Warum „Einrichten und vergessen“ scheitert: Microsoft Defender als lebendes System betrachten

Von Mirko Peters · 2026-08-11

Willkommen zurück beim Podcast und unseren fortlaufenden Tiefenanalysen zur Absicherung Ihrer Cloud-Umgebung. Wenn Sie schon einmal das ungute Gefühl hatten, dass eine raffinierte Phishing-Mail trotz aktivierter Microsoft 365-Sicherheitsfunktionen direkt im Postfach eines Benutzers landet, sind Sie damit nicht allein. Zu viele Organisationen behandeln Microsoft Defender for Office 365 als reine Pf

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück beim Podcast und unseren fortlaufenden Tiefenanalysen zur Absicherung Ihrer Cloud-Umgebung. Wenn Sie schon einmal das ungute Gefühl hatten, dass eine raffinierte Phishing-Mail trotz aktivierter Microsoft 365-Sicherheitsfunktionen direkt im Postfach eines Benutzers landet, sind Sie damit nicht allein. Zu viele Organisationen behandeln Microsoft Defender for Office 365 als reine Pflichtübung. Sie aktivieren den Dienst, belassen die Einstellungen bei den Standardwerten und hoffen, dass die Cloud-Anbieter im Hintergrund alles Nötige erledigen. Genau diese Haltung des „Einrichten und vergessen“ nutzen moderne Angreifer aus, um Ihre Abwehr zu umgehen.

Die Standard-Sicherheitseinstellungen in Microsoft 365 sind lediglich ein Ausgangspunkt, kein vollständiger Schutz. Um Ihre Organisation wirksam vor sich entwickelnden Phishing-Angriffen, Business Email Compromise und schädlichen Anhängen zu schützen, brauchen Sie kontinuierliches Feintuning, regelmäßige Überprüfungen und aktive Rückkopplungsschleifen. Um diese Konzepte zu vertiefen und eine ausführliche Diskussion zur Feinabstimmung Ihrer Umgebung zu hören, hören Sie sich unbedingt unsere passende Episode Tune Microsoft Defender for Office 365 Against Phishing an. In diesem Beitrag zeigen wir, wie die Sicherheitspipeline tatsächlich funktioniert, decken versteckte Konfigurationsfallen auf und stellen Ihnen eine praxiserprobte Blaupause zur Verfügung, mit der Sie Ihre Abwehr stärken, ohne den Geschäftsbetrieb zu stören.

Was Sie lernen werden

• Wie Safe Links, Safe Attachments, das auf maschinellem Lernen basierende Anti-Phishing und Transportregeln innerhalb der E-Mail-Zustellungspipeline tatsächlich zusammenwirken.
• Die versteckten Nahtstellen und blinden Flecken, durch die gezielte Phishing-Kampagnen trotzdem durchschlüpfen.
• Die häufigsten Konfigurationsfallen, in die Administratoren tappen, und wie Sie diese gezielt vermeiden.
• Eine Schritt-für-Schritt-Blaupause, mit der Defender hochwirksam wird, ohne die gewohnten E-Mail-Abläufe zu unterbrechen.

In der Pipeline: Wo Nachrichten gewinnen – oder durchrutschen

Um zu verstehen, warum Standardeinstellungen versagen, müssen wir zuerst genauer betrachten, wie Microsoft Defender eine eingehende E-Mail verarbeitet. Es handelt sich nicht um einen einzelnen Türsteher, sondern um eine mehrschichtige Sicherheitspipeline. Wenn diese Ebenen nicht aufeinander abgestimmt und sauber konfiguriert sind, können Nachrichten ungehindert durch die Lücken rutschen.

1. Safe Links: Diese Funktion schreibt URLs in eingehenden Nachrichten um und prüft sie zum Zeitpunkt des Klicks, auch Tage nach der Zustellung der E-Mail. Allerdings können zu weit gefasste Richtlinien oder übermäßig aggressive Blockaden leicht legitime Links unterbrechen, etwa die von Marketingteams oder Umfrageplattformen. Das erzeugt dann erheblichen internen Druck, die Einschränkungen insgesamt zu lockern.
2. Safe Attachments (ATP): Diese Komponente öffnet Dateien vor der Zustellung in einer sicheren Cloud-Sandbox. Wenn sie im Überwachungsmodus statt im Blockier- oder dynamischen Zustellungsmodus konfiguriert ist, werden Bedrohungen nur protokolliert, aber nicht gestoppt. Ihre Benutzer erhalten dann schädliche Nutzdaten, während Ihr Sicherheitsteam erst nachträglich eine Warnung erhält.
3. Anti-Phishing: Diese Ebene nutzt fortschrittliches maschinelles Lernen in Kombination mit Identitätsschutz gegen Identitätsfälschung und schützt vor Anzeigenamen-Spoofing, Domain-Imitationen und ungewöhnlichem Absenderverhalten. Schlecht abgestimmte Schwellenwerte können entweder zu lästigen Fehlalarmen bei legitimen externen Partnern führen oder gezielte Angriffe auf VIP-Personen vollständig übersehen.
4. Transportregeln: Mailflussregeln haben die gefährliche Macht, den Schutz komplett zu umgehen oder Nachrichten versehentlich doppelt zu filtern. Das pauschale Freigeben ganzer Partnerdomänen über Transportregeln erzeugt häufig massive blinde Flecken, die Angreifer nur allzu gern ausnutzen.

