E-Mail-Sicherheit in Microsoft 365

Warum Absenderauthentifizierung Pflicht ist

Phishing nutzt Vertrauen in bekannte Domains. Ein Makler oder Steuerberater, dessen Adresse missbraucht wird, schadet Mandantenbeziehungen schneller als ein generischer Spam. Technische Absenderauthentifizierung ist deshalb kein Nerd-Thema, sondern Markenschutz und Haftungsvorsorge.

Microsoft 365 sendet korrekt aus Exchange Online — aber nur, wenn DNS passt. Newsletter-Tools, Ticket-Systeme und alte SMTP-Relays müssen in SPF eingetragen sein, sonst landen legitime Mails im Spam oder scheitern DMARC später.

Reihenfolge: SPF und DKIM stabil, dann DMARC mit Monitoring, erst danach Quarantine oder Reject. Zu aggressive DMARC-Policies ohne Auswertung brechen Verteiler und Kalendereinladungen.

Reports aus DMARC (rua/ruf) an ein Postfach oder einen Auswertedienst — monatlich prüfen, wer alles in Ihrem Namen sendet.

Empfängerseitig profitieren auch Sie: Fremde Domains ohne DMARC leichter als Spam erkennen — aber Ihre ausgehende Konfiguration schützt Ihren Ruf. Banken und große Konzerne lehnen Mails ohne passende Auth zunehmend ab.

Rechtliche Seite: Im Schadensfall nach Phishing aus Ihrem Namen wird gefragt, ob Sie SPF/DKIM/DMARC gepflegt haben — technische Hygiene ist Teil der Sorgfaltspflicht für audience-kmu mit Mandantendaten.

Viele KMU unterschätzen interne Absender: Scanner, CRM, Newsletter, Kalenderdienste — jedes System, das in Ihrem Namen mailt, braucht Eintrag in SPF und oft eigenes DKIM. Wer nur Exchange Online absichert, wundert sich später über DMARC-Fails und leere Verteiler. Ein halbjährlicher Report-Check reicht meist, wenn Sie neue Tools konsequent vor Go-live einplanen.

SPF: Wer darf in Ihrem Namen senden?

SPF hat ein Lookup-Limit von 10 DNS-Abfragen — zu viele includes brechen die Validierung. Dienstleister konsolidieren oder Subdomain-delegation nutzen (mailings.firma.de mit eigenem SPF).

Beispiel für KMU mit M365 und externem Newsletter: v=spf1 include:spf.protection.outlook.com include:sendgrid.net -all. Das -all am Ende signalisiert harte Ablehnung nicht gelisteter Server — nur wenn alle Quellen erfasst sind.

Alte Einträge nach Providerwechsel entfernen. SPF-Checker und Microsoft Message Header Analyzer nutzen, bevor Sie DMARC verschärfen.

SPF allein reicht nicht: Weiterleitungen können SPF brechen — deshalb DKIM und DMARC ergänzen.

Mehrere Domains (firma.de, firma.com): jede Root braucht eigenen SPF — oder Redirect-Mechanismus bewusst planen. Mandanten-White-Label-Domains nicht vergessen.

Softfail (~all) vs. Hardfail (-all): KMU mit stabil erfassten Quellen fahren -all; unsichere Bestände temporär ~all nur mit engem Monitoring.

SPF-Änderungen immer mit Testmail und Header-Analyse bestätigen — nicht nur DNS-Panel grün. Ein Tippfehler in include: kostet Tage Zustellbarkeit.

DKIM: Kryptografische Signatur für ausgehende Mail

Im Defender-Portal DKIM für die Domain aktivieren; Microsoft zeigt zwei CNAME-Einträge (selector1, selector2). Nach DNS-Propagierung Signatur prüfen — ausgehende Testmail an Gmail oder den Message Analyzer.

Drittanbieter, die in Ihrem Namen senden, brauchen eigenes DKIM-Setup oder eine Subdomain mit separater Policy. Alles auf Root-Domain mischen ohne Abstimmung erzeugt Fehlalarme in DMARC.

Schlüsselrotation passiert über zweiten Selector — deshalb zwei CNAMEs. Bei DNS-Fehlern sehen Empfänger „fail“ — Support-Tickets steigen.

DKIM schützt auch vor Manipulation unterwegs — Integrität der Mail-Inhalte wird nachweisbar.

3600 TTL auf DKIM-CNAMEs ist üblich — nach Rotation beide Selectors aktiv lassen, bis alte Mails aus Queues draußen sind. Header-Analyse in Outlook: Feld Authentication-Results lesen lernen.

Wenn Newsletter-Anbieter nur SPF unterstützt: Subdomain news.firma.de mit eigenem DKIM des Anbieters — Root-Domain bleibt sauber für Exchange.

DMARC: Policy und Auswertung

TXT unter _dmarc.firma.de: v=DMARC1; p=none; rua=mailto:dmarc@firma.de; pct=100. None sammelt nur Reports — keine Zustellungsblockade. Nach 4–8 Wochen Auswertung: p=quarantine für verdächtige Mails.

