Microsoft 365 / Richtlinien zum Schutz vor Phishing, Malware und Spam prüfen

Prüfen Sie beim Schutz vor Phishing und schädlichen E-Mails in Microsoft 365 den Empfängerkreis, die Richtlinienpriorität sowie Quarantäne und Benachrichtigungen. Ein eingeschalteter Schalter allein genügt nicht. Grundlegende Schutzrichtlinien sind bereits vorhanden. Die voreingestellten Sicherheitsrichtlinien Standard und Strict sowie benutzerdefinierte Richtlinien bieten je nach verfügbaren Produktfunktionen weitere Konfigurationsmöglichkeiten.

Unterscheiden Sie die Schutztypen

Microsofts Leitfaden zu voreingestellten Sicherheitsrichtlinien erläutert das Verhältnis zwischen den allgemeinen Standardrichtlinien, den Profilen Standard und Strict sowie benutzerdefinierten Richtlinien. Treffen mehrere Richtlinien auf denselben Empfänger zu, entscheidet ihre Priorität über die wirksamen Einstellungen. Nicht jedes Microsoft 365-Abonnement enthält alle Funktionen.

Verfügbare Funktionen und aktuelle Einstellungen aufzeichnen

Unterscheiden Sie zwischen dem grundlegenden E-Mail-Schutz von Exchange Online und den zusätzlichen Funktionen von Defender für Office 365. Beispielsweise müssen Sie, wenn Safe Links, Safe Attachments oder bestimmte Funktionen zum Schutz vor Nachahmung benötigt werden, die Serviceberechtigungen für die Benutzer überprüfen, auf die sie angewendet werden sollen. Ein sichtbares Menü beweist nicht, dass jeder Empfänger für jede Funktion berechtigt ist. Der integrierte Schutz wird in Organisationen mit Defender für Office 365-Lizenzen automatisch angewendet; diese Baseline bedeutet nicht, dass alle Empfänger für jede Defender-Funktion oder benutzerdefinierte Richtlinienfunktion lizenziert sind.

Die Berechtigung zum Anzeigen von Richtlinieneinstellungen gewährt nicht unbedingt die Berechtigung, diese zu ändern. Verwenden Sie genehmigten Sicherheits- oder E-Mail-Administrationszugriff, um den Namen, den aktivierten Status, die Empfänger, Ausnahmen, Priorität und die Quarantäneaktion jeder Richtlinie zu erfassen. Lesen Sie die tatsächliche Mandantenkonfiguration, anstatt Standardwerte anzunehmen. Überprüfen Sie, dass jede bestehende geschäftliche Ausnahme weiterhin einen Eigentümer und einen dokumentierten Zweck hat.

Verstehen Sie, welche Richtlinie Vorrang hat

Für einen bestimmten Schutztyp werden Richtlinieneinstellungen nicht zusammengeführt: Es gilt nur die erste passende Richtlinie für einen Empfänger. Die Reihenfolge ist Strict → Standard → Evaluierungsrichtlinien, falls aktiviert → benutzerdefinierte Richtlinien → Standardrichtlinien oder integrierter Schutz. Evaluierungsrichtlinien decken die unterstützten Funktionen von Defender für Office 365 ab; sie sind keine separate Evaluierungsrichtlinie für jeden Schutztyp. Unter benutzerdefinierten Richtlinien desselben Typs hat eine niedrigere Prioritätsnummer Vorrang. Integrierter Schutz liefert den standardmäßigen Safe Links- und Safe Attachments-Schutz in Defender für Office 365; die standardmäßigen Anti-Malware-, Anti-Spam- und Anti-Phishing-Richtlinien sind separate Richtlinien.

Zum Beispiel, wenn ein Testbenutzer sowohl in der voreingestellten Richtlinie Standard als auch in einer benutzerdefinierten Spam-Richtlinie enthalten ist, wird selbst wenn Sie die Priorität der benutzerdefinierten Richtlinie auf 0 erhöhen, der entsprechende Schutz aus der voreingestellten Richtlinie Standard zuerst angewendet. Wenn ein Benutzer unerwartete Ergebnisse erhält, überprüfen Sie zunächst die Vorgabe, in der die Person enthalten ist. Sie sollten auch die Prüfreihenfolge unterschiedlicher Schutzarten wie Malware und Spam nicht mit der Priorität von Richtlinien desselben Typs verwechseln.

