Phishing-Schutz in Microsoft 365: Warum Spamfilter allein nicht reichen

Kurzantwort für Geschäftsführer

Phishing-Schutz in Microsoft 365 besteht nicht aus einer einzigen Funktion.

Ein Spamfilter ist wichtig, aber nicht ausreichend.

Moderne Phishing-Angriffe nutzen gefälschte Absender, kompromittierte echte Konten, täuschend echte Login-Seiten, bösartige Links, schädliche Anhänge, QR-Codes, Weiterleitungsregeln, OAuth-App-Berechtigungen und Social Engineering.

Microsoft 365 stellt mehrere Schutzfunktionen bereit. Dazu gehören unter anderem Anti-Spam, Anti-Malware, Anti-Phishing-Richtlinien, Safe Links, Safe Attachments, Schutz vor Absender-Imitation, Meldemöglichkeiten, Protokolle, MFA und Conditional Access.

Aber diese Funktionen wirken nur dann zuverlässig, wenn sie korrekt eingerichtet, lizenziert, geprüft und betreut werden.

Für kleine und mittelständische Unternehmen bedeutet das:

E-Mail-Sicherheit ist kein Nebenbei-Thema.

Phishing ist oft der Einstieg in größere Sicherheitsvorfälle.

Der Schutz muss technisch, organisatorisch und menschlich gedacht werden.

Die wichtigsten Bausteine sind:

• E-Mail-Schutzrichtlinien prüfen
• Anti-Phishing-Richtlinien aktivieren
• Safe Links und Safe Attachments bewerten
• Absender-Imitation absichern
• externe Absender kenntlich machen
• automatische Weiterleitungen kontrollieren
• MFA konsequent einsetzen
• Conditional Access nutzen
• Benutzer schulen
• verdächtige E-Mails schnell melden und auswerten
• Backups und Notfallprozesse bereithalten

Phishing-Schutz ist kein einzelner Haken in Microsoft 365. Es ist ein Sicherheitsprozess.

Warum Phishing für KMU so gefährlich ist

Phishing ist für kleine und mittelständische Unternehmen besonders gefährlich, weil Angriffe oft sehr alltäglich wirken.

Es geht nicht immer um spektakuläre Hackerangriffe. Häufig beginnt es mit einer scheinbar normalen E-Mail:

• eine angebliche Microsoft-Anmeldung
• eine gefälschte Rechnung
• eine Paketbenachrichtigung
• eine Freigabe über OneDrive oder SharePoint
• eine angebliche Teams-Einladung
• eine E-Mail vom Geschäftsführer
• eine Nachricht eines Lieferanten
• eine Zahlungsaufforderung
• ein Link zu einem angeblichen Dokument
• ein QR-Code zur Anmeldung

Das Ziel ist fast immer gleich:

Der Benutzer soll klicken, sich anmelden, Daten eingeben, eine Datei öffnen, eine Zahlung freigeben oder eine Sicherheitsabfrage bestätigen.

Wenn das gelingt, kann der Schaden erheblich sein.

Mögliche Folgen:

• kompromittierte Microsoft-365-Konten
• Zugriff auf E-Mails und Dateien
• Datenabfluss
• gefälschte Rechnungen
• interne Weiterverbreitung von Phishing
• automatische Weiterleitungen an Angreifer
• Manipulation von Zahlungsprozessen
• Reputationsschaden
• Datenschutzvorfall
• Betriebsunterbrechung

Gerade kleinere Unternehmen haben oft keine eigene Sicherheitsabteilung. Deshalb muss der Schutz praxistauglich, verständlich und betreut sein.

Warum Spamfilter allein nicht reichen

Ein Spamfilter sortiert unerwünschte oder verdächtige E-Mails aus. Das ist wichtig.

Aber moderne Phishing-Angriffe sind oft so gestaltet, dass sie nicht wie klassischer Spam wirken.

Beispiele:

Eine E-Mail kommt von einem tatsächlich kompromittierten Konto eines bekannten Geschäftspartners.

