Kurz gesagt: Seit Anfang November lehnt Microsoft bei Outlook.com, Hotmail und Live E-Mails ab, wenn die Absenderdomain keinen sogenannten DMARC-Eintrag hat. Das trifft auch ganz normale Geschäftspost, nicht nur Newsletter. Wir haben für alle Domains, deren DNS wir verwalten, einen DMARC-Eintrag gesetzt. In den meisten Fällen müssen Sie nichts tun.

Was ist passiert?

Seit etwa dem 5. November 2026 kommen bei vielen Absendern E-Mails an Adressen wie @outlook.com, @hotmail.com, @live.com oder @msn.com zurück. Die Fehlermeldung lautet dann:

550 5.7.1 Message rejected: Message lacks SPF/DKIM/DMARC Auth Records

Betroffen sind auch kleine Absender, die nur wenige Mails am Tag verschicken. Microsoft hat dazu noch keine offizielle Ankündigung veröffentlicht und spricht derzeit von einer Störung. Die Richtung ist trotzdem eindeutig:

• Google und Yahoo verlangen seit 2024 solche Absender-Nachweise für große Versender.
• Microsoft hat für Großversender im Mai 2025 nachgezogen.
• Jetzt wird es offenbar auch bei normalen Absendern ernst.

Wir gehen davon aus, dass diese Regeln bleiben und weiter verschärft werden.

Was ist DMARC?

DMARC ist ein Eintrag im DNS Ihrer Domain. Damit sagen Sie den Empfängern, was mit E-Mails passieren soll, die angeblich von Ihrer Domain kommen, aber nicht von Ihren echten Servern stammen. Das schützt Sie und Ihre Kunden vor gefälschten Absendern, etwa bei Phishing-Mails in Ihrem Namen.

Zusammen mit SPF (welche Server dürfen für Ihre Domain senden?) und DKIM (digitale Signatur jeder Mail) bildet DMARC den heutigen Standard für vertrauenswürdige E-Mail.

Was wir gemacht haben

• DMARC für alle Domains in unserem DNS: Wir haben für alle Kundendomains, deren DNS bei uns liegt, einen DMARC-Eintrag gesetzt. Damit erfüllen Ihre Domains die neue Anforderung von Microsoft.
• Zunächst nur beobachten: Der Eintrag ist vorerst so eingestellt, dass keine Mails blockiert werden. Auch eine Mail, die über einen nicht eingetragenen Weg verschickt wird, etwa ein Kontaktformular oder ein Kopierer mit Scan-to-Mail, kommt weiter an.
• Zentrale Auswertung: Die großen Mailanbieter schicken uns täglich zusammenfassende Berichte darüber, welche Server Mails mit Ihrer Domain als Absender verschickt haben. Darin stehen nur Server-Adressen, Anzahlen und Prüfergebnisse, keine Inhalte, Betreffzeilen oder Empfänger. Die Berichte werten wir auf unseren eigenen Servern in Deutschland aus.

Müssen Sie etwas tun?

• Ihre Domain und Ihr E-Mail-Postfach liegen bei uns: Sie müssen nichts tun.
• Ihre E-Mails laufen über Microsoft 365, Google Workspace o. Ä., die Domain liegt aber bei uns: Den DMARC-Eintrag haben wir gesetzt. Bitte prüfen Sie zusätzlich, ob in Ihrem Microsoft-365- bzw. Google-Konto DKIM für Ihre Domain aktiviert ist. Dafür sind zwei bis drei DNS-Einträge nötig, die wir gern für Sie eintragen. Schicken Sie uns einfach die Werte, die Ihnen das Admin-Portal anzeigt.
• Ihre Domain bzw. Ihr DNS wird woanders verwaltet: Dort können wir nichts eintragen. Bitte lassen Sie bei Ihrem DNS-Anbieter einen DMARC-Eintrag setzen. Wir helfen gern mit dem passenden Wert.
• Sie verschicken über externe Dienste (Newsletter-Tools, Shop-Systeme, Buchungsportale, Praxis- oder Kanzleisoftware): Die nötigen Einträge wurden in der Regel schon beim Anbinden des Dienstes gesetzt. Wenn Sie einen neuen Dienst einrichten oder unsicher sind, sprechen Sie uns an.
• Sie haben in den letzten Tagen Rückläufer von Outlook- oder Hotmail-Adressen bekommen: Bitte schicken Sie die Mail einfach noch einmal. Abgewiesene Mails werden nicht automatisch erneut zugestellt.

Bei Fragen erreichen Sie uns wie gewohnt über unsere Supportanfrage.

Ihr Team von schnied.net

Da uns auch dazu Anfragen erreichen, hier der Stand für unsere Hosting-Umgebung zur Sicherheitslücke „HTTP2Shell“ (CVE-2026-111497), die auch „Node2Shell“ genannt wird.

Was ist das Problem?
Die Lücke steckt im Brotli-Decoder von Google. Diese Programmbibliothek entpackt komprimierte Daten und ist weit verbreitet. Es handelt sich um einen Speicherfehler (Out-of-Bounds-Write) in den Brotli-Versionen 1.0.3 bis 1.2.0, bewertet mit 9.2 Punkten nach CVSS v4.0. Mit HTTP/2 hat die Lücke trotz des Namens nichts zu tun. Korrigiert ist der Fehler in Brotli 1.0.10, 1.1.1 und 1.2.1.

Ist WordPress betroffen?
WordPress selbst ist nicht verwundbar, kann aber ein Weg zur Lücke sein. Entpackt PHP über cURL eine Brotli-komprimierte Antwort von einem Server des Angreifers, ist das Ausführen von Schadcode möglich, etwa über einen XML-RPC-Pingback. Der Sicherheitsanbieter Wordfence hat das im Labor nachgestellt. Öffentlich überprüfbare Belege für erfolgreiche Angriffe über WordPress im echten Betrieb gab es laut Wordfence bis zum 02.11.2026 nicht.

Was haben wir getan?

• Alle unsere Webhosting-Server laufen mit der korrigierten Brotli-Bibliothek.
• Wir haben geprüft, dass kein laufender Dienst mehr die alte Version verwendet.
• Auch alle zusätzlichen PHP-Versionen haben wir geprüft. Sie nutzen ebenfalls die korrigierte Bibliothek des Systems und bringen keine eigene Brotli-Kopie mit.
• Node.js und die Brotli-Erweiterung für Python sind ebenfalls betroffen. Beide sind auf unseren Webservern nicht installiert.

Muss ich jetzt etwas tun?
Als Webhosting-Kunde nicht. Nach aktuellem Kenntnisstand besteht für Sie kein Handlungsbedarf.

Quellen

• Wordfence
• Debian Security Tracker
• CVE-Eintrag
• Node.js Security Release

Wenn Sie Fragen haben, erreichen Sie uns wie gewohnt über unsere Supportanfrage.

Ihr Team von schnied.net

Kennen Sie das? Sie haben ein neues Smartphone oder einen neuen Laptop, und das Mailprogramm möchte plötzlich Dinge wissen wie „Posteingangsserver“, „Port“ oder „SSL/TLS“. Damit ist jetzt Schluss: Postfächer bei schnied.net richten sich in den gängigen Programmen ab sofort automatisch ein, auf Wunsch auch mit Kalender und Kontakten.

Was ist neu?

Beim Einrichten fragt Ihr Mailprogramm gewissermaßen nach dem Weg. Bisher blieb es ohne Antwort, und Sie mussten Serveradressen und Einstellungen selbst abtippen. Jetzt bekommt es den Weg automatisch gezeigt: Es erfährt, welcher Server für Ihre Adresse zuständig ist und wie die Verbindung verschlüsselt wird.

