Darum geht es
Verschickt ein Konto Ihres Unternehmens plötzlich massenhaft Spam, ist es meist übernommen worden. Microsoft sperrt solche Konten automatisch für den Versand. Die IT sollte davon aber sofort erfahren, um das Konto zu bereinigen und den Schaden einzugrenzen.
Was passieren kann
Ein gekapertes Konto verschickt Spam oder Phishing an Ihre Kunden; ohne Benachrichtigung fällt das erst auf, wenn Kunden sich beschweren oder Ihre Domain auf Sperrlisten landet.
Schritt für Schritt
Öffnen Sie im Defender-Portal E-Mail & Zusammenarbeit > Richtlinien & Regeln > Warnungsrichtlinie und wählen Sie „Benutzer am Senden von E-Mails gehindert“.
Prüfen Sie, dass die Richtlinie eingeschaltet ist. Standardmäßig gehen die E-Mail-Benachrichtigungen nur an globale Administratoren.
Ergänzen Sie über „Empfängereinstellungen bearbeiten“ eine überwachte Adresse, z. B. ein IT-Sicherheitspostfach oder die Adresse Ihres Dienstleisters.
Prüfen Sie ebenso die Warnungsrichtlinien „Grenzwert für das Senden von E-Mails überschritten“ und „Verdächtige E-Mail-Sendemuster erkannt“.
Optional: Lassen Sie sich in der Standardrichtlinie für ausgehenden Spam (Bedrohungsrichtlinien > Antispam) unter „Benachrichtigungen“ eine Kopie verdächtiger ausgehender Nachrichten an dieselbe Adresse senden.
Stellen Sie sicher, dass das Empfängerpostfach regelmäßig gelesen wird. Warnungen setzen die Überwachungsprotokollierung voraus, die standardmäßig eingeschaltet ist.
Hier finden Sie die Einstellung
- Microsoft Defender-Portal (security.microsoft.com)
- E-Mail & Zusammenarbeit
- Richtlinien & Regeln
- Warnungsrichtlinie
- Benutzer am Senden von E-Mails gehindert
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Administratoren werden benachrichtigt, wenn ein Konto wegen Spamversands gesperrt wird
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Microsoft empfiehlt dafür die Standard-Warnungsrichtlinie „Benutzer am Senden von E-Mails gehindert“; die entsprechende Benachrichtigung in der Richtlinie für ausgehenden Spam wird entfernt. Warnungsrichtlinien lassen sich über keine Schnittstelle lesen, die Auditspiegel nutzt. Bitte prüfen Sie im Microsoft Defender-Portal (security.microsoft.com) unter E-Mail & Zusammenarbeit > Richtlinien & Regeln > Warnungsrichtlinie, dass die Richtlinie aktiv ist und eine überwachte Adresse benachrichtigt, und bestätigen Sie das hier.
Für Ihre IT: per PowerShell nachsehen
Security & Compliance PowerShell: Get-ProtectionAlert -Identity "User restricted from sending email" | fl Name,Disabled,NotifyUser. Kopie verdächtiger Nachrichten (nur Standardrichtlinie), Exchange Online PowerShell: Set-HostedOutboundSpamFilterPolicy -Identity Default -BccSuspiciousOutboundMail $true -BccSuspiciousOutboundAdditionalRecipients it@<firma>.de
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.3.A4: Spam- und Virenschutz auf dem E-Mail-Server
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.