Ein Angreifer nutzt eine täuschend echte Microsoft-Anmeldeseite.

Der Link sieht unauffällig aus, wird aber erst später verändert.

Die E-Mail enthält keinen klassischen Schadanhang, sondern führt zu einer legitimen Cloud-Plattform, auf der ein gefährlicher Inhalt liegt.

Ein QR-Code ersetzt den sichtbaren Link.

Ein Mitarbeiter erhält eine scheinbar persönliche Nachricht aus einem laufenden Projekt.

Ein Angreifer hat vorher echte E-Mail-Kommunikation gelesen und antwortet im passenden Kontext.

Ein Spamfilter kann solche Angriffe nicht immer zuverlässig verhindern.

Deshalb braucht Phishing-Schutz mehrere Ebenen.

Schutzebene 1: Exchange Online Protection und Defender prüfen

Microsoft 365 enthält grundlegende E-Mail-Schutzfunktionen. Je nach Lizenz kommen zusätzliche Defender-Funktionen hinzu.

Wichtig ist, dass Unternehmen nicht nur davon ausgehen, geschützt zu sein, sondern die Konfiguration prüfen.

Zu prüfen sind unter anderem:

• Anti-Spam-Richtlinien
• Anti-Malware-Richtlinien
• Anti-Phishing-Richtlinien
• Quarantäne-Einstellungen
• Behandlung verdächtiger Anhänge
• Behandlung verdächtiger Links
• Schutz vor Absender-Imitation
• Schutz für besonders gefährdete Benutzer
• externe Absenderkennzeichnung
• Meldemöglichkeiten für Benutzer
• Ausnahmen und Whitelists

Besonders kritisch sind falsch gesetzte Ausnahmen.

Viele Unternehmen haben über Jahre Domains, Absender oder IP-Adressen freigegeben. Solche Ausnahmen können später zum Risiko werden, wenn sie nicht regelmäßig geprüft werden.

Schutzebene 2: Preset Security Policies nutzen

Microsoft stellt für viele Umgebungen empfohlene Sicherheitsrichtlinien bereit.

Diese Richtlinien können helfen, mehrere E-Mail-Schutzfunktionen gebündelt zu aktivieren.

Für Unternehmen ist das interessant, weil nicht jede einzelne Einstellung manuell aufgebaut werden muss.

Trotzdem gilt:

Preset Security Policies ersetzen keine Prüfung.

Unternehmen sollten klären:

• Welche Richtlinie ist aktiv?
• Gilt sie für alle Benutzer?
• Gibt es Ausnahmen?
• Sind besonders gefährdete Benutzer einbezogen?
• Ist Standard oder Strict sinnvoll?
• Gibt es Benutzergruppen mit höherem Risiko?
• Sind die Auswirkungen auf den Mailfluss geprüft?
• Werden Quarantäne und Fehlalarme bewertet?

Für kleinere Unternehmen kann eine empfohlene Schutzrichtlinie ein guter Einstieg sein. Für anspruchsvollere Umgebungen sind zusätzliche Anpassungen sinnvoll.

Schutzebene 3: Safe Links

Links sind einer der häufigsten Phishing-Wege.

Der Benutzer klickt nicht auf einen Anhang, sondern auf einen Link zu einer angeblichen Anmeldung, Rechnung, Freigabe oder Nachricht.

Safe Links kann helfen, gefährliche Links zu prüfen und Benutzer vor bekannten schädlichen Zielen zu schützen.

Wichtig ist:

Safe Links schützt nur dann sinnvoll, wenn die Funktion in der passenden Lizenz vorhanden, aktiviert und richtig angewendet wird.

Unternehmen sollten prüfen:

• Ist Safe Links verfügbar?
• Für welche Benutzer gilt es?
• Werden Links in E-Mails geprüft?
• Werden Links in Teams oder Office-Dokumenten berücksichtigt, sofern lizenziert und konfiguriert?
• Gibt es Ausnahmen?
• Werden Klicks protokolliert?
• Werden gefährdete Benutzer besonders geschützt?

