Häufige Konfigurationsfehler, die den Schutz von Exchange Online Protection schwächen

Von Mirko Peters · 2026-08-22

Willkommen zurück im Blog! Wenn es darum geht, den digitalen Arbeitsplatz Ihrer Organisation abzusichern, bleibt E-Mail einer der wichtigsten Angriffsvektoren für Cyberkriminelle. In ou…

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn es darum geht, den digitalen Arbeitsbereich Ihrer Organisation abzusichern, bleibt E-Mail eines der wichtigsten Angriffsziele für Cyberkriminelle. In unserer aktuellen Podcast-Folge Exchange Online Protection (EOP) - Simply Explained haben wir erläutert, wie dieser grundlegende Cloud-E-Mail-Sicherheitsdienst Microsoft-365-Umgebungen schützt. Ein robustes Sicherheitswerkzeug ist jedoch nur die halbe Miete. Entscheidend ist, wie Sie es konfigurieren: Davon hängt ab, ob Ihre Abwehr standhält oder ausgeklügelte Bedrohungen unbemerkt durchrutschen lassen.

Heute knüpfen wir an dieses Thema an und sehen uns genauer an, welche administrativen Fehltritte Ihre Exchange-Online-Protection-Konfiguration unbeabsichtigt schwächen können. Von großzügig gefassten Zulassungslisten bis zu vernachlässigten Quarantänewarteschlangen: Wir zeigen die häufigsten Fallstricke und wie Sie Ihre EOP-Konfiguration lückenlos absichern.

Einführung in die Konfiguration von Exchange Online Protection

Exchange Online Protection bildet als grundlegende Cloud-E-Mail-Sicherheitsebene die Basis für Microsoft 365. Der Dienst filtert automatisch Spam, Schadsoftware und gängige Phishing-Versuche und nutzt dafür die global skalierte Cloud-Infrastruktur von Microsoft. Da EOP praktisch keine Hardware-Installation erfordert und Ihre Postfächer von Anfang an schützt, verfallen IT-Administratoren leicht in die Haltung „einrichten und vergessen“.

Leider ist E-Mail-Sicherheit kein statischer Zustand. Angreifer entwickeln ihre Methoden ständig weiter, etwa durch Domainwechsel, ausgeklügelten Business-E-Mail-Betrug und OAuth-basierte Angriffe. Wenn Administratoren ihre EOP-Einstellungen nicht aktiv pflegen, können Standardkonfigurationen gegenüber aktuellen Bedrohungen versagen. Erst eine sorgfältige Feinabstimmung, kontinuierliche Überwachung und ein diszipliniertes Richtlinienmanagement machen aus EOP ein proaktives Schutzschild statt eines einfachen Sicherheitsnetzes.

Die Gefahr zu breit gefasster Zulassungslisten

Einer der häufigsten und gefährlichsten Konfigurationsfehler ist das Anlegen zu weit gefasster Zulassungslisten. Um Fehlalarme zu beheben, etwa wenn eine wichtige Lieferanten-E-Mail im Junk-Ordner landet, ist es verlockend, eine ganze Domain, einen großen IP-Bereich oder einen Partner pauschal freizugeben.

Das löst zwar sofort die Beschwerde des Benutzers, schafft aber eine erhebliche Sicherheitslücke. Wenn Sie eine Domain in Ihre Zulassungsliste aufnehmen, weisen Sie EOP im Grunde an, die üblichen Anti-Spam-, Anti-Phishing- und Malware-Prüfungen für jede eingehende Nachricht zu umgehen, die von dieser Domain zu stammen scheint. Cyberkriminelle nutzen diese Schwachstelle aktiv durch Domain-Spoofing und die Übernahme von E-Mail-Konten. Wird das Konto eines vertrauenswürdigen Partners kompromittiert, können Angreifer Ihre eigenen großzügigen Zulassungslisten ausnutzen, um Schadnutzlasten ungehindert direkt in die Postfächer Ihrer Mitarbeiter zu liefern.

Um diese Falle zu vermeiden, halten Sie Zulassungslisten so granular wie möglich. Statt eine ganze Domain freizugeben, sollten Sie gezielt einzelne Absenderadressen authentifizieren und eine strikte Ausrichtung von SPF, DKIM und DMARC verlangen. Verlassen Sie sich auf die integrierte Intelligenz von EOP und auf das Feedback der Benutzer, statt pauschale Ausnahmen zu definieren.

Versäumte regelmäßige Überprüfung und Aktualisierung von Richtlinien

Eine weitere große Schwachstelle entsteht durch statische Richtlinien. Viele Organisationen konfigurieren ihre Anti-Spam-, Anti-Malware- und Verbindungsfilter-Richtlinien während des ersten Onboardings in Microsoft 365 und sehen sie danach nie wieder an. Mit der Zeit ändern sich die Anforderungen der Organisation, Geschäftsbeziehungen entwickeln sich weiter, und Microsoft führt neue Sicherheitsfunktionen und Erkennungsmechanismen ein.

Wer seine Richtlinien nicht regelmäßig überprüft, verschenkt verbesserte Schutzfunktionen. Microsoft bringt beispielsweise laufend neue Funktionen für maschinelles Lernen und Verbesserungen der Zero-Hour Auto Purge (ZAP) auf den Weg, die schädliche E-Mails auch nach der Zustellung aus den Postfächern entfernen. Sind Ihre benutzerdefinierten Richtlinien veraltet oder verlassen Sie sich ausschließlich auf Altkonfigurationen, entgehen Ihnen genau diese modernen Abwehrmechanismen.

