# Anti-Spam & Sicherheit Anti-Spam & Security

EOP, Defender for Office 365, SPF, DKIM, DMARC, Quarantäne und sichere Zustellung. EOP, Defender for Office 365, SPF, DKIM, DMARC, quarantine, and secure delivery.

📘 Exchange Online Übersicht 📘 Exchange Online Overview

Architektur, DNS, Limits, Migration und Kern-Cmdlets. Architecture, DNS, limits, migration, and core cmdlets.

📬 Postfachverwaltung 📬 Mailbox Management

Benutzer-, Shared-, Raum- und Archivpostfächer verwalten. Manage user, shared, room, and archive mailboxes.

🧭 Transportregeln 🧭 Transport Rules

Mail Flow Rules, Prioritäten, DLP und Nachrichtennachverfolgung. Mail flow rules, priorities, DLP, and message tracing.

Security Stack Security stack

Exchange Online Protection bildet die Basisschicht für eingehende und ausgehende E-Mail-Sicherheit. Defender for Office 365 erweitert diese Basis um Safe Links, Safe Attachments, erweiterte Phishing-Abwehr, Quarantäneoptionen und Attack Simulation. Exchange Online Protection forms the base layer for inbound and outbound email security. Defender for Office 365 extends that base with Safe Links, Safe Attachments, advanced phishing protection, quarantine options, and attack simulation.

## EOP Überblick EOP overview

Exchange Online Protection prüft SMTP-Verbindungen, Reputation, Header, Inhalt, URL-Muster, Anhänge und Richtlinien. Für Administratoren ist wichtig zu verstehen, dass viele Einstellungen in der Defender-Oberfläche verwaltet werden, die zugrunde liegenden Policies aber per PowerShell inventarisiert und teilweise vollständig konfiguriert werden können. Exchange Online Protection evaluates SMTP connections, reputation, headers, content, URL patterns, attachments, and policies. Administrators should understand that many settings are managed in the Defender experience, while the underlying policies can still be inventoried and, in many cases, fully configured with PowerShell.

Inbound Inbound
📥 Inbound Schutz 📥 Inbound protection

SCL/BCL, Malware Scan, Spoof Intelligence, DKIM/DMARC/SPF und Quarantäne. SCL/BCL, malware scan, spoof intelligence, DKIM/DMARC/SPF, and quarantine.

Outbound Outbound
📤 Outbound Schutz 📤 Outbound protection

Begrenzt kompromittierte Konten, Spam-Bursts und unzulässiges Forwarding. Limits compromised accounts, spam bursts, and unauthorized forwarding.

Defender Defender
🔗 Defender Features 🔗 Defender features

Safe Links, Safe Attachments, Attack Simulation und User Submissions. Safe Links, Safe Attachments, attack simulation, and user submissions.

AuthN/AuthZ AuthN/AuthZ
🧾 Authentifizierung 🧾 Authentication

SPF, DKIM und DMARC verbessern Zustellung und Missbrauchsschutz. SPF, DKIM, and DMARC improve deliverability and anti-abuse posture.

## Inbound Anti-Spam Inbound anti-spam

Inbound Anti-Spam Policies definieren, wie Exchange Online verdächtige Nachrichten bewertet und behandelt. Besonders wichtig sind Spam Confidence Level, Bulk Complaint Level, Aktionen pro Wertbereich und Quarantäneoptionen. Inbound anti-spam policies define how Exchange Online evaluates and handles suspicious messages. Spam confidence level, bulk complaint level, per-range actions, and quarantine options are especially important.

SCL SCL | Deutung Meaning | Beschreibung Description | Wirkung Effect
--- | --- | --- | ---
-1 -1 | Bypass / vertrauenswürdig Bypass / vertrauenswürdig | Bypass / trusted Bypass / trusted | System- oder Allow-Fall, normalerweise keine Spam-Aktion. System- oder Allow-Fall, normalerweise keine Spam-Aktion.
0-1 0-1 | Kein Spam Kein Spam | Not spam Not spam | Normale Zustellung in den Posteingang. Normale Zustellung in den Posteingang.
5-6 5-6 | Spam Spam | Spam Spam | Typisch Junk oder Quarantäne gemäß Policy. Typisch Junk oder Quarantäne gemäß Policy.
7-8 7-8 | High confidence spam High confidence spam | High confidence spam High confidence spam | Oft Quarantäne. Oft Quarantäne.
9 9 | High confidence phishing / blockähnlich High confidence phishing / blockähnlich | High confidence phishing / near-block High confidence phishing / near-block | Aggressivste Policy-Behandlung. Aggressivste Policy-Behandlung.

