Exchange Online Protection (EOP) erklärt: SCL-, BCL- und PCL-Werte

Exchange Online Protection (EOP) ist die Filterschicht, die vor jedem Microsoft-365-Postfach sitzt. Sie läuft vor allen Richtlinien von Defender for Office 365 auf Tenant-Ebene und entscheidet in den ersten hundert Millisekunden drei Dinge:

1. Soll die Nachricht direkt abgelehnt werden?
2. Wenn sie angenommen wird: Welchen Spam-Wert bekommt sie?
3. Wenn es sich um Massen-E-Mail handelt: Wie streng soll gefiltert werden?

Die Antworten stehen in den Headern der Nachricht. Wenn Sie diese lesen können, debuggen Sie die Zustellbarkeit bei Microsoft 365, ohne zu raten.

Spam Confidence Level (SCL)

X-MS-Exchange-Organization-SCL: 1

SCL	Bedeutung	Standardaktion
-1	Auf der Zulassungsliste / sicherer Absender	Filterung übersprungen
0	Kein Spam	Posteingang
1	Kein Spam	Posteingang
5	Spam	Junk-Ordner
6	Spam	Junk-Ordner
7	Spam mit hoher Wahrscheinlichkeit	Junk oder Quarantäne
8	Spam mit hoher Wahrscheinlichkeit	Junk oder Quarantäne
9	Spam mit hoher Wahrscheinlichkeit	Quarantäne oder Ablehnung

EOP vergibt nur selten einen SCL von 2, 3 oder 4, die Skala ist also faktisch gestuft. Ein SCL ab 5 bedeutete bisher Spam, doch Microsoft sagt inzwischen, dass der SCL-Wert in Cloud-Postfächern weder das Urteil noch die Aktion bestimmt; die Werte CAT und SFV in X-Forefront-Antispam-Report zeigen, was tatsächlich passiert ist.

Bulk Complaint Level (BCL)

X-Microsoft-Antispam: BCL:4

BCL bewertet die Beschwerdehistorie des Absenders, nicht den Inhalt der Nachricht. Die Skala reicht von 0 bis 9: 0 heißt, kein Massenversender, 8 bis 9 heißt, ein Massenversender mit vielen Beschwerden.

Tenant-Administratoren legen einen BCL-Schwellenwert fest (Standard: 7). Nachrichten über dem Schwellenwert landen im Junk-Ordner, auch wenn der SCL niedrig ist.

Wenn Ihre Transaktionsmails ankommen, Ihre Marketingmails beim selben Tenant aber im Junk landen, liegt es meist am BCL: Ihre IP oder Domain hat eine Beschwerdehistorie, die EOP einrechnet.

Phishing Confidence Level (PCL)

PCL (0 bis 8) erscheint nur bei Nachrichten, die EOP für Identitätsdiebstahl oder Phishing hält. Ein PCL ab 4 schickt die Nachricht in der Regel in die Quarantäne, unabhängig vom SCL. Das sehen Sie, wenn Ihre E-Mails Markennamen, Login-Aufforderungen oder Texte rund um Passwörter enthalten.

Den vollständigen Antispam-Header lesen

Der kompakte Header, den Sie sich ansehen sollten, ist X-Microsoft-Antispam:

X-Microsoft-Antispam: BCL:4;ARA:13230040|2092899012|26050799012;

Der ARA-Wert ist intern und kann meist ignoriert werden. Die Felder, auf die es ankommt:

• BCL: wie oben.
• Jedes SFV: (Spam Filter Verdict, eingetragen im begleitenden Header X-Forefront-Antispam-Report), mit diesen häufigen Werten:
  • SFV:NSPM: kein Spam
  • SFV:SPM: Spam
  • SFV:BLK: Absender blockiert
  • SFV:SKA: Absender auf der Zulassungsliste einer Antispam-Richtlinie (übersprungen)
  • SFV:SKB: Absender passt auf eine Liste blockierter Absender oder Domains in einer Antispam-Richtlinie
  • SRV:BULK: Massen-E-Mail auf oder über dem BCL-Schwellenwert

Wenn Sie SRV:BULK sehen und Empfänger sich über den Junk-Ordner beschweren, senken Sie Ihr Versandvolumen oder verbessern Sie das Engagement auf den betroffenen Listen.

