Exchange Online: Schutz vor Spam, Phishing und Schadsoftware

Jede Organisation mit Postfächern in Exchange Online erhält ohne Zusatzlizenz Schutz vor Spam, Schadsoftware und Phishing. Was viele als Exchange Online Protection (EOP) kennen, heißt auf Microsoft Learn inzwischen „integrierte Sicherheitsfeatures für alle Cloudpostfächer“; der Assistent für voreingestellte Richtlinien und die PowerShell-Cmdlets verwenden weiter den Namen EOP. Eingehende Nachrichten durchlaufen den Verbindungsfilter (Ruf des Absenders, hier endet der meiste Spam), die Antischadsoftware, die Nachrichtenflussregeln und schließlich Antispam und Antiphishing. Defender for Office 365 ergänzt diese Schicht, ersetzt sie aber nicht.

Ihre Lizenzen zeigt das Microsoft 365 Admin Center unter „Ihre Produkte“; im Defender-Portal steht unter E-Mail & Zusammenarbeit bei Plan 1 der Menüpunkt Echtzeiterkennungen, bei Plan 2 Explorer.

Für Antischadsoftware, Antispam und Antiphishing gibt es Standardrichtlinien. Sie gelten für alle Empfänger, lassen sich nicht abschalten und greifen immer zuletzt; voreingestellte und eigene Richtlinien gehen ihnen vor.

Voreingestellte Sicherheitsrichtlinien setzen die von Microsoft empfohlenen, kaum änderbaren Werte. Microsoft rät, Standard und/oder Streng allen Empfängern zuzuweisen; bis dahin gelten sie für niemanden. Streng ist für besonders gefährdete Personen gedacht („high value targets or priority users“). Den integrierten Schutz erhalten automatisch alle Empfänger ohne andere Richtlinie für Sichere Links und Sichere Anlagen, sobald der Mandant mindestens eine Lizenz für Defender for Office 365 hat; Microsoft empfiehlt Lizenzen für alle Benutzer.

1. 1

   Seite öffnen

   Microsoft Defender-Portal > E-Mail & Zusammenarbeit > Richtlinien & Regeln > Bedrohungsrichtlinien > Voreingestellte Sicherheitsrichtlinien (security.microsoft.com/presetSecurityPolicies).

2. 2

   Standardschutz zuweisen

   Schalter auf „Ein“, dann „Schutzeinstellungen verwalten“ und bei „Exchange Online Protection anwenden“ „Alle Empfänger“ wählen. Haben nicht alle Benutzer eine Lizenz, den Schutz durch Defender for Office 365 nur den lizenzierten zuweisen.

3. 3

   Identitätswechselschutz befüllen (Plan 1)

   Bis zu 350 Personen, die Angreifer imitieren könnten, etwa Geschäftsführung und Finanzleitung, und bis zu 50 fremde Domänen, mit denen Sie oft korrespondieren. Eigene Domänen und die Postfachintelligenz sind automatisch geschützt.

4. 4

   Streng ergänzen und prüfen

   Gefährdete Personen zusätzlich Streng zuweisen. Test: Spam landet bei Standard im Junk-E-Mail-Ordner, bei Streng in der Quarantäne. Die Richtlinien der Profile nicht per PowerShell ändern; das unterstützt Microsoft nicht.

Steht ein Empfänger in mehreren Richtlinien, wirkt nur die erste in dieser Reihenfolge: Streng, Standard, Evaluierungsrichtlinien von Defender for Office 365, eigene Richtlinien nach Priorität, zuletzt integrierter Schutz und Standardrichtlinien. Ausgehender Spam und der Teams-Schutz gehören nicht zu den Profilen.

Bei Phishing gilt Junk für die Standardrichtlinie und per PowerShell angelegte Richtlinien; im Portal neu angelegte Richtlinien stellen Phishing in die Quarantäne. Antischadsoftware, Sichere Anlagen und Sichere Links sind in Standard und Streng gleich eingestellt.

Laut Microsoft wirken die Bedrohungsrichtlinien am besten, wenn Ihre Domänen korrekt authentifiziert sind. SPF prüft den Absender im Umschlag (MAIL FROM, RFC 7208), DKIM die Signatur der Domäne im Feld d= (RFC 6376), DMARC, ob eine dieser Domänen zur sichtbaren Absenderdomäne passt (RFC 9989).

; Zone example.com: nur Microsoft 365 sendet
@                     TXT    "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey  CNAME  <Ziel 1 laut Defender-Portal>
selector2._domainkey  CNAME  <Ziel 2 laut Defender-Portal>
_dmarc                TXT    "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

; Zone example.net: sendet keine E-Mails
@                     TXT    "v=spf1 -all"
_dmarc                TXT    "v=DMARC1; p=reject;"

• SPF: höchstens ein Eintrag v=spf1 je Domäne, mehrere ergeben permerror (RFC 7208, Abschnitt 4.5), und höchstens 10 Terme, die DNS-Abfragen auslösen (include, a, mx, ptr, exists, redirect), verschachtelte eingerechnet (Abschnitt 4.6.4). Microsoft empfiehlt -all und rät, den include von Microsoft nicht durch IP-Adressen zu ersetzen.
• DKIM: Automatisch signiert Microsoft nur E-Mails von Adressen der *.onmicrosoft.com-Domäne; E-Mails eigener Domänen bleiben ohne Einrichtung unsigniert. Dafür unter Bedrohungsrichtlinien > E-Mail-Authentifizierungseinstellungen > DKIM die zwei angezeigten CNAME-Einträge anlegen und „Nachrichten für diese Domäne mit DKIM-Signaturen signieren“ einschalten.
• DKIM-Schlüssel, die per PowerShell angelegt werden, haben 1024 Bit; Rotate-DkimSigningConfig -KeySize 2048 wechselt bei der Rotation auf 2048 Bit.
• DMARC: beim DNS-Anbieter anlegen und von p=none über p=quarantine zu p=reject verschärfen, Subdomänen mit wenig Verkehr zuerst, die Hauptdomäne zuletzt. Microsofts Beispiele nennen noch pct, das RFC 9989 gestrichen hat.
• Ungenutzte Domänen erhalten v=spf1 -all und v=DMARC1; p=reject;, aber keinen DKIM-Eintrag. Ein ungenutztes *.onmicrosoft.com braucht ebenfalls p=reject; den Eintrag legen Sie im Microsoft 365 Admin Center an (Einstellungen > Domänen > DNS-Einträge).
• Für fremde Versanddienste wie Newsletter-Plattformen empfiehlt Microsoft eine Subdomäne wie marketing.example.com, mit eigenem SPF und DKIM.

Eingehend berücksichtigt Microsoft 365 die DMARC-Richtlinie fremder Absender („DMARC-Eintragsrichtlinie berücksichtigen“, Vorgabe ein): p=reject wird abgelehnt, p=quarantine kommt in die Quarantäne. Den Einführungsplan enthält der Download „SPF, DKIM und DMARC in fünf Schritten“.

Eine Quarantänerichtlinie bündelt Berechtigungen (Kein Zugriff, Eingeschränkter Zugriff, Vollzugriff) und legt fest, ob Benutzer benachrichtigt werden (alle vier Stunden, täglich oder wöchentlich). Standardrichtlinien sind schreibgeschützt; eigene legen Sie unter Bedrohungsrichtlinien > Quarantänerichtlinien an. Eine geänderte Zuweisung wirkt nur für künftig isolierte Nachrichten.

• Schadsoftware und Phishing mit hoher Zuverlässigkeit können Benutzer nie selbst freigeben; erlaubt die Quarantänerichtlinie die Freigabe, können sie sie nur anfordern. Die Warnungsrichtlinie „User requested to release a quarantined message“ meldet das der Administration.
• Die Aufbewahrung von 1 bis 30 Tagen regelt die Antispamrichtlinie („Spam so viele Tage in Quarantäne aufbewahren“); sie gilt auch für Antiphishing. Danach ist die Nachricht gelöscht und nicht wiederherstellbar.
• Meldungen: unter Einstellungen > E-Mail & Zusammenarbeit > Vom Benutzer gemeldete Einstellungen „Gemeldete Nachrichten in Outlook überwachen“ mit der integrierten Schaltfläche „Melden“ wählen und ein eigenes Exchange-Online-Postfach eintragen; vorgegeben ist das Postfach des globalen Administrators.
• Das Berichtspostfach als SecOps-Postfach in der erweiterten Übermittlung eintragen und von DLP ausnehmen, sonst werden gemeldete Nachrichten gefiltert. Den Meldenden antworten Sie auf der Seite Einreichungen mit „Als markieren und benachrichtigen“.

Microsoft reiht die Wege, Absender zuzulassen, vom meistempfohlenen an: Mandanten-Zulassungs-/Sperrliste, Nachrichtenflussregeln, sichere Absender in Outlook, IP-Zulassungsliste, Zulassungslisten in Antispamrichtlinien. In der Liste gehen Sperren vor; gesperrte Domänen, Adressen und URLs gelten als Phishing mit hoher Zuverlässigkeit. Direkte Zulassungen wirken nur gegen die Urteile Massen-E-Mail, Spam, Spam mit hoher Zuverlässigkeit und Phishing, gegen Schadsoftware und Phishing mit hoher Zuverlässigkeit nur über die Seite Einreichungen; unnötige Zulassungen entfernt Microsoft selbst.

Die Konfigurationsanalyse (Bedrohungsrichtlinien > Konfigurationsanalyse) vergleicht eigene Richtlinien mit Standard und Streng, prüft SPF- und DKIM-Einträge im DNS und zeigt Änderungen der letzten 90 Tage.

• Lizenzen geklärt; Schutz durch Defender for Office 365 nur lizenzierten Benutzern zugewiesen.
• Jede sendende Domäne mit SPF (-all), DKIM mit eigener Domäne und DMARC mit Berichtsadresse; Ziel p=reject.
• Domänen ohne Versand mit v=spf1 -all und p=reject gesperrt, auch ein ungenutztes *.onmicrosoft.com per DMARC.
• Profil Standard für alle Empfänger, Streng für besonders gefährdete Personen.
• Identitätswechselschutz mit Führungskräften und wichtigen Partnerdomänen befüllt (Plan 1).
• Integrierter Schutz ohne Ausnahmen für lizenzierte Benutzer (Plan 1); Filter für allgemeine Anlagen eingeschaltet.
• Automatische Weiterleitung nach außen aus; begründete Ausnahmen in eigener Richtlinie.
• Junk-E-Mail-Filter in Outlook auf „Keine automatische Filterung“.
• Quarantäne mit Benachrichtigung, Freigabeanforderungen werden bearbeitet; „Melden“ aktiv, Berichtspostfach als SecOps-Postfach.
• Zulassungen nur befristet in der Mandanten-Zulassungs-/Sperrliste; Zulassungslisten in Antispam leer.
• Keine Nachrichtenflussregel umgeht die Spamfilterung nur anhand der Absenderdomäne.
• Konfigurationsanalyse ohne offene Empfehlungen.

Die Checkliste ist eine Empfehlung von TOMORIS nach den Empfehlungen von Microsoft. Wesentliche und wichtige Einrichtungen müssen seit 1. Oktober 2026 geeignete und verhältnismäßige Risikomanagementmaßnahmen umsetzen, die unter Berücksichtigung des Stands der Technik ein dem Risiko angemessenes Cybersicherheitsniveau gewährleisten (§ 32 Abs. 1 und 2 NISG 2026). Nach § 2 NISV 2026 gilt dafür der Anhang der DVO (EU) 2024/2690, darunter ein Durchführungsplan für moderne E-Mail-Kommunikationsnormen (Nr. 6.7.2 lit. k) und Schutz vor Schadsoftware (Nr. 6.9); welche Einstellungen das konkret erfordert, ergibt die eigene Risikoanalyse.