- Setzen Sie Bulk Threshold bewusst; Marketing-Newsletter und legitime Massenmails werden sonst unnötig betroffen. Set the bulk threshold deliberately; legitimate marketing newsletters and bulk mail can otherwise be impacted.
- Quarantäne ist meist sicherer als direktes Löschen, weil False Positives untersucht werden können. Quarantine is usually safer than direct deletion because false positives can be investigated.
- Verwenden Sie Tenant Allow/Block Listen nur für gezielte Ausnahmen, nicht als Ersatz für saubere Policies. Use tenant allow/block lists only for targeted exceptions, not as a substitute for clean policies.

PowerShell PowerShell

    Get-HostedContentFilterPolicy | Select-Object Name,SpamAction,HighConfidenceSpamAction,PhishSpamAction,BulkThreshold,InlineSafetyTipsEnabled
    Set-HostedContentFilterPolicy -Identity "Default" -SpamAction MoveToJmf -HighConfidenceSpamAction Quarantine -PhishSpamAction Quarantine -BulkThreshold 6 -InlineSafetyTipsEnabled $true

    Get-HostedContentFilterPolicy | Select-Object Name,SpamAction,HighConfidenceSpamAction,PhishSpamAction,BulkThreshold,InlineSafetyTipsEnabled
    Set-HostedContentFilterPolicy -Identity "Default" -SpamAction MoveToJmf -HighConfidenceSpamAction Quarantine -PhishSpamAction Quarantine -BulkThreshold 6 -InlineSafetyTipsEnabled $true

PowerShell PowerShell

    Get-HostedContentFilterRule | Select-Object Name,Priority,State,HostedContentFilterPolicy
    Get-HostedContentFilterPolicy -Identity "Default" | Format-List *Action*,BulkThreshold,*SafetyTips*

    Get-HostedContentFilterRule | Select-Object Name,Priority,State,HostedContentFilterPolicy
    Get-HostedContentFilterPolicy -Identity "Default" | Format-List *Action*,BulkThreshold,*SafetyTips*

## Outbound Anti-Spam Outbound anti-spam

Outbound Policies sollen kompromittierte Konten, Spam-Ausbrüche und riskante automatische Weiterleitungen begrenzen. Besonders relevant sind Empfängerlimits, Account Restrictions und automatische Benachrichtigungen an Security oder Helpdesk. Outbound policies are meant to contain compromised accounts, spam bursts, and risky automatic forwarding. Recipient limits, account restrictions, and automated notifications to security or helpdesk are especially relevant.

PowerShell PowerShell

    Get-HostedOutboundSpamFilterPolicy | Select-Object Name,RecipientLimitExternalPerHour,RecipientLimitInternalPerHour,AutoForwardingMode,NotifyOutboundSpam
    Set-HostedOutboundSpamFilterPolicy -Identity "Default" -AutoForwardingMode Off -NotifyOutboundSpam $true -NotifyOutboundSpamRecipients soc@contoso.com

    Get-HostedOutboundSpamFilterPolicy | Select-Object Name,RecipientLimitExternalPerHour,RecipientLimitInternalPerHour,AutoForwardingMode,NotifyOutboundSpam
    Set-HostedOutboundSpamFilterPolicy -Identity "Default" -AutoForwardingMode Off -NotifyOutboundSpam $true -NotifyOutboundSpamRecipients soc@contoso.com

Einstellung Setting | Empfehlung Recommendation | Nutzen Benefit | Beschreibung Description
--- | --- | --- | ---
AutoForwardingMode AutoForwardingMode | Off Off | Blockiert automatische externe Weiterleitung. Blockiert automatische externe Weiterleitung. | Blocks automatic external forwarding. Blocks automatic external forwarding.
RecipientLimitExternalPerHour RecipientLimitExternalPerHour | Policyabhängig Policyabhängig | Begrenzt Burst-Versand nach extern. Begrenzt Burst-Versand nach extern. | Limits external burst sending. Limits external burst sending.
RecipientLimitInternalPerHour RecipientLimitInternalPerHour | Policyabhängig Policyabhängig | Begrenzt Missbrauch auch intern. Begrenzt Missbrauch auch intern. | Limits abuse internally as well. Limits abuse internally as well.
NotifyOutboundSpam NotifyOutboundSpam | $true $true | Sendet Benachrichtigung bei auffälligem Konto. Sendet Benachrichtigung bei auffälligem Konto. | Sends notification when an account is suspicious. Sends notification when an account is suspicious.
Restricted Users Restricted Users | Defender Portal Defender Portal | Betroffene Konten müssen geprüft und bereinigt werden. Betroffene Konten müssen geprüft und bereinigt werden. | Affected accounts must be reviewed and remediated. Affected accounts must be reviewed and remediated.

