E-Mail-Sicherheit mit Microsoft 365, Teil 2: Defender for Office 365 richtig nutzen

Teil 1 dieser Reihe hat gezeigt, wie SPF, DKIM und DMARC Ihre Domain gegen Missbrauch nach außen schützen. Dieser Teil behandelt die Gegenrichtung: Mails, die bei Ihnen ankommen. Dafür ist in Microsoft 365 Defender for Office 365 zuständig, ein Zusatzschutz oberhalb des Basisfilters, den jedes Exchange-Online-Postfach hat.

Bezahlen wir Defender for Office 365 schon, ohne es zu nutzen?

Wahrscheinlich ja, wenn Sie Microsoft 365 Business Premium oder eine E5-Lizenz einsetzen. Plan 1 ist in Microsoft 365 Business Premium enthalten und seit dem 1. Juli 2026 auch in Office 365 E3 und Microsoft 365 E3 (Service-Beschreibung). Plan 2 ist in Microsoft 365 E5 enthalten. Plan 1 bringt die Schutzfunktionen, Plan 2 zusätzlich Untersuchungswerkzeuge, automatisierte Reaktion und Phishing-Simulationen.

Für die Geschäftsführung zählt, ob die vorhandene Lizenz auch konfiguriert ist. Ab Werk ist nur ein Grundschutz aktiv, die übrigen Schutzfunktionen muss jemand zuweisen und einstellen.

Was leisten die einzelnen Schutzfunktionen?

Schutz vor Identitätsvortäuschung (Impersonation Protection). Erkennt Mails, deren Absendername oder Domain einer echten Person oder Firma nachempfunden ist, etwa eine Mail „von der Geschäftsführung“ aus einer fremden Adresse. Sie legen fest, welche Personen (geschützte Benutzer) und welche Domains geschützt werden. Die Postfachintelligenz (Mailbox Intelligence) lernt zusätzlich, mit wem jede Person regelmäßig korrespondiert. Für die Geschäftsführung bedeutet das: Ihr Name gehört auf die Liste, ebenso Finanzleitung, Buchhaltung und alle, die Zahlungen freigeben.

Safe Links. Prüft Links auch noch im Moment des Klicks. Ein Link, der beim Eingang harmlos war und erst später auf eine Phishing-Seite umgeleitet wird, wird so trotzdem blockiert. Der Schutz gilt auch in Teams und in unterstützten Office-Apps.

Safe Attachments. Öffnet unbekannte Anhänge in einer abgeschotteten Umgebung und beobachtet, was sie tun (Detonation). Mit der Option Dynamic Delivery erhalten Empfänger die Mail sofort, der Anhang folgt nach der Prüfung. So entsteht kein Zeitverzug im Tagesgeschäft.

Zero-hour auto purge (ZAP). Entfernt Mails nachträglich aus Postfächern, wenn sie sich nach der Zustellung als schädlich herausstellen. ZAP gehört bereits zum Basisschutz jedes Exchange-Online-Postfachs; prüfen Sie, dass es in Ihren Richtlinien nicht abgeschaltet wurde. ZAP arbeitet auf den zugestellten Mails der letzten 48 Stunden und funktioniert auch für Teams-Nachrichten.

Gemeldete Nachrichten (User reported settings). Der integrierte Melden-Button in Outlook leitet verdächtige Mails an Ihr Sicherheitsteam, an Microsoft oder an beide. Standardmäßig landen Meldungen im Postfach des globalen Administrators. Ein eigenes Meldepostfach ist sinnvoller.

Angriffssimulationstraining (nur Plan 2). Simulierte Phishing-Kampagnen mit anschließender Schulung. Das ist sinnvoll, sobald die technischen Grundlagen stehen, und liefert messbare Werte für Awareness-Nachweise.

Warum sind voreingestellte Richtlinien besser als eigene?

Microsoft bietet drei voreingestellte Sicherheitsrichtlinien (Preset Security Policies): Built-in protection, Standard und Strict. Nur Built-in protection ist ab Werk aktiv und bietet einen Grundschutz für Safe Links und Safe Attachments. Standard und Strict sind niemandem zugewiesen, bis Sie Empfänger hinterlegen.

Der Vorteil der Presets: Microsoft pflegt die Einstellungen und passt sie an, wenn neue Schutzfunktionen hinzukommen. Selbst gebaute Richtlinien veralten dagegen still. Unsere Empfehlung: Standard für alle Mitarbeitenden, Strict für Geschäftsführung, Finanzen und Administratoren. Eigene Richtlinien nur dort, wo ein Geschäftsgrund dokumentiert ist. Beachten Sie die Reihenfolge: Presets greifen vor eigenen Richtlinien. Wer in einem Preset ist, bekommt dessen Einstellungen.

Die einzigen Werte, die Sie in Standard und Strict selbst pflegen, sind die Einträge für den Schutz vor Identitätsvortäuschung. Pro Preset lassen sich bis zu 350 Personen als geschützte Benutzer eintragen. Domains, die Ihnen gehören, und die Postfachintelligenz sind automatisch abgedeckt.

Was regeln Quarantänerichtlinien?

Quarantänerichtlinien bestimmen, was Mitarbeitende mit zurückgehaltenen Mails tun dürfen und ob sie davon erfahren. Mails, die als Schadsoftware oder als Phishing mit hoher Sicherheit eingestuft sind, können Empfänger grundsätzlich nicht selbst freigeben, höchstens eine Freigabe beantragen. Bei Spam ist eine Selbstfreigabe vertretbar.

Wichtig ist die Benachrichtigung. Nur bestimmte Standardrichtlinien versenden Quarantänebenachrichtigungen, darunter die in den Presets verwendete. Ohne Benachrichtigung bemerkt niemand, dass eine erwartete Rechnung zurückgehalten wurde, und die IT erhält Anrufe statt nachvollziehbarer Freigabeanträge. Freigabeanträge erzeugen standardmäßig eine Warnung an die Administratoren. Legen Sie fest, wer diese Warnungen bearbeitet und in welcher Zeit.

Welche Fehlkonfigurationen sehen wir am häufigsten?

• Presets niemandem zugewiesen. Die Lizenz ist da, aber Standard und Strict sind aus. Es greift nur der Grundschutz.
• Listen für Identitätsvortäuschung leer. Ohne eingetragene Personen erkennt der Filter gefälschte Mails „von der Geschäftsführung“ nur eingeschränkt.
• Quarantänebenachrichtigungen aus. Mails verschwinden aus Sicht der Mitarbeitenden. Vertrauen in die Lösung sinkt, und es entstehen Ausnahmen.
• Zulassungslisten, die Prüfungen aushebeln. Einträge in der IP-Zulassungsliste umgehen die Spamfilterung und die Prüfung von SPF, DKIM und DMARC. Ähnlich wirken Transportregeln, die die Spamfilterung überspringen. Schadsoftware und Phishing mit hoher Sicherheit werden zwar weiter abgefangen, wenn Ihr MX-Eintrag auf Microsoft 365 zeigt, alles darunter aber nicht. Zulassungen gehören in die Tenant Allow/Block List, mit Ablaufdatum.
• Meldungen landen im Admin-Postfach. Niemand wertet sie systematisch aus.

Warum E-Mail-Schutz allein nicht reicht und Anmeldungen zusätzlich abgesichert sein müssen, ordnen wir in unserer Webinar-Aufzeichnung ein.

Wie weise ich gegenüber Prüfern und Versicherern nach, dass der Schutz wirkt?

Zwei Werkzeuge im Microsoft-Defender-Portal reichen für die meisten Nachweise:

• Der Bericht zum Bedrohungsschutzstatus (Threat protection status report) zeigt, welche Bedrohungen erkannt und wie sie behandelt wurden, nach Zeitraum und Erkennungstechnik.
• Die Konfigurationsanalyse (Configuration analyzer) vergleicht Ihre Richtlinien mit den Standard- und Strict-Empfehlungen und zeigt Abweichungen. Der Bereich zur Konfigurationsabweichung dokumentiert, wer wann welche Einstellung geändert hat, sofern die einheitliche Überwachungsprotokollierung aktiv ist.

Exportieren Sie beides in festen Abständen und legen Sie die Ergebnisse in Ihrer Nachweisdokumentation ab.

Der nächste Schritt

Sie tragen die Verantwortung dafür, dass bezahlte Schutzfunktionen auch greifen. Wir liefern die Nachweise. Im Gap Assessment prüfen wir Ihre Defender-for-Office-365-Konfiguration gegen die Vorgaben von Standard und Strict und liefern eine priorisierte Maßnahmenliste. Im Rahmen von Managed Security übernehmen wir die laufende Auswertung von Meldungen, Quarantäne und Warnungen.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Reicht der Basisschutz von Exchange Online nicht aus?

Der Basisschutz filtert breite, bekannte Angriffe. Schutz vor nachgeahmten Absendern enthält er nicht, und Links, die erst nach der Zustellung schädlich werden, oder unbekannte Schadsoftware in Anhängen erkennt er nur eingeschränkt. Diese Lücken schließt Defender for Office 365 mit Schutz vor Identitätsvortäuschung, Safe Links und Safe Attachments.

Sollen Mitarbeitende Mails selbst aus der Quarantäne freigeben dürfen?

Bei Spam ja, bei Schadsoftware und Phishing mit hoher Sicherheit lässt Microsoft das ohnehin nicht zu. Dort können Mitarbeitende nur eine Freigabe beantragen. Entscheidend ist, dass Benachrichtigungen eingeschaltet sind und jemand Freigabeanträge zeitnah bearbeitet.

Standard oder Strict, was sollen wir einsetzen?

Standard eignet sich für die meisten Mitarbeitenden. Strict verschiebt mehr Mails in die Quarantäne und passt für Personen, die besonders häufig Ziel von Betrugsversuchen sind, etwa Geschäftsführung, Finanzen und Administratoren. Beide Profile lassen sich parallel verschiedenen Gruppen zuweisen.

Brauchen wir Plan 2?

Plan 1 enthält die Schutzfunktionen. Plan 2 lohnt sich, wenn Sie Vorfälle selbst untersuchen, Reaktionen automatisieren oder Phishing-Simulationen für Awareness-Nachweise nutzen wollen. Ohne eigenes Sicherheitsteam oder einen Dienstleister, der diese Werkzeuge bedient, bleibt der Mehrwert gering.