Reject (p=reject) erst, wenn alle legitimen Quellen SPF/DKIM bestehen. Subdomains explizit (sp=) regeln, wenn Marketing separate Infrastruktur nutzt.

Falsche Positive kosten Umsatz — jede neue SaaS-Mail-Lösung vor Go-live in SPF/DKIM/DMARC einplanen.

Glossar-Einträge zu SPF, DKIM und DMARC im Wissens-Glossar vertiefen Begriffe für Schulungen.

Bei der DMARC-Ausrichtung prüft das empfangende System, ob die per SPF oder DKIM bestätigte Domain zur sichtbaren Absenderadresse passt. Microsoft signiert aus Exchange Online mit dem onmicrosoft.com-Selector — in den Reports muss dazu „pass“ stehen. Fehlende Ausrichtung zuerst beheben, bevor Sie p=quarantine oder p=reject setzen.

pct=100 erst setzen, wenn Tests stabil — stufenweise pct erhöhen bei großen Mailing-Wellen vermeidet Überraschungen.

Exchange Online Protection und Defender

Standard-Policies reichen vielen KMU; Business Premium bringt erweiterte Anti-Phishing-Templates (Impersonation). Extern-Warnbanner per Transport Rule: „Diese Nachricht stammt von außerhalb der Organisation“ — billig und wirksam.

Quarantäne-Release-Prozess: nicht jeder darf freigeben. Ausnahmen für vertrauenswürdige Partner sparsam whitelisten — jede Ausnahme ist ein Loch.

Mailbox-Audit: versteckte Inbox-Regeln, Weiterleitung nach extern, Vollzugriffsdelegation. Automatisierung via PowerShell oder Partner-Report monatlich.

Bei Kompromittierung: Passwort reset, alle Sessions in Entra ID widerrufen, Regeln löschen, Mail-Trace, MFA erzwingen.

Anti-Spam-Schwellen anpassen — zu aggressiv blockiert Mandantenmail, zu lasch landet Betrug im Posteingang. EOP-Quarantäne-Benachrichtigungen an Power-User, nicht an alle.

Zero-hour auto purge und Safe Attachments brauchen Premium — wenn Budget knapp: zumindest Link-Warnung und strikte Makro-Blockade in Transport Rules.

Menschen, Prozesse und Betreuung

Kurze Regeln: Link-Hover prüfen, Absender-Domain lesen, Dringlichkeit misstrauen. Versicherungsmakler: Phishing-Risiko-Check auf it-security-expert.de als Team-Baseline.

Passwort-Manager und Authenticator reduchen Credential-Reuse auf Fake-Login-Seiten. Schulung jährlich, nicht einmalig 2019.

Externe Betreuung richtet DNS und Policies ein, wertet DMARC-Reports aus und passt quartalsweise an. Intern bleibt Verantwortung für Zahlungsprozesse.

E-Mail-Sicherheit ist Daueraufgabe — bei jedem neuen Mail-Dienst und jedem Domain-Zukauf nachziehen.

Melde-Button in Outlook aktivieren und Test-Phishing einmal jährlich — Ergebnisse besprechen, nicht bestrafen. it-security-expert wertet Incidents aus und passt DNS/Policies an.

Zahlungsprozesse: IBAN-Änderungen nur nach Rückruf auf bekannter Nummer — unabhängig von Mail-Inhalt. GF-Vorab freigeben schriftlich im Team.

E-Mail-Sicherheit endet nicht am Admin Center: Wer Zahlungen, Mandantenunterlagen und Zugangsdaten per Mail abwickelt, braucht schriftliche Prozesse. Technik filtert Betrug — Ihre Abläufe entscheiden, ob ein gefälschtes PDF trotzdem bezahlt wird.

Fehlersuche bei Zustellproblemen

Schritt 1: MX, SPF, DKIM-Status im Admin Center und externen DNS-Check. Schritt 2: Message Trace für konkrete fehlende Mail. Schritt 3: Empfänger-Spam bei Mandant prüfen, Authentication-Results screenshotten.

Nach DMARC-Verschärfung: false positives sammeln, Quellen nachziehen, dann Policy wieder anheben. Geduld schlägt p=reject über Nacht.

Blacklist-Check für ausgehende IP — bei Microsoft selten, bei Hybrid mit Relay möglich. Support-Ticket Microsoft nur mit Trace-IDs — spart Runden.

Dokumentieren Sie jeden Vorfall: Ursache, Fix, Datum — wiederkehrende Muster zeigen fehlende SPF-Includes oder kaputte Weiterleitungen.

Schulung ohne PowerPoint-Marathon

Regel 1: Absender prüfen — passt Domain zur erwarteten Firma? Regel 2: Dringlichkeit + Geld = anrufen. Regel 3: Verdacht melden an info@ oder Support, kein Weiterleiten.

