Antiphishingrichtlinien in Cloudorganisationen

Tipp

Wussten Sie, dass Sie die Features in Microsoft Defender für Office 365 Plan 2 kostenlos testen können? Verwenden Sie die 90-Tage-Testversion von Defender für Office 365 im Microsoft Defender-Portal-Testversionshub. Informationen dazu, wer sich registrieren und testen kann, finden Sie unter Try Microsoft Defender for Office 365.

Anti-Phishing-Richtlinien schützen vor Phishing-Angriffen, indem sie gefälschte Absender, Identitätswechselversuche und andere betrügerische E-Mail-Techniken erkennen. Grundlegende Antiphishingfunktionen werden für alle Microsoft 365-Cloudpostfächer bereitgestellt, z. B. Spoofintelligenz, Sicherheitstipps für den ersten Kontakt und nicht authentifizierte Absenderindikatoren. Darüber hinaus bietet Microsoft Defender für Office 365 die folgenden erweiterten Schutzfunktionen:

  • Schutz vor Identitätsanmaßung:
    • Schutz vor Benutzer-, Domänen- und Absenderidentitätswechsel.
    • Möglichkeit, vertrauenswürdige Absender und Domänen zu definieren, um falsch positive Ergebnisse zu reduzieren.
  • Schwellenwerte für Phishing-E-Mails:
    • Anpassbare Phishingschwellenwerte zur Feinabstimmung der Erkennung.
  • KI- und Machine Learning-basierte Erkennung:
    • Verbesserte Erkennung anspruchsvoller Phishingangriffe durch erweiterte Algorithmen.
  • Zusätzliche Berichte und Erkenntnisse:
    • Erweiterte Berichterstellungsfeatures und Einblick in Phishingversuche, die über die grundlegende Protokollierung hinausgehen.

In Microsoft Defender sind Antiphishingrichtlinien auf der Seite E-Mail & Zusammenarbeit>Richtlinien & Regeln>Bedrohungsrichtlinien>Antiphishing verfügbar. Während eine Standardmäßige Antiphishingrichtlinie automatisch für alle Empfänger gilt, können Sie auch benutzerdefinierte Richtlinien für bestimmte Benutzer, Gruppen oder Domänen erstellen. In diesem Artikel werden die Einstellungen beschrieben, die in Antiphishingrichtlinien für alle Cloudpostfächer und in Antiphishingrichtlinien in Defender für Office 365 verfügbar sind.

Konfigurieren von Antiphishingrichtlinien

Informationen zum Konfigurieren von Antiphishingrichtlinien finden Sie in den folgenden Artikeln:

Tipp

Als Ergänzung zu diesem Artikel lesen Sie unseren Security Analyzer-Einrichtungsleitfaden , um bewährte Methoden zu überprüfen und zu erfahren, wie Sie die Verteidigung stärken, die Compliance verbessern und sicher in der Cybersicherheitslandschaft navigieren. Für eine angepasste Umgebung können Sie im Microsoft 365 Admin Center auf den Leitfaden zur automatisierten Einrichtung von Security Analyzer zugreifen.

Tipp

Als Begleitartikel zu diesem Artikel empfehlen wir, den Leitfaden zur automatisierten einrichtung von Microsoft Defender for Endpoint zu verwenden, wenn Sie bei der Microsoft 365 Admin Center angemeldet sind. Dieser Leitfaden wird basierend auf Ihrer Umgebung angepasst. Um bewährte Methoden zu überprüfen, ohne sich anzumelden und features für die automatisierte Einrichtung zu aktivieren, wechseln Sie zum Microsoft 365-Setuphandbuch.

Vergleich der Antiphishingrichtlinien für alle Cloudpostfächer und in Defender für Office 365

Die Antiphishingrichtlinien für alle Cloudpostfächer und die Antiphishingrichtlinien in Defender for Office 365 haben mehrere Funktionen gemeinsam (Standardrichtlinie, benutzerdefinierte Richtlinien, gemeinsame Richtlinieneinstellungen, Spoofeinstellungen und den Sicherheitstipp bei erstem Kontakt), aber nur Defender for Office 365 umfasst Einstellungen für Identitätswechsel und Schwellenwerte für Phishing-E-Mails. Der konkrete Funktionsvergleich lautet:

Funktion Antiphishing-Richtlinien
für alle Postfächer in der Cloud		 Antiphishing-Richtlinien
in Defender für Office 365
Automatisch erstellte Standardrichtlinie ✔ ✔
Erstellen Sie benutzerdefinierte Richtlinien ✔ ✔
Allgemeine Richtlinieneinstellungen* ✔ ✔
Spoofeinstellungen ✔ ✔
Sicherheitstipp für den ersten Kontakt ✔ ✔
Identitätswechseleinstellungen ✔
Schwellenwerte für Phishing-E-Mails ✔

* In der Standardrichtlinie sind der Richtlinienname und die Beschreibung schreibgeschützt (die Beschreibung ist leer), und Sie können nicht angeben, für wen die Richtlinie gilt (die Standardrichtlinie gilt für alle Empfänger).

