Wat betekent foutcode 550 5.1.8 in Microsoft 365?

Dat de afzender door Microsoft 365 is geblokkeerd voor het versturen van e-mail, meestal omdat er te veel of verdachte mail vanaf werd verstuurd. Ontvangen werkt nog wel.

Is mijn account dan gehackt?

Vaak wel. Een geblokkeerde afzender is een sterke aanwijzing dat het account is overgenomen. Beveilig het account daarom altijd eerst, ook als de oorzaak een grote mailing lijkt.

Kan een medewerker de blokkade zelf opheffen?

Nee. Alleen een beheerder met de juiste rechten kan de gebruiker deblokkeren, in de Microsoft Defender-portal of met Exchange Online PowerShell.

Hoe lang duurt het voordat iemand weer kan mailen?

Na het deblokkeren meestal binnen een uur, en volgens Microsoft maximaal binnen 24 uur.

Kan ik nieuwsbrieven via Microsoft 365 versturen?

Dat raadt Microsoft af: bulkmail is geen ondersteund gebruik. Gebruik een aparte nieuwsbriefdienst, het liefst op een eigen subdomein met SPF, DKIM en DMARC.

Mailbox geblokkeerd voor verzenden: wat het MKB doet bij foutcode 5.1.8 in Microsoft 365

Een medewerker belt: elke mail die hij verstuurt komt terug met een foutmelding over een ‘bad outbound sender’. Ontvangen gaat gewoon door, versturen lukt niet meer. Microsoft 365 heeft de mailbox dan op een blokkadelijst gezet omdat er te veel of verdachte mail vanaf werd verstuurd. Vaak is dat een teken dat het account is overgenomen. Wie de blokkade alleen snel opheft zonder het account te beveiligen, staat binnen een dag opnieuw op de lijst.

Wat er precies gebeurt

Microsoft 365 controleert alle uitgaande mail op spam en houdt bij hoeveel berichten een account verstuurt. Gaat een gebruiker over de verzendlimieten van de dienst of van het uitgaande spambeleid heen, dan gebeurt er drie dingen:

De gebruiker kan geen e-mail meer versturen, maar wel nog ontvangen.
De gebruiker komt op de pagina Beperkte entiteiten (Restricted entities) in de Microsoft Defender-portal.
Elke poging om te versturen levert een onbestelbaarheidsbericht op met de code 550 5.1.8 Access denied, bad outbound sender.

Microsoft maakt de exacte limieten bewust niet bekend, zodat spammers er niet omheen kunnen werken. Ze liggen zo hoog dat een gewone kantoorgebruiker ze in de praktijk niet haalt. Wordt iemand toch geblokkeerd, dan is er dus iets ongewoons aan de hand.

De twee meest voorkomende oorzaken

Een overgenomen account: een aanvaller heeft het wachtwoord buitgemaakt, bijvoorbeeld via phishing, en gebruikt de mailbox om spam of nieuwe phishingmails naar klanten en relaties te sturen. Dit is veruit de belangrijkste reden.
Massamailing vanuit Outlook: een medewerker verstuurt een nieuwsbrief of mailing naar een grote lijst, bijvoorbeeld via BCC. Microsoft 365 is niet bedoeld voor bulkmail. Gebruik daarvoor een aparte nieuwsbriefdienst, bij voorkeur op een eigen subdomein met goed ingestelde SPF, DKIM en DMARC.

Ga er bij twijfel van uit dat het account is overgenomen. Een onterechte wachtwoordwijziging kost weinig; een aanvaller die toegang houdt kost veel.

Stap 1: eerst het account beveiligen

Microsoft adviseert uitdrukkelijk om eerst de controle over het account terug te nemen en pas daarna de blokkade op te heffen. Loop daarvoor de stappen uit ons artikel over een gehackt Microsoft 365-account door:

Stel een nieuw, sterk wachtwoord in en trek alle actieve sessies in, zodat de aanvaller overal wordt uitgelogd.
Controleer de MFA-methoden van de gebruiker. Verwijder onbekende telefoonnummers of apps en zet MFA aan als dat nog niet zo was.
Kijk in de mailbox naar verdachte postvakregels en doorsturing. Aanvallers verbergen vaak antwoorden of sturen mail door naar een extern adres.
Bekijk in Verzonden items en via berichttracering wat er is verstuurd en naar wie, zodat u ontvangers zo nodig kunt waarschuwen.

Stap 2: de blokkade opheffen

Een beheerder met de juiste rechten, zoals Beveiligingsbeheerder of lid van de rolgroep Organisatiebeheer, heft de blokkade op in de Microsoft Defender-portal:

Ga naar E-mail en samenwerking > Controleren > Beperkte entiteiten.
Selecteer de gebruiker (entiteit Mailbox) en kies Deblokkeren.
Lees in het venster dat opent de aanbevelingen, controleer dat wachtwoord en MFA in orde zijn en bevestig.

Dit kan ook in Exchange Online PowerShell: Get-BlockedSenderAddress toont wie geblokkeerd is en Remove-BlockedSenderAddress -SenderAddress gevolgd door het adres heft de blokkade op. Meestal kan de gebruiker binnen een uur weer versturen. Door tijdelijke technische problemen kan het langer duren, maar nooit langer dan 24 uur.

Zorgen dat u het op tijd merkt

Microsoft 365 heeft standaard een waarschuwingsbeleid ‘User restricted from sending email’ dat beheerders mailt als iemand geblokkeerd wordt. Standaard gaat die melding alleen naar de globale beheerders. Controleer in de Defender-portal onder Beleid en regels > Waarschuwingsbeleid of de melding aan staat en voeg uw IT-partner of vaste contactpersoon toe als ontvanger. Lees meer in ons artikel over waarschuwingsbeleid in Microsoft 365. Let op: zo’n melding werkt alleen als het auditlogboek aan staat, wat standaard het geval is.

In het uitgaande spambeleid kunt u daarnaast eigen limieten per uur en per dag instellen en kiezen wat er gebeurt als iemand die overschrijdt. Standaard wordt de gebruiker tot de volgende dag (UTC) geblokkeerd. Voor de meeste MKB-bedrijven volstaan de standaardinstellingen, mits de melding bij de juiste persoon terechtkomt.

Hoe Floor ICT dit aanpakt

Bij een geblokkeerde mailbox zoekt Floor ICT eerst uit of het account is overgenomen. We beveiligen het account, ruimen verdachte regels en sessies op, brengen in kaart welke mail er is verstuurd en heffen daarna de blokkade op. Vooraf zorgen we dat meldingen over geblokkeerde gebruikers bij ons binnenkomen, zodat we vaak al bezig zijn voordat de medewerker belt. En voor nieuwsbrieven helpen we u met een aparte verzenddienst, zodat uw gewone zakelijke mail niet in gevaar komt.

Bekijk MSP-pakketten Intake aanvragen Microsoft 365