## Connection Filter Connection filter

Connection Filtering arbeitet am SMTP-Eingang und kann definierte Quell-IP-Adressen explizit zulassen oder blockieren. In modernen Tenants sollte dies sparsam und nur für klar dokumentierte Partner oder Gateways genutzt werden. Connection filtering acts at SMTP ingress and can explicitly allow or block source IP addresses. In modern tenants it should be used sparingly and only for clearly documented partners or gateways.

PowerShell PowerShell

    Get-HostedConnectionFilterPolicy | Select-Object Name,EnableSafeList,IPAllowList,IPBlockList
    Set-HostedConnectionFilterPolicy -Identity "Default" -IPAllowList 198.51.100.10,198.51.100.11 -IPBlockList 203.0.113.50

    Get-HostedConnectionFilterPolicy | Select-Object Name,EnableSafeList,IPAllowList,IPBlockList
    Set-HostedConnectionFilterPolicy -Identity "Default" -IPAllowList 198.51.100.10,198.51.100.11 -IPBlockList 203.0.113.50

## Anti-Malware Anti-malware

Anti-Malware Policies scannen Anhänge, blockieren bekannte gefährliche Dateitypen und arbeiten mit Zero-hour Auto Purge (ZAP), um später als bösartig erkannte Inhalte aus Postfächern zu entfernen. Anti-malware policies scan attachments, block known dangerous file types, and work with Zero-hour Auto Purge (ZAP) to remove content later identified as malicious from mailboxes.

Funktion Feature | Komponente Component | Zweck Purpose | Beschreibung Description
--- | --- | --- | ---
Dateitypen filtern Dateitypen filtern | File type filtering File type filtering | Blockiert z. B. `.exe`, `.js`, `.vbs`. Blockiert z. B. `.exe`, `.js`, `.vbs`. | Blocks file types such as `.exe`, `.js`, and `.vbs`. Blocks file types such as `.exe`, `.js`, and `.vbs`.
ZAP ZAP | Zero-hour Auto Purge Zero-hour Auto Purge | Entfernt nachträglich erkannte Malware oder Phishing-Mails. Entfernt nachträglich erkannte Malware oder Phishing-Mails. | Removes messages later identified as malware or phishing. Removes messages later identified as malware or phishing.
Benachrichtigungen Benachrichtigungen | Notifications Notifications | Admins oder Absender können über Malware-Befunde informiert werden. Admins oder Absender können über Malware-Befunde informiert werden. | Admins or senders can be informed about malware detections. Admins or senders can be informed about malware detections.
Common Attachments Filter Common Attachments Filter | Common attachments filter Common attachments filter | Prüft Dateiendungen und bekannte Risikotypen. Prüft Dateiendungen und bekannte Risikotypen. | Inspects extensions and known risky types. Inspects extensions and known risky types.

PowerShell PowerShell

    Get-MalwareFilterPolicy | Select-Object Name,Action,EnableFileFilter,FileTypes,EnableInternalSenderAdminNotifications,ZapEnabled
    Set-MalwareFilterPolicy -Identity "Default" -EnableFileFilter $true -FileTypes exe,js,vbs,iso -ZapEnabled $true -EnableInternalSenderAdminNotifications $true -InternalSenderAdminAddress secops@contoso.com

    Get-MalwareFilterPolicy | Select-Object Name,Action,EnableFileFilter,FileTypes,EnableInternalSenderAdminNotifications,ZapEnabled
    Set-MalwareFilterPolicy -Identity "Default" -EnableFileFilter $true -FileTypes exe,js,vbs,iso -ZapEnabled $true -EnableInternalSenderAdminNotifications $true -InternalSenderAdminAddress secops@contoso.com

## Anti-Phishing Anti-phishing

Anti-Phishing Policies schützen vor Spoofing, Impersonation und Business Email Compromise. Moderne Schutzmechanismen kombinieren Domänenintelligenz, Mailbox Intelligence, Benutzer-/Domänenschutz sowie Spoof Intelligence. Anti-phishing policies protect against spoofing, impersonation, and business email compromise. Modern protections combine domain intelligence, mailbox intelligence, user/domain protection, and spoof intelligence.

Feature Feature | Deutsch German | English English
--- | --- | ---
Impersonation protection Impersonation protection | Schützt definierte Benutzer und Domänen. Schützt definierte Benutzer und Domänen. | Protects defined users and domains. Protects defined users and domains.
Mailbox intelligence Mailbox intelligence | Lernt typische Kommunikationspartner eines Benutzers. Lernt typische Kommunikationspartner eines Benutzers. | Learns a user’s typical communication partners. Learns a user’s typical communication partners.
Mailbox intelligence protection Mailbox intelligence protection | Setzt Regeln aus Mailbox Intelligence aktiv um. Setzt Regeln aus Mailbox Intelligence aktiv um. | Actively enforces rules from mailbox intelligence. Actively enforces rules from mailbox intelligence.
Spoof intelligence Spoof intelligence | Erkennt Domain-Spoofing und verwaltet Allow/Block Entscheidungen. Erkennt Domain-Spoofing und verwaltet Allow/Block Entscheidungen. | Detects domain spoofing and manages allow/block decisions. Detects domain spoofing and manages allow/block decisions.
Safety tips Safety tips | Zeigt Benutzerwarnungen im Client an. Zeigt Benutzerwarnungen im Client an. | Shows user warnings in the client. Shows user warnings in the client.