Allgemeine Richtlinieneinstellungen

Die folgenden Richtlinieneinstellungen sind in Antiphishingrichtlinien für alle Cloudpostfächer und in Antiphishingrichtlinien in Defender für Office 365 verfügbar:

  • Name: Sie können die Standardmäßige Antiphishingrichtlinie nicht umbenennen. Nachdem Sie eine benutzerdefinierte Antiphishingrichtlinie erstellt haben, können Sie die Richtlinie im Microsoft Defender Portal nicht umbenennen.

  • Beschreibung Sie können der Standardmäßigen Antiphishingrichtlinie keine Beschreibung hinzufügen, aber Sie können die Beschreibung für benutzerdefinierte Richtlinien, die Sie erstellen, hinzufügen und ändern.

  • Benutzer, Gruppen und Domänen und Diese Benutzer, Gruppen und Domänen ausschließen: Empfängerfilter, um die internen Empfänger zu identifizieren, für die die Richtlinie gilt. Benutzerdefinierte Richtlinien erfordern mindestens eine Bedingung. Bedingungen und Ausnahmen sind in der Standardrichtlinie nicht verfügbar (die Standardrichtlinie gilt für alle Empfänger). Sie können die folgenden Empfängerfilter für Bedingungen und Ausnahmen verwenden:

    • Benutzer: Ein oder mehrere Postfächer oder E-Mail-Benutzer in der Organisation.
    • Gruppen:
      • Mitglieder der angegebenen Verteilergruppen oder E-Mail-aktivierten Sicherheitsgruppen (dynamische Verteilergruppen werden nicht unterstützt).
      • Die angegebenen Microsoft 365-Gruppen (dynamische Mitgliedschaftsgruppen in Microsoft Entra ID werden nicht unterstützt).
    • Domänen: Mindestens eine der konfigurierten akzeptierten Domänen in Microsoft 365. Die primäre E-Mail-Adresse des Empfängers befindet sich in der angegebenen Domäne.

    Sie können eine Bedingung oder Ausnahme nur einmal verwenden, aber die Bedingung oder Ausnahme kann mehrere Werte enthalten:

    • Mehrere Werte für dieselbe Bedingung oder Ausnahme verwenden ODER-Logik (z. B. <recipient1> oder <recipient2>):

      • Bedingungen: Wenn der Empfänger mit einem der angegebenen Werte übereinstimmt, wird die Richtlinie auf diese angewendet.
      • Ausnahmen: Wenn der Empfänger mit einem der angegebenen Werte übereinstimmt, wird die Richtlinie nicht auf sie angewendet.

    • Verschiedene Arten von Ausnahmen verwenden OR-Logik (z. B. <recipient1> oder <member of group1> oder <member of domain1>). Wenn der Empfänger mit einem der angegebenen Ausnahmewerte übereinstimmt, wird die Richtlinie nicht auf sie angewendet.

    • Verschiedene Arten von Bedingungen verwenden AND-Logik. Der Empfänger muss allen angegebenen Bedingungen entsprechen, damit die Richtlinie auf sie angewendet wird. Beispielsweise konfigurieren Sie eine Bedingung mit den folgenden Werten:

      • Benutzer: romain@contoso.com
      • Gruppen: Führungskräfte

      Die Richtlinie wird romain@contoso.com auf angewendet, wenn er auch Mitglied der Gruppe „Executives“ ist. Andernfalls wird die Richtlinie nicht auf ihn angewendet.

    Tipp

    In benutzerdefinierten Antiphishingrichtlinien ist mindestens eine Auswahl in den Einstellungen Benutzer, Gruppen und Domänen erforderlich, um die Nachrichtenempfänger zu identifizieren, für die die Richtlinie gilt. Antiphishingrichtlinien in Defender for Office 365 verfügen auch über Identitätswechseleinstellungen, in denen Sie Absender-E-Mail-Adressen oder Absenderdomänen angeben können, die Identitätswechselschutz erhalten.

Spoofeinstellungen

Spoofing liegt vor, wenn die „From“-Adresse in einer E-Mail-Nachricht (die Absenderadresse, die E-Mail-Programme anzeigen) nicht mit der Domäne der E-Mail-Quelle übereinstimmt. Weitere Informationen zum Spoofing finden Sie unter Anti-Spoofing-Schutz.

Tipp

Einen Vergleich von Spoofing und Identitätswechsel finden Sie unter Spoofing vs. Identitätswechsel.

Die folgenden Spoofeinstellungen sind in Antiphishingrichtlinien für alle Cloudpostfächer und in Antiphishingrichtlinien in Defender für Office 365 verfügbar:

  • Spoofing-Erkennung aktivieren: Aktiviert oder deaktiviert die Spoofing-Erkennung. Es wird empfohlen, die Option aktiviert zu lassen.

    Wenn die Spoofintelligenz aktiviert ist, