Darum geht es
Microsoft erkennt, wenn fremde Server Mails mit Ihrer oder einer anderen Absenderdomain an Ihre Mitarbeitenden schicken, und entscheidet automatisch, ob das erlaubt ist. Ein kurzer wöchentlicher Blick auf diesen Bericht zeigt, ob Fälschungsversuche zunehmen oder ein legitimer Dienst fälschlich blockiert wird.
Was passieren kann
Unbemerkt freigegebene Fälschungen erreichen die Postfächer; umgekehrt gehen legitime Mails von Partnern verloren.
Schritt für Schritt
Legen Sie einen festen wöchentlichen Termin und eine verantwortliche Person (intern oder Dienstleister) fest.
Öffnen Sie im Defender-Portal Mandanten-Zulassungs-/Sperrlisten > Registerkarte „Gespoofte Absender“ bzw. die Seite security.microsoft.com/spoofintelligence.
Prüfen Sie neu zugelassene Absender: Ist der sendende Dienst bekannt und legitim?
Sperren Sie unbekannte Absender bzw. lassen Sie legitime Dienste (z. B. Ihr Newsletter-Tool) bewusst zu.
Halten Sie Datum, Ergebnis und Maßnahmen kurz schriftlich fest.
Hier finden Sie die Einstellung
- Microsoft Defender Portal (security.microsoft.com)
- E-Mail & Zusammenarbeit
- Richtlinien & Regeln
- Bedrohungsrichtlinien
- Mandanten-Zulassungs-/Sperrlisten
- Gespoofte Absender
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Der Bericht zu gefälschten Absenderdomains wird wöchentlich gesichtet
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Organisatorische Maßnahme: Hier geht es um die regelmäßige Sichtung eines Berichts durch Ihr Team. Das lässt sich technisch nicht prüfen; bitte legen Sie dafür einen festen Termin fest.
Für Ihre IT: per PowerShell nachsehen
Exchange Online PowerShell: Get-SpoofIntelligenceInsight | ft SpoofedUser,SendingInfrastructure,MessageCount,Action
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- DER.1.A5: Einsatz von mitgelieferten Systemfunktionen zur Detektion
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.