PowerShell PowerShell

    Get-AntiPhishPolicy | Select-Object Name,EnableOrganizationDomainsProtection,EnableMailboxIntelligence,EnableMailboxIntelligenceProtection,EnableSpoofIntelligence,SafetyTipsEnabled
    Set-AntiPhishPolicy -Identity "Default" -EnableOrganizationDomainsProtection $true -EnableMailboxIntelligence $true -EnableMailboxIntelligenceProtection $true -EnableSpoofIntelligence $true -EnableTargetedUserProtection $true -TargetedUsersToProtect ceo@contoso.com,cfo@contoso.com -SafetyTipsEnabled $true

    Get-AntiPhishPolicy | Select-Object Name,EnableOrganizationDomainsProtection,EnableMailboxIntelligence,EnableMailboxIntelligenceProtection,EnableSpoofIntelligence,SafetyTipsEnabled
    Set-AntiPhishPolicy -Identity "Default" -EnableOrganizationDomainsProtection $true -EnableMailboxIntelligence $true -EnableMailboxIntelligenceProtection $true -EnableSpoofIntelligence $true -EnableTargetedUserProtection $true -TargetedUsersToProtect ceo@contoso.com,cfo@contoso.com -SafetyTipsEnabled $true

## Safe Links Safe Links

Safe Links überschreibt URLs zur Laufzeit, prüft sie beim Klick und blockiert bekannte oder neu erkannte bösartige Ziele. Diese Funktion ist in Defender for Office 365 Plan 1 enthalten. Safe Links rewrites URLs at runtime, inspects them at click time, and blocks known or newly identified malicious destinations. This feature is included with Defender for Office 365 Plan 1.

Eigenschaft Property | Beschreibung DE Description DE | Beschreibung EN Description EN
--- | --- | ---
URL-Rewriting URL-Rewriting | Jede URL wird über Microsoft Schutzlinks umgeschrieben. Jede URL wird über Microsoft Schutzlinks umgeschrieben. | Each URL is rewritten through Microsoft safe links. Each URL is rewritten through Microsoft safe links.
Click-time analysis Click-time analysis | Prüfung erfolgt beim Benutzerklick. Prüfung erfolgt beim Benutzerklick. | Inspection occurs when the user clicks. Inspection occurs when the user clicks.
Policy scoping Policy scoping | Kann auf Benutzer, Gruppen und Domänen angewendet werden. Kann auf Benutzer, Gruppen und Domänen angewendet werden. | Can be scoped to users, groups, and domains. Can be scoped to users, groups, and domains.
Do not rewrite lists Do not rewrite lists | Ausnahmen für interne oder vertrauenswürdige URLs möglich. Ausnahmen für interne oder vertrauenswürdige URLs möglich. | Exceptions for internal or trusted URLs are possible. Exceptions for internal or trusted URLs are possible.

PowerShell PowerShell

    Get-SafeLinksPolicy | Select-Object Name,EnableSafeLinksForEmail,TrackClicks,AllowClickThrough,DoNotRewriteUrls
    Set-SafeLinksPolicy -Identity "Default" -EnableSafeLinksForEmail $true -TrackClicks $true -AllowClickThrough $false -ScanUrls $true -DoNotRewriteUrls "https://intranet.contoso.com/*"

    Get-SafeLinksPolicy | Select-Object Name,EnableSafeLinksForEmail,TrackClicks,AllowClickThrough,DoNotRewriteUrls
    Set-SafeLinksPolicy -Identity "Default" -EnableSafeLinksForEmail $true -TrackClicks $true -AllowClickThrough $false -ScanUrls $true -DoNotRewriteUrls "https://intranet.contoso.com/*"

## Safe Attachments Safe Attachments

Safe Attachments öffnet Dateien in einer isolierten Umgebung und entscheidet danach, ob eine Zustellung sicher ist. Dynamic Delivery ermöglicht dem Benutzer zunächst die Nachricht ohne Anlage, bis die Analyse abgeschlossen ist. Safe Attachments opens files in an isolated environment and decides whether delivery is safe. Dynamic Delivery allows the user to receive the message without the attachment while analysis completes.