Legen Sie einen Rhythmus fest, etwa eine vierteljährliche oder halbjährliche Überprüfung, um Ihre Anti-Spam- und Anti-Malware-Konfigurationen zu prüfen. Stellen Sie sicher, dass für Risikonutzer wie Führungskräfte und Mitarbeitende der Finanzabteilung maßgeschneiderte, strengere Richtlinien gelten, während Standardnutzer mit sicheren Standardbasiskonfigurationen arbeiten.

Quarantäne-Nachrichten falsch verwalten

Wenn EOP seine Aufgabe erfüllt und eine verdächtige E-Mail abfängt, legt der Dienst sie häufig in Quarantäne. Ein Quarantäneordner ist jedoch nur dann wirksam, wenn sich jemand aktiv darum kümmert. Ein häufiger betrieblicher Fehler besteht darin, die Quarantäneverwaltung niemandem zuzuweisen oder sie unbeaufsichtigt zu lassen.

Wenn Endbenutzer mit Benachrichtigungen über Quarantäne-Nachrichten überhäuft werden oder, noch schlimmer, legitime E-Mails unbegrenzt in einer vergessenen Warteschlange liegen, leidet die Produktivität und die Frustration wächst. Noch kritischer ist: Wenn Administratoren quarantänierte Elemente nicht regelmäßig prüfen, entgehen ihnen wertvolle Telemetriedaten. Die Analyse dessen, was abgefangen wird, hilft Sicherheitsteams, aktuelle Angriffstrends zu erkennen, Fehlalarme zu identifizieren und die Filterempfindlichkeit fein abzustimmen.

Legen Sie klare Zuständigkeiten für die Prüfung der Quarantäne fest. Nutzen Sie die rollenbasierte Zugriffssteuerung (RBAC), um bestimmte IT-Mitarbeitende oder Sicherheitsanalysten zur Prüfung quarantänierter E-Mails zu berechtigen. Informieren Sie Endbenutzer außerdem darüber, wie sie die Freigabe legitimer Nachrichten sicher über die vorgesehenen administrativen Wege anfordern können.

Konkrete Schritte für eine lückenlose EOP-Konfiguration

Die Absicherung Ihrer E-Mail-Umgebung erfordert nicht über Nacht eine komplette Überarbeitung, wohl aber ein diszipliniertes Konfigurationsmanagement. Hier sind einige konkrete Schritte, die Sie heute umsetzen können, um Ihre EOP-Einrichtung zu härten:

• Vorhandene Zulassungslisten prüfen: Überprüfen Sie Ihren Mandanten auf Zulassungslisten mit Platzhaltern oder breit gefassten Domänen. Schränken Sie diese auf bestimmte Absenderadressen ein oder entfernen Sie sie vollständig zugunsten einer konsequenten Durchsetzung von DMARC und Authentifizierung.
• Nachrichtenverfolgung und Berichte nutzen: Prüfen Sie regelmäßig die Protokolle der Nachrichtenverfolgung und die Sicherheitsdashboards im Microsoft 365 Admin Center. Die Überwachung dieser Berichte hilft Ihnen, auffällige Datenverkehrsmuster, Zustellverzögerungen und unerwartetes Filterverhalten zu erkennen.
• Gestaffelte Richtlinien einsetzen: Wenden Sie keine Einheitsregel auf Ihre gesamte Organisation an. Behalten Sie robuste Standardrichtlinien für allgemeine Nutzer bei und erstellen Sie benutzerdefinierte Richtlinien mit hohem Schutz für Führungskräfte, Finanzteams und andere besonders gefährdete Ziele.
• Über neue Funktionen auf dem Laufenden bleiben: Verfolgen Sie die Updates in der Microsoft 365 Roadmap. Wenn Microsoft EOP und umfassendere Suiten wie Microsoft Defender für Office 365 um erweiterte Funktionen ergänzt, prüfen Sie, wie sich diese in Ihre bestehende Architektur einfügen.

Wenn Sie diese typischen Konfigurationsfehler vermeiden und sich zu regelmäßiger administrativer Kontrolle verpflichten, können Sie Ihre Angriffsfläche für E-Mail-basierte Bedrohungen deutlich verringern.

Zusammengefasst ist Exchange Online Protection ein hervorragendes Basiswerkzeug, das weltweit Millionen von Postfächern schützt. Ihre tatsächliche Wirksamkeit hängt jedoch stark davon ab, wie Sie den Dienst konfigurieren und pflegen. Wenn Sie Ihre Zulassungslisten eng halten, Ihre Richtlinien regelmäßig überprüfen, Ihre Quarantänen aktiv verwalten und sich auf dem Laufenden halten, schaffen Sie eine widerstandsfähige Verteidigung gegen die heutigen Cyberbedrohungen.

Wenn Sie tiefer einsteigen möchten, wie dieser grundlegende Dienst arbeitet und wie er in das größere Microsoft-Sicherheitsökosystem passt, hören Sie sich unbedingt unsere vollständige Folge an: Exchange Online Protection (EOP) - Simply Explained. Bis zum nächsten Mal: Bleiben Sie sicher und optimieren Sie weiterhin Ihre M365-Umgebung!