Verwenden Sie die obigen Regeln zur Richtlinienpriorität, um die wirksame Richtlinie eines Empfängers für jede Schutzart zu überprüfen. Gehen Sie nicht davon aus, dass die stärksten Einstellungen aus mehreren Richtlinien kombiniert werden: Einstellungen aus einer Richtlinie niedrigerer Priorität desselben Typs können vollständig ignoriert werden.

Überprüfen Sie die aktuellen Richtlinien

1. Öffnen Sie im Microsoft Defender-Portal E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien. Die Menüs können je nach Bildschirmsprache und Lizenz variieren.
2. Überprüfen Sie den Aktivierungsstatus und die Anwendungsziele der vordefinierten Sicherheitsrichtlinien. Prüfen Sie außerdem, ob separate Richtlinien für Führungskräfte oder sensible Arbeitskonten angewendet werden.

3. Überprüfen Sie Ausnahmen und Zulassungslisten für Phishing-, Malware- und Spam-Richtlinien. Stellen Sie sicher, dass alte geschäftliche Ausnahmen nicht übermäßig weit gefasst sind.
4. Wenn derselbe Empfänger in mehreren Richtlinien enthalten ist, wird die tatsächlich anwendbare Richtlinie gemäß Microsofts Richtlinienvorrangsleitfaden bestimmt.
5. Überprüfen Sie die erwarteten Ergebnisse mit tatsächlich in Quarantäne befindlichen Nachrichten oder sicher vorbereiteten Test-E-Mails. Prüfen Sie auch, ob Benachrichtigungen an Benutzer gesendet werden und wer eine in Quarantäne befindliche Nachricht freigeben kann.

Standard oder Strict in einer Pilotgruppe erproben

Standard dient als Ausgangspunkt für die Überprüfung allgemeiner Schutzstandards, während Strict eine Reihe von Einstellungen für Ziele mit strengeren Schutzanforderungen darstellt. Strict bedeutet nicht, dass es automatisch für alle Rollen geeignet ist. Da die meisten der voreingestellten Detailwerte von Microsoft verwaltet werden, im Gegensatz zu benutzerdefinierten Richtlinien, die Benutzer frei anpassen können, bewerten Sie, ob die Richtlinienauswahl und der Zielumfang Ihren Anforderungen entsprechen, bevor Sie nach einzelnen Optionen suchen.

1. Öffnen Sie Bedrohungsrichtlinien → Voreingestellte Sicherheitsrichtlinien und notieren Sie den aktuellen Standard- oder Strict-Status, Empfänger und Ausschlüsse. Um ein Profil zu konfigurieren, wählen Sie Schutzeinstellungen verwalten; wenn es deaktiviert ist, schaltet der dokumentierte Einrichtungsvorgang es zunächst ein. Überprüfen Sie die Empfängerkreis des Assistenten sorgfältig, bevor Sie Änderungen bestätigen.
2. Für den Schutz, den Sie ändern möchten, geben Sie Testbenutzer oder -gruppen an und überprüfen Sie die Ausnahmen. Wenn der Assistent den Umfang des Basisschutzes und des Defender-Schutzes separat anzeigt, vergleichen Sie jeden mit den Zielen und Lizenzen.
3. Vergleichen Sie Elemente, die eingegeben werden müssen, wie Benutzer und zu schützende Domains vor Nachahmung, mit den tatsächlichen Organisationsinformationen. Überprüfen Sie nicht nur Anzeigenamen, sondern auch die Konten und Domains, die Sie schützen möchten.
4. Prüfen Sie die Zusammenfassung und bestätigen Sie nur die genehmigten Einstellungen. Kontrollieren Sie anschließend die gespeicherten Einstellungen und den Empfängerkreis. Wenn Sie bestehende Profile ändern, stellen Sie sicher, dass Empfänger außerhalb der Pilotgruppe nicht unbeabsichtigt mitgeändert werden.
5. Überprüfen Sie Zustellung, Junk-Ordner, Quarantäne und Benachrichtigungen mit E-Mails, die über normale, geschäftskritische Wege gesendet werden. Fügen Sie in allgemeinen Test-E-Mails keine bösartigen Anhänge oder tatsächliche Phishing-Websites ein.