Authentication-Results

EOP schreibt einen standardmäßigen Authentication-Results-Header. Achten Sie auf:

Authentication-Results: spf=pass smtp.mailfrom=yourdomain.com;
  dkim=pass header.d=yourdomain.com; dmarc=pass action=none header.from=yourdomain.com;
  compauth=pass reason=100

Die wichtigsten Felder:

• spf, dkim, dmarc: Alle müssen pass sein, damit Ihre Reputation den größten Nutzen hat.
• compauth: Microsofts zusammengesetztes Authentifizierungsurteil. Pass / fail / softpass / none.
• reason: dreistelliger Code, der compauth erklärt. 100 ist der beste Wert (volles Pass). 1xx-Codes sind Pass, 2xx Soft Pass, 0xx und 6xx sind Fehlschläge.

Ein häufiger Reputationskiller: SPF besteht für die Bounce-Domain des ESP, aber nichts ist auf Ihre From-Domain ausgerichtet und keine DKIM-Signatur nutzt sie → compauth schlägt fehl oder ergibt nur Soft Pass statt Pass. Signieren Sie DKIM mit Ihrer From-Domain, dann ergibt compauth wieder Pass.

Prüfen Sie jede Nachricht mit unserem E-Mail-Header-Analyzer.

Was den SCL beeinflusst

EOP veröffentlicht keine Gewichtungen, aber in der Praxis dominieren diese Faktoren:

• Reputation der sendenden IP (Microsoft-intern).
• compauth-Urteil (pass/fail).
• Ob eine DMARC-Richtlinie durchgesetzt wird.
• URL-Reputation im Nachrichtentext.
• Inhaltsmuster (Bildanteil, Linkdichte, verdächtige Schlüsselwörter).
• Historische Beschwerderate der Domain.

Was den BCL beeinflusst

• JMRP-Beschwerderate (auf Seite von Outlook.com, an EOP zurückgemeldet).
• Meldungen über das Microsoft-365-Add-in „Nachricht melden".
• Engagement auf Postfachebene (massenhaftes Löschen ohne Öffnen).

So senken Sie Ihren SCL/BCL

1. Bestehen Sie das DMARC-Alignment, nicht nur SPF oder DKIM einzeln.
2. Halten Sie die Beschwerderate unter 0,1 %. Nutzen Sie JMRP, um Beschwerdeführer gezielt zu entfernen.
3. Achten Sie auf die URL-Reputation. Verlinken Sie keine kostenlosen Hosting-Domains oder frisch registrierte Weiterleitungen.
4. Nehmen Sie inaktive Empfänger aus Massenversendungen heraus.
5. Mischen Sie Transaktions- und Marketingmails nicht auf derselben Subdomain.

FAQ

Wo sehe ich SCL/BCL bei einer Nachricht, die ich gesendet habe? Senden Sie eine Testnachricht an ein Microsoft-365-Postfach, auf das Sie Zugriff haben. Öffnen Sie den vollständigen Quelltext und suchen Sie nach den Headern X-Microsoft-Antispam und X-MS-Exchange-Organization-SCL.

Kann ich den SCL allein mit inhaltlichen Anpassungen beeinflussen? Nur geringfügig. Reputation und Authentifizierung dominieren. Inhaltliche Anpassungen (Betreffzeilen, Linkdichte) helfen, wenn alles andere bereits sauber ist.

Prüft EOP Bilder? EOP scannt Bilder auf bekannte Phishing-Motive, liest aber keinen Text per OCR. Bildlastige E-Mails schaden Ihnen vor allem über das Inhaltssignal „kein Klartext, hoher Bildanteil".

Weiterlesen

• Warum E-Mails bei Outlook im Junk-Ordner landen
• Anleitung zur Einrichtung von SNDS und JMRP

Quellen

• Anti-spam message headers (Microsoft Learn), die Felder X-Forefront-Antispam-Report und X-Microsoft-Antispam, alle SFV-Werte und die compauth-Reason-Codes.
• Spam confidence level (SCL) in Microsoft 365 (Microsoft Learn), was die SCL-Werte bedeuten und warum sie in Cloud-Postfächern nicht mehr die Aktion bestimmen.
• Bulk complaint level (BCL) in cloud organizations (Microsoft Learn), die BCL-Skala und die Standard-Schwellenwerte: 7 in der Standardrichtlinie, 6 bei Standard, 5 bei Strict.
• How email authentication works in Microsoft 365 (Microsoft Learn), wie Microsoft 365 SPF, DKIM, DMARC und implizite Signale zur zusammengesetzten Authentifizierung kombiniert.
• RFC 8601: Message Header Field for Indicating Message Authentication Status, der Standard-Header Authentication-Results, den EOP schreibt.