Darum geht es
Auch wenn die externe Weiterleitung gesperrt ist, sollten Sie regelmäßig prüfen, welche Weiterleitungen tatsächlich eingerichtet sind. Auditspiegel prüft dafür Weiterleitungsadressen an Postfächern und aktive Transportregeln, die E-Mails an externe Domains umleiten oder in Kopie senden. Angreifer richten nach einer Kontoübernahme außerdem gern versteckte Posteingangsregeln ein, die E-Mails weiterleiten oder Antworten verschwinden lassen. Diese prüfen Sie am besten zusätzlich selbst.
Was passieren kann
Unentdeckte Weiterleitungen leiten über lange Zeit Geschäftskorrespondenz nach außen. Ein solcher Datenabfluss kann nach DSGVO meldepflichtig sein und ist häufig die Grundlage für Rechnungsbetrug.
Schritt für Schritt
Öffnen Sie im Exchange Admin Center Berichte > Nachrichtenfluss und rufen Sie den Bericht zu automatisch weitergeleiteten Nachrichten („Automatisch weitergeleitete Nachrichten“) auf.
Listen Sie per PowerShell alle Postfächer mit ForwardingSmtpAddress oder ForwardingAddress auf (siehe technischer Hinweis) und entfernen Sie unbegründete Weiterleitungen.
Prüfen Sie im Exchange Admin Center unter Nachrichtenfluss > Regeln, ob aktive Transportregeln Nachrichten an externe Adressen umleiten, in Bcc kopieren oder Empfänger hinzufügen, und entfernen oder deaktivieren Sie unbegründete Regeln.
Prüfen Sie zusätzlich die Posteingangsregeln aller Postfächer auf ForwardTo, RedirectTo und ForwardAsAttachmentTo mit externen Adressen.
Klären Sie jeden Treffer mit der betroffenen Person. Löschen Sie unbekannte Regeln und setzen Sie bei Verdacht Kennwort und Sitzungen des Kontos zurück.
Legen Sie einen festen Rhythmus fest (z. B. monatlich) und prüfen Sie im Microsoft Defender-Portal unter E-Mail & Zusammenarbeit > Richtlinien & Regeln > Warnungsrichtlinie, ob die Warnung zu verdächtigen E-Mail-Weiterleitungen aktiv ist.
Hier finden Sie die Einstellung
- Exchange Admin Center (admin.exchange.microsoft.com)
- Berichte
- Nachrichtenfluss
- „Automatisch weitergeleitete Nachrichten“
oder
- Exchange Admin Center
- Nachrichtenfluss
- Regeln
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Kein Postfach und keine Transportregel leitet E-Mails an externe Domains weiter
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Postfächer: Get-EXOMailbox -ResultSize Unlimited -Properties ForwardingSmtpAddress,ForwardingAddress | ? { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } | select UserPrincipalName,Forwarding*. Transportregeln: Get-TransportRule | ? { $_.State -eq 'Enabled' -and ($_.RedirectMessageTo -or $_.BlindCopyTo -or $_.AddToRecipients -or $_.CopyTo) }. Posteingangsregeln (nicht Teil der automatischen Prüfung): Get-EXOMailbox -ResultSize Unlimited | % { Get-InboxRule -Mailbox $_.UserPrincipalName | ? { $_.ForwardTo -or $_.RedirectTo -or $_.ForwardAsAttachmentTo } | select MailboxOwnerId,Name,ForwardTo,RedirectTo }Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.1.1v2: Automatische Weiterleitung an externe Domains deaktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.3.A1: Sichere Konfiguration der E-Mail-Clients
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.