Live-Demo: echte Phishing-Mail aus Quarantäne zeigen — Header, Link-Ziel, gefälschtes Logo. Kein Naming-Shaming bei Klickern.

Entra ID MFA-Registrierung als Pflicht-Onboarding — Video 2 Minuten. Passwort-Manager empfehlen, Firmenrichtlinie statt Verbot privater Tools ohne Alternative.

GF sichtbar mitmachen — Kultur beginnt oben. it-security-expert liefert auf Wunsch 15-Minuten-Teams-Slot quartalsweise.

Erfolg messen: weniger Klicks in Simulation, mehr Meldungen vor Schaden — nicht null Klicks als unrealistisches Ziel.

Phishing-Schutz ohne MFA ist halb — ein geklautes Passwort umgeht viele Filter. Entra ID und Exchange-Policies gehören in dieselbe Sicherheitsbesprechung, nicht in getrennte Projekte.

Integration mit Entra ID und Gesamt-Security

Entra ID blockiert legacy auth — sonst umgehen Angreifer moderne Filter mit alten Protokollen. Gleichzeitig SMTP-Relais für Geräte sauber absichern.

Conditional Access: Mail nur von compliant Gerät — erfordert Intune aus Business Premium. Alternative: Security Defaults + strikte Passwort-Richtlinie.

Unified Audit Log speichert Mail- und Admin-Aktionen — bei Incident first source. Aufbewahrung kostet, fehlt aber bei Forensik.

Verknüpfung zum IT-Sicherheit-Cluster: Phishing abwehren, Passwort-Manager, Zugriffsrechte — E-Mail ist ein Einstieg, nicht das ganze Programm.

it-security-expert verzahnt DNS, Exchange-Policies und Entra ID in einem Security-Baseline-Dokument — Sie prüfen quartalsweise statt bei jedem Alarm neu zu lernen.

spf, dkim und dmarc sind Glossar-Begriffe und Praxis zugleich — wer sie pflegt, schützt Marke und Mandanten; wer sie ignoriert, spielt Roulette mit Zustellbarkeit und Haftung.

Priorität für die nächsten 30 Tage: SPF/DKIM/DMARC auf grün, MFA für alle, externe Auto-Forward prüfen, Quarantäne-Prozess schriftlich. Diese vier Punkte decken den Großteil realer Vorfälle in audience-kmu ab — bevor Sie exotische Add-ons kaufen.

E-Mail-Sicherheit ist für Mandanten sichtbar: Zustellbarkeit, seriöse Absenderdomain, keine Phishing-Mails aus Ihrem Namen. Technik dahinter lohnt sich als Investition in Vertrauen — nicht nur als Admin-Center-Hobby.

Typische DNS-Fehler im Alltag

Zwei SPF-TXT-Records auf Root: invalid — zusammenführen zu einem Record. Tools wie mxtoolbox.com vor jeder DMARC-Verschärfung.

Marketing wechselt von Mailchimp zu Brevo — SPF-Include anpassen, zwei Wochen DMARC-Reports beobachten. Sonst plötzlich leere Newsletter-Reichweite.

DKIM CNAME zeigt falsch — Copy-Paste-Fehler selector1/selector2. Im Defender-Status „CNAME nicht gefunden“ — DNS TTL abwarten, dann erneut testen.

Interne Weiterleitung alter Linux-Mailserver parallel zu M365 — SPF fail, weil alter Server noch sendet. Alten Server abschalten oder in SPF als Legacy bis Stillegung.

it-security-expert dokumentiert DNS-Soll-Zustand als Screenshot und Text — bei Provider-Wechsel Copy-Paste statt Rekonstruktion aus dem Kopf.

Postfach-Härtung in Exchange Admin

Send on behalf vs. Send As — minimal vergeben. Vollzugriff nur für Vertrauenspersonen, zeitlich befristet wo möglich.

Externe Auto-Forward global deaktivieren oder genehmigungspflichtig — klassischer Exfiltration-Pfad nach Kompromittierung.

Junk filter strength: Standard reicht oft; zu hoch blockiert Mandanten. Quarantäne-Release nur Helpdesk.

Safe Attachments Dynamic Delivery bei Premium — große Anhänge verzögert scannen. Kommunikation an Nutzer bei Verzögerung.

Outbound Spam Monitoring: kompromittiertes Konto versendet Massenmail — Alert in Defender, Reaktionsplan in einem Absatz dokumentieren.

dmarc, spf und dkim quartalsweise im Change-Log erwähnen — auch wenn unverändert, beweist Sorgfalt bei Prüfung durch Mandanten oder Versicherer. Das zählt bei Audits.

Transport Rules dokumentieren: Wer hat wann das externe Warnbanner eingeführt? Wer darf Quarantäne freigeben? Diese Regeln überleben oft Personalmwechsel unbemerkt — bis ein Vorfall zeigt, dass niemand mehr weiß, warum eine Ausnahme existiert.