Option Option | Beschreibung DE Description DE | Beschreibung EN Description EN
--- | --- | ---
Dynamic Delivery Dynamic Delivery | Mail wird sofort zugestellt, Anlage nach Freigabe nachgereicht. Mail wird sofort zugestellt, Anlage nach Freigabe nachgereicht. | Message is delivered immediately and the attachment follows after clearance. Message is delivered immediately and the attachment follows after clearance.
Block Block | Nachricht oder Anlage wird blockiert. Nachricht oder Anlage wird blockiert. | Message or attachment is blocked. Message or attachment is blocked.
Replace Replace | Bösartige Anlage wird durch Platzhalter ersetzt. Bösartige Anlage wird durch Platzhalter ersetzt. | Malicious attachment is replaced by a placeholder. Malicious attachment is replaced by a placeholder.
Redirect Redirect | Administratoren erhalten Kopie zur Analyse. Administratoren erhalten Kopie zur Analyse. | Administrators receive a copy for analysis. Administrators receive a copy for analysis.

PowerShell PowerShell

    Get-SafeAttachmentPolicy | Select-Object Name,Action,Enable,Redirect,RedirectAddress
    Set-SafeAttachmentPolicy -Identity "Default" -Enable $true -Action DynamicDelivery -Redirect $true -RedirectAddress malware-review@contoso.com

    Get-SafeAttachmentPolicy | Select-Object Name,Action,Enable,Redirect,RedirectAddress
    Set-SafeAttachmentPolicy -Identity "Default" -Enable $true -Action DynamicDelivery -Redirect $true -RedirectAddress malware-review@contoso.com

## Quarantäneverwaltung Quarantine management

Quarantäne ist die bevorzugte Aktion für unsichere Inhalte, wenn eine spätere Freigabe oder Analyse möglich sein soll. Richtlinien definieren, ob Endbenutzer Benachrichtigungen, Freigabeoptionen oder Self-Service erhalten. Quarantine is the preferred action for suspicious content when later release or analysis should remain possible. Policies define whether end users receive notifications, release options, or self-service capabilities.

PowerShell PowerShell

    Get-QuarantinePolicy | Select-Object Name,EndUserSpamNotificationFrequency,ESNEnabled,MultiLanguageSenderName,MultiLanguageSetting
    Get-QuarantineMessage -PageSize 25 | Select-Object ReceivedTime,SenderAddress,RecipientAddress,Subject,Type,ReleaseStatus

    Get-QuarantinePolicy | Select-Object Name,EndUserSpamNotificationFrequency,ESNEnabled,MultiLanguageSenderName,MultiLanguageSetting
    Get-QuarantineMessage -PageSize 25 | Select-Object ReceivedTime,SenderAddress,RecipientAddress,Subject,Type,ReleaseStatus

Thema Topic | Deutsch German | English English
--- | --- | ---
End User Notifications End User Notifications | Benutzer über Quarantäne informieren. Benutzer über Quarantäne informieren. | Inform users about quarantine items. Inform users about quarantine items.
Release Permissions Release Permissions | Self-Service oder Admin-Only Freigabe. Self-Service oder Admin-Only Freigabe. | Self-service or admin-only release. Self-service or admin-only release.
Policy per verdict Policy per verdict | Spam, High Confidence Phish und Malware unterschiedlich behandeln. Spam, High Confidence Phish und Malware unterschiedlich behandeln. | Treat spam, high confidence phish, and malware differently. Treat spam, high confidence phish, and malware differently.
Review workflow Review workflow | SOC oder Helpdesk prüft False Positives. SOC oder Helpdesk prüft False Positives. | SOC or helpdesk reviews false positives. SOC or helpdesk reviews false positives.

## SPF SPF

SPF legt fest, welche Systeme Mails für Ihre Domäne senden dürfen. Für reine Microsoft 365 Senderszenarien genügt häufig `v=spf1 include:spf.protection.outlook.com -all`. Zusätzliche Gateways oder SaaS-Dienste müssen explizit ergänzt werden. SPF specifies which systems may send mail for your domain. For Microsoft 365-only sending, `v=spf1 include:spf.protection.outlook.com -all` is often sufficient. Additional gateways or SaaS services must be added explicitly.

DNS DNS

    # Beispiel-DNS-TXT
    v=spf1 include:spf.protection.outlook.com -all

    # Beispiel-DNS-TXT
    v=spf1 include:spf.protection.outlook.com -all

## DKIM DKIM

DKIM signiert ausgehende Nachrichten kryptografisch und erhöht die Vertrauenswürdigkeit von Absenderdomänen. Vor der Aktivierung müssen die von Microsoft bereitgestellten CNAME-Records für beide Selector-Einträge publiziert werden. DKIM cryptographically signs outbound messages and improves trust in sender domains. Before enabling it, publish the Microsoft-provided CNAME records for both selector entries.

