E-Mail in Microsoft 365: Was die Grundschutzfunktion nicht schützt

8 Minuten Lesestunden · DataRoad

Die E-Mail-Sicherheit in Microsoft 365 Sie stammt ursprünglich aus China, wurde jedoch so entworfen, dass sie eindeutig Junk-Mail ist: Spam, bekannte Viren und bereits als gefährlich identifizierte Links. Die Angriffe, die heute die portugiesischen Unternehmen Geld kosten, sind andere. Sie kommen in gut formatierten Nachrichten, oft aus einer legitimen E-Mail-Box, und verlangen etwas Banales – die Bezahlung einer Rechnung oder die Bestätigung Ihres Passworts.

Nach Daten des Nationalen Zentrums für Cybersicherheit (CNCS), die 2026 veröffentlicht wurden, registrierte CERT.PT im Jahr 2025 3.864 Vorfälle, 40% mehr als im Vorjahr. Die E-Mail-Betrugsfälle, die als Administrator oder Anbieter vorgeben, waren allein für 18% der gemeldeten Fälle der Social Engineering-Attacken verantwortlich.

Was die Grundschutzfunktion tut – und was sie nicht tun kann

Der Filter von Microsoft 365 ist gut für den Zweck, für den er entwickelt wurde: Er vergleicht jede Nachricht mit dem, was bereits als gefährlich gilt. Ein bekannter Virus bleibt zurück; ein bekannter Spam-Server kommt nicht einmal in den Posteingang.

Was man nicht einschätzen kann, ist die Absicht. Eine E-Mail, die von der realen E-Mail-Adresse eines Anbieters gesendet wurde und besagte: “Wir haben eine Bank gewechselt”, durchläuft alle technischen Tests: Sie enthält weder Viren noch verdächtige Links und kommt von der von sich selbst angegebenen Quelle.

Angriff 1: die Rechnung mit dem veränderten IBAN

Es ist der teuerste und einfachste Angriff: Der Kriminelle hackt in die E-Mail-Box eines Lieferanten (oder seiner eigenen Firma), liest die Gespräche über Wochen hinweg und wartet auf eine große Rechnung. In diesem Moment antwortet er im selben Chat-Thread: “Achtung, ab diesem Monat muss die Zahlung an das neue angehängte IBAN erfolgen.”

Gängige Variante: Ein Domänennamen mit einer Buchstabenänderung. Schnell bemerkt niemand das.

Das, was diesen Angriff auslöst, ist keine ausgeklügelte Technologie. Es ist eine schriftliche Regel: Keine Änderung der Bankdaten wird per E-Mail akzeptiert.. Dies wird immer telefonisch bestätigt, für eine Nummer, die bereits in der Kontaktliste des Anbieters steht – niemals für die Nummer in der Nachricht. Wir haben den gesamten Ablauf im Artikel zu diesem Thema beschrieben. E-Mail-Betrug und gefälschte Rechnungen.

Angriff 2: Die falsche Seite von Microsoft 365

Es kommt eine E-Mail, die besagt, dass “ein Dokument mit Ihnen geteilt wird” oder dass “Ihre E-Mail-Box voll ist”. Der Link öffnet eine Seite, die dem Startbildschirm von Microsoft 365 ähnelt – mit dem richtigen Logo und den richtigen Farben. Die Person schreibt die E-Mail und das Passwort. Fertig: Der Hacker hat das Konto.

Der nächste Schritt ist diskret: eine Regel in der E-Mail-Box, die Nachrichten mit “Rechnung” oder “Zahlung” weiterleitet oder sie in einem Ordner versteckt, den niemand öffnet. So entsteht Angriff 1 aus der eigenen Firma.

Angriff 3: das Anhang oder der QR-Code

Da die Filter immer besser Links analysieren, haben Angreifer den Formatwechsel vorgenommen: ein PDF mit einem QR-Code, um das Dokument zu “unterzeichnen”, ein Bild statt Text, ein Passwortgeschütztes Anhang, das der Filter nicht öffnen kann.

Der QR-Code führt die Person dazu, den Link auf seinem persönlichen Handy zu öffnen, außerhalb der Schutzmaßnahmen des Unternehmens. Die Seite, die sich öffnet, ist fast immer eine andere Version des Angriffs 2.

Was diese Angriffe provoziert

Keine dieser Maßnahmen erfordert den Kauf einer bestimmten Marke: Es handelt sich um Einstellungen in Microsoft 365 und interne Richtlinien.

Weiterleitungen: Lassen Sie die Entscheidung nicht dem System überlassen

In Microsoft 365 ist die Richtlinie, die die automatische Weiterleitung an externe Adressen steuert, standardmäßig in der Einstellung “automatisch, systemgesteuert”. Microsoft selbst empfiehlt ausdrücklich festzulegen, ob sie aktiviert oder deaktiviert ist, da das Verhalten zwischen Unternehmen unterschiedlich sein kann. Für die meisten kleinen und mittleren Unternehmen ist die richtige Antwort „ausgeschaltet“, mit Ausnahme von in jedem Fall genehmigten Ausnahmen.

SPF, DKIM und DMARC – erklärt in einfacher Sprache

Es handelt sich um drei technische Dokumente in Ihrem Bereich, die beweisen, dass eine E-Mail “von Ihrem Unternehmen” tatsächlich von Ihrem Unternehmen stammt.

