# Defender for Office 365 Defender for Office 365

Level-500-Referenz für Lizenzunterschiede, Safe Links, Safe Attachments, Anti-Phishing, Explorer, Attack Simulation Training und EOP-/Graph-Automatisierung. Level-500 reference for licensing differences, Safe Links, Safe Attachments, anti-phishing, Explorer, attack simulation training, and EOP/Graph automation.

P1 vs P2 P1 vs P2

Plan 1 deckt präventiven Mail- und Collaboration-Schutz ab; Plan 2 ergänzt SOC-Funktionen wie Explorer, AIR, Threat Trackers und Attack Simulation Training. Plan 1 covers preventive email and collaboration protection; Plan 2 adds SOC features such as Explorer, AIR, threat trackers, and attack simulation training.

Mail + Collaboration Mail + collaboration

MDO schützt Exchange Online, SharePoint, OneDrive und Teams mit Safe Attachments, Safe Links und Anti-Phishing. MDO protects Exchange Online, SharePoint, OneDrive, and Teams with Safe Attachments, Safe Links, and anti-phishing.

Detection & Investigation Detection & investigation

Real-time detections sind für Admin-Operateure schnell; Threat Explorer und Campaign Views liefern die tiefere SOC-Perspektive. Real-time detections are fast for operators; Threat Explorer and campaign views provide the deeper SOC view.

Awareness Awareness

Attack Simulation Training verbindet reale Angriffs-Patterns mit Benutzertraining, Reporting und Automations. Attack simulation training combines real attack patterns with user training, reporting, and automations.

💡 Betriebsmodell 💡 Operating model

Defender for Office 365 ist am effektivsten, wenn EOP-Baselines, DNS-Authentifizierung, Preset Policies und Incident-Playbooks gemeinsam gepflegt werden. Viele Probleme entstehen nicht durch fehlende Features, sondern durch widersprüchliche Policies. Defender for Office 365 is most effective when EOP baselines, DNS authentication, preset policies, and incident playbooks are maintained together. Many issues are caused not by missing features but by conflicting policies.

## P1 vs P2 Vergleich P1 vs P2 comparison

Capability Capability | P1 P1 | P2 P2
--- | --- | ---
Safe Links Safe Links | Ja Yes | Ja Yes
Safe Attachments Safe Attachments | Ja Yes | Ja Yes
Protection for Teams / SharePoint / OneDrive Protection for Teams / SharePoint / OneDrive | Ja Yes | Ja Yes
Anti-phishing policies Anti-phishing policies | Ja Yes | Ja Yes
Real-time detections Real-time detections | Ja Yes | Ja Yes
Threat Explorer Threat Explorer | Nein No | Ja Yes
Campaign Views Campaign Views | Nein No | Ja Yes
Threat Trackers Threat Trackers | Nein No | Ja Yes
Automated Investigation and Response Automated Investigation and Response | Nein No | Ja Yes
Attack Simulation Training Attack Simulation Training | Nein No | Ja Yes
Configuration Analyzer Configuration Analyzer | Ja Yes | Ja Yes
Defender XDR integration depth Defender XDR integration depth | Grundlegend Basic | Voll Full