Eintrag Record | Beispiel Example | Zweck Purpose
--- | --- | ---
selector1._domainkey selector1._domainkey | selector1-contoso-com._domainkey.tenant.onmicrosoft.com selector1-contoso-com._domainkey.tenant.onmicrosoft.com | Erster DKIM-Selector. Erster DKIM-Selector.
selector2._domainkey selector2._domainkey | selector2-contoso-com._domainkey.tenant.onmicrosoft.com selector2-contoso-com._domainkey.tenant.onmicrosoft.com | Zweiter DKIM-Selector. Zweiter DKIM-Selector.

PowerShell PowerShell

    Get-DkimSigningConfig | Select-Object Domain,Enabled,Selector1CNAME,Selector2CNAME
    Enable-DkimSigningConfig -Identity contoso.com

    Get-DkimSigningConfig | Select-Object Domain,Enabled,Selector1CNAME,Selector2CNAME
    Enable-DkimSigningConfig -Identity contoso.com

## DMARC DMARC

DMARC baut auf SPF und DKIM auf und legt fest, wie Empfänger mit nicht ausgerichteten Nachrichten umgehen sollen. Führen Sie DMARC idealerweise gestuft von `p=none` zu `quarantine` und schließlich `reject` ein. DMARC builds on SPF and DKIM and tells receivers how to handle unauthenticated messages. Ideally phase DMARC from `p=none` to `quarantine` and ultimately `reject`.

DNS DNS

    # Beispiel-DNS-TXT
    v=DMARC1; p=reject; rua=mailto:dmarc@contoso.com; ruf=mailto:dmarc-forensics@contoso.com; fo=1; adkim=s; aspf=s

    # Beispiel-DNS-TXT
    v=DMARC1; p=reject; rua=mailto:dmarc@contoso.com; ruf=mailto:dmarc-forensics@contoso.com; fo=1; adkim=s; aspf=s

## Tenant Allow/Block List Tenant allow/block list

Die Tenant Allow/Block List ist für gezielte Ausnahmen gedacht: vertrauenswürdige URLs, Dateihashes oder Absender können zugelassen beziehungsweise blockiert werden. Sie ersetzt jedoch keine saubere Policy-Architektur. The tenant allow/block list is meant for targeted exceptions: trusted URLs, file hashes, or senders can be allowed or blocked. It does not replace clean policy architecture.

PowerShell PowerShell

    New-TenantAllowBlockListItems -ListType Url -Block -Entries "http://malicious.example"
    New-TenantAllowBlockListItems -ListType Sender -Allow -Entries "trusted.sender@partner.example"
    Get-TenantAllowBlockListItems | Select-Object Value,ListType,Action,SubmissionTime

    New-TenantAllowBlockListItems -ListType Url -Block -Entries "http://malicious.example"
    New-TenantAllowBlockListItems -ListType Sender -Allow -Entries "trusted.sender@partner.example"
    Get-TenantAllowBlockListItems | Select-Object Value,ListType,Action,SubmissionTime

## Submission Portal und Attack Simulation Submission portal and attack simulation

Benutzer- und Administrator-Submissions helfen Microsoft, Fehlklassifizierungen und neue Angriffe zu erkennen. Attack Simulation Training dient der Sensibilisierung und wird in erster Linie im Defender Portal durchgeführt; hier ist die Portalverwaltung oft wichtiger als Exchange-spezifische Cmdlets. User and admin submissions help Microsoft identify misclassifications and new attacks. Attack Simulation Training is used for awareness and is primarily operated in the Defender portal; portal governance is often more important here than Exchange-specific cmdlets.

- Melden Sie False Positives und False Negatives systematisch über das Submission Portal. Submit false positives and false negatives systematically through the submission portal.
- Verwenden Sie Attack Simulation für Phishing-, Passwort-Reset- und Malware-nahe Trainings. Use attack simulation for phishing, password reset, and malware-adjacent exercises.
- Kombinieren Sie Simulationsergebnisse mit technischen Controls wie Safe Links und Anti-Phishing Policies. Combine simulation results with technical controls such as Safe Links and anti-phishing policies.

PowerShell PowerShell

    Get-UserSubmission -PageSize 25 | Select-Object ReceivedDate,Category,Result,RecipientEmailAddress,NetworkMessageId
    # Attack Simulation Training wird primär im Defender Portal verwaltet; Exchange Online PowerShell bietet hierfür nur begrenzte Abdeckung.

    Get-UserSubmission -PageSize 25 | Select-Object ReceivedDate,Category,Result,RecipientEmailAddress,NetworkMessageId
    # Attack Simulation Training wird primär im Defender Portal verwaltet; Exchange Online PowerShell bietet hierfür nur begrenzte Abdeckung.

