Mail-Security & Advanced Threat Protection
Ein Mailfilter, an dem keine Mail vorbeikommt.
Ein vorgelagerter Mailfilter schützt Exchange Online nur dann, wenn der Mailflow stimmt. Wir richten Spam- und Malwarefilter, Sandbox, Link-Umschreibung und Schutz vor CEO-Fraud ein, sperren den direkten Weg an Exchange Online vorbei, stimmen den Filter mit Microsoft Defender for Office 365 ab und lösen klassische Appliances ab, ohne dass beim MX-Cutover eine Mail verloren geht.
Microsoft 365: derzeit nur in Deutschland. Leistungen rund um Microsoft 365 (Beratung, Migration, Betrieb, Security und Workshops) bieten wir derzeit ausschliesslich für Organisationen in Deutschland an. In der Schweiz übernehmen wir keine Microsoft-365-Mandate. Für Schweizer Kunden: Software & KI, Infrastruktur und Projekt-Recovery.
Typische Ausgangslagen
Der Filter ist da. Die Lücken liegen daneben.
Die meisten Probleme mit Mail-Security sind keine schwachen Filter, sondern Mailflow-Fehler: Wege, die am Filter vorbeiführen, Regeln, die niemand mehr versteht, und zwei Systeme, die sich gegenseitig ins Gehege kommen.
Direkt an Exchange Online vorbei
Der MX zeigt auf das Gateway, aber Exchange Online nimmt weiterhin Mail von jedem Absender direkt an. Angreifer, die den Tenant kennen, umgehen den Filter einfach.
Zwei Filter, doppelte Arbeit
Gateway und Microsoft prüfen dieselbe Mail unabhängig voneinander. Links werden zweimal umgeschrieben, legitime Mails landen in einer der beiden Quarantänen, und niemand weiss, in welcher.
Microsoft sieht nur das Gateway
Ohne Enhanced Filtering for Connectors bewertet Exchange Online die IP-Adresse des Gateways statt der des echten Absenders. SPF schlägt fehl oder ist wertlos, Spoofing-Erkennung greift nicht.
CEO-Fraud trotz Spamfilter
Die gefälschte Zahlungsanweisung enthält weder Anhang noch Link. Klassische Spam- und Virenfilter lassen sie durch, weil technisch nichts an ihr auffällt.
Appliance am Ende
Ein klassisches Gateway, etwa Cisco Secure Email, läuft aus Wartung oder Lizenz. Hunderte Regeln aus vielen Jahren müssen auf eine neue Plattform, und keiner weiss, welche davon noch gebraucht werden.
Ausgehend ungeschützt
Ein kompromittiertes Konto verschickt Phishing an Partner. Ausgehend prüft niemand, die eigene Domain landet auf Sperrlisten, und der Versand wird von Microsoft eingeschränkt.
Mailflow
So muss ein Filter vor Exchange Online eingebunden sein
Die Filterplattform ist nur so gut wie die Connectors in Exchange Online. Diese Punkte setzen wir in jeder Umgebung um und belegen sie mit Testmails und Nachrichtenablaufverfolgung.
Inbound-Connector auf die Filter-IPs beschränken
Ein Partner-Connector für alle Absenderdomänen, der Mail nur von den IP-Adressen oder dem TLS-Zertifikat der Filterplattform annimmt. Alles andere lehnt Exchange Online ab. Direct Send schalten wir ab, wo es niemand braucht.
Enhanced Filtering for Connectors
Exchange Online überspringt die IP-Adressen des Gateways und bewertet den eigentlichen Absender. Erst damit funktionieren SPF, DMARC, Spoofing-Erkennung und die Machine-Learning-Filter von Microsoft hinter einem vorgelagerten Filter.
Zuständigkeiten statt Doppelprüfung
Welche Prüfung macht die Plattform, welche Microsoft? Link-Umschreibung nur an einer Stelle, Quarantäne möglichst an einer Stelle. Ein Spam-Bypass in Exchange Online, wenn überhaupt, nur für den Connector der Plattform, nie für Absenderdomänen.