## Safe Links: alle wesentlichen Einstellungen Safe Links: all key settings

Einstellung Setting | Wirkung Effect | Betriebshinweis Operational note
--- | --- | ---
Safe Links policy on/off Safe Links policy on/off | URL-Rewrite und Time-of-Click-Prüfung aktivieren Enable URL rewriting and time-of-click checks | Aktiviere getrennte Policies für VIPs, Standard-User und Servicekonten. Use separate policies for VIPs, standard users, and service accounts.
Apply to email Apply to email | Schützt URL-Klicks in Exchange Online Protects URL clicks in Exchange Online | Basisfunktion für nahezu jede MDO-Bereitstellung. Baseline feature for nearly every MDO deployment.
Apply to Teams Apply to Teams | Prüft URLs in Microsoft Teams Inspects URLs in Microsoft Teams | Wichtig, weil Collaboration-Angriffe zunehmend chatbasiert sind. Important because collaboration attacks are increasingly chat-based.
Apply to Office desktop/mobile apps Apply to Office desktop/mobile apps | Schützt Links in Office Apps Protects links inside Office apps | Nur aktivieren, wenn User Experience und Proxy-Verhalten getestet wurden. Enable only after testing user experience and proxy behavior.
Wait for URL scanning to complete Wait for URL scanning to complete | Blockiert Klick bis Analyse fertig ist Blocks the click until analysis completes | Erhöht Schutz, kann aber Latenz verursachen. Increases protection but can add latency.
Track user clicks Track user clicks | Klick-Telemetrie und Reporting Click telemetry and reporting | Wichtig für Explorer, Campaigns und Incident-Nachvollziehbarkeit. Important for Explorer, campaigns, and incident traceability.
Do not rewrite URLs Do not rewrite URLs | Allow-List für interne oder inkompatible Ziele Allow list for internal or incompatible targets | Sparsam nutzen; jede Ausnahme reduziert Prüfpfade. Use sparingly; every exception reduces inspection coverage.
Do not rewrite links in trusted senders Do not rewrite links in trusted senders | Verringert Friktion für definierte Sender Reduces friction for defined senders | Nur mit starker Sender-Verifikation und DMARC-Durchsetzung verwenden. Use only with strong sender validation and DMARC enforcement.
Scan clicked URLs in internal messages Scan clicked URLs in internal messages | Schützt vor internen oder kompromittierten Konten Protects against internal or compromised accounts | Sehr empfehlenswert wegen BEC- und lateral-phishing-Szenarien. Highly recommended because of BEC and lateral phishing scenarios.
Allow click-through Allow click-through | User kann nach Warnung fortfahren User can continue after warning | Für High-Risk-Gruppen meist deaktivieren. Typically disable for high-risk groups.
Safe Links notifications Safe Links notifications | User sieht Warnseite und Blockgrund User sees warning page and block reason | Texte und Prozesskommunikation auf Awareness-Programme abstimmen. Align messaging with awareness programs.

## Safe Attachments und Collaboration Protection Safe Attachments and collaboration protection

Einstellung Setting | Beschreibung Description | Praxis Practice
--- | --- | ---
Block Block | Nachricht oder Anhang wird blockiert Message or attachment is blocked | Für Hochrisiko-Gruppen sinnvoll, kann aber Latenz und Business Impact erhöhen. Good for high-risk groups, but may increase latency and business impact.
Dynamic Delivery Dynamic Delivery | Nachricht wird zugestellt, Anhang später nach Sandbox freigegeben oder ersetzt Message is delivered, attachment released or replaced after sandboxing | Reduziert Nutzerwartezeit und ist Standard in vielen produktiven Umgebungen. Reduces user wait time and is common in production.
Replace Replace | Bösartiger Anhang wird entfernt und durch Placeholder ersetzt Malicious attachment is removed and replaced with a placeholder | Hilfreich für Transparenz ohne komplette Zustellungsunterbrechung. Useful for transparency without fully stopping message delivery.
Monitor Monitor | Nur detektieren und berichten Detect and report only | Eher für Pilot oder sehr sensible Business-Ausnahmen geeignet. Best for pilot phases or very sensitive business exceptions.
Safe Attachments for SharePoint/OneDrive/Teams Safe Attachments for SharePoint/OneDrive/Teams | Detoniert Dateien in Collaboration-Workloads Detonates files in collaboration workloads | Entscheidend für echte M365-Abdeckung jenseits klassischer Mailflows. Critical for real M365 coverage beyond classic mail flows.
Redirect attachment for scanning Redirect attachment for scanning | Optionale Umleitung / Admin-Handling Optional redirect or admin handling | Nur einsetzen, wenn klarer IR-Prozess für Prüfung und Freigabe existiert. Use only if a clear IR process exists for review and release.
Zero-hour auto purge Zero-hour auto purge | Bereits zugestellte Malware später entfernen Remove already delivered malware later | Muss mit User-Kommunikation und Quarantäneprozessen zusammenspielen. Must work together with user communication and quarantine procedures.

