In diesem Artikel
Die in Microsoft 365 standardmäßig aktiven Filter blockieren Spam, bekannte Malware und bereits als gefährlich eingestufte Links. Sie blockieren keine legitime Nachricht, die von einem echten Konto gesendet wird und darum bittet, eine Rechnung auf eine neue IBAN zu bezahlen. Diese Tür zu schließen, ist eine Frage der Konfiguration und interner Regeln – der Kern der Managed Cybersecurity, die DataRoad auf die Tenants seiner Kunden anwendet.
Das Problem in Zahlen
- 3.864 Vorfälle 2025 vom CERT.PT registriert, 40 % mehr als im Vorjahr, laut 2026 veröffentlichten Daten des Centro Nacional de Cibersegurança (CNCS).
- 18 % Der Anteil der gemeldeten Social-Engineering-Vorfälle, der auf den Betrug mit dem „falschen CEO“ und der geänderten Rechnung entfiel.
- Drei Muster Rechnung mit geänderter IBAN, gefälschte Anmeldeseite von Microsoft 365 und schädlicher Anhang oder QR-Code.
- Vier Maßnahmen Multi-Faktor-Authentifizierung, Sperre externer Weiterleitungen, SPF/DKIM/DMARC und telefonische Bestätigung von Bankdaten beseitigen den Großteil des Risikos.
Warum der Standardschutz nicht ausreicht
Der Filter von Microsoft 365 vergleicht jede Nachricht mit dem, was bereits als schädlich bekannt ist. Ein katalogisierter Virus wird zurückgehalten; ein bekannter Spam-Server stellt die Nachricht gar nicht erst zu.
Was kein Filter bewertet, ist die Absicht. Eine Nachricht vom echten Konto eines Lieferanten, die „Wir haben die Bank gewechselt“ ankündigt, hat weder einen infizierten Anhang noch einen verdächtigen Link und kommt von dem, der sie zu senden vorgibt. Sie besteht alle technischen Prüfungen.
Betrug 1 – die IBAN, die sich mitten im Gespräch ändert
Der Angreifer kompromittiert das Postfach eines Lieferanten (oder des eigenen Unternehmens), liest wochenlang die Korrespondenz mit und wartet auf eine hohe Rechnung. Dann antwortet er im selben Verlauf: „Ab diesem Monat bitte auf die beigefügte neue IBAN zahlen.“ Eine häufige Variante nutzt eine Domain mit einem vertauschten Buchstaben, die in der Eile niemand bemerkt.
Die Abwehr ist eine schriftliche Regel, kein Produkt: Bankdaten werden nie per E-Mail geändert. Die Bestätigung erfolgt telefonisch, unter der Nummer, die bereits im Lieferantenstamm hinterlegt war. Das vollständige Verfahren steht im Leitfaden zu geänderten Rechnungen und E-Mail-Betrug.
Betrug 2 – der Anmeldebildschirm, der nicht von Microsoft ist
Die Nachricht kündigt „ein mit Ihnen geteiltes Dokument“ oder „Postfach voll“ an. Der Link öffnet eine perfekte Kopie des Anmeldebildschirms von Microsoft 365. Der Mitarbeiter gibt E-Mail-Adresse und Passwort ein, und der Angreifer übernimmt das Konto.
Es folgt eine unauffällige Regel im Postfach: Nachrichten mit „Rechnung“ oder „Zahlung“ werden nach außen weitergeleitet oder in einem vergessenen Ordner versteckt. Daraus entsteht Betrug 1 – diesmal aus Ihrem eigenen Unternehmen heraus.
Einfach gesagt: Multi-Faktor-Authentifizierung ist ein zweites Schloss. Mit dem gestohlenen Passwort braucht der Angreifer immer noch das Smartphone des Mitarbeiters. Es ist die einzelne Maßnahme, die den Diebstahl von Konten am stärksten reduziert.
Betrug 3 – der QR-Code im PDF
Da die Filter Links immer besser analysieren, haben die Angreifer das Format gewechselt: ein PDF mit einem QR-Code „zum Unterschreiben“, ein Bild statt Text, ein passwortgeschützter Anhang, den der Filter nicht öffnen kann.
Der QR-Code lenkt den Nutzer auf das private Smartphone, außerhalb der Schutzmaßnahmen des Unternehmens. Was sich öffnet, ist fast immer eine neue Variante von Betrug 2.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
Die Einstellungen, die alle drei Betrugsmaschen stoppen
Nichts davon erfordert den Kauf einer bestimmten Marke. Es sind Einstellungen in Microsoft 365 und interne Regeln.
| Maßnahme | Gestoppte Betrugsmaschen | Praktische Wirkung |
|---|---|---|
| MFA für alle Konten | 2 und 3 | Das gestohlene Passwort reicht für die Anmeldung nicht mehr aus. |
| Externe Weiterleitung gesperrt | 1 und 2 | Ein kompromittiertes Konto sendet Ihre E-Mails nicht unbemerkt nach außen. |
| SPF, DKIM und DMARC für die Domain | 1 | Wer eine gefälschte E-Mail „Ihres Unternehmens“ erhält, kann sie erkennen und ablehnen. |
| Telefonische Bestätigung von Bankdaten | 1 | Keine IBAN ändert sich per E-Mail. |
| Kurze, regelmäßige Schulungen | 1, 2 und 3 | Das Team erkennt das Muster: Dringlichkeit, Geheimhaltung, Link „zur Bestätigung“. |
Automatische Weiterleitung: entscheiden, statt es dem System zu überlassen
Die Richtlinie, die die Weiterleitung an externe Adressen steuert, steht standardmäßig auf „automatisch, vom System gesteuert“. Microsoft empfiehlt, ausdrücklich festzulegen, ob sie ein- oder ausgeschaltet ist, da das Verhalten je nach Organisation variieren kann. Bei den meisten KMU lautet die richtige Antwort: ausgeschaltet, mit einzeln genehmigten Ausnahmen.