Was müssen Sie tun?

Fast nichts. Sie geben im Mailprogramm nur drei Dinge ein:

• Ihren Namen, so wie er beim Empfänger als Absender erscheinen soll
• Ihre E-Mail-Adresse
• Ihr Passwort

Server, Ports und Verschlüsselung trägt das Programm selbst ein. Falls doch einmal nach einem Benutzernamen gefragt wird: Das ist immer Ihre vollständige E-Mail-Adresse.

Mit welchen Programmen klappt das?

Schritt für Schritt

Thunderbird

1. Wählen Sie „Bestehendes E-Mail-Konto einrichten“ (je nach Version unter „Neu“ oder in den Konten-Einstellungen).
2. Geben Sie Name, E-Mail-Adresse und Passwort ein und klicken Sie auf „Weiter“.
3. Thunderbird findet die Einstellungen selbst. Bestätigen Sie mit „Fertig“. Aktuelle Versionen fragen danach, ob auch Kalender und Adressbuch verbunden werden sollen.

Outlook

1. Wählen Sie „Konto hinzufügen“.
2. Geben Sie Ihre E-Mail-Adresse ein. Fragt Outlook nach der Kontoart, wählen Sie IMAP (empfohlen) oder POP3.
3. Geben Sie Ihr Passwort ein. Fertig.

iPhone, iPad und Mac

1. Öffnen Sie auf dem Gerät die Seite https://autoconfig.schnied.net/.
2. Geben Sie Ihre E-Mail-Adresse ein und, wenn Sie möchten, den Namen, der als Absender erscheinen soll.
3. Wählen Sie per Häkchen, was eingerichtet werden soll: E-Mail, Kalender, Kontakte. Vorausgewählt ist alles. Haben Sie Ihr Postfach schon anders eingerichtet, können Sie zum Beispiel nur Kalender und Kontakte wählen.
4. Tippen Sie auf „Profil herunterladen“.
5. Öffnen Sie Einstellungen → Profil geladen und tippen Sie auf „Installieren“. Das Profil ist von schnied.net digital signiert, deshalb zeigt das Gerät „Überprüft“ an. Bei der Installation fragt das Gerät nach Ihrem Passwort. Das Passwort steht nicht im Profil und wird nicht an schnied.net übertragen.

Danach finden Sie, je nach Auswahl, Ihr Postfach in Mail und Ihre Termine und Adressen in Kalender und Kontakte.

Das Profil trägt auf dem Gerät Ihre E-Mail-Adresse als Namen, zum Beispiel „“. Haben Sie mehrere Postfächer, können Sie die Profile so leicht unterscheiden. Laden Sie für dieselbe Adresse später ein neues Profil, ersetzt es das alte. So können Sie Ihre Auswahl jederzeit ändern, ohne doppelte Konten zu bekommen. Profile für verschiedene Adressen bestehen nebeneinander.

Android (Kalender und Kontakte)

1. Installieren Sie die App DAVx⁵.
2. Fügen Sie ein Konto hinzu und melden Sie sich mit Ihrer E-Mail-Adresse und Ihrem Passwort an.
3. DAVx⁵ findet den Server selbst. Wählen Sie aus, welche Kalender und Adressbücher auf dem Gerät erscheinen sollen.

Kalender und Kontakte

Ihre Termine und Adressen liegen in der schnied.net-Cloud unter schnied.cloud. Wer ein Postfach bei schnied.net hat, meldet sich dort mit seiner E-Mail-Adresse und seinem Mail-Passwort an. Ein eigenes Konto brauchen Sie dafür nicht.

Und die Sicherheit?

