Darum geht es
Mitarbeitende können sich E-Mails automatisch an private Adressen weiterleiten lassen. Angreifer nutzen genau das nach einer Kontoübernahme: Eine unauffällige Weiterleitungsregel schickt ihnen dauerhaft Kopien aller E-Mails, oft über Wochen. Neben der Ausgangs-Spamfilterrichtlinie (Prüfpunkt AS-ZU-026) sperrt auch die Einstellung der Remotedomänen in Exchange Online diesen Weg. Sie wirkt zusätzlich, falls eine Antispam-Richtlinie die Weiterleitung doch erlaubt.
Was passieren kann
Vertrauliche E-Mails, Angebote oder Personaldaten fließen unbemerkt nach außen ab. Ein solcher Datenabfluss kann nach DSGVO meldepflichtig sein.
Schritt für Schritt
Öffnen Sie im Exchange Admin Center Nachrichtenfluss > Remotedomänen.
Wählen Sie die Remotedomäne „Default“ (Domain „*“), öffnen Sie „Antworttypen bearbeiten“, entfernen Sie den Haken bei „Automatische Weiterleitung zulassen“ und speichern Sie.
Wiederholen Sie das für alle weiteren Remotedomänen, die die Prüfung nennt. Ist eine Weiterleitung an eine bestimmte Partnerdomain geschäftlich nötig, dokumentieren Sie diese Ausnahme; sie bleibt in dieser Prüfung als Befund sichtbar.
Prüfen Sie zusätzlich, dass die Antispam-Ausgangsrichtlinie die automatische Weiterleitung auf „Aus – Weiterleitung ist deaktiviert“ stellt (Prüfpunkt AS-ZU-026).
Suchen Sie bestehende Postfachweiterleitungen und Transportregeln mit externem Ziel und entfernen Sie unbegründete (Prüfpunkt AS-ZU-034, siehe technischer Hinweis).
Testen Sie mit einem Testkonto: Eine Weiterleitungsregel an eine externe Adresse darf dort keine E-Mails mehr zustellen.
Hier finden Sie die Einstellung
- Exchange Admin Center (admin.exchange.microsoft.com)
- Nachrichtenfluss
- Remotedomänen
- Default (*)
- Antworttypen bearbeiten
- „Automatische Weiterleitung zulassen“
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Remotedomänen in Exchange Online lassen keine automatische Weiterleitung nach außen zu
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Exchange Online PowerShell: Get-RemoteDomain | ft Name,DomainName,AutoForwardEnabled (erwartet überall False). Korrektur: Set-RemoteDomain -Identity Default -AutoForwardEnabled $false. Bestehende Weiterleitungen: Get-EXOMailbox -ResultSize Unlimited | ? ForwardingSmtpAddress | select UserPrincipalName,ForwardingSmtpAddress; Get-TransportRule | ? { $_.RedirectMessageTo -or $_.BlindCopyTo }Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.1.1v2: Automatische Weiterleitung an externe Domains deaktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.3.A1: Sichere Konfiguration der E-Mail-Clients
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.