Ausgehend über die Plattform
Ein Outbound-Connector leitet externe Mail über die Plattform, SPF enthält deren Versandserver. Ändert die Plattform den Inhalt, etwa durch Signaturen, muss die DKIM-Signatur danach entstehen, sonst bricht sie beim Empfänger.
Schutzfunktionen
Was ein moderner Mailfilter heute leisten muss
Die Funktionen unten sind am Beispiel von Hornetsecurity 365 Total Protection beschrieben, laut Herstellerangaben, Stand Oktober 2026. Vergleichbare Plattformen bieten ähnliche Bausteine unter anderen Namen. Wir prüfen im Pilot, was davon in Ihrer Umgebung tatsächlich greift.
Spam- und Malwarefilter
Mehrstufige Filterung eingehender Mail, regelbasierte Anhangsfilterung mit Prüfung verschachtelter Archive, ein Regelwerk für eigene Abläufe und ausgehende Filterung gegen versehentlich versendete Schadsoftware.
Sandbox für Anhänge
Anhänge werden in einer isolierten Umgebung ausgeführt und auf Verhalten geprüft. Passwortgeschützte Dokumente werden mit dem Kennwort aus dem Mailtext entschlüsselt und ebenfalls untersucht.
Links und QR-Codes
Links werden umgeschrieben und beim Klick über ein sicheres Gateway geprüft, nicht nur beim Eingang. QR-Codes in Mails und Bildern werden erkannt und ausgewertet, weil sie sonst jede Link-Prüfung umgehen.
Impersonation & CEO-Fraud
Analyse von Betrugsversuchen ohne Anhang und Link: gefälschte Absendernamen, ähnliche Domains, ungewöhnliche Zahlungsaufforderungen. Ergänzt um DMARC auf der eigenen Domain, damit die nicht gefälscht werden kann.
Alarmierung in Echtzeit
Bei akuten Angriffen auf Ihre Organisation erhält ein definierter Empfänger sofort eine Meldung. Wir legen fest, wer das ist und was dann passiert, statt Alarme in ein Sammelpostfach laufen zu lassen.
Quarantäne & Nachverfolgung
Quarantäne-Berichte für Mitarbeitende mit einstellbarem Rhythmus und Freigabe per Klick. Für die IT eine Live-Nachverfolgung des Mailflusses mit Suche, damit «meine Mail ist nicht angekommen» in Minuten geklärt ist.
Zusammenspiel mit Microsoft
Filterplattform und Defender for Office 365 abstimmen
Exchange Online Protection prüft jede Mail, auch hinter einem vorgelagerten Filter. Mit Defender for Office 365 kommen Safe Links, Safe Attachments und erweiterter Phishing-Schutz dazu. Das ist kein Widerspruch, solange klar ist, wer was macht.
Was schiefgeht, wenn niemand abstimmt
- Links werden doppelt umgeschrieben und sind für Mitarbeitende nicht mehr lesbar
- Spam-Bypass per Transportregel für die eigene Domain, damit «es endlich ankommt», und Spoofing ist wieder offen
- Mails landen in der Microsoft-Quarantäne, der Helpdesk sucht in der Quarantäne der Plattform
- Safe Attachments verzögert Mails, die die Sandbox der Plattform schon geprüft hat
- Zustellprobleme, die weder in der einen noch in der anderen Nachverfolgung vollständig sichtbar sind
Wie wir es aufteilen
- Link-Umschreibung an einer Stelle, Safe Links bei Bedarf nur als Prüfung beim Klick ohne erneutes Umschreiben
- Zero-hour Auto Purge in Exchange Online bleibt aktiv und entfernt nachträglich erkannte Schadmails aus den Postfächern
- Safe Attachments für SharePoint, OneDrive und Teams, weil Dateien dort nicht über den Mailfilter kommen
- Anti-Phishing-Richtlinien in Microsoft auf die Plattform abgestimmt, Ausnahmen begründet und dokumentiert
- eine Quarantäne als führende Stelle, mit klarem Freigabeprozess
MX-Cutover
Den Filter wechseln, ohne dass eine Mail verloren geht
Beim Umstellen des MX gibt es eine Phase, in der Absender noch den alten Eintrag im Cache haben. Wer das alte Gateway zu früh abschaltet oder den Inbound-Connector zu früh verriegelt, verliert genau diese Mails.