Safe Links ist kein Freifahrtschein. Benutzer müssen trotzdem lernen, verdächtige Links zu erkennen.

Schutzebene 4: Safe Attachments

Anhänge bleiben gefährlich.

Auch wenn viele Angriffe heute über Links laufen, werden weiterhin Dateien genutzt:

• Word-Dokumente
• Excel-Dateien
• PDFs
• ZIP-Dateien
• OneNote-Dateien
• HTML-Dateien
• ISO- oder Archivdateien
• vermeintliche Rechnungen
• angebliche Bewerbungen
• Versanddokumente

Safe Attachments kann Anhänge zusätzlich prüfen, bevor sie beim Benutzer landen oder geöffnet werden.

Unternehmen sollten prüfen:

• Ist Safe Attachments verfügbar?
• Für wen gilt die Richtlinie?
• Werden Anhänge blockiert, ersetzt oder verzögert zugestellt?
• Gibt es Ausnahmen?
• Werden betroffene Benutzer informiert?
• Wird die Quarantäne regelmäßig geprüft?
• Sind Geschäftsprozesse betroffen?

Ein Schutz, der nie kontrolliert wird, erzeugt entweder Lücken oder Frust. Deshalb müssen Sicherheit und Alltag zusammenpassen.

Schutzebene 5: Anti-Phishing und Schutz vor Imitation

Viele Angriffe funktionieren nicht durch technische Schadsoftware, sondern durch Täuschung.

Der Absender sieht aus wie:

• Geschäftsführer
• Buchhaltung
• Steuerberater
• Lieferant
• Microsoft
• Bank
• Kunde
• Dienstleister
• Paketdienst
• Bewerber
• interner Mitarbeiter

Microsoft 365 kann helfen, solche Imitationen zu erkennen und zu behandeln.

Besonders relevant sind:

• Schutz vor Benutzer-Imitation
• Schutz vor Domain-Imitation
• Mailbox Intelligence
• Spoofing-Erkennung
• Behandlung verdächtiger Absender
• Schutz besonders gefährdeter Personen
• Prüfung externer Absender

Unternehmen sollten besonders die Personen schützen, deren Namen häufig missbraucht werden:

• Geschäftsführung
• Buchhaltung
• Einkauf
• Personalabteilung
• Vertrieb
• IT-Verantwortliche

Wenn ein Angreifer im Namen der Geschäftsführung eine Zahlungsfreigabe fordert, entscheidet oft nicht die Technik allein. Entscheidend ist auch, ob interne Prozesse solche Freigaben absichern.

Schutzebene 6: Automatische Weiterleitungen kontrollieren

Ein klassisches Angriffsmuster ist die automatische Weiterleitung.

Ein Angreifer übernimmt ein Postfach und richtet eine Regel ein, die eingehende E-Mails an eine externe Adresse weiterleitet.

So kann er Kommunikation mitlesen, ohne sofort aufzufallen.

Besonders gefährlich ist das bei:

• Geschäftsführung
• Buchhaltung
• Vertrieb
• Personalabteilung
• Projektleitung
• gemeinsam genutzten Postfächern

Unternehmen sollten prüfen:

• Sind automatische externe Weiterleitungen erlaubt?
• Gibt es bestehende Weiterleitungsregeln?
• Werden neue Weiterleitungen erkannt?
• Sind Weiterleitungen in Postfächern dokumentiert?
• Werden verdächtige Postfachregeln regelmäßig geprüft?
• Gibt es Warnmeldungen bei neuen Regeln?
• Sind Shared Mailboxes berücksichtigt?

Eine unbemerkte Weiterleitung kann aus einem kurzen Sicherheitsvorfall einen langen Datenabfluss machen.

Schutzebene 7: MFA und Conditional Access

Phishing-Schutz endet nicht bei der E-Mail.

Wenn ein Benutzer Zugangsdaten eingibt, müssen weitere Schutzebenen greifen.

MFA ist deshalb Pflicht.