• Alle Verbindungen sind nach aktuellem Standard verschlüsselt. Unverschlüsselte Zugänge haben wir abgeschaltet, und wir teilen den Programmen sogar ausdrücklich mit: „Unverschlüsselt gibt es hier nicht.“
• Das Profil für Apple-Geräte ist digital signiert. So sehen Sie, dass es wirklich von schnied.net kommt.
• Bei der automatischen Einrichtung wird kein Passwort übertragen, sondern nur Ihre E-Mail-Adresse, damit die passenden Einstellungen gefunden werden.

Für Technik-Interessierte

Ab hier wird es technisch. Für die Einrichtung brauchen Sie diesen Teil nicht.

Wie die Programme suchen

• Thunderbird (Autoconfig): fragt autoconfig.<ihre-domain> ab, sonst schnied.net über den MX-Eintrag. Das Format stammt von Mozilla und wird bei der IETF als Standard ausgearbeitet (Arbeitsgruppe MAILMAINT). Unsere Antwort enthält zusätzlich Kalender und Adressbuch.
• Outlook (Autodiscover): nach dem Microsoft-Protokoll [MS-OXDSCLI] über den SRV-Eintrag _autodiscover._tcp.<ihre-domain>. Das neue Outlook nutzt zusätzlich die JSON-Variante.
• Apple: Konfigurationsprofil (.mobileconfig), signiert (CMS/PKCS#7). Die Kennung des Profils (PayloadIdentifier) wird aus der E-Mail-Adresse abgeleitet und bleibt gleich. Deshalb ersetzt iOS bzw. macOS ein neu geladenes Profil für dieselbe Adresse, statt ein zweites anzulegen.
• RFC 6186: SRV-Einträge sagen jedem Programm direkt, wo IMAP, POP3 und der Mailversand zu finden sind. Ein Eintrag mit dem Ziel . bedeutet „gibt es hier nicht“. So kennzeichnen wir unverschlüsseltes IMAP und POP3 ausdrücklich als nicht vorhanden.
• RFC 8314 („Cleartext considered obsolete“): Die Verbindung soll von Anfang an verschlüsselt sein („Implicit TLS“: Ports 993, 995 und 465) statt erst nachträglich per STARTTLS. Entsprechend tragen wir diese Dienste mit höherer Priorität ein. Für den Mailversand empfiehlt der Standard in einer Übergangszeit beide Wege, deshalb gibt es Port 587 mit STARTTLS weiterhin als zweite Wahl. Sicherheitstechnisch sind beide gleichwertig, solange die Verschlüsselung zwingend ist.
• RFC 6764: SRV- und TXT-Einträge für CalDAV und CardDAV, damit Kalender- und Kontakte-Apps den Server allein über die Domain finden. Dazu kommen die Weiterleitungen /.well-known/caldav und /.well-known/carddav (RFC 6764 / RFC 8615).
• RFC 2782: das allgemeine Format der SRV-Einträge (Priorität, Gewicht, Port, Ziel).

Diese DNS-Einträge setzen wir jetzt standardmäßig für jede Domain (<domain> steht für Ihre Domain):

autoconfig.<domain>.          CNAME autoconfig.schnied.net.
_autodiscover._tcp.<domain>.  SRV   1 100 443 autodiscover.schnied.net.

_imaps._tcp.<domain>.         SRV   0 1 993 mail.schnied.net.
_pop3s._tcp.<domain>.         SRV   10 1 995 mail.schnied.net.
_submissions._tcp.<domain>.   SRV   0 1 465 mail.schnied.net.
_submission._tcp.<domain>.    SRV   10 1 587 mail.schnied.net.
_imap._tcp.<domain>.          SRV   0 0 0 .
_pop3._tcp.<domain>.          SRV   0 0 0 .

_caldavs._tcp.<domain>.       SRV   0 1 443 schnied.cloud.
_caldavs._tcp.<domain>.       TXT   "path=/remote.php/dav/"
_carddavs._tcp.<domain>.      SRV   0 1 443 schnied.cloud.
_carddavs._tcp.<domain>.      TXT   "path=/remote.php/dav/"

Die Einstellungen zum Eintragen von Hand (für Programme, die nichts davon können)

Benutzername ist überall die vollständige E-Mail-Adresse.