Wir stellen in einer festen Reihenfolge um, prüfen nach jedem Schritt mit Nachrichtenablaufverfolgung auf beiden Seiten und haben für jeden Schritt einen Rückweg. Für Verbünde mit mehreren Domains kann die Umstellung Domain für Domain erfolgen.
- 1
Vorbereiten
TTL von MX und SPF senken. Domains, Empfänger und Routen auf der Plattform anlegen. Neuen Inbound-Connector in Exchange Online vorbereiten, zunächst ohne Restriktion, Enhanced Filtering aktiv.
- 2
Ausgehend zuerst
SPF um die Versandserver der Plattform erweitern. Ausgehende Mail einer Pilotgruppe über die Plattform leiten, Zustellung, DKIM und Signaturen bei externen Empfängern prüfen.
- 3
MX umstellen
MX auf die Plattform, ausserhalb der Kernzeit. Testmails von mehreren externen Anbietern, Kontrolle in der Live-Nachverfolgung und in Exchange Online.
- 4
Nachlauf beobachten
Das alte Gateway nimmt Nachzügler weiter an und stellt sie an Exchange Online zu. Wir beobachten, bis dort kein Verkehr mehr ankommt.
- 5
Verriegeln
Inbound-Connector auf die IP-Adressen der Plattform beschränken, alten Connector entfernen, alte Versandserver aus SPF streichen, TTL wieder anheben.
- 6
Rückbau
Altes Gateway abschalten, Firewall-Freigaben und Allowlists bereinigen, Lizenz kündigen. Mailflow-Dokumentation und Runbook übergeben.
Ablösung klassischer Appliances
Von der Appliance zur Plattform: Regeln übersetzen, nicht kopieren
Ein Gateway wie Cisco Secure Email sammelt über die Jahre viel Konfiguration an. Einiges davon ist unverzichtbar, vieles ist Altlast. Wir lesen alles aus, bewerten jede Regel und übertragen nur, was noch gebraucht wird.
Zugriff & Empfänger
Host Access Table und Recipient Access Table zeigen, wer einliefern darf und für welche Empfänger. Daraus entstehen die Partner-Ausnahmen und Relay-Regeln der neuen Plattform, bereinigt um Einträge ohne Verkehr.
Policies & Filter
Incoming und Outgoing Mail Policies, Content Filter, Message Filter und Wörterbücher. Wir dokumentieren, was jede Regel tut, ob sie in den Protokollen noch greift und wie sie auf der Plattform oder in Exchange Online abgebildet wird.
Routen & Sonderwege
SMTP-Routen, Fachanwendungen, die direkt einliefern, und Partner mit erzwungener Verschlüsselung. Genau diese Sonderfälle fallen beim Umstieg sonst erst auf, wenn sich jemand beschwert.
Ausgehend & Signaturen
Auch was hinausgeht, gehört geprüft
Ausgehende Filterung schützt Ihre Partner vor kompromittierten Konten und Ihre Domain vor Sperrlisten. Und wenn ausgehende Mails ohnehin über die Plattform laufen, lassen sich dort Signaturen und Disclaimer zentral setzen.
Zentrale Signaturen kommen auf jeder Mail an, egal ob sie aus Outlook, vom Smartphone oder aus dem Browser gesendet wurde. Die Daten kommen aus dem Verzeichnis, Änderungen an Name, Funktion oder Telefonnummer werden automatisch übernommen.
