---
title: "E-Mail-Sicherheit in Microsoft 365"
description_de: "SPF, DKIM, DMARC, Anti-Phishing und sichere Freigaben — E-Mail in Microsoft 365 absichern."
description_en: "SPF, DKIM, DMARC, anti-phishing, and safe sharing — securing email in Microsoft 365."
url: /wissen/microsoft-365/email-sicherheit
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Wie sichert man E-Mail in Microsoft 365 ab?"
---
# E-Mail-Sicherheit in Microsoft 365
E-Mail-Sicherheit in [Microsoft 365](/wissen/microsoft-365) steht auf drei DNS-Säulen — [SPF](/wissen/glossar/spf), [DKIM](/wissen/glossar/dkim) und [DMARC](/wissen/glossar/dmarc) — plus Exchange-Schutzrichtlinien, [MFA](/wissen/glossar/mfa) in Entra ID und klaren Prozessen, wenn Mitarbeitende verdächtige Mails melden.
## Warum Absenderauthentifizierung Pflicht ist
Ohne [SPF](/wissen/glossar/spf), [DKIM](/wissen/glossar/dkim) und [DMARC](/wissen/glossar/dmarc) können Dritte Ihre Domain fälschen — Empfänger und Filter haben keine verlässliche Grundlage, echte von gefälschten Mails zu trennen.
[Phishing](/wissen/glossar/phishing) nutzt Vertrauen in bekannte Domains. Ein Makler oder Steuerberater, dessen Adresse missbraucht wird, schadet Mandantenbeziehungen schneller als ein generischer Spam. Technische Absenderauthentifizierung ist deshalb kein Nerd-Thema, sondern Markenschutz und Haftungsvorsorge.
[Microsoft 365](/wissen/microsoft-365) sendet korrekt aus Exchange Online — aber nur, wenn DNS passt. Newsletter-Tools, Ticket-Systeme und alte SMTP-Relays müssen in [SPF](/wissen/glossar/spf) eingetragen sein, sonst landen legitime Mails im Spam oder scheitern [DMARC](/wissen/glossar/dmarc) später.
Reihenfolge: [SPF](/wissen/glossar/spf) und [DKIM](/wissen/glossar/dkim) stabil, dann [DMARC](/wissen/glossar/dmarc) mit Monitoring, erst danach Quarantine oder Reject. Zu aggressive DMARC-Policies ohne Auswertung brechen Verteiler und Kalendereinladungen.
Reports aus [DMARC](/wissen/glossar/dmarc) (rua/ruf) an ein Postfach oder einen Auswertedienst — monatlich prüfen, wer alles in Ihrem Namen sendet.
Empfängerseitig profitieren auch Sie: Fremde Domains ohne [DMARC](/wissen/glossar/dmarc) leichter als Spam erkennen — aber Ihre ausgehende Konfiguration schützt Ihren Ruf. Banken und große Konzerne lehnen Mails ohne passende Auth zunehmend ab.
Rechtliche Seite: Im Schadensfall nach [Phishing](/wissen/glossar/phishing) aus Ihrem Namen wird gefragt, ob Sie [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) gepflegt haben — technische Hygiene ist Teil der Sorgfaltspflicht für audience-kmu mit Mandantendaten.
Viele KMU unterschätzen interne Absender: Scanner, CRM, Newsletter, Kalenderdienste — jedes System, das in Ihrem Namen mailt, braucht Eintrag in [SPF](/wissen/glossar/spf) und oft eigenes [DKIM](/wissen/glossar/dkim). Wer nur Exchange Online absichert, wundert sich später über DMARC-Fails und leere Verteiler. Ein halbjährlicher Report-Check reicht meist, wenn Sie neue Tools konsequent vor Go-live einplanen.
## [SPF](/wissen/glossar/spf): Wer darf in Ihrem Namen senden?
Ein TXT-Eintrag unter der Root-Domain listet autorisierte Mailserver — für reines Exchange Online typisch include:[spf](/wissen/glossar/spf).protection.outlook.com.