Konfigurationsfallen, die Sie vermeiden sollten

Viele Organisationen untergraben ihre eigene Sicherheit, ohne es zu merken, indem sie in typische Konfigurationsfallen tappen. Diese Stolpersteine zu erkennen ist der erste Schritt zu einer widerstandsfähigen E-Mail-Abwehrarchitektur.

• Globale Richtlinien nach dem Gießkannenprinzip: Ihr Finanzteam und die Geschäftsführung haben nicht dasselbe Risikoprofil wie Ihre Marketingabteilung oder die allgemeine Belegschaft. Wer keine rollenbasierten Richtlinien einsetzt, lässt seine wertvollsten Zielpersonen unzureichend geschützt.
• Safe Attachments im Modus „Nur überwachen“: Warnungen werden zwar ausgelöst, Benutzer erhalten die gefährliche Nutzlast aber trotzdem. Sie müssen auf Dynamic Delivery und strikte Blockierungsrichtlinien umstellen.
• Zulassungslisten für Transportregeln: Umgehen Sie Defender niemals vollständig für ganze Domänen. Verwenden Sie stattdessen Mechanismen für vertrauenswürdige Absender und lassen Sie die Scan-Engines weiterhin aktiv.
• Nicht abgestimmter Identitätsschutz (Impersonation Protection): Wenn Sie Ihre Führungskräfte, das Finanzteam und die Kreditorenbuchhaltung nicht aktiv vor Display-Name- und Domänen-Spoofing schützen, laden Sie Wire-Fraud-Phishing geradezu ein.
• Standardeinstellungen für immer: Modelle für maschinelles Lernen benötigen menschliches Feedback und regelmäßige Anpassung der Schwellenwerte. Die Standardeinstellungen aus dem Lieferzustand sind nur ein Ausgangspunkt.
• Kein Feedback und kein Überprüfungsrhythmus: Wenn falsch positive und falsch negative Ergebnisse nie korrigiert werden, driften die Modelle ab, und Ihre Benutzer verlieren schnell das Vertrauen in die Sicherheitswerkzeuge.

Der praxistaugliche Bauplan (geschichtet und geschäftsorientiert)

Eine sichere Umgebung erfordert einen strategischen Ansatz, der robusten Schutz mit der Produktivität des Geschäftsbetriebs in Einklang bringt. So können Sie eine mehrschichtige, geschäftsorientierte Sicherheitsstrategie aufbauen.

1) Richtlinien nach Risikogruppe gestalten

Finanzabteilung und Führungskräfte:

• Safe Links: Aktiviert, mit Überprüfung zum Zeitpunkt des Klicks, Blockierung unbekannter Links und Echtzeitprüfung in Office-Apps und Microsoft Teams.
• Safe Attachments: Konfiguriert für Dynamic Delivery plus Blockieren.
• Anti-Phishing: Auf hohen Schutz eingestellt, mit konsequentem Identitätsschutz für VIPs, interne Domänen und bekannte, täuschend ähnliche Lieferantendomänen.

Allgemeine Mitarbeiter:

• Safe Links: Aktiviert, wobei die URL-Umschreibung beibehalten wird und ein klarer Ablauf zum Einreichen und Melden von berechtigten Fehlalarmen bereitsteht.
• Safe Attachments: Dynamic Delivery plus Blockieren.
• Anti-Phishing: Standardschutz, kombiniert mit kontinuierlicher Meldung durch Benutzer und Sensibilisierungsschulungen.

Marketing und Betrieb mit linklastigen Arbeitsabläufen:

• Safe Links: Aktiviert, mit sorgfältig abgestimmten Ausnahmen für geprüfte Plattformen. Eine unternehmensweite Umgehung ohne Einschränkung ist zu vermeiden.
• Safe Attachments: Dynamic Delivery.
• Richten Sie einen schnellen, strukturierten Prüfprozess für blockierte Kampagnenlinks ein, etwa über ein freigegebenes Postfach oder eine SecOps-Warteschlange.