Sie verwalten Ihr DNS selbst?
Liegt Ihre Domain bei schnied.net, müssen Sie nichts tun. Verwalten Sie das DNS woanders und haben Ihr Postfach bei uns, können Sie die Einträge oben übernehmen. Einen Eintrag autodiscover.<domain> legen Sie bitte nicht an: Outlook findet den Server über den SRV-Eintrag und zeigt so keine Zertifikatswarnung.

Fragen?

Klappt etwas nicht wie beschrieben, oder nutzen Sie ein Programm, das hier nicht aufgeführt ist? Schreiben Sie uns über unsere Kontaktseite, am besten mit dem Namen und der Version Ihres Programms. Wir helfen Ihnen gerne weiter.

Ihr Team von schnied.net

Vielleicht ist es Ihnen beim letzten Login schon aufgefallen: Unser Webmail hat ein neues Zuhause und ein neues Gesicht. Ab sofort erreichen Sie es unter https://schnied.email, und dahinter steckt die aktuelle Version von Roundcube. Weil uns dazu schon einige Fragen erreicht haben, hier das Wichtigste auf einen Blick.

Das Wichtigste in Kürze

• Neue Adresse: https://schnied.email ist die endgültige Adresse. Der alte Link leitet in Kürze automatisch dorthin weiter.
• Gleiche Zugangsdaten: Sie melden sich wie gewohnt mit Ihrer E-Mail-Adresse und Ihrem Passwort an.
• Mailprogramme: Wenn Sie Outlook, Thunderbird, Apple Mail oder Ihr Smartphone nutzen, müssen Sie nichts ändern.

Warum ein neues Webmail?
Die bisherige Version war technisch veraltet. Wir haben sie deshalb durch die aktuelle Roundcube-Version ersetzt, und dabei bleibt es auch. So können wir Sicherheitsupdates künftig so schnell wie möglich einspielen, und Ihr Webmail bleibt jederzeit auf dem neuesten Stand.

Warum sieht es jetzt anders aus?
Wir setzen das Webmail bewusst unverändert („as is“) ein, ohne eigene Anpassungen an Oberfläche oder Code. Das gilt auch für das Design: Roundcube bringt in der aktuellen Version nur noch eine einzige Oberfläche mit, „Elastic“. Sie ist modern, übersichtlich und funktioniert auf dem Smartphone genauso gut wie am PC. Die früher enthaltenen Designs gehören nicht mehr zum Programm und werden von uns auch nicht nachinstalliert, ebenso wenig wie Designs von Drittanbietern. Nur so bleibt das Webmail jederzeit problemlos aktualisierbar.

Sie möchten lieber ein anderes Programm verwenden?
Selbstverständlich! Wer mehr Gestaltungsfreiheit möchte, kann jederzeit ein Mailprogramm oder einen Webmail-Client seiner Wahl verwenden. Die Zugangsdaten für IMAP und SMTP bleiben unverändert. Alle Einstellungen finden Sie hier.

Ein Hinweis für technisch versierte Kunden: Wer einen eigenen Webmail-Client auf seinem Webspace betreibt, übernimmt damit auch selbst die Verantwortung für dessen Betrieb, also regelmäßige Updates, das zeitnahe Einspielen von Sicherheitspatches und die Absicherung der Installation. Veraltete oder ungepflegte Webmail-Installationen sind ein häufiges Einfallstor für Angriffe. Zum Schutz der Serverumgebung und aller Kunden behalten wir uns deshalb vor, erkennbar unsichere Installationen zu deaktivieren.

Wir wünschen Ihnen viel Freude mit dem neuen Webmail! Wenn Sie Fragen haben oder etwas nicht wie gewohnt funktioniert, melden Sie sich gern über unsere Supportanfrage.