Aber MFA allein reicht nicht immer. Moderne Angriffe können Benutzer dazu bringen, MFA-Anfragen zu bestätigen oder Anmeldeprozesse nachzubilden.

Deshalb ist Conditional Access wichtig.

Conditional Access kann helfen, Zugriffe abhängig von Bedingungen zu steuern:

• Benutzerrolle
• Standort
• Gerät
• Risiko
• Anwendung
• Anmeldeverfahren
• Adminzugriff
• Legacy Authentication

Beispiele:

Ein Administratorzugriff erfordert immer MFA.

Ein Zugriff aus einem ungewöhnlichen Land wird blockiert.

Ein nicht verwaltetes Gerät darf keine sensiblen Daten herunterladen.

Alte Anmeldeprotokolle werden blockiert.

Riskante Anmeldungen werden zusätzlich geprüft.

So wird ein erfolgreicher Phishing-Klick nicht automatisch zum vollständigen Unternehmenszugriff.

Schutzebene 8: Benutzer schulen und Meldewege schaffen

Technik ist wichtig. Aber Phishing zielt auf Menschen.

Deshalb müssen Mitarbeiter wissen:

• Wie erkenne ich verdächtige E-Mails?
• Was tue ich bei einer ungewöhnlichen MFA-Anfrage?
• Wann darf ich Zugangsdaten eingeben?
• Wie erkenne ich gefälschte Microsoft-Anmeldeseiten?
• Wie gehe ich mit QR-Codes um?
• Wem melde ich verdächtige Nachrichten?
• Was mache ich, wenn ich geklickt habe?
• Was darf ich niemals per E-Mail freigeben?

Wichtig ist eine Kultur ohne Schuldzuweisung.

Wenn Mitarbeiter Angst haben, einen Fehler zu melden, wird ein Vorfall schlimmer.

Besser ist:

Schnell melden.

Schnell reagieren.

Schaden begrenzen.

Lernen und verbessern.

Schutzebene 9: Monitoring und Reaktion

Phishing-Schutz muss kontrolliert werden.

Wichtige Signale sind:

• ungewöhnliche Anmeldungen
• neue Postfachregeln
• neue Weiterleitungen
• neue MFA-Methoden
• viele fehlgeschlagene Anmeldungen
• verdächtige OAuth-App-Berechtigungen
• ungewöhnliche Downloads
• Massenversand aus einem Konto
• Quarantäne-Treffer
• Benutzerberichte verdächtiger E-Mails

Unternehmen brauchen einen klaren Ablauf:

• Wer prüft Warnmeldungen?
• Wer sperrt betroffene Konten?
• Wer widerruft Sitzungen?
• Wer ändert Passwörter und MFA-Methoden?
• Wer prüft Postfachregeln?
• Wer informiert Geschäftsführung?
• Wer dokumentiert den Vorfall?
• Wer bewertet Datenschutzpflichten?

Im Ernstfall zählt Geschwindigkeit.

Schutzebene 10: Backup und Wiederherstellung

Phishing kann zu Datenverlust führen.

Beispiele:

• Dateien werden gelöscht
• Postfächer werden manipuliert
• Daten werden verschlüsselt
• SharePoint- oder OneDrive-Daten werden verändert
• Benutzerkonten werden missbraucht
• E-Mails werden gelöscht oder verschoben

Microsoft 365 bietet Papierkorb, Versionierung und Aufbewahrungsfunktionen. Das ist hilfreich.

Für viele Unternehmen ist trotzdem ein unabhängiges Microsoft-365-Backup sinnvoll.

Wichtig ist:

Ein Backup muss nicht nur existieren. Es muss wiederherstellbar sein.

Unternehmen sollten prüfen:

• Werden Exchange Online, OneDrive, SharePoint und Teams berücksichtigt?
• Liegt das Backup getrennt vom Microsoft-365-Tenant?
• Gibt es definierte Aufbewahrungszeiten?
• Können einzelne Postfächer wiederhergestellt werden?
• Können Dateien gezielt wiederhergestellt werden?
• Wurde ein Restore getestet?

