stattdessen von einem anderen Anbieter?

Diese Anleitung hat einen frischen Mandanten auf einer Domäne eingerichtet, die anderswo keine E-Mails empfangen hat. Hat Ihre Domäne bereits funktionierende Postfächer bei einem anderen Anbieter, ist der Wechsel eine Migration, und die Reihenfolge der Schritte ändert sich:

• Postfächer von Gmail oder Google Workspace zu Microsoft 365 umziehen — siehe Gmail zu Microsoft 365 migrieren, ohne E-Mails zu verlieren.
• Von Outlook/Microsoft 365 weg zu Google wechseln — siehe den umgekehrten Weg im Gegenstück zu Artikel 84, Outlook zu Google Workspace migrieren.
• Den Tarif bei GoDaddy gekauft — nutzen Sie die oben verlinkte Anleitung zur GoDaddy Microsoft 365-Einrichtung.

Die Einrichtung gesund halten

• Prüfen Sie die Domänen-Seite vierteljährlich. Microsoft markiert DNS-Abweichungen dort, bevor Benutzer sie bemerken.
• Behalten Sie immer einen SPF-Eintrag. Jedes neue Tool, das „als Sie sendet“ (Rechnungen, Helpdesk, Marketing), muss in den vorhandenen Eintrag eingearbeitet werden, nicht daneben hinzugefügt.
• Beenden Sie den DMARC-Aufstieg. Der Wechsel von p=none zu p=reject innerhalb eines Monats ist der beste einzelne Schritt gegen Spoofing, den ein kleines Unternehmen tun kann.
• Behalten Sie die Lizenzzahlen im Auge, wenn Mitarbeiter kommen oder gehen; nicht zugewiesene Business Standard-Lizenzen werden trotzdem abgerechnet.

Häufig gestellte Fragen

Wie lange dauert die komplette Einrichtung von Microsoft 365 Business Standard?

Etwa 30–60 Minuten Klicken plus DNS-Propagationszeit. Die Domänenüberprüfung ist normalerweise innerhalb von Minuten nach dem Hinzufügen des TXT-Eintrags abgeschlossen, Microsoft lässt im schlimmsten Fall aber bis zu 72 Stunden zu. MX-Änderungen können ein paar Stunden brauchen, bis sie jeden Absender erreichen — planen Sie die Arbeit also außerhalb Ihrer stärksten E-Mail-Zeit, falls die Domäne bereits anderswo E-Mails empfängt.

Kann ich meine Domäne mit etwas anderem als einem TXT-Eintrag überprüfen?

Ja. Microsoft bietet auch eine Überprüfungsmethode per MX-Eintrag an, und Domain Connect-Registrare wie GoDaddy und Cloudflare können nach Ihrer Anmeldung automatisch überprüfen. Die TXT-Methode ist die sicherste Standardwahl, weil sie die E-Mail-Zustellung nicht berührt — die MX-Überprüfungsmethode kann einen vorhandenen E-Mail-Dienst kurzzeitig stören.

Brauche ich DKIM und DMARC als kleines Unternehmen wirklich?

Ja — beide sind inzwischen praktisch Pflicht. Gmail und Yahoo lehnen Massensendungen und sogar normale Geschäfts-E-Mails von Domänen mit unvollständiger Authentifizierung ab oder sortieren sie in den Spam-Ordner, und Microsofts eigene Empfänger prüfen dieselben Signale. SPF allein reicht nicht; die DKIM-Signierung (im Defender-Portal eingeschaltet, nicht nur als CNAMEs veröffentlicht) ist die Hälfte, die die meisten Einrichtungen auslassen.

Wie muss mein MX-Eintrag aussehen?

Ein einziger MX-Eintrag, der auf einen Host in der Form <token>.mail.protection.outlook.com zeigt — zum Beispiel johnsonconsulting-com.mail.protection.outlook.com, wobei das Token Ihre Domäne mit Bindestrichen statt Punkten ist. Manche Mandanten zeigen ein leicht abweichendes Token; kopieren Sie den Wert daher immer von Ihrer eigenen Seite Einstellungen → Domänen, statt ihn selbst zu konstruieren.

Ich habe Microsoft 365 über GoDaddy gekauft. Gilt diese Anleitung trotzdem für mich?

Nur teilweise. Ihre Postfächer sowie die SPF- und DKIM-Konzepte sind gleich, aber GoDaddy betreibt seine eigene Einrichtung, seine eigenen Admin-Bildschirme und seine eigene DNS-Automatisierung, und die beiden Abläufe zu vermischen verursacht die meisten GoDaddy-Einrichtungsfehler, die wir sehen. Nutzen Sie unsere eigene Anleitung zur Einrichtung von GoDaddy Microsoft 365 E-Mail für den Weg Klick für Klick.

Können Benutzer Outlook weiterhin auch mit ihren alten privaten Konten nutzen?

Ja. Outlook hält das neue geschäftliche Microsoft 365-Konto problemlos neben privaten Outlook.com-, Gmail- oder anderen Postfächern in einem Profil, und E-Mails, Kalender und Kontakte des Arbeitskontos bleiben getrennt. Fügen Sie das Arbeitskonto über Datei → Konto hinzufügen hinzu, Autodiscover erledigt den Rest.

Warum findet Outlook mein Postfach automatisch?

Wegen des Autodiscover-CNAMEs, den Sie in Schritt 4 veröffentlicht haben. Outlook fragt das DNS, wohin autodiscover.yourdomain zeigt, wird an autodiscover.outlook.com geschickt, und Microsofts Dienst liefert die richtigen Postfacheinstellungen zurück. Kein Autodiscover-Eintrag bedeutet keine automatische Einrichtung — dieser Eintrag ist klein, aber tragend.

---

Fragen zu Ihrer eigenen Einrichtung — ein Eintrag, der sich nicht überprüfen lässt, E-Mails, die nur in eine Richtung fließen, DKIM, das bei CnameMissing hängt? Schreiben Sie uns an servicedesk@howtofixerroronline.com oder über unsere Kontaktseite und sagen Sie uns, bei welchem Schritt Sie stehen und welche Meldung genau auf dem Bildschirm steht. Screenshots vom Status der Domänen-Seite (Ihr Kennwort gehört nie hinein) helfen uns, das Problem in einer Antwort zu finden.