## Anti-Phishing: Komplettüberblick Anti-phishing: complete overview

Setting Setting | DE DE | EN EN
--- | --- | ---
Spoof intelligence Spoof intelligence | Erkennt und bewertet Spoofing legitimer Domains Erkennt und bewertet Spoofing legitimer Domains | Detects and assesses spoofing of legitimate domains Detects and assesses spoofing of legitimate domains
Spoof action Spoof action | Allow, move to junk, quarantine oder reject Allow, move to junk, quarantine oder reject | Allow, move to junk, quarantine, or reject Allow, move to junk, quarantine, or reject
User impersonation User impersonation | Schützt definierte Führungskräfte und Schlüsselpersonen Schützt definierte Führungskräfte und Schlüsselpersonen | Protects defined executives and key personnel Protects defined executives and key personnel
Domain impersonation Domain impersonation | Ähnliche oder lookalike Domains erkennen Ähnliche oder lookalike Domains erkennen | Detects similar or lookalike domains Detects similar or lookalike domains
Mailbox intelligence Mailbox intelligence | Lernt Kommunikationsmuster pro Benutzer Lernt Kommunikationsmuster pro Benutzer | Learns per-user communication patterns Learns per-user communication patterns
Mailbox intelligence protection action Mailbox intelligence protection action | Setzt Aktionen basierend auf gelernter Normalität Setzt Aktionen basierend auf gelernter Normalität | Applies actions based on learned normality Applies actions based on learned normality
Safety tips Safety tips | Zeigt Benutzerwarnungen bei Verdacht an Zeigt Benutzerwarnungen bei Verdacht an | Shows user-facing warnings when suspicious Shows user-facing warnings when suspicious
First contact safety tip First contact safety tip | Warnt bei erstmaligem Senderkontakt Warnt bei erstmaligem Senderkontakt | Warns on first-time sender contact Warns on first-time sender contact
Via tag Via tag | Markiert Weiterleitungen oder Relay-Sender Markiert Weiterleitungen oder Relay-Sender | Marks forwarded or relayed senders Marks forwarded or relayed senders
Unauthenticated sender indicators Unauthenticated sender indicators | Kennzeichnet fehlende Authentifizierung Kennzeichnet fehlende Authentifizierung | Marks missing authentication Marks missing authentication
Trusted senders and domains Trusted senders and domains | Definiert Ausnahmen für legitime Sonderfälle Definiert Ausnahmen für legitime Sonderfälle | Defines exceptions for legitimate edge cases Defines exceptions for legitimate edge cases
Excluded domains Excluded domains | Schließt bestimmte Domänen aus der Bewertung aus Schließt bestimmte Domänen aus der Bewertung aus | Excludes specific domains from evaluation Excludes specific domains from evaluation
Protected users Protected users | Priorisiert besonders sensible Empfänger Priorisiert besonders sensible Empfänger | Prioritizes especially sensitive recipients Prioritizes especially sensitive recipients
Protected domains Protected domains | Schützt Marken- und Unternehmensdomänen Schützt Marken- und Unternehmensdomänen | Protects brand and corporate domains Protects brand and corporate domains
Quarantine policy mapping Quarantine policy mapping | Ordnet Anti-Phish-Treffer einer Quarantänebehandlung zu Ordnet Anti-Phish-Treffer einer Quarantänebehandlung zu | Maps anti-phish hits to a quarantine experience Maps anti-phish hits to a quarantine experience

