Voreinstellungs- vs. benutzerdefinierte Anti-Phishing-Richtlinien in Microsoft Defender für Office 365

Von Mirko Peters · 2026-10-29

Erfahren Sie, wann Sie Voreinstellungs- bzw. benutzerdefinierte Anti-Phishing-Richtlinien in Microsoft Defender für Office 365 einsetzen sollten, wie Sie Rangfolgen-Fallen vermeiden und Ihren Cloud-Mandanten absichern.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Wahl zwischen Voreinstellungs-Sicherheitsrichtlinien und benutzerdefinierten Konfigurationen in Microsoft Defender für Office 365 entscheidet darüber, wie wirksam Ihre Organisation gezielte Phishing-Angriffe abwehrt. Dieser Beitrag erläutert die Auswertungsreihenfolge der Richtlinien, versteckte Rangfolgen-Fallen und ein praxisnahes Modell, mit dem Sie entscheiden, wann benutzerdefinierte Regeln gegenüber den integrierten Microsoft-Empfehlungen wirklich gerechtfertigt sind.

Das Wichtigste in Kürze

• Microsoft wertet E-Mail-Schutzrichtlinien in fester Reihenfolge von oben nach unten aus: zuerst die Strict-Voreinstellung, dann die Standard-Voreinstellung, danach benutzerdefinierte Richtlinien und schließlich der integrierte Schutz.
• Die Auswertung stoppt beim ersten Treffer. Benutzer im Geltungsbereich einer Voreinstellung umgehen daher jede benutzerdefinierte Anti-Phishing-Richtlinie, die Sie erstellen.
• Voreinstellungs-Sicherheitsrichtlinien nehmen Ihnen Pflege und die Verwaltung von Richtlinienabweichungen ab. Microsoft sorgt so dafür, dass Ihre Basisabsicherung gegen neue Bedrohungen automatisch aktualisiert wird.
• Benutzerdefinierte Richtlinien verursachen erheblichen administrativen Aufwand und sollten nur für echte, dokumentierte geschäftliche Ausnahmen eingesetzt werden.
• Hochrisikobenutzer wie Führungskräfte, Finanzmitarbeiter und IT-Administratoren gehören in den Geltungsbereich der Strict-Voreinstellung und nicht in individuell erstellte Isolationsregeln.

Die Rangfolgen-Falle: Warum benutzerdefinierte Regeln stillschweigend versagen

Viele E-Mail-Sicherheitsadministratoren verbringen Tage damit, im Microsoft Defender-Portal benutzerdefinierte Anti-Phishing-Richtlinien zu erstellen. Sie passen Vertrauensstufen für Phishing sorgfältig an, pflegen umfangreiche Listen geschützter Benutzer und legen gezielte Aktionen für Identitätsvortäuschungen fest. Das Portal zeigt den beruhigenden Status „Aktiviert“ an, und auf dem Papier wirkt die Konfiguration einwandfrei. Trotz all dieser sorgfältigen Arbeit wird die Richtlinie unter Umständen jedoch nie für einen einzigen Benutzer ausgelöst.

Das Kernproblem liegt darin, wie Microsoft 365 mehrere sich überschneidende Regeln verarbeitet. Die Auswertungs-Engine führt die Einstellungen nicht zusammen und wählt auch nicht die strengste Regel aus. Stattdessen durchläuft sie eine starre Hierarchie: Zuerst wird die Strict-Voreinstellungsrichtlinie ausgewertet, dann die Standard-Voreinstellungsrichtlinie, danach die benutzerdefinierten Richtlinien und zuletzt der integrierte Schutz ganz unten. Sobald ein Empfänger auf eine weiter oben stehende Richtlinie zutrifft, endet die Auswertung dauerhaft. Gehören Mitglieder Ihres Finanzteams zum Geltungsbereich der Standard-Voreinstellungsrichtlinie, wird Ihre benutzerdefinierte Anti-Phishing-Regel für die Finanzabteilung vollständig ignoriert. Es erscheinen keine Fehlermeldungen und keine Warnungen. So entsteht eine unsichtbare Sicherheitslücke, die Angreifer leicht ausnutzen können.

Voreinstellungen vs. benutzerdefinierte Richtlinien: der administrative Zielkonflikt

Für ein langfristig tragfähiges Cloud-Architekturmanagement ist es entscheidend, den grundsätzlichen Unterschied zwischen den Voreinstellungs-Sicherheitsrichtlinien von Microsoft und individuellen Mandantenkonfigurationen zu verstehen. Voreinstellungsrichtlinien (Standard und Strict) bündeln Erkenntnisse aus Millionen Postfächern weltweit. Microsoft passt diese Einstellungen laufend anhand von Bedrohungstelemetrie in Echtzeit an. Sie profitieren also von branchenweiten Beobachtungen, die einzelne Mandanten allein niemals erreichen könnten.

Umgekehrt steht eine benutzerdefinierte Richtlinie für das subjektive Urteil eines einzelnen Administrators, angewendet auf eine einzelne Organisation zu einem bestimmten Zeitpunkt. Benutzerdefinierte Regeln bieten zwar eine detaillierte Steuerung für bestimmte E-Mail-Flüsse oder besondere Geschäftsanforderungen, sie bringen jedoch einen erheblichen Wartungsaufwand mit sich. Wenn sich Angriffsvektoren weiterentwickeln, bleiben benutzerdefinierte Richtlinien vollständig unverändert. Ohne einen festen Überprüfungszyklus weichen benutzerdefinierte Konfigurationen unbemerkt von aktuellen Sicherheitsstandards ab. Dadurch entstehen Schwachstellen, die sich nach einem Vorfall nur schwer nachvollziehen lassen.