## Komplette Sicherheitsabfragen Complete security queries

PowerShell PowerShell

    Connect-ExchangeOnline -UserPrincipalName admin@contoso.com -ShowBanner:$false
    Get-HostedContentFilterPolicy | Select-Object Name,SpamAction,HighConfidenceSpamAction,PhishSpamAction,BulkThreshold
    Get-HostedOutboundSpamFilterPolicy | Select-Object Name,AutoForwardingMode,NotifyOutboundSpam
    Get-MalwareFilterPolicy | Select-Object Name,EnableFileFilter,FileTypes,ZapEnabled
    Get-AntiPhishPolicy | Select-Object Name,EnableOrganizationDomainsProtection,EnableSpoofIntelligence,EnableMailboxIntelligence
    Get-SafeLinksPolicy | Select-Object Name,EnableSafeLinksForEmail,TrackClicks,AllowClickThrough
    Get-SafeAttachmentPolicy | Select-Object Name,Action,Redirect,RedirectAddress
    Get-DkimSigningConfig | Select-Object Domain,Enabled
    Disconnect-ExchangeOnline -Confirm:$false

    Connect-ExchangeOnline -UserPrincipalName admin@contoso.com -ShowBanner:$false
    Get-HostedContentFilterPolicy | Select-Object Name,SpamAction,HighConfidenceSpamAction,PhishSpamAction,BulkThreshold
    Get-HostedOutboundSpamFilterPolicy | Select-Object Name,AutoForwardingMode,NotifyOutboundSpam
    Get-MalwareFilterPolicy | Select-Object Name,EnableFileFilter,FileTypes,ZapEnabled
    Get-AntiPhishPolicy | Select-Object Name,EnableOrganizationDomainsProtection,EnableSpoofIntelligence,EnableMailboxIntelligence
    Get-SafeLinksPolicy | Select-Object Name,EnableSafeLinksForEmail,TrackClicks,AllowClickThrough
    Get-SafeAttachmentPolicy | Select-Object Name,Action,Redirect,RedirectAddress
    Get-DkimSigningConfig | Select-Object Domain,Enabled
    Disconnect-ExchangeOnline -Confirm:$false

Spam- und Authentifizierungsanalyse Spam and authentication analysis

Die Ergänzung beschreibt SCL 0-9, BCL, PCL, wichtige Headerfelder, Defender for Office 365 Plan 2 Features sowie SPF/DKIM/DMARC- und Quarantänepraxis.This addition covers SCL 0-9, BCL, PCL, important header fields, Defender for Office 365 Plan 2 features, and SPF/DKIM/DMARC plus quarantine operations.

## SCL 0-9, BCL und PCL SCL 0-9, BCL, and PCL

Wert Value | Bedeutung Meaning
--- | ---
0 0 | Nicht als Spam klassifiziert; meist vertrauenswürdig oder explizit erlaubt.Not classified as spam; usually trusted or explicitly allowed.
1 1 | Sehr geringe Spam-Wahrscheinlichkeit.Very low spam probability.
2 2 | Niedrige Spam-Wahrscheinlichkeit.Low spam probability.
3 3 | Leicht verdächtig; häufig noch im Posteingang.Slightly suspicious; often still delivered to the inbox.
4 4 | Grenzfall; häufig von tenantweiten Aktionen abhängig.Borderline; often depends on tenant-wide actions.
5 5 | Klarer Spamverdacht, häufig Junk Email.Clear spam suspicion, often junk email.
6 6 | Hohe Spamwahrscheinlichkeit.High spam probability.
7 7 | Sehr hohe Spamwahrscheinlichkeit.Very high spam probability.
8 8 | High Confidence Spam; meist Quarantäne oder Löschung.High confidence spam; usually quarantine or deletion.
9 9 | High Confidence Phish oder aggressive Policywirkung.High confidence phish or aggressive policy action.

Signal Signal | Beschreibung Description
--- | ---
BCL BCL | Bulk Complaint Level von 0 bis 9 für Newsletter und Massenmail.Bulk Complaint Level from 0 to 9 for newsletters and bulk mail.
PCL PCL | Phishing Confidence Level aus Anti-Phish und Spoof Signalen.Phishing Confidence Level based on anti-phish and spoof signals.

