Wenn Microsoft-Messaging sicher wirkt, es aber nicht ist — Exchange Server, Hybrid und Microsoft 365 Security mit Thomas Stensitzki [MVP]

Microsoft Exchange und Microsoft 365 ermöglichen den Betrieb leistungsstarker Messaging-Umgebungen, doch die Verlagerung von E-Mails in die Cloud macht sie nicht automatisch sicher. In dieser Folge der M365 Show spricht Gastgeber Mirko Peters [MVP] mit Thomas Stensitzki [MVP] über die Sicherheitslücken, die sich in Exchange Server, Exchange Online und Hybrid-Bereitstellungen verbergen können. Auf Basis von mehr als 25 Jahren Erfahrung im Messaging erklärt Thomas, wie Identitätsschutz, sorgfältige Konfiguration, sicherer Mail-Flow und operative Disziplin zusammenwirken, um die E-Mail-Kommunikation einer Organisation zu schützen.

VON EXCHANGE SERVER ZU HYBRID UND EXCHANGE ONLINE
Thomas erzählt, wie er seine Karriere rund um Exchange aufgebaut hat und warum E-Mail für Unternehmen nach wie vor unverzichtbar ist. Er erklärt, wie eine Hybrid-Umgebung den lokalen Exchange Server mit Exchange Online verbindet und warum diese Verbindung eine sorgfältige Planung über Messaging-, Netzwerk- und Sicherheitsteams hinweg erfordert. Microsoft 365 stellt einen funktionsfähigen Dienst mit Standardeinstellungen bereit, dennoch müssen Organisationen Schutzmechanismen wie Anti-Spam, Anti-Malware und Anti-Phishing an ihre Anforderungen anpassen.

IDENTITÄT, ADMINISTRATORZUGRIFF UND NOTFALLKONTEN
Die Sicherheit der Identitäten steht an erster Stelle, auch bei Dienstkonten und anderen nicht-menschlichen Identitäten. Thomas spricht über sensible Exchange-Administratorrollen, Privileged Access Management und darüber, warum Administratoren für ihre tägliche Arbeit keine hochprivilegierten Konten verwenden sollten. Außerdem erläutert er, wie Notfall- bzw. „Break-Glass“-Konten geschützt werden können, welche Rolle FIDO-Sicherheitsschlüssel spielen und warum geplant werden muss, wie Administratoren während eines Ausfalls wieder Zugriff erhalten.

LEGACY-SMTP, PHISHING UND KOMPROMITTIERTE KONTEN
Ältere Anwendungen und Geräte sind unter Umständen weiterhin auf Basic Authentication oder Legacy-SMTP angewiesen. Thomas empfiehlt, diese Verfahren nach Möglichkeit zu vermeiden, und beschreibt, wie ein lokales Relay helfen kann, Nachrichten von Systemen weiterzuleiten, die keine moderne Authentifizierung unterstützen. Das Gespräch verfolgt zudem einen möglichen Angriffspfad von einer schädlichen E-Mail über gestohlene Zugangsdaten bis zum unberechtigten Zugriff und hebt den Nutzen von E-Mail-Filterung, getrennten Administratorkonten und der Überwachung von Anmeldeaktivitäten hervor.

MAIL-FLOW, SPF, DKIM UND DMARC
Das Verständnis des vollständigen Weges, den eine E-Mail nimmt, ist entscheidend, besonders in komplexen Umgebungen, die Gateways, Exchange Server, Exchange Online Protection und Microsoft Defender kombinieren. Thomas erklärt die Rollen von SPF, DKIM und DMARC bei der Authentifizierung von Nachrichten, die von der Domain einer Organisation gesendet werden. Zudem empfiehlt er dedizierte Subdomains für Drittanbieterdienste wie Marketingplattformen und CRM-Systeme sowie die Nutzung von DMARC-Berichten, um legitime und verdächtige Absender zu identifizieren.

MICROSOFT DEFENDER UND SICHERHEITSÜBERWACHUNG
Thomas beschreibt die Safe Links-Funktion von Microsoft Defender for Office 365 und wie der Linkschutz eine URL beim Anklicken durch den Benutzer überprüfen kann. Außerdem behandelt er Entra-Anmeldeprotokolle, verdächtige Anmeldungen und Warnungen zu unmöglichen Reisen (Impossible Travel). Sicherheitstools und Bewertungen können Entscheidungen unterstützen, doch Administratoren müssen verstehen, was sie messen, welche Leistungen ihre Lizenzen umfassen und welche Schutzmaßnahmen die Organisation tatsächlich benötigt.

KONFIGURATION, GOVERNANCE UND OPERATIVE DISZIPLIN
Die Diskussion geht über einzelne Sicherheitseinstellungen hinaus und behandelt Konfigurationsmanagement, Least-Privilege-Zugriff für programmatische Werkzeuge sowie die Risiken, die entstehen, wenn Microsoft-365-Inhalte über APIs oder Agenten offengelegt werden. Thomas erläutert, wie Exporte der Konfiguration Teams helfen können, Änderungen nachzuvollziehen. Außerdem spricht er über Microsoft-Purview-Vertraulichkeitsbezeichnungen und Data Loss Prevention (DLP) und empfiehlt, die Einführung dieser Kontrollen sorgfältig zu planen, da sie sich nach der Inbetriebnahme nur schwer ändern lassen.

BUSINESS-KONTINUITÄT, KI UND DER SICHERE BETRIEB VON EXCHANGE
Backups allein reichen unter Umständen nicht aus, wenn eine Organisation den Zugriff auf ihren Microsoft-365-Mandanten, ihre Domains oder ihre Konfiguration verliert. Thomas betont, wie wichtig es ist, die Business-Kontinuität vor einem Vorfall zu planen. Außerdem betrachtet er, wie KI sowohl Verteidigern als auch Angreifern helfen kann, und beschreibt seine Beratungstätigkeit, mit der er Organisationen bei der Modernisierung von Exchange-Server-Umgebungen sowie beim Wechsel zu Exchange Online oder zu Hybrid-Konfigurationen unterstützt.

SCHNELLFRAGEN UND ABSCHLIESSENDE SICHERHEITSTIPPS
In der Schnellfragenrunde entscheidet sich Thomas für Exchange Server, eine langfristige Hybrid-Architektur und PowerShell. Er spricht außerdem über das Zertifikatsmanagement in Exchange Server und empfiehlt Manfred Huber als künftigen Gast. Sein Schlusswort ist klar: Exchange-Umgebungen aktuell halten, dem Blog der Exchange Product Group folgen, Patches einspielen, auf Änderungen der Standardkonfiguration achten und sich auf die Abkündigung von Exchange Web Services in Exchange Online vorbereiten.

Unterstütze diesen Podcast: https://www.spreaker.com/podcast/m365-fm-a-microsoft-mvp-podcast-by-mirko-peters--6704921/support.