Wann sind benutzerdefinierte Anti-Phishing-Richtlinien tatsächlich gerechtfertigt?

Da Voreinstellungen die große Mehrheit der Benutzerszenarien zuverlässig abdecken, sollten benutzerdefinierte Richtlinien als Ausnahmen behandelt werden und nicht als Standardansatz. Um den laufenden Wartungsaufwand einer benutzerdefinierten Regel zu rechtfertigen, sollte sie in der Regel in eine von drei konkreten betrieblichen Kategorien fallen:

• Handverlesene Listen geschützter Benutzer: Wenn Ihre Organisation eine genau definierte Liste von Führungskräften, Vorstandsmitgliedern oder Freigabeberechtigten für Finanzen benötigt, die durch angepasste Identitätsimitations-Schwellenwerte geschützt werden, können Sie mit benutzerdefinierten Anti-Phishing-Richtlinien genau diese Namen festlegen.
• Ungewöhnliche E-Mail-Flüsse: Geschäftsbereiche, die regelmäßig nicht standardmäßige externe Dateien empfangen oder sich auf interne automatisierte Systeme stützen, die häufig Fehlalarme auslösen, benötigen unter Umständen eng begrenzte benutzerdefinierte Regeln, um den Geschäftsbetrieb aufrechtzuerhalten.
• Drittanbieter-E-Mail-Gateways: Organisationen, die E-Mails vor Microsoft 365 über ein externes Sicherheitsgateway leiten, erleben häufig veränderte Verbindungsdetails und Authentifizierungsergebnisse. Das erfordert eine gesonderte Behandlung innerhalb der Parameter benutzerdefinierter Richtlinien.

Wenn Ihr Grund für eine benutzerdefinierte Regel lediglich eine Vorliebe für andere Schwellenwerte ist oder die Annahme, dass die Standardeinstellungen zu schwach sind, rechtfertigt die Richtlinie wahrscheinlich ihre langfristigen Betriebskosten nicht.

Fazit und nächste Schritte

Die Balance zwischen automatisierter Intelligenz und gezielten benutzerdefinierten Konfigurationen kennzeichnet eine ausgereifte Cloud-Sicherheitsstrategie. Wenn Sie für die breite Belegschaft auf die Voreinstellungen von Microsoft setzen und benutzerdefinierte Regeln ausschließlich für dokumentierte Ausnahmen reservieren, reduzieren Sie den administrativen Aufwand und erhöhen gleichzeitig die Wirksamkeit der Bedrohungserkennung. Um tiefergehende Implementierungsstrategien, Konfigurationsschleifen und Berichtskennzahlen kennenzulernen, hören Sie sich die vollständige Episode des M365 FM Podcasts an. Dort finden Sie fundierte Praxistipps, mit denen Sie Ihre Microsoft-365-Sicherheit noch heute optimieren können.

Häufige Fragen

Was passiert, wenn ein Benutzer sowohl in einer Voreinstellungsrichtlinie als auch in einer benutzerdefinierten Richtlinie enthalten ist?

Die Auswertungs-Engine von Microsoft 365 verarbeitet Richtlinien in einer festen Reihenfolge und priorisiert Voreinstellungsrichtlinien (zuerst Strict, dann Standard) vor benutzerdefinierten Richtlinien. Passt ein Benutzer zu einer Voreinstellungsrichtlinie, beendet das System die weitere Auswertung, und die benutzerdefinierte Richtlinie wird für diesen Empfänger vollständig übergangen.

Werden die Sicherheitsvoreinstellungen von Microsoft automatisch aktualisiert?

Ja. Voreinstellungsrichtlinien werden direkt von Microsoft gepflegt. Ändert sich die Bedrohungslage und werden die empfohlenen Basiswerte angepasst, aktualisiert Microsoft die zugrunde liegenden Einstellungen der Voreinstellungen Standard und Strict automatisch. Administratoren müssen so keine manuellen Überprüfungszyklen durchführen.

Warum sollten Benutzer mit hohem Risiko, etwa Führungskräfte, in Strict-Voreinstellungen statt in benutzerdefinierten Regeln aufgenommen werden?

Rollen mit hohem Risiko sind bevorzugte Ziele für ausgefeilte Spear-Phishing- und Identitätsimitationsangriffe. Strict-Voreinstellungen wenden aggressive Schutzschwellenwerte an, die auf der globalen Telemetrie von Microsoft basieren. So erhalten Sie umfassenden Schutz, ohne dass Administratoren komplexe benutzerdefinierte Ausnahmelisten manuell pflegen müssen.

Wie kann ich überprüfen, welche Richtlinie tatsächlich für das Postfach eines bestimmten Benutzers gilt?

Sie können die wirksamen Richtlinien mit dem Konfigurationsanalysetool im Microsoft Defender-Portal überprüfen oder erweiterte Jagdabfragen (Advanced Hunting) zu E-Mail-Ereignissen ausführen. So lässt sich nachvollziehen, welche Erkennungsmechanismen und Richtlinien auf eingehende Nachrichten eines Benutzers angewendet wurden.