E-Mail-Sicherheit in Microsoft 365

Q: Was sind SPF, DKIM und DMARC, in je zwei Zeilen?

SPF: legt fest, welche Server E-Mails mit Ihrer Domain senden dürfen. DKIM: signiert jede Nachricht, um zu beweisen, dass sie unverändert ankam. DMARC: weist den Empfänger an, Fehler abzulehnen, zu isolieren oder nur zu markieren, und schickt Ihnen Berichte darüber, wer Ihren Namen nutzt. Laut Microsoft lässt die Aktivierung nur eines oder zweier dieser Mechanismen den Schutz unvollständig. Der richtige Weg ist schrittweise: alle Plattformen auflisten, die im Namen des Unternehmens E-Mails senden (Rechnungsstellung, Newsletter, CRM), und erst dann die Richtlinie verschärfen. Ein schlecht geplantes DMARC kann Ihre eigenen Rechnungen blockieren. Das Fundament ist MFA für alle Konten. Bevor Sie in zusätzliche Werkzeuge investieren, prüfen Sie, welche Schutzfunktionen Ihre Microsoft-365-Lizenz bereits mitbringt.

E-Mail-Sicherheit in Microsoft 365: was der Filter durchlässt

Eine Überweisung an die falsche IBAN kostet mehr als ein Jahr Schutz. Der Microsoft-365-Filter stoppt Spam und bekannte Viren, aber keine glaubwürdigen Zahlungsaufforderungen.

Aktualisiert am 12. Oktober 20265 Min. Lesezeit

Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport

In diesem Artikel

Eine einzige Zahlung an die falsche IBAN genügt, um den Gewinn eines Quartals auszulöschen. Die E-Mail-Sicherheit in Microsoft 365, die ab Werk aktiv ist, wurde nicht dafür gebaut, das zu verhindern: Sie hält Spam, katalogisierte Viren und bereits gemeldete Links zurück. Eine glaubwürdige Nachricht aus einem echten Postfach kommt ohne Alarm durch. Diese Lücke zu schließen, erfordert Konfiguration und interne Disziplin, und genau hier setzt die Managed Cybersecurity von DataRoad an.

Wie groß ist das Risiko in Portugal?

Das Nationale Cybersicherheitszentrum Portugals (CNCS) veröffentlichte 2026 die Zahlen des Vorjahres. CERT.PT zählte 3.864 Vorfälle im Jahr 2025, ein Anstieg um 40 % gegenüber 2024. Von den gemeldeten Social-Engineering-Fällen waren 18 % Betrugsversuche, bei denen sich jemand als Geschäftsführer oder Lieferant ausgab.

Diese Angriffe bringen keine Viren mit. Sie bringen eine banale, gut formulierte Bitte: eine Rechnung begleichen oder ein Passwort bestätigen.

Warum erkennt der Microsoft-Filter sie nicht?

Die Filter-Engine sucht nach Ähnlichkeiten mit bereits bekannten Bedrohungen. Das macht sie sehr gut. Absichten liest sie nicht. Ein echter Lieferant, der einen Bankwechsel ankündigt, schreibt von seiner eigenen Domain, ohne infizierten Anhang und ohne verdächtige Adresse. Technisch ist alles korrekt.

Welche drei Maschen kommen am häufigsten durch?

1. Die umgeleitete Zahlung

Der Kriminelle verschafft sich Zugang zu einem Postfach, Ihrem oder dem eines Lieferanten, und beobachtet still. Taucht eine Rechnung mit hohem Betrag auf, schreibt er im selben Verlauf eine neue IBAN. Manchmal nutzt er eine fast identische Domain mit einem abweichenden Zeichen.

Die Abwehr kostet null Euro: eine schriftliche Richtlinie, die verbietet, neue Bankdaten per E-Mail anzunehmen. Man ruft den Lieferanten unter dem bereits gespeicherten Kontakt an, nie unter dem aus der Nachricht. Das Verfahren beschreiben wir im Leitfaden zu Rechnungen mit geänderter IBAN.

2. Die geklonte Anmeldeseite

Ein Hinweis auf eine „geteilte Datei“ oder ein „volles Postfach“ führt zu einer Kopie des Microsoft-Logins. Der Mitarbeiter gibt seine Zugangsdaten ein und übergibt das Konto. Danach legt der Angreifer eine Regel an, die alles, was mit Zahlungen zu tun hat, nach außen umleitet. Masche 1 wird nun aus Ihrem eigenen Unternehmen heraus gestartet.

Hier ist die Antwort die Multi-Faktor-Authentifizierung. Mit dem Passwort in der Hand bleibt der Eindringling ohne das Smartphone des Mitarbeiters ausgesperrt. Keine andere Einzelmaßnahme senkt den Kontodiebstahl so stark.

3. Der QR-Code, der dem Filter entgeht

Da Links immer genauer geprüft werden, verstecken Angreifer das Ziel in einem QR-Code in einem PDF, einem Bild oder einem verschlüsselten Anhang, den der Filter nicht öffnet. Gescannt wird mit dem privaten Smartphone, fern der Unternehmensabwehr, und was erscheint, ist meist eine Variante von Masche 2.

Welche Einstellungen schließen die Tür, und was kosten sie?

Keine erfordert den Kauf eines weiteren Produkts. Es handelt sich um Einstellungen des Tenants selbst und um Unternehmensregeln.