SPF, DKIM und DMARC ohne Fachjargon
Es handelt sich um drei Einträge in der Domain, die belegen, dass eine E-Mail des Unternehmens tatsächlich vom Unternehmen stammt. SPF listet auf, wer in Ihrem Namen senden darf. DKIM ist ein Siegel, das zeigt, dass die Nachricht unterwegs nicht verändert wurde. DMARC teilt dem Empfänger mit, was zu tun ist, wenn etwas fehlschlägt – ablehnen, in Quarantäne verschieben oder nur melden – und liefert Berichte darüber, wer Ihren Namen verwendet.
Microsoft warnt, dass die Umsetzung nur eines Teils dieser Verfahren den Schutz unvollständig lässt. Die Arbeit erfolgt in Phasen: zuerst alle Dienste erfassen, die E-Mails für das Unternehmen versenden (Fakturierung, Newsletter, CRM), und erst dann die Richtlinie verschärfen. Ein übereilt eingeführtes DMARC kann Ihre eigenen Rechnungen blockieren.
Alles beruht auf der Multi-Faktor-Authentifizierung für alle Konten. Bevor Sie ein Tool kaufen, prüfen Sie, welche Sicherheitsfunktionen Ihre Microsoft-365-Lizenz bereits enthält.
Lehre aus einem Projekt: Sicherheit bei der Migration festlegen
Die União das Freguesias de Massamá e Monte Abraão wählte DataRoad per öffentlicher Ausschreibung, um rund 50 Postfächer zu Exchange Online zu migrieren. Das Projekt umfasste die vollständige Übertragung von E-Mails, Struktur und Daten, die Neukonfiguration von Arbeitsplätzen und Smartphones sowie die abschließende Validierung.
Eine Migration ist der ideale Zeitpunkt, um die Sicherheitsregeln von Grund auf richtig zu setzen. 50 Postfächer einmal richtig zu konfigurieren, kostet viel weniger, als sie nach einem Vorfall einzeln zu korrigieren.
Checkliste für diese Woche
- MFA – bestätigen, dass alle Konten, auch geteilte und Administratorkonten, sie aktiviert haben.
- Weiterleitungen – die Liste der aktiven anfordern; jede Regel nach außen, die niemand erklären kann, ist ein Alarmsignal.
- DMARC – prüfen, in welchem Modus das DMARC Ihrer Domain steht.
- Bankregel – die telefonische Bestätigung schriftlich festlegen und kommunizieren.
- Schulung – einen Termin ansetzen, um die Teams auf Phishing und Deepfakes vorzubereiten.
Häufige Fragen
Enthält Microsoft 365 nicht bereits E-Mail-Schutz?
Doch, und er funktioniert gut gegen Spam und bekannte Malware. Er stoppt keine legitimen Nachrichten aus kompromittierten Konten und keine überzeugenden Zahlungsaufforderungen. Diese Lücken werden durch Konfiguration und interne Regeln geschlossen.
Muss ein weiteres E-Mail-Sicherheitstool gekauft werden?
Nicht immer. Bei vielen KMU liegt der größte Gewinn darin, das richtig zu konfigurieren, was die Lizenz bereits mitbringt. Zusätzliche Tools sind danach sinnvoll, je nach Risiko und Branche.
Wie finde ich heraus, ob meine Domain DMARC hat?
Bitten Sie Ihren IT-Partner, die SPF-, DKIM- und DMARC-Einträge auszulesen. Fehlt DMARC oder steht es nur auf Beobachtung, kann jeder leichter E-Mails versenden, die scheinbar von Ihrem Unternehmen stammen.
Ein Mitarbeiter hat sein Passwort auf einer gefälschten Seite eingegeben. Was jetzt?
Ändern Sie das Passwort sofort, beenden Sie alle aktiven Sitzungen, prüfen Sie, ob MFA aktiviert ist, und kontrollieren Sie die in den letzten Tagen angelegten Regeln und Weiterleitungen. Bitten Sie die Buchhaltung, Zahlungen mit kürzlich geänderter IBAN auszusetzen.
Nächster Schritt: E-Mail-Diagnose in 5 Werktagen
Wir analysieren MFA, Weiterleitungen, Postfachregeln sowie SPF, DKIM und DMARC und liefern die Korrekturen nach Priorität geordnet, unverbindlich. Die laufende Betreuung ist Teil des Plans IT Unlimited Premium, des Service Managed Microsoft 365 und unserer Managed Cybersecurity für Unternehmen.
Ab 10 Arbeitsplätzen · Wartungsvertrag · Support per Fernwartung, vor Ort und telefonisch
Quellen
- Renascença – CNCS: Der Betrug mit dem „falschen CEO“ machte 2025 18 % der an das CERT.PT gemeldeten Social-Engineering-Vorfälle aus
- Lusa / DNoticias – CNCS: 3.864 vom CERT.PT im Jahr 2025 registrierte Vorfälle (+40 %)
- Microsoft Learn – Email authentication in Microsoft 365 (SPF, DKIM und DMARC)
- Microsoft Learn – Externe E-Mail-Weiterleitung in Microsoft 365