## Quarantäne, Endbenutzerzugriff und Benachrichtigungen Quarantine, end-user access, and notifications

Aspekt Aspect | Optionen Options | Betrieblicher Effekt Operational effect
--- | --- | ---
Admin review Admin review | Freigeben, Löschen, Download, Restore, Report false positive Release, delete, download, restore, report false positive | Braucht klare Rollenverteilung zwischen Messaging, SOC und Helpdesk. Needs a clear role split between messaging, SOC, and helpdesk.
End-user access End-user access | Zugriff auf bestimmte Quarantänetypen erlauben oder verbieten Allow or deny access to specific quarantine types | Zu breite Freigaben untergraben Anti-Phishing-Policies. Overly broad release rights undermine anti-phishing policies.
Notifications Notifications | Regelmäßige Digest-Mails oder Ereignis-basiert Scheduled digest mails or event based | Benutzerkommunikation muss Awareness, Self-Service und Missbrauchsvermeidung ausbalancieren. User communication must balance awareness, self-service, and misuse prevention.
Release requests Release requests | User kann Freigabe anfragen User can request release | Eignet sich für Standard-User, aber nicht für Hochrisiko-Zielgruppen oder regulierte Workloads. Fits standard users, but not high-risk targets or regulated workloads.
Retention Retention | Aufbewahrungszeit pro Quarantäneart Retention time by quarantine type | Zu kurze Retention erschwert Forensik, zu lange Retention erhöht Compliance-Last. Too short retention hurts forensics, too long retention increases compliance burden.

## Threat Explorer und Real-time Detections Threat Explorer and real-time detections

Ansicht View | Wofür Used for | Typische Filter Typical filters
--- | --- | ---
Email view Email view | Einzelne Nachrichten, URLs, Attachments und Delivery Actions Individual messages, URLs, attachments, and delivery actions | Recipient, Sender, Threat type, Policy, Delivery action, URL action. Recipient, sender, threat type, policy, delivery action, URL action.
URL view URL view | Safe Links Clicks, blocked URLs, campaign correlation Safe Links clicks, blocked URLs, campaign correlation | URL, verdict, click action, user, workload. URL, verdict, click action, user, workload.
Malware / file view Malware / file view | Attachment hash, detonation verdict, file family Attachment hash, detonation verdict, file family | SHA256, file type, malware family, action taken. SHA256, file type, malware family, action taken.
Campaign view Campaign view | Kampagnenweite Analyse von BEC oder Phishing-Wellen Campaign-wide analysis of BEC or phishing waves | Campaign ID, domain, sender infrastructure, delivery pattern. Campaign ID, domain, sender infrastructure, delivery pattern.
Real-time detections Real-time detections | Schneller operativer Überblick für T1/T2 Fast operational overview for T1/T2 | Malware, phish, policy hit, delivery location, remediation state. Malware, phish, policy hit, delivery location, remediation state.
Email entity page Email entity page | Header, auth results, routes, links, attachments, user actions Headers, auth results, routes, links, attachments, user actions | Entscheidend für BEC-Analyse, ZAP-Nachvollzug und Safe Links Zeitachsen. Critical for BEC analysis, ZAP tracing, and Safe Links timelines.

## Campaigns, Threat Trackers und Attack Simulation Training Campaigns, threat trackers, and attack simulation training

Technik Technique | Typischer Lernzweck Typical learning objective | Besonderheit Special note
--- | --- | ---
Credential Harvest Credential Harvest | Benutzer sollen gefälschte Login-Seiten erkennen Teach users to spot fake sign-in pages | Unterstützt Login Pages und QR-Code-Varianten. Supports login pages and QR-based variants.
Malware Attachment Malware Attachment | Anhangsrisiken und Dateitypen verdeutlichen Demonstrate attachment risks and file types | Gut für Awareness zu ISO, HTML, ZIP und Office-Anhängen. Good for awareness around ISO, HTML, ZIP, and Office attachments.
Link in Attachment Link in Attachment | Mehrstufige Phishing-Ketten trainieren Train multi-stage phishing chains | Kombiniert Attachment und Klickpfad. Combines an attachment and a click path.
Link to Malware Link to Malware | Gefährliche Downloads und Browser-Warnungen erklären Explain dangerous downloads and browser warnings | Kann ebenfalls mit QR-Codes kombiniert werden. Can also be combined with QR codes.
Drive-by URL Drive-by URL | Aufmerksamkeit für bösartige Webinhalte erhöhen Increase awareness for malicious web content | Nützlich für Browser-zentrierte Workloads. Useful for browser-centric workflows.
OAuth Consent Grant OAuth Consent Grant | Missbrauch von App-Consent demonstrieren Demonstrate app consent abuse | Besonders wichtig für Entra- und SaaS-zentrierte Unternehmen. Especially important in Entra- and SaaS-centric organizations.
How-to Guide How-to Guide | Awareness ohne technische Kompromittierung Awareness without technical compromise | Eignet sich für frühe Trainingskampagnen oder Führungskräfteprogramme. Useful for early training campaigns or executive programs.