Phishing-Schutz und Backup gehören zusammen.

30-60-90-Tage-Fahrplan

Erste 30 Tage: Risiken sichtbar machen

• aktuelle E-Mail-Schutzrichtlinien prüfen
• Anti-Spam-, Anti-Malware- und Anti-Phishing-Status erfassen
• Ausnahmen und Whitelists prüfen
• externe Weiterleitungen kontrollieren
• MFA-Status aller Benutzer prüfen
• besonders gefährdete Benutzer identifizieren
• Benutzer über Meldewege informieren

Bis 60 Tage: Schutz verbessern

• Preset Security Policies bewerten
• Safe Links und Safe Attachments prüfen
• Schutz vor Absender-Imitation aktivieren oder verbessern
• externe Absenderkennzeichnung bewerten
• Weiterleitungsregeln kontrollieren
• Conditional-Access-Regeln für riskante Zugriffe prüfen
• Schulung oder Awareness-Maßnahmen starten

Bis 90 Tage: Betrieb etablieren

• regelmäßige Prüfung von Warnmeldungen einführen
• Quarantäne-Prozesse definieren
• Phishing-Meldeprozess etablieren
• Notfallablauf für kompromittierte Konten dokumentieren
• Backup- und Restore-Test durchführen
• Sicherheitsregeln regelmäßig überprüfen
• Lessons Learned aus Vorfällen dokumentieren

Phishing-Schutz ist kein einmaliges Projekt. Er muss laufend gepflegt werden.

Geschäftsführer-Checkliste

Diese Fragen sollte ein Unternehmen beantworten können:

• Sind Anti-Phishing-Richtlinien aktiv?
• Sind Safe Links und Safe Attachments verfügbar und eingerichtet?
• Sind besonders gefährdete Personen geschützt?
• Werden externe Absender klar erkannt?
• Gibt es unnötige Ausnahmen oder Whitelists?
• Werden automatische Weiterleitungen kontrolliert?
• Ist MFA für alle Benutzer aktiv?
• Gibt es Conditional-Access-Regeln gegen riskante Zugriffe?
• Wissen Mitarbeiter, wie sie Phishing melden?
• Gibt es einen Notfallplan für kompromittierte Konten?
• Wird ein Microsoft-365-Backup genutzt?
• Wurde die Wiederherstellung getestet?

Wenn mehrere Antworten unklar sind, sollte die Microsoft-365-E-Mail-Sicherheit geprüft werden.

Unsere Empfehlung

EDV Systeme Donner empfiehlt, Phishing-Schutz nicht nur als Spamfilter-Thema zu betrachten.

Ein wirksamer Schutz besteht aus mehreren Bausteinen:

• Microsoft-365-Schutzfunktionen
• Defender-Richtlinien
• MFA
• Conditional Access
• kontrollierte Weiterleitungen
• Schulung
• Monitoring
• Backup
• Notfallprozesse

Für kleine und mittelständische Unternehmen ist entscheidend, dass diese Maßnahmen nicht nur theoretisch vorhanden sind, sondern im Alltag funktionieren.

Die beste Sicherheitslösung nützt wenig, wenn niemand Warnmeldungen prüft, Benutzer nicht wissen, wie sie Phishing melden, oder Wiederherstellungen nie getestet wurden.

Phishing-Schutz muss praxistauglich sein.

Fazit

Phishing bleibt eines der größten Risiken für Microsoft 365.

Ein Spamfilter allein reicht nicht aus.

Unternehmen brauchen einen mehrschichtigen Schutz: technische Richtlinien, sichere Anmeldung, kontrollierte Zugriffe, Mitarbeiterschulung, Monitoring und Backup.

Microsoft 365 bietet dafür viele Möglichkeiten. Aber sie müssen bewusst eingerichtet und regelmäßig geprüft werden.

EDV Systeme Donner unterstützt Unternehmen dabei, Microsoft 365 gegen Phishing besser abzusichern, typische Lücken zu erkennen und Schutzmaßnahmen praxistauglich umzusetzen.