Einfache Tests zum Senden und Empfangen normaler E-Mails überprüfen nicht alle Angriffserkennungsfähigkeiten. Tatsächliche Sicherheitstests müssen separat mit Tools und im vom Unternehmen genehmigten Umfang durchgeführt werden. Zweck dieser Überprüfung ist es, zu bestätigen, dass Richtlinienziele, geschäftliche Auswirkungen, Quarantäne und Benachrichtigungen den Erwartungen entsprechen.

Überprüfen Sie die Quarantäne und Benutzerbenachrichtigungen

Quarantänerichtlinien steuern, welche Nachrichten Empfänger sehen können und ob sie diese freigeben oder die Genehmigung eines Administrators anfordern können. Eine Benachrichtigung gewährt nicht selbst die Freigabeberechtigung. Benutzer können ihre eigenen Nachrichten, die aufgrund von Anti-Malware-Richtlinien als Malware, durch Safe Attachments als Malware oder Phishing oder durch Anti-Spam-Richtlinien als Phishing mit hoher Erkennungssicherheit (High confidence phishing) in Quarantäne gestellt wurden, nicht direkt freigeben, unabhängig von der Freigabeeinstellung der Quarantänerichtlinie. Wo in diesen Fällen sonst eine Freigabeberechtigung gelten würde, können Benutzer stattdessen eine Freigabe anfordern; prüfen Sie die tatsächlich zugewiesene Richtlinie und den Genehmigungsprozess des Administrators.

Der Administrator überprüft den Grund für die Nachrichtenerkennung, die angewendete Richtlinie und den Status der automatischen Aktion und entscheidet, wer die Freigabe genehmigen wird. Nachrichten, die in den Junk-Ordner gesendet, in Quarantäne befindliche Nachrichten und vom Server abgelehnte Nachrichten, haben unterschiedliche Folgemaßnahmen, daher sollten sie zusammen mit Ergebnissen der Nachrichtenablaufverfolgung gelesen werden.

Wenn legitime E-Mails blockiert werden

Schalten Sie den Phishing-Schutz für die gesamte Organisation nicht aus, nur weil es ein Zustellungsproblem mit legitimer E-Mail gibt. Überprüfen Sie den Status mithilfe der Nachrichtenverfolgung und untersuchen Sie den Quarantänegrund, die Ergebnisse der Absenderauthentifizierung und die tatsächlich angewendete Richtlinie. Wenn es sich um ein falsch positives Ergebnis handelt, grenzen Sie den betroffenen Absender und die Richtlinienbedingungen ein und passen Sie sie an, und verifizieren Sie, dass die beabsichtigten legitimen E-Mails zugestellt werden können, ohne eine umfassende Umgehung für schädliche Nachrichten zu schaffen. Umgekehrt, wenn Phishing im Posteingang landet, überprüfen Sie die Zulassungslisten, Prioritätseinstellungen und Einstellungen zur Domain-Authentifizierung.

Erlauben Sie nicht, dass eine gesamte Domain lediglich weil der Absender darum bittet, zugelassen wird. Überprüfen Sie die tatsächliche sendende Quelle und die Ergebnisse von Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting and Conformance (DMARC). Das Hinzufügen einer Adresse zur Liste sicherer Absender eines Postfachs umgeht nicht die Erkennung von Malware oder Phishing mit hoher Erkennungssicherheit; ein Kontakt im Adressbuch ist ein separates Konzept. Für Fehlalarme, die eine Einreichung oder eine Freigabe erfordern, verwenden Sie die offizielle Einreichungsmethode, die für diesen Erkennungstyp unterstützt wird, und protokollieren Sie Ziel, Ablaufdatum und Begründung.

Nach der Änderung einer Richtlinie testen Sie erneut denselben legitimen Versandweg und prüfen Sie auf Schutzlücken, die andere Empfänger betreffen. Führen Sie Aufzeichnungen über die Richtlinie, die Empfänger und Ausnahmen, damit Sie nur die problematischen Änderungen auf ihre früheren Werte zurücksetzen können. Weisen Sie einen Verantwortlichen zu, der temporäre Zulassungseinträge vor Ablauf überprüft oder entfernt. Betrachten Sie ein Problem nicht als gelöst, nur weil eine E-Mail nach einer Schwächung des Schutzes angekommen ist.