## X-Microsoft-Antispam Headerfelder X-Microsoft-Antispam header fields

Feld Field | Bedeutung Meaning
--- | ---
SCL SCL | Spam Confidence Level.Spam confidence level.
BCL BCL | Bulk Complaint Level.Bulk complaint level.
PCL PCL | Phishing Confidence Level.Phishing confidence level.
CAT CAT | Kategorisierung wie BULK, PHSH oder SPM.Categorization such as BULK, PHSH, or SPM.
SRV SRV | Filterserver oder pipelinebezogene Kennung.Filtering server or pipeline identifier.
IPV IPV | IP-Reputationsauswertung.IP reputation evaluation.
H H | Header-basierte Heuristik oder Prüfpfad.Header-based heuristic or evaluation path.
PTR PTR | Reverse-DNS bzw. PTR Bewertung.Reverse DNS or PTR evaluation.
LANG LANG | Erkannte Sprachhinweise.Detected language hints.
CTRY CTRY | Abgeleitetes Herkunftsland oder Geo-Signal.Derived country or geo signal.
SFV SFV | Spam Filter Verdict wie SKN, NSPM, SPM, PHSH.Spam filter verdict such as SKN, NSPM, SPM, PHSH.
X-Forefront-Antispam-Report X-Forefront-Antispam-Report | Zusammenfassender Bericht weiterer Signale.Summary report of additional signals.

## Defender for Office 365 Plan 2 Defender for Office 365 Plan 2

Feature Feature | Nutzen Use
--- | ---
Threat Explorer / Real-time detections Threat Explorer / real-time detections | Erweiterte Jagd- und Untersuchungsoberfläche.Advanced hunting and investigation surface.
Attack Simulation Training Attack Simulation Training | Phishing-Simulationen und Trainingskampagnen.Phishing simulations and training campaigns.
Automated Investigation and Response Automated Investigation and Response | Automatisierte Triage und Remediation.Automated triage and remediation.
Campaign views Campaign views | Korrelierte Sicht auf großflächige Angriffe.Correlated view across broad campaigns.
Threat Trackers Threat Trackers | Aktuelle Akteurs- und Kampagnenlage.Current actor and campaign intelligence.
Advanced hunting data Advanced hunting data | Zusätzliche Detektionsdaten für SOC und Defender.Additional detection data for SOC and Defender.

## SPF, DKIM und DMARC Troubleshooting SPF, DKIM, and DMARC troubleshooting

Problem Problem | Prüfschritte Checks
--- | ---
SPF fail SPF fail | SPF Record per `Resolve-DnsName -Type TXT` prüfen; nur legitime Sender einschließen.Check the SPF record with `Resolve-DnsName -Type TXT` and include only legitimate senders.
DKIM fail DKIM fail | Selector-CNAMEs prüfen und `Get-DkimSigningConfig` gegen Domänenstatus vergleichen.Check selector CNAMEs and compare `Get-DkimSigningConfig` with domain status.
DMARC p=reject Nebenwirkungen DMARC p=reject side effects | Alignment, Weiterleitungen und Drittanbieter-Sender prüfen.Check alignment, forwarding, and third-party senders.
Intermittierende Zustellung Intermittent delivery | DNS-TTL, Propagation und konkurrierende SPF/DKIM Änderungen berücksichtigen.Consider DNS TTL, propagation, and competing SPF/DKIM changes.

PowerShell PowerShell

    Resolve-DnsName contoso.com -Type MX
    Resolve-DnsName contoso.com -Type TXT
    Resolve-DnsName selector1._domainkey.contoso.com -Type CNAME
    Get-DkimSigningConfig | Select-Object Domain,Enabled,Selector1CNAME,Selector2CNAME

## Quarantäne Deep Dive Quarantine deep dive

Thema Topic | Hinweis Note
--- | ---
Admin release Admin release | Administratoren können selektiv freigeben und zur Microsoft-Analyse melden.Administrators can selectively release and submit to Microsoft analysis.
End-user notifications End-user notifications | Benutzerbenachrichtigungen müssen zur Governance passen.End-user notifications must fit governance requirements.
Review before purge Review before purge | Quarantäne ist sicherer als sofortiges Löschen bei möglichem False Positive.Quarantine is safer than immediate deletion when false positives are possible.
Bulk triage Bulk triage | Mit Filter auf Sender, Type, PolicyType und ReleaseStatus arbeiten.Filter by sender, type, policy type, and release status.

PowerShell PowerShell

    Get-QuarantinePolicy | Select-Object Name,ESNEnabled,EndUserSpamNotificationFrequency
    Get-QuarantineMessage -PageSize 50 | Select-Object ReceivedTime,SenderAddress,RecipientAddress,Subject,Type,ReleaseStatus
    Release-QuarantineMessage -Identity <QuarantineMessageIdentity> -ReleaseToAll

## GitHub Referenzen GitHub references

Repository Repository | Nutzen Use
--- | ---
microsoft/mha microsoft/mha | Microsoft Message Header Analyzer zum Dekodieren von Headern und Routinghinweisen.Microsoft Message Header Analyzer for decoding headers and routing hints.

Mail Flow Fehlerbilder Mail flow failure patterns

Für Headeranalyse, NDR-Codes und DNS-Propagation siehe außerdem Mail Flow Troubleshooting Mail flow troubleshooting.For header analysis, NDR codes, and DNS propagation, also see Mail Flow Troubleshooting Mail flow troubleshooting.