[SPF](/wissen/glossar/spf) hat ein Lookup-Limit von 10 DNS-Abfragen — zu viele includes brechen die Validierung. Dienstleister konsolidieren oder Subdomain-delegation nutzen (mailings.firma.de mit eigenem [SPF](/wissen/glossar/spf)).
Beispiel für KMU mit [M365](/wissen/microsoft-365) und externem Newsletter: v=spf1 include:[spf](/wissen/glossar/spf).protection.outlook.com include:sendgrid.net -all. Das -all am Ende signalisiert harte Ablehnung nicht gelisteter Server — nur wenn alle Quellen erfasst sind.
Alte Einträge nach Providerwechsel entfernen. SPF-Checker und Microsoft Message Header Analyzer nutzen, bevor Sie [DMARC](/wissen/glossar/dmarc) verschärfen.
[SPF](/wissen/glossar/spf) allein reicht nicht: Weiterleitungen können [SPF](/wissen/glossar/spf) brechen — deshalb [DKIM](/wissen/glossar/dkim) und [DMARC](/wissen/glossar/dmarc) ergänzen.
Mehrere Domains (firma.de, firma.com): jede Root braucht eigenen [SPF](/wissen/glossar/spf) — oder Redirect-Mechanismus bewusst planen. Mandanten-White-Label-Domains nicht vergessen.
Softfail (\~all) vs. Hardfail (-all): KMU mit stabil erfassten Quellen fahren -all; unsichere Bestände temporär \~all nur mit engem Monitoring.
SPF-Änderungen immer mit Testmail und Header-Analyse bestätigen — nicht nur DNS-Panel grün. Ein Tippfehler in include: kostet Tage Zustellbarkeit.
## [DKIM](/wissen/glossar/dkim): Kryptografische Signatur für ausgehende Mail
Exchange Online signiert mit Selector-CNAMEs in DNS — ohne aktives [DKIM](/wissen/glossar/dkim) fehlt Empfängern der zweite Verifikationsanker.
Im Defender-Portal [DKIM](/wissen/glossar/dkim) für die Domain aktivieren; Microsoft zeigt zwei CNAME-Einträge (selector1, selector2). Nach DNS-Propagierung Signatur prüfen — ausgehende Testmail an Gmail oder den Message Analyzer.
Drittanbieter, die in Ihrem Namen senden, brauchen eigenes DKIM-Setup oder eine Subdomain mit separater Policy. Alles auf Root-Domain mischen ohne Abstimmung erzeugt Fehlalarme in [DMARC](/wissen/glossar/dmarc).
Schlüsselrotation passiert über zweiten Selector — deshalb zwei CNAMEs. Bei DNS-Fehlern sehen Empfänger „fail“ — Support-Tickets steigen.
[DKIM](/wissen/glossar/dkim) schützt auch vor Manipulation unterwegs — Integrität der Mail-Inhalte wird nachweisbar.
3600 TTL auf DKIM-CNAMEs ist üblich — nach Rotation beide Selectors aktiv lassen, bis alte Mails aus Queues draußen sind. Header-Analyse in Outlook: Feld Authentication-Results lesen lernen.
Wenn Newsletter-Anbieter nur [SPF](/wissen/glossar/spf) unterstützt: Subdomain news.firma.de mit eigenem [DKIM](/wissen/glossar/dkim) des Anbieters — Root-Domain bleibt sauber für Exchange.
## [DMARC](/wissen/glossar/dmarc): Policy und Auswertung
[DMARC](/wissen/glossar/dmarc) verbindet [SPF](/wissen/glossar/spf) und [DKIM](/wissen/glossar/dkim) mit einer Anweisung an empfangende Server — starten Sie mit p=none, analysieren, dann quarantine, schließlich reject.
TXT unter \_dmarc.firma.de: v=DMARC1; p=none; rua=mailto:[dmarc@firma.de](mailto:dmarc@firma.de); pct=100. None sammelt nur Reports — keine Zustellungsblockade. Nach 4–8 Wochen Auswertung: p=quarantine für verdächtige Mails.