Microsoft ist eindeutig: Die Verwendung nur eines Teils dieser Methoden führt zu einer unzureichenden Sicherheit. Es erfolgt in Phasen: Zuerst muss alle Dienste, die im Namen von Microsoft E-Mails versenden (Rechnungsstellung, Newsletter, CRM), aufgeführt werden, anschließend muss die Richtlinie geändert werden. Aufgrund der schnellen Umsetzung kann DMARC Ihre eigenen Rechnungen blockieren.

Die Grundlage dafür ist die Mehrfache Identitätsnachweise für alle Konten. Und bevor Sie irgendetwas kaufen, vergewissern Sie sich, dass Sicherheitsfunktionen sind bereits in Ihre Microsoft 365-Lizenz enthalten.

Ein echter Fall: 50 Postkästen wurden auf Microsoft 365 migriert

Die Union der Ortschaften Massamá und Monte Abraão hat DataRoad aufgrund eines öffentlichen Wettbewerbs ausgewählt. Um etwa 50 Postkästen auf Microsoft 365 zu migrieren (Exchange Online). Das Projekt umfasste die vollständige Übertragung der E-Mails, der Struktur und der Daten sowie die Neukonfiguration der Arbeitsplätze und der Mobiltelefone mit anschließender Validierung am Ende.

Die Lehre: Eine Migration ist der richtige Zeitpunkt, um die definierte Sicherheit grundlegend zu verändern. 50 Postfachsysteme einmal zu konfigurieren, mit den richtigen Regeln, kostet viel weniger als sie einzeln nach einem Vorfall zu korrigieren.

Wo soll ich morgen anfangen?

Bestätigen Sie, dass alle Konten — einschließlich der gemeinsam genutzten und der Administratorenkonten — eine Mehrfachauthentifizierung haben. Bitte fordern Sie die Liste der aktiven Weiterleitungen an: Jede Regel für eine externe Adresse, die niemand erklären kann, ist ein Alarmsignal. Überprüfen Sie, wie der DMARC-Status Ihres Domänennamens ist, schreiben Sie die Telefonbestätigungsregel an und vereinbaren Sie einen Termin für eine Sitzung. Teams gegen Phishing trainieren.

Häufig gestellte Fragen

Ist Microsoft 365 nicht bereits mit E-Mail-Schutz ausgestattet?

Ja, und sie ist gut gegen bekannte Spam und Malware. Sie blockiert keine legitimen E-Mails, die von kompromittierten Konten gesendet werden, und sie blockiert auch nicht gut geschriebene Zahlungsanfragen. Diese Probleme lassen sich durch Konfiguration (Mehrfaktorguthaben, Umleitungen, SPF, DKIM und DMARC) und interne Regeln beheben.

Brauche ich eine andere E-Mail-Sicherheitssoftware zu kaufen?

Nicht immer. In vielen kleinen und mittleren Unternehmen kommt der größte Gewinn aus der klaren Festlegung dessen, was die Lizenz bereits umfasst. Zusätzliche Tools ergeben erst nach dieser Grundlage Sinn, je nach Risiko und Branche.

Wie kann ich wissen, ob mein Domänennamen DMARC-kompatibel ist?

Sie können Ihren IT-Anbieter bitten, die SPF-, DKIM- und DMARC-Daten des Domänennamens abzurufen. Wenn DMARC nicht existiert oder nur in Beobachtungsmodus ist, kann jeder problemlos E-Mails versenden, die aus Ihrer Firma stammen.

Ein Mitarbeiter hat den Passcode auf einer falschen Seite eingegeben. Was kann ich tun?

Ändern Sie umgehend das Passwort, beenden Sie alle aktiven Sitzungen, bestätigen Sie, dass die multifaktorische Authentifizierung aktiv ist, und überprüfen Sie die Regeln des Postfachs sowie die Weiterleitungen, die in den letzten Tagen erstellt wurden. Informieren Sie die Buchhaltung, dass Zahlungen mit jüngsten IBAN-Änderungen ausgesetzt werden.

Diagnose per E-Mail für Microsoft 365 innerhalb von 5 Werktagen

Wir überprüfen die Multifaktorauthentifizierung, Weiterleitungen, Regeln für Postfächer und SPF-, DKIM- und DMARC-Prüfung und liefern die Korrekturen nach Prioritätsrangfolge. Für Unternehmen mit mehr als 10 Standorten · Vertrag zur technischen Unterstützung · Remote-, lokaler und telefonischer Support. Die kontinuierliche Verwaltung ist in den Planen enthalten. IT Unlimited Premium im Dienst von Microsoft 365 for Business, als Teil unserer Geführte Cybersicherheit.

Quellen

• Renaissance — Warnung des CNCS: Die Betrugsfälle eines “falsen CEO” stellten 18% der in 2025 beim CERT.PT gemeldeten Fälle sozialer Engineering dar.
• Lusa / DNoticias — Daten des CNCS: 3.864 Vorfälle registriert vom CERT.PT im Jahr 2025 (+40%)
• Microsoft Learn — E-Mail-Authentifizierung in Microsoft 365 (SPF, DKIM und DMARC)
• Microsoft Learn — Steuerung der externen E-Mail-Weiterleitung in Microsoft 365