Einstellung	Blockierte Masche	Ergebnis für das Geschäft
Flächendeckende Multi-Faktor-Authentifizierung	2 und 3	Gestohlene Zugangsdaten werden nutzlos.
Externe Weiterleitung deaktiviert	1 und 2	Kein kompromittiertes Postfach exportiert unbemerkt E-Mails.
SPF-, DKIM- und DMARC-Einträge	1	Empfänger können Imitationen Ihrer Domain ablehnen.
Telefonische IBAN-Bestätigung	1	Bankdaten ändern sich nicht per Nachricht.
Regelmäßige Schulungen	1, 2 und 3	Das Team erkennt fabrizierte Dringlichkeit und Geheimhaltungsbitten.

Externe Weiterleitung: Wer entscheidet?

Ab Werk steht diese Richtlinie auf „automatisch, systemgesteuert“. Microsoft empfiehlt, die Option ausdrücklich festzulegen, weil das Verhalten von Tenant zu Tenant variiert. Für die meisten KMU ist es die sichere Wahl, sie zu deaktivieren und Ausnahmen einzeln zu genehmigen.

Was sind SPF, DKIM und DMARC, in je zwei Zeilen?

SPF: legt fest, welche Server E-Mails mit Ihrer Domain senden dürfen.
DKIM: signiert jede Nachricht, um zu beweisen, dass sie unverändert ankam.
DMARC: weist den Empfänger an, Fehler abzulehnen, zu isolieren oder nur zu markieren, und schickt Ihnen Berichte darüber, wer Ihren Namen nutzt.

Laut Microsoft lässt die Aktivierung nur eines oder zweier dieser Mechanismen den Schutz unvollständig. Der richtige Weg ist schrittweise: alle Plattformen auflisten, die im Namen des Unternehmens E-Mails senden (Rechnungsstellung, Newsletter, CRM), und erst dann die Richtlinie verschärfen. Ein schlecht geplantes DMARC kann Ihre eigenen Rechnungen blockieren.

Das Fundament ist MFA für alle Konten. Bevor Sie in zusätzliche Werkzeuge investieren, prüfen Sie, welche Schutzfunktionen Ihre Microsoft-365-Lizenz bereits mitbringt.

Welche Lehre ziehen wir aus einer Migration von 50 Postfächern?

In einer öffentlichen Ausschreibung übertrug die União das Freguesias de Massamá e Monte Abraão DataRoad die Migration von rund 50 Postfächern nach Exchange Online. Wir übertrugen E-Mails, Ordner und Daten, konfigurierten Computer und Smartphones neu und prüften das Ergebnis.

Eine Migration ist der ideale Moment, die Sicherheit zu verschärfen. Die richtigen Regeln einmal für 50 Postfächer festzulegen, ist weit günstiger, als nach einem Betrug Postfach für Postfach nachzubessern.

Was können Sie noch diese Woche tun?

MFA für alle Konten bestätigen, auch für geteilte und administrative.
Die Liste aktiver Weiterleitungen anfordern und jedes unerklärte externe Ziel untersuchen.
Herausfinden, in welchem Modus das DMARC der Domain steht.
Die Regel der telefonischen IBAN-Bestätigung schriftlich festhalten.
Eine Maßnahme planen, um das Team gegen Phishing und Deepfakes zu schulen.

Fragen von Entscheidern

Reicht der in Microsoft 365 enthaltene Schutz aus?

Nicht bei Finanzbetrug. Er löst katalogisierten Spam und Malware, lässt aber Anfragen durch, die in der Form legitim und in der Absicht betrügerisch sind. Den Unterschied machen Konfiguration und Verfahren.

Müssen wir eine zusätzliche Lösung kaufen?

In den meisten Fällen nicht sofort. Der erste Gewinn kommt aus der Feinabstimmung dessen, was die Lizenz bereits bezahlt; zusätzliche Werkzeuge werden danach bewertet, je nach Branche und Risiko.

Wie prüfen wir, ob die Domain ein aktives DMARC hat?

Bitten Sie Ihren IT-Partner, die DNS-Einträge der Domain zu lesen. Ohne DMARC oder mit DMARC nur im Monitoring kann jeder Ihr Unternehmen mit sehr wenig Aufwand imitieren.

Jemand hat sein Passwort auf einer gefälschten Seite eingegeben. Was ist der erste Schritt?

Das Passwort sofort ändern und alle offenen Sitzungen beenden. Danach MFA bestätigen, aktuelle Regeln und Weiterleitungen prüfen und die Buchhaltung bitten, Zahlungen mit in den letzten Tagen geänderter IBAN einzufrieren.

Diagnose Ihrer Microsoft-365-E-Mail in 5 Werktagen

Wir prüfen MFA, Weiterleitungen, Postfachregeln sowie SPF, DKIM und DMARC und liefern einen nach Priorität geordneten Korrekturplan, unverbindlich. Die dauerhafte Überwachung ist in IT Unlimited Premium, im Service Microsoft 365 für Unternehmen und in der Managed Cybersecurity von DataRoad enthalten.

Ab 10 Arbeitsplätzen · Servicevertrag · Support remote, vor Ort und telefonisch. Rufen Sie an: +351 211 459 950 * oder schreiben Sie an sales@dataroad.pt.

*Anruf ins portugiesische Festnetz.

E-Mail-Sicherheit in Microsoft 365: was der Filter durchlässt

Wie groß ist das Risiko in Portugal?

Warum erkennt der Microsoft-Filter sie nicht?