Ihr Team von schnied.net

Am 21.10.2026 wurde eine kritische Sicherheitslücke in PHP bekannt, der Programmiersprache, mit der ein Großteil aller Webseiten im Internet betrieben wird. Die Lücke trägt den Namen „PHP2Shell“ (CVE-2026-109618 und CVE-2026-109619). Vielleicht haben Sie in den Nachrichten davon gehört oder gemerkt, dass Ihre Webseite kurzzeitig nicht wie gewohnt erreichbar war. Hier möchten wir Ihnen kurz erklären, was passiert ist und was wir getan haben.

Was war das Problem?
Der Fehler steckte im PHP-Interpreter selbst, also in der Software auf dem Server, die PHP-Programme ausführt. Mit dem Code Ihrer Webseite hatte er nichts zu tun. Weltweit waren deshalb alle Hoster betroffen, die PHP anbieten.

Was haben wir getan?
Sofort nachdem die Lücke bekannt wurde, haben wir vorsorglich alle unsere Webserver in einen Wartungsmodus geschaltet. In dieser Zeit wurde auf unseren Servern überhaupt kein PHP mehr ausgeführt, Besucher Ihrer Webseite haben stattdessen eine Wartungsseite gesehen. Lieber vorübergehend offline als auch nur das kleinste Risiko eingehen.

Sobald die Sicherheitsupdates verfügbar waren, haben wir sie auf allen Servern eingespielt (unter anderem PHP 8.4.27), geprüft und die Webseiten anschließend Schritt für Schritt wieder eingeschaltet.

Waren meine Daten in Gefahr?
Wir haben zu keinem Zeitpunkt Hinweise auf einen Angriff oder Datenabfluss festgestellt. Die Abschaltung war eine reine Vorsichtsmaßnahme.

Muss ich jetzt etwas tun?
Nein. Die Korrektur war allein unsere Aufgabe als Hoster und ist abgeschlossen. An Ihrer Webseite müssen Sie nichts ändern.

Wir bedanken uns herzlich für Ihre Geduld und Ihr Verständnis während der Wartungsarbeiten und entschuldigen uns für die Unannehmlichkeiten. Wenn Sie Fragen haben, erreichen Sie uns wie gewohnt über unsere Supportanfrage.

Ihr Team von schnied.net

Sicherheitszertifikate haben eine zeitlich begrenzte Gültigkeit und müssen vor Ablauf erneuert werden. Deshalb haben die Zertifikate unserer Web- und Mailserver ausgetauscht.

Die meisten Programme ziehen sich diese Informationen von alleine und Sie als Benutzer bekommen davon nichts mit. Wenn z.B. ein Mailprogramm wie Thunderbird oder Outlook dennoch Fehlermeldung bzgl. der verwendeten Zertifikate melden sollte, starten Sie das entsprechende Progamm bitte neu. In der Regel sind die Fehler dann behoben.

Wenn Sie die verwendeten Zertifikate auf Ihrem Computer selbst verwalten, gleichen Sie die Fingerprints und Gültigkeitsdauer bitte mit diesen hier ab:

Sicherheitszertifikate haben eine zeitlich begrenzte Gültigkeit und müssen vor Ablauf erneuert werden. Deshalb haben die Zertifikate unserer Web- und Mailserver ausgetauscht.

Die meisten Programme ziehen sich diese Informationen von alleine und Sie als Benutzer bekommen davon nichts mit. Wenn z.B. ein Mailprogramm wie Thunderbird oder Outlook dennoch Fehlermeldung bzgl. der verwendeten Zertifikate melden sollte, starten Sie das entsprechende Progamm bitte neu. In der Regel sind die Fehler dann behoben.

Wenn Sie die verwendeten Zertifikate auf Ihrem Computer selbst verwalten, gleichen Sie die Fingerprints und Gültigkeitsdauer bitte mit diesen hier ab: