E-Mail-Sicherheit in Microsoft 365: was tatsächlich schützt

Auf die Frage nach der E-Mail-Sicherheit folgt in vielen Unternehmen der Hinweis auf den Spamfilter. Der ist vorhanden, er arbeitet, und damit gilt das Thema als erledigt. Diese Rechnung geht nicht auf: Ein Filter prüft, was bei Ihnen eingeht. Er sagt nichts darüber, ob jemand unter Ihrem Namen versendet, und er entscheidet nicht, was ein Mitarbeiter mit einer Nachricht tut, die durchkommt.

E-Mail-Sicherheit in Microsoft 365 hat drei Ebenen. Sie greifen an unterschiedlichen Punkten und ersetzen sich nicht gegenseitig.

Ebene 1: Authentifizierung — wer darf unter Ihrem Namen versenden

Diese Ebene schützt nicht Ihr Postfach, sondern Ihren Namen. Ohne sie kann jeder eine Nachricht verschicken, in der Ihre Domain als Absender steht — an Ihre Kunden, an Ihre Lieferanten, an Ihre eigene Buchhaltung.

Drei DNS-Einträge regeln das, und ihre Aufgaben sind verschieden:

• SPF listet die Server, die für Ihre Domain versenden dürfen. Es prüft den technischen Absender, nicht die im Mailprogramm sichtbare Adresse.
• DKIM signiert ausgehende Nachrichten. Empfänger können damit feststellen, ob die Nachricht unterwegs verändert wurde.
• DMARC verbindet beide mit der sichtbaren Absenderadresse und legt fest, was Empfänger bei einem Fehlschlag tun sollen — und liefert Berichte darüber, wer für Ihre Domain versendet.

Der häufigste Zustand, den wir antreffen: SPF ist gesetzt, DKIM teilweise, DMARC fehlt. Damit ist die Kette offen, denn ohne DMARC prüft niemand, ob die sichtbare Absenderadresse zur geprüften Domain passt. Genau das nutzt Spoofing aus.

Wie die drei Einträge im Detail aufgebaut werden und in welcher Reihenfolge sie eingeführt werden, beschreibt der Beitrag SPF, DKIM und DMARC richtig einrichten.

Ebene 2: Filter — was bei Ihnen eingeht

Microsoft 365 filtert eingehende Nachrichten standardmäßig. Die Voreinstellungen sind brauchbar, aber sie kennen Ihr Unternehmen nicht. Anpassung heißt hier nicht, strenger zu werden, sondern die Regeln auf Ihre Kommunikation abzustimmen.

Was in der Praxis eingestellt werden muss

• Schutz vor Nachahmung: Angriffe auf die Geschäftsführung laufen fast immer über einen ähnlich aussehenden Absendernamen, nicht über eine gefälschte Domain.
• Prüfung von Anhängen und Links, bevor sie beim Nutzer ankommen — mit dokumentierten Ausnahmen für Dienste, die Ihre Branche braucht.
• Regeln für Nachrichten von externen Absendern: eine sichtbare Kennzeichnung hilft mehr als eine zusätzliche Warnleiste, die niemand liest.
• Ein festgelegter Umgang mit der Quarantäne: wer prüft sie, in welchem Rhythmus, nach welchen Kriterien.

Der letzte Punkt entscheidet über die Akzeptanz. Eine Quarantäne, in die niemand sieht, führt dazu, dass Mitarbeiter Filter als Störung erleben — und Wege suchen, sie zu umgehen.

Ebene 3: Die Belegschaft — was mit dem passiert, was durchkommt

Kein Filter fängt alles. Die Nachrichten, die durchkommen, sind die gefährlichsten, weil sie unauffällig sind: eine Rechnung mit geänderter Bankverbindung, eine Anfrage im Namen eines Kollegen, eine Anmeldeseite, die aussieht wie die eigene.

Was hier hilft, ist keine Schulung im Sinne einer Präsentation, sondern zwei festgelegte Abläufe:

• Meldeweg: Jeder weiß, wohin eine verdächtige Nachricht gemeldet wird — und dass eine Meldung nie zu einem Vorwurf führt.
• Rückfrageregel: Änderungen an Bankverbindungen oder Zahlungsanweisungen werden telefonisch bestätigt, unabhängig davon, wie plausibel die Mail aussieht.

Diese zwei Regeln kosten nichts und verhindern den Schadensfall, der in der Praxis am häufigsten vorkommt. Welche Angriffsmuster dahinterstehen, beschreibt der Beitrag Phishing im Unternehmen.

Der Punkt, der nicht in die E-Mail gehört, aber dazugehört

Ein erheblicher Teil der E-Mail-Angriffe hat nicht die Nachricht zum Ziel, sondern die Zugangsdaten. Wer sich anmelden kann, braucht keine gefälschte Absenderadresse mehr — er versendet aus dem echten Postfach.

Deshalb gehört Multi-Faktor-Authentifizierung zu jeder Betrachtung der E-Mail-Sicherheit, auch wenn sie technisch eine Ebene tiefer liegt. Wie sie eingeführt wird, ohne den Arbeitsalltag zu blockieren, beschreibt der Beitrag MFA und Conditional Access einrichten.

In welcher Reihenfolge vorgehen

Wenn nichts von dem Genannten eingerichtet ist, hat diese Reihenfolge sich bewährt:

• Woche 1: MFA für administrative Konten, danach für alle Benutzer
• Woche 2: Alle versendenden Systeme erfassen, SPF vervollständigen, DKIM aktivieren
• Woche 3: DMARC mit p=none setzen und Berichte auswerten
• Woche 4–8: Filter anpassen, Quarantäne-Zuständigkeit festlegen, Meldeweg und Rückfrageregel kommunizieren
• danach: DMARC stufenweise auf quarantine, später auf reject verschärfen

Die Reihenfolge ist nicht beliebig: MFA zuerst, weil sie mit dem geringsten Aufwand den größten Teil der Angriffe erledigt. DMARC-Verschärfung zuletzt, weil sie eigene Systeme blockiert, solange die Bestandsliste unvollständig ist.

Woran Sie erkennen, wo Sie stehen

Vier Fragen genügen für eine erste Einschätzung:

• Ist für Ihre Domain ein DMARC-Eintrag gesetzt — und steht dort etwas anderes als p=none?
• Ist MFA für alle Konten aktiv, auch für administrative und selten genutzte?
• Gibt es eine benannte Person, die die Quarantäne prüft?
• Wüsste ein Mitarbeiter am Montagmorgen, wohin er eine verdächtige Mail meldet?

Wer eine dieser Fragen nicht beantworten kann, hat dort die größte Lücke — unabhängig davon, wie gut der Filter arbeitet.

Was bleibt

E-Mail-Sicherheit ist kein Produkt, das man einschaltet. Sie besteht aus einer korrekten Authentifizierung, angepassten Filtern mit klarer Zuständigkeit und zwei Regeln, die die Belegschaft kennt. Die technische Seite ist in wenigen Wochen erledigt; die Regeln halten länger.