Payload / Filter Payload / filter | Beispiele Examples | Nutzen Use
--- | --- | ---
Theme Theme | Password, Verify Mailbox, Invoice, Quarantine, Remote Work Password, verify mailbox, invoice, quarantine, remote work | Wähle Themen passend zu echten Angriffsoberflächen im Unternehmen. Choose themes that match the organization’s real attack surface.
Brand Brand | Microsoft, DocuSign, DHL, Netflix, Dropbox Microsoft, DocuSign, DHL, Netflix, Dropbox | Brand-Lookalikes erhöhen Realismus, brauchen aber Freigabe und Kommunikationsrahmen. Brand lookalikes increase realism but need governance and communication.
Industry Industry | Banking, Healthcare, Government, Retail, Telecom Banking, healthcare, government, retail, telecom | Branchenspezifische Lures verbessern Relevanz der Trainings. Industry-specific lures improve training relevance.
Language Language | 29+ globale Sprachen plus Tenant Payloads 29+ global languages plus tenant payloads | Mehrsprachige Organisationen sollten regionale Trainingsserien aufbauen. Multilingual organizations should build regional training series.
Predicted compromise rate Predicted compromise rate | Historische Erfolgswahrscheinlichkeit eines Payloads Historical compromise likelihood of a payload | Hilft beim Priorisieren von Simulationen für bestimmte Gruppen. Helps prioritize simulations for specific groups.

Automation Automation | Beschreibung Description | Operativer Mehrwert Operational value
--- | --- | ---
Simulation automation Simulation automation | Regelmäßige Serien für ausgewählte Gruppen oder Rollen Scheduled series for selected groups or roles | Ermöglicht kontinuierliche Awareness statt einmaliger Kampagnen. Enables continuous awareness rather than one-off campaigns.
Payload automation Payload automation | Harvesting echter Phishing-Muster aus Meldungen Harvesting real phishing patterns from reports | Hält Trainingsinhalte nahe am realen Bedrohungsbild. Keeps training content close to the real threat landscape.
Training assignment Training assignment | Gezielte Nachschulung nach Fail-Events Targeted retraining after failed simulations | Verbindet Security Outcome mit Benutzerentwicklung. Connects security outcomes with user development.
Randomized delivery Randomized delivery | Zeitlich gestaffelte Zustellung Time-staggered delivery | Reduziert Weitergabe zwischen Benutzern und erhöht Realismus. Reduces user-to-user warning and increases realism.

## AIR, Configuration Analyzer und Priority Accounts AIR, configuration analyzer, and priority accounts

Feature Feature | Was es tut What it does | Best Practice Best practice
--- | --- | ---
Automated Investigation and Response Automated Investigation and Response | Ermittelt Cluster, analysiert Artefakte und empfiehlt bzw. führt Mail-Remediation aus Investigates clusters, analyzes artifacts, and recommends or performs email remediation | Approval-Prozesse für P2-Features mit Helpdesk und Messaging-Team abstimmen. Align approval processes for P2 features with helpdesk and messaging teams.
Configuration Analyzer Configuration Analyzer | Bewertet Policies gegen Microsoft-Empfehlungen Assesses policies against Microsoft recommendations | Nicht blind 'grün' optimieren; Ausnahmen dokumentieren und mit Threat Model begründen. Do not optimize blindly for green status; document exceptions and justify them in the threat model.
Priority Account Protection Priority Account Protection | Spezielle Sicht auf besonders kritische Empfänger Special view for particularly critical recipients | CEO, CFO, HR, Legal und Privileged Admins getrennt beobachten und härter schützen. Monitor and protect CEOs, CFOs, HR, legal, and privileged admins separately and more aggressively.