Reject (p=reject) erst, wenn alle legitimen Quellen [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim) bestehen. Subdomains explizit (sp=) regeln, wenn Marketing separate Infrastruktur nutzt.
Falsche Positive kosten Umsatz — jede neue SaaS-Mail-Lösung vor Go-live in [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) einplanen.
Glossar-Einträge zu [SPF](/wissen/glossar/spf), [DKIM](/wissen/glossar/dkim) und [DMARC](/wissen/glossar/dmarc) im Wissens-Glossar vertiefen Begriffe für Schulungen.
Bei der DMARC-Ausrichtung prüft das empfangende System, ob die per [SPF](/wissen/glossar/spf) oder [DKIM](/wissen/glossar/dkim) bestätigte Domain zur sichtbaren Absenderadresse passt. Microsoft signiert aus Exchange Online mit dem onmicrosoft.com-Selector — in den Reports muss dazu „pass“ stehen. Fehlende Ausrichtung zuerst beheben, bevor Sie p=quarantine oder p=reject setzen.
pct=100 erst setzen, wenn Tests stabil — stufenweise pct erhöhen bei großen Mailing-Wellen vermeidet Überraschungen.
## Exchange Online Protection und Defender
Anti-Spam, Malware-Filter und optional Safe Links/Safe Attachments ergänzen DNS — CEO-Fraud-Richtlinien für Premium-Nutzer.
Standard-Policies reichen vielen KMU; Business Premium bringt erweiterte Anti-Phishing-Templates (Impersonation). Extern-Warnbanner per Transport Rule: „Diese Nachricht stammt von außerhalb der Organisation“ — billig und wirksam.
Quarantäne-Release-Prozess: nicht jeder darf freigeben. Ausnahmen für vertrauenswürdige Partner sparsam whitelisten — jede Ausnahme ist ein Loch.
Mailbox-Audit: versteckte Inbox-Regeln, Weiterleitung nach extern, Vollzugriffsdelegation. Automatisierung via PowerShell oder Partner-Report monatlich.
Bei Kompromittierung: Passwort reset, alle Sessions in Entra ID widerrufen, Regeln löschen, Mail-Trace, [MFA](/wissen/glossar/mfa) erzwingen.
Anti-Spam-Schwellen anpassen — zu aggressiv blockiert Mandantenmail, zu lasch landet Betrug im Posteingang. EOP-Quarantäne-Benachrichtigungen an Power-User, nicht an alle.
Zero-hour auto purge und Safe Attachments brauchen Premium — wenn Budget knapp: zumindest Link-Warnung und strikte Makro-Blockade in Transport Rules.
## Menschen, Prozesse und Betreuung
Technik fängt nicht alles — Zahlungsänderungen doppelt prüfen, [Phishing](/wissen/glossar/phishing) melden ohne Blaming, [MFA](/wissen/glossar/mfa) überall.
Kurze Regeln: Link-Hover prüfen, Absender-Domain lesen, Dringlichkeit misstrauen. [Versicherungsmakler](/wissen/branchen/versicherungsmakler): Phishing-Risiko-Check auf it-security-expert.de als Team-Baseline.
[Passwort-Manager](/wissen/glossar/passwort-manager) und Authenticator reduchen Credential-Reuse auf Fake-Login-Seiten. Schulung jährlich, nicht einmalig 2019.
Externe Betreuung richtet DNS und Policies ein, wertet DMARC-Reports aus und passt quartalsweise an. Intern bleibt Verantwortung für Zahlungsprozesse.
E-Mail-Sicherheit ist Daueraufgabe — bei jedem neuen Mail-Dienst und jedem Domain-Zukauf nachziehen.
Melde-Button in Outlook aktivieren und Test-Phishing einmal jährlich — Ergebnisse besprechen, nicht bestrafen. it-security-expert wertet Incidents aus und passt DNS/Policies an.
Zahlungsprozesse: IBAN-Änderungen nur nach Rückruf auf bekannter Nummer — unabhängig von Mail-Inhalt. GF-Vorab freigeben schriftlich im Team.
