compauth in Microsoft 365: Composite Authentication und alle Reason-Codes

In der Authentication-Results-Kopfzeile einer in Microsoft 365 empfangenen Mail steht neben den Standardergebnissen für SPF, DKIM und DMARC ein Microsoft-eigenes Feld:

Authentication-Results: spf=pass (sender IP is 192.0.2.10)
  smtp.mailfrom=example.com; dkim=pass (signature was verified)
  header.d=example.com; dmarc=pass action=none header.from=example.com;
  compauth=pass reason=100

compauth steht für Composite Authentication: Microsoft 365 kombiniert die Ergebnisse von SPF, DKIM und DMARC mit weiteren Signalen der Nachricht zu einer Gesamtbewertung, ob die sichtbare From-Adresse glaubwürdig ist. Bewertungsbasis ist die From-Domain, also die Adresse, die Empfänger im Mailclient sehen. Damit schliesst Microsoft die Lücke, die entsteht, wenn eine Absenderdomain keine oder unvollständige Authentifizierungs-Records publiziert hat: Auch ohne DMARC-Policy wird implizit geprüft, ob die Mail zur behaupteten Domain passt.

Die vier Ergebnisse

• compauth=pass: Die Nachricht hat die explizite (DMARC) oder implizite Authentifizierung bestanden.
• compauth=softpass: Die implizite Prüfung wurde mit geringerer Sicherheit bestanden.
• compauth=fail: Die Nachricht ist durch die explizite oder implizite Prüfung gefallen.
• compauth=none: Es fand keine Composite-Prüfung statt oder sie wurde übersprungen.

Ein compauth=fail führt nicht automatisch zu Quarantäne oder Junk-Ordner. Es ist ein Eingangssignal für die Filter-Entscheidung; massgebend für die tatsächliche Behandlung sind CAT und weitere Felder im X-Forefront-Antispam-Report. Umgekehrt gilt: Wer wissen will, warum compauth so entschieden hat, braucht den reason-Code direkt hinter dem Ergebnis.

Die Reason-Codes im Überblick

Der dreistellige Code nennt die Regel, die zum Ergebnis geführt hat. Die erste Ziffer gruppiert: 0xx und 6xx sind Fehlschläge, 1xx und 7xx sind bestandene Prüfungen, 2xx ist softpass, 3xx, 4xx und 9xx bedeuten keine oder übersprungene Prüfung.

Die häufigsten Fälle in der Praxis

compauth=fail reason=001 ist der Standardfall bei Domains ohne oder mit schwacher Authentifizierung. Die Behebung liegt beim Absender: SPF mit -all, DKIM-Signierung und eine DMARC-Policy publizieren. Solange die Records fehlen, hängt die Zustellbarkeit an Reputationssignalen.

compauth=fail reason=601 taucht auf, wenn Mails mit der eigenen Domain als Absender von aussen eintreffen, klassisch bei Direct Send: Multifunktionsgeräte, Applikationen oder Dienstleister liefern direkt beim MX ein, ohne authentifizierten Connector. Die Behebung führt über einen korrekt konfigurierten Inbound Connector oder die Aufnahme der Quelle ins eigene SPF.

compauth=fail reason=000 oder 010 bedeutet: DMARC hat regulär gegriffen. Steht daneben action=oreject, hat Microsoft 365 die Reject-Policy des Absenders in eine Quarantäne-Zustellung übersetzt. Hier ist nichts zu reparieren, ausser der Absender ist legitim und seine Authentifizierung defekt.

reason=108 und reason=130 betreffen Weiterleitungs- und Gateway-Szenarien: Eine Zwischenstation hat die Mail verändert oder ein vertrauenswürdiger ARC-Sealer hat die ursprünglichen Prüfergebnisse konserviert. Wer ein Gateway vor Microsoft 365 betreibt, sollte dessen ARC-Sealing in der Anti-Spam-Konfiguration als vertrauenswürdig hinterlegen, sonst bleiben legitime Mails an DMARC hängen.

compauth im Header lesen

In der Praxis steht compauth selten allein: Erst das Zusammenspiel mit den einzelnen SPF-, DKIM- und DMARC-Ergebnissen, dem Alignment der beteiligten Domains und der Received-Kette ergibt das vollständige Bild. Der Mail-Header-Analyzer auf dieser Website dekodiert compauth samt Reason-Code direkt im Browser und stellt die zugehörigen Domains (From, Envelope-From, d=) für die Alignment-Bewertung nebeneinander; der eingefügte Header verlässt den Browser nicht.