## Preset Security Policies und Authentifizierung Preset security policies and authentication

Thema Topic | Standard Standard | Strict Strict
--- | --- | ---
Safe Links Safe Links | Benutzerfreundlicher, geringere Friktion More user-friendly, lower friction | Härtere Click-Block- und Inspection-Haltung Stronger click-block and inspection stance
Safe Attachments Safe Attachments | Ausgewogen zwischen Schutz und Zustellbarkeit Balanced between protection and deliverability | Aggressiveres Handling für unbekannte/verdächtige Anhänge More aggressive handling for unknown or suspicious attachments
Anti-phishing Anti-phishing | Guter Basisschutz mit weniger Business Impact Strong baseline with less business impact | Strenger gegen impersonation, spoofing und first-contact-risk Stricter against impersonation, spoofing, and first-contact risk
Recommended use Recommended use | Breite Standardpopulation Broad standard population | VIPs, Finance, Admins, Executive Assistants, Hochrisiko-User VIPs, finance, admins, executive assistants, high-risk users

DNS/Auth DNS/auth | Was konfigurieren What to configure | Warum Why
--- | --- | ---
SPF SPF | Vollständigen autorisierten Senderbestand pflegen Maintain a complete authorized sender inventory | Reduziert Spoofing und verbessert Auth-Ergebnisse für Anti-Phishing. Reduces spoofing and improves auth results for anti-phishing.
DKIM DKIM | Schlüssel veröffentlichen und Signierung aktivieren Publish keys and enable signing | Schützt Integrität ausgehender Mails und verbessert Domain Reputation. Protects outbound message integrity and improves domain reputation.
DMARC DMARC | Mit p=none starten, danach quarantine/reject Start with p=none, then move to quarantine/reject | Sichtbarkeit und Enforcement gegen Domain Spoofing. Provides visibility and enforcement against domain spoofing.
Subdomains Subdomains | SPF/DKIM/DMARC auch für Subdomains sauber modellieren Model SPF/DKIM/DMARC cleanly for subdomains too | Angreifer weichen gern auf schlecht gepflegte Subdomains aus. Attackers often pivot to poorly maintained subdomains.

## PowerShell und Graph PowerShell and Graph

PowerShell PowerShell

        Connect-ExchangeOnline
        Get-SafeLinksPolicy | Format-Table Name, EnableSafeLinksForEmail, EnableSafeLinksForTeams, TrackClicks
        Get-SafeAttachmentPolicy | Format-Table Name, Action, Enable, Redirect
        Get-AntiPhishPolicy | Format-Table Name, EnableMailboxIntelligence, EnableSpoofIntelligence, EnabledFirstContactSafetyTips
        Get-QuarantinePolicy | Format-Table Name, EndUserQuarantinePermissionsValue

PowerShell PowerShell

        Set-SafeLinksPolicy -Identity "Strict Users" `
          -EnableSafeLinksForEmail $true `
          -EnableSafeLinksForTeams $true `
          -ScanUrls $true `
          -TrackClicks $true `
          -AllowClickThrough $false

HTTP HTTP

        POST https://graph.microsoft.com/v1.0/informationProtection/threatAssessmentRequests
        Content-Type: application/json

        {
          "@odata.type": "#microsoft.graph.mailAssessmentRequest",
          "recipientEmail": "user@contoso.com",
          "expectedAssessment": "block",
          "category": "phishing",
          "messageUri": "https://graph.microsoft.com/v1.0/users/user@contoso.com/messages/{id}"
        }