2) Durchsetzen statt nur beobachten

Stellen Sie Ihre Haltung von passiver Beobachtung auf aktive Durchsetzung um. Konfigurieren Sie Safe Attachments so, dass Nachrichten mit Dynamic Delivery blockiert oder ersetzt werden. Bei Anti-Phishing-Richtlinien sollten Phishing-Versuche mit hoher Wahrscheinlichkeit direkt in die Quarantäne verschoben werden, Bedrohungen mit mittlerer Wahrscheinlichkeit in den Junk-E-Mail-Ordner gelangen und Elemente mit niedriger Wahrscheinlichkeit nur mit einer Sicherheitskennzeichnung zugestellt werden.

3) Umgehungspfade absichern

Prüfen Sie alle Transportregeln in Ihrem Mandanten auf Bedingungen, die Spam-, Malware- oder Phishing-Filter umgehen. Ersetzen Sie weitreichende, domänenweite Umgehungsregeln durch gezielt eingegrenzte vertrauenswürdige Absender und stellen Sie sicher, dass die Hintergrundprüfung aktiviert bleibt. Zusätzlich sollten Sie die automatische Weiterleitung von E-Mails an externe Adressen streng kontrollieren.

4) Feedback-Schleifen und Überwachung

Etablieren Sie einen regelmäßigen operativen Rhythmus. Überprüfen Sie wöchentlich Ihre Quarantäneprotokolle, die Meldungen zu falsch positiven und falsch negativen Ergebnissen, die Daten im Threat Explorer und die Nachrichtenverfolgungen. Schulen Sie Ihre Benutzer darin, das Add-in „Nachricht melden“ aktiv zu nutzen, damit Ihr Security Operations Center diese Meldungen zurück in Ihre Zulassungs- und Sperrlisten einspeisen und so die Modelle für maschinelles Lernen trainieren kann.

5) Routine bei Sicherheitsvorfällen

Wenn eine Phishing-Nachricht unweigerlich im Posteingang landet, muss Ihr Team schnell und präzise handeln. Suchen Sie im Threat Explorer nach ähnlichen E-Mails im gesamten Unternehmen, führen Sie Massenlöschungen durch, erzwingen Sie Kennwortzurücksetzungen, wenn auf einen Link geklickt wurde, prüfen Sie die OAuth-Anwendungszustimmungen und nehmen Sie die betreffende Domäne in Ihre aktiven Beobachtungslisten auf.

Kurze Konfigurationscheckliste

Bevor Sie Ihre Prüfung abschließen, gehen Sie diese kurze Checkliste durch, um sicherzustellen, dass Ihre Umgebung von Microsoft Defender for Office 365 ordnungsgemäß gehärtet ist:

• Safe Links für E-Mail, Office-Apps und Teams aktiviert, mit eingeschaltetem Schutz zum Zeitpunkt des Klicks.
• Safe Attachments auf Dynamic Delivery und Block/Replace eingestellt (Überwachungsmodus vermeiden).
• Anti-Phishing mit Identitätsschutz für VIPs, Finanzabteilung, Kreditorenbuchhaltung und interne Domänen konfiguriert.
• Keine domänenweiten Umgehungen über Transportregeln; ersetzt durch gezielt eingegrenzte vertrauenswürdige Absender und aktive Prüfung.
• Rollenbasierte Richtlinien für Führungskräfte, Finanzabteilung, allgemeine Mitarbeiter und Marketing mit jeweils eigenen Risikoschwellen festgelegt.
• Add-in zur Benutzermeldung auf Endgeräten bereitgestellt und aktiv überwacht.
• Wöchentlicher Überprüfungsrhythmus für Threat Explorer, Quarantäne, Fehlalarme und nicht erkannte Bedrohungen (False Positives/Negatives) sowie Nachrichtenablaufverfolgung.
• Betriebshandbücher für die Behebung von Phishing-Nachrichten im Postfach, Bereinigungen (Purges) und Reaktionen auf Spoofing durch Drittanbieter sind dokumentiert und getestet.

Wenn Sie Microsoft Defender als lebendiges System betrachten und nicht als statische Checkliste, wird Ihre Sicherheitslage von reaktiv zu proaktiv. Um diese Strategien genauer kennenzulernen, hören Sie sich die vollständige Diskussion im Podcast an unter Tune Microsoft Defender for Office 365 Against Phishing. Bleiben Sie sicher, optimieren Sie Ihre Richtlinien laufend, und wir sehen uns in der nächsten Folge!