E-Mail-Sicherheit endet nicht am Admin Center: Wer Zahlungen, Mandantenunterlagen und Zugangsdaten per Mail abwickelt, braucht schriftliche Prozesse. Technik filtert Betrug — Ihre Abläufe entscheiden, ob ein gefälschtes PDF trotzdem bezahlt wird.
## Fehlersuche bei Zustellproblemen
Wenn Mandanten plötzlich keine Mail erhalten oder Ihre Mails im Spam landen, systematisch DNS, Quarantäne und Header prüfen — nicht raten.
Schritt 1: MX, [SPF](/wissen/glossar/spf), DKIM-Status im Admin Center und externen DNS-Check. Schritt 2: Message Trace für konkrete fehlende Mail. Schritt 3: Empfänger-Spam bei Mandant prüfen, Authentication-Results screenshotten.
Nach DMARC-Verschärfung: false positives sammeln, Quellen nachziehen, dann Policy wieder anheben. Geduld schlägt p=reject über Nacht.
Blacklist-Check für ausgehende IP — bei Microsoft selten, bei Hybrid mit Relay möglich. Support-Ticket Microsoft nur mit Trace-IDs — spart Runden.
Dokumentieren Sie jeden Vorfall: Ursache, Fix, Datum — wiederkehrende Muster zeigen fehlende SPF-Includes oder kaputte Weiterleitungen.
## Schulung ohne PowerPoint-Marathon
Drei Minuten Regeln an der Kaffeemaschine schlagen einstündige Folien — wiederholen statt einmal jährlich vergessen.
Regel 1: Absender prüfen — passt Domain zur erwarteten Firma? Regel 2: Dringlichkeit + Geld = anrufen. Regel 3: Verdacht melden an info@ oder Support, kein Weiterleiten.
Live-Demo: echte Phishing-Mail aus Quarantäne zeigen — Header, Link-Ziel, gefälschtes Logo. Kein Naming-Shaming bei Klickern.
Entra ID MFA-Registrierung als Pflicht-Onboarding — Video 2 Minuten. [Passwort-Manager](/wissen/glossar/passwort-manager) empfehlen, Firmenrichtlinie statt Verbot privater Tools ohne Alternative.
GF sichtbar mitmachen — Kultur beginnt oben. it-security-expert liefert auf Wunsch 15-Minuten-Teams-Slot quartalsweise.
Erfolg messen: weniger Klicks in Simulation, mehr Meldungen vor Schaden — nicht null Klicks als unrealistisches Ziel.
Phishing-Schutz ohne [MFA](/wissen/glossar/mfa) ist halb — ein geklautes Passwort umgeht viele Filter. Entra ID und Exchange-Policies gehören in dieselbe Sicherheitsbesprechung, nicht in getrennte Projekte.
## Integration mit Entra ID und Gesamt-Security
E-Mail-Schutz ohne Identität ist halb — [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) plus [MFA](/wissen/glossar/mfa) plus [Conditional Access](/wissen/glossar/conditional-access) bilden zusammen die Kette gegen Account-Takeover.
Entra ID blockiert legacy auth — sonst umgehen Angreifer moderne Filter mit alten Protokollen. Gleichzeitig SMTP-Relais für Geräte sauber absichern.
[Conditional Access](/wissen/glossar/conditional-access): Mail nur von compliant Gerät — erfordert Intune aus Business Premium. Alternative: Security Defaults + strikte Passwort-Richtlinie.
Unified Audit Log speichert Mail- und Admin-Aktionen — bei Incident first source. Aufbewahrung kostet, fehlt aber bei Forensik.
Verknüpfung zum IT-Sicherheit-Cluster: [Phishing](/wissen/glossar/phishing) abwehren, [Passwort-Manager](/wissen/glossar/passwort-manager), Zugriffsrechte — E-Mail ist ein Einstieg, nicht das ganze Programm.
it-security-expert verzahnt DNS, Exchange-Policies und Entra ID in einem Security-Baseline-Dokument — Sie prüfen quartalsweise statt bei jedem Alarm neu zu lernen.