Was wir ausgehend einrichten
- ausgehende Spam- und Malwareprüfung mit Alarm bei auffälligem Versand
- Signaturen und Disclaimer je Standort, Gesellschaft oder Abteilung
- DKIM-Signatur nach allen Inhaltsänderungen, damit DMARC beim Empfänger besteht
- SPF, DKIM und DMARC je Domain, DMARC schrittweise bis p=reject
- Versandwege für Fachanwendungen und Geräte, die nicht über Exchange Online senden
Technologien
Womit wir arbeiten
Wir richten den Filter so ein, dass er zu Ihrem Mailflow passt, nicht umgekehrt. Die Plattform wählen wir mit Ihnen gegen Ihre Anforderungen aus.
E-Mail-Verschlüsselung
TLS erzwingen, S/MIME und PGP am Gateway, Portalzustellung und Entschlüsselung vor Filter und Archiv.
Mehr erfahrenE-Mail-Archivierung
Revisionssicher, vollständig erfasst und mit einem Exit, der vor Vertragsende getestet ist.
Mehr erfahrenExchange & Mailflow
Exchange Server, Hybrid und Exchange Online, Connectors, Transportregeln und Gateways.
Mehr erfahrenFAQ
Häufige Fragen zur Mail-Security
Reicht der Schutz von Microsoft nicht aus?
Für viele Organisationen ist Exchange Online Protection mit Defender for Office 365 ein guter Schutz. Eine vorgelagerte Plattform lohnt sich vor allem, wenn Filter, Archiv, Verschlüsselung, Continuity und Backup ohnehin gebraucht werden und aus einer Hand kommen sollen, oder wenn Anforderungen bestehen, die Microsoft allein nicht abdeckt. Wir bewerten das an Ihrer Lizenzlage, nicht pauschal.
Wie verhindern Sie, dass Mails am Filter vorbei zugestellt werden?
Der Inbound-Connector in Exchange Online wird als Partner-Connector für alle Absenderdomänen angelegt und nimmt nur Mail von den IP-Adressen oder dem Zertifikat der Plattform an. Alles andere wird abgelehnt. Das verriegeln wir erst, wenn nach der MX-Umstellung kein Verkehr mehr über den alten Weg kommt.
Geht beim Wechsel des Mailfilters Mail verloren?
Nicht, wenn die Reihenfolge stimmt. TTL vorher senken, altes Gateway nach der MX-Umstellung weiter zustellen lassen, Connector erst danach verriegeln. Absender, die den MX noch im Cache haben oder bei einer Störung erneut zustellen, landen so trotzdem im richtigen Postfach.
Wir haben Hunderte Regeln im alten Gateway. Müssen die alle mit?
Meist nicht. Wir lesen die Konfiguration aus, gleichen sie mit den Protokollen ab und bewerten jede Regel. Was nicht mehr greift, wird dokumentiert und weggelassen. Was gebraucht wird, übertragen wir auf die Plattform oder bilden es als Transportregel in Exchange Online ab.
Brechen zentrale Signaturen nicht DKIM?
Wenn eine Mail nach der DKIM-Signatur verändert wird, ja. Deshalb muss die Signatur dort entstehen, wo der Inhalt final ist, oder der Inhalt wird vor der Signatur geändert. Wir prüfen das bei der Einrichtung mit Testmails an externe Postfächer und werten die DMARC-Berichte aus.
Sind auch Teams und OneDrive geschützt?
Der Mailfilter sieht nur Mail. Für Dateien in SharePoint, OneDrive und Teams bietet Microsoft Defender for Office 365 Safe Attachments. Manche Plattformen erweitern ihren Schutz inzwischen auf Teams, bei Hornetsecurity etwa im Plan 4. Wir legen fest, welche Ebene welche Inhalte prüft.
Weiss bei Ihnen jemand genau, welcher Weg eine Mail nimmt?
In 30 Minuten schauen wir auf MX, Connectors, Filterregeln und das Zusammenspiel mit Defender. Sie erhalten eine Einschätzung, wo Mails am Filter vorbeikommen und wie ein Umstieg ohne Ausfall aussieht.