Exchange-Hybrid-Mailfluss absichern: Bewährte Methoden für Administratoren

Von Mirko Peters · 2026-09-24

Erfahren Sie, wie Sie den Mailfluss in Exchange-Hybridumgebungen absichern, SPF, DKIM und DMARC korrekt konfigurieren und häufige Sicherheitslücken in der Microsoft-365-Messaging-Umgebung vermeiden.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Einen Exchange-Hybrid-Mailfluss abzusichern, erfordert mehr als das Aktivieren der Standardeinstellungen der Cloud. Wenn Organisationen ihre lokale Infrastruktur mit Exchange Online verbinden, können komplexe Routingpfade, Abhängigkeiten von veralteter Authentifizierung und fehlerhaft konfigurierte DNS-Richtlinien Messaging-Umgebungen für Spoofing, unbefugten Zugriff und Abfangen von E-Mails öffnen. Die Sicherheit des Hybrid-Mailflusses zu beherrschen, ist für IT-Administratoren und Cloud-Architekten, die moderne Unternehmenskommunikation schützen wollen, unverzichtbar.

Das Wichtigste in Kürze

• Exchange-Hybridkonfigurationen erfordern eine sorgfältige Planung über Messaging-, Netzwerk- und Sicherheitsteams hinweg, statt sich auf Standardeinstellungen zu verlassen.
• Lokale SMTP-Relay-Hosts sind für Altanwendungen und Hardware unverzichtbar, die moderne Authentifizierung nicht unterstützen.
• Den vollständigen Routingpfad von den eingehenden Gateways bis zu Exchange Online zu verstehen, ist entscheidend, um Zustellungsfehler und Abfangen zu verhindern.
• SPF, DKIM und DMARC müssen korrekt konfiguriert sein, mit strikter Berichterstattung, um die Domänenidentität zu schützen und E-Mail-Spoofing zu verhindern.
• Administrative Zugriffskontrollen und dedizierte Subdomänen für Drittanbieterdienste verringern die Angriffsfläche deutlich.

Architektur des Hybrid-Mailflusses verstehen

Wenn Organisationen eine Exchange-Hybridbereitstellung einführen, schaffen sie eine logische Vertrauensbeziehung zwischen ihrer lokalen Exchange-Server-Organisation und ihrem Exchange-Online-Mandanten. Das macht die interne Kommunikation nahtlos, bringt aber auch architektonische Komplexität mit sich. Nachrichten können über ein lokales Gateway eingehen, mehrere Datenbankverfügbarkeitsgruppen durchlaufen und anschließend über Exchange Online Protection (EOP) und Microsoft Defender geleitet werden, bevor sie das Postfach des endgültigen Empfängers erreichen.

Da SMTP ein historisch nachsichtiges Protokoll ist, können Angreifer Lücken in der Routinglogik ausnutzen, wenn Administratoren den vollständigen Pfad nicht erfassen und überwachen. Jeder Connector, Reverse Proxy und jede Firewallregel auf dem Weg stellt einen potenziellen Angriffspunkt oder eine Schwachstelle dar. Netzwerk- und Messaging-Teams müssen eng zusammenarbeiten, damit der Datenverkehr zwischen den Umgebungen streng kontrolliert und authentifiziert wird.

Risiken durch veraltetes SMTP und Authentifizierung managen

Eine der hartnäckigsten Sicherheitslücken in Hybrid-Messaging-Umgebungen geht auf Altanwendungen und Hardwaregeräte zurück. Viele ältere Fachanwendungen, Scanner und Zeiterfassungssysteme stützen sich noch immer auf die einfache Authentifizierung und unverschlüsseltes veraltetes SMTP, um E-Mail-Benachrichtigungen zu versenden.

Die einfache Authentifizierung global zu deaktivieren, ist ein Kernbestandteil des modernen Identitätsschutzes. Organisationen tun sich jedoch oft schwer damit, diese älteren Abhängigkeiten zu behandeln. Empfohlen wird, einen dedizierten, gehärteten lokalen SMTP-Relay-Server bereitzustellen. Dieser Relay agiert als Vermittler: Er nimmt Datenverkehr ohne Authentifizierung oder mit einfacher Authentifizierung innerhalb eines sicheren Netzwerksegments lokal an und leitet die Nachrichten anschließend über moderne Authentifizierung und sichere Transportprotokolle zuverlässig an Exchange Online weiter.

SPF, DKIM und DMARC zum Schutz der Domäne nutzen

Authentifizierungsverfahren wie Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting, and Conformance (DMARC) sind grundlegend, um E-Mail-Spoofing zu verhindern. Es reicht jedoch nicht, diese DNS-Einträge einfach zu veröffentlichen; sie müssen mit strikten Durchsetzungsrichtlinien konfiguriert werden.

Viele kleine und mittelständische Unternehmen setzen Platzhalter-DNS-Einträge ein, die nicht verhindern, dass unberechtigte Absender E-Mails versenden. Damit ist der Schutz faktisch wirkungslos. Darüber hinaus nutzen Organisationen häufig Marketing- und CRM-Plattformen von Drittanbietern, die E-Mails im Namen der Unternehmensdomain versenden. Um die Sicherheit zu gewährleisten, ohne das Marketing zu blockieren, sollten Administratoren dedizierte Subdomains für Drittanbieterdienste verwenden und die DMARC-Berichte genau auswerten, um legitime von verdächtigen Absendern zu unterscheiden.

Fazit

Die Absicherung der Microsoft-Messaging-Umgebung in einer hybriden Welt erfordert kontinuierliche operative Disziplin, strikte Identitätsverwaltung und ein fundiertes Verständnis des SMTP-Routings. Wer veraltete Authentifizierung eliminiert, Domain-Authentifizierungsprotokolle konsequent durchsetzt und die Kommunikationslücken zwischen IT- und Security-Teams schließt, kann seine Messaging-Infrastruktur deutlich härten. Weitere Einblicke in die Sicherheit von Unternehmens-Messaging und hybride Architekturen erhalten Sie in der vollständigen Episode. Dort finden Sie praxisnahe Strategien zum Schutz Ihrer Microsoft-365-Umgebung.

Häufige Fragen

Warum ist ein lokales SMTP-Relay in einer hybriden Umgebung notwendig?

Ein lokales SMTP-Relay wird für Altanwendungen, Multifunktionsdrucker und ältere Geräte benötigt, die moderne Authentifizierung (OAuth) nicht unterstützen und sich nicht sicher direkt mit Exchange Online verbinden können.

Welche Rolle spielt SPF bei der Sicherheit des Nachrichtenflusses in einer Exchange-Hybridumgebung?

SPF (Sender Policy Framework) legt fest, welche IP-Adressen und autorisierten Hosts E-Mails im Namen Ihrer Domain versenden dürfen. So können empfangende Server die Legitimität eingehender Nachrichten überprüfen.

Wie wirken sich Marketingdienste von Drittanbietern auf die Domainsicherheit aus?

Marketingplattformen und CRM-Systeme von Drittanbietern versenden häufig E-Mails unter Ihrem Unternehmensdomainnamen. Werden sie nicht über dedizierte Subdomains und passende Authentifizierungseinträge isoliert, können sie Ihre Domainreputation und Ihre allgemeine Sicherheitslage schwächen.