[spf](/wissen/glossar/spf), [dkim](/wissen/glossar/dkim) und [dmarc](/wissen/glossar/dmarc) sind Glossar-Begriffe und Praxis zugleich — wer sie pflegt, schützt Marke und Mandanten; wer sie ignoriert, spielt Roulette mit Zustellbarkeit und Haftung.
Priorität für die nächsten 30 Tage: [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) auf grün, [MFA](/wissen/glossar/mfa) für alle, externe Auto-Forward prüfen, Quarantäne-Prozess schriftlich. Diese vier Punkte decken den Großteil realer Vorfälle in audience-kmu ab — bevor Sie exotische Add-ons kaufen.
E-Mail-Sicherheit ist für Mandanten sichtbar: Zustellbarkeit, seriöse Absenderdomain, keine Phishing-Mails aus Ihrem Namen. Technik dahinter lohnt sich als Investition in Vertrauen — nicht nur als Admin-Center-Hobby.
## Typische DNS-Fehler im Alltag
Doppelter SPF-Eintrag, vergessener Include nach Tool-Wechsel, [DKIM](/wissen/glossar/dkim) nicht aktiviert obwohl CNAME steht — drei Klassiker mit schnellem Fix.
Zwei SPF-TXT-Records auf Root: invalid — zusammenführen zu einem Record. Tools wie mxtoolbox.com vor jeder DMARC-Verschärfung.
Marketing wechselt von Mailchimp zu Brevo — SPF-Include anpassen, zwei Wochen DMARC-Reports beobachten. Sonst plötzlich leere Newsletter-Reichweite.
[DKIM](/wissen/glossar/dkim) CNAME zeigt falsch — Copy-Paste-Fehler selector1/selector2. Im Defender-Status „CNAME nicht gefunden“ — DNS TTL abwarten, dann erneut testen.
Interne Weiterleitung alter Linux-Mailserver parallel zu [M365](/wissen/microsoft-365) — [SPF](/wissen/glossar/spf) fail, weil alter Server noch sendet. Alten Server abschalten oder in [SPF](/wissen/glossar/spf) als Legacy bis Stillegung.
it-security-expert dokumentiert DNS-Soll-Zustand als Screenshot und Text — bei Provider-Wechsel Copy-Paste statt Rekonstruktion aus dem Kopf.
## Postfach-Härtung in Exchange Admin
Transport Rules, Anti-Spam-Stufen und Mailbox-Berechtigungen gehören zur E-Mail-Sicherheit jenseits von DNS — monatlich stichprobenartig prüfen.
Send on behalf vs. Send As — minimal vergeben. Vollzugriff nur für Vertrauenspersonen, zeitlich befristet wo möglich.
Externe Auto-Forward global deaktivieren oder genehmigungspflichtig — klassischer Exfiltration-Pfad nach Kompromittierung.
Junk filter strength: Standard reicht oft; zu hoch blockiert Mandanten. Quarantäne-Release nur Helpdesk.
Safe Attachments Dynamic Delivery bei Premium — große Anhänge verzögert scannen. Kommunikation an Nutzer bei Verzögerung.
Outbound Spam Monitoring: kompromittiertes Konto versendet Massenmail — Alert in Defender, Reaktionsplan in einem Absatz dokumentieren.
[dmarc](/wissen/glossar/dmarc), [spf](/wissen/glossar/spf) und [dkim](/wissen/glossar/dkim) quartalsweise im Change-Log erwähnen — auch wenn unverändert, beweist Sorgfalt bei Prüfung durch Mandanten oder Versicherer. Das zählt bei Audits.
Transport Rules dokumentieren: Wer hat wann das externe Warnbanner eingeführt? Wer darf Quarantäne freigeben? Diese Regeln überleben oft Personalmwechsel unbemerkt — bis ein Vorfall zeigt, dass niemand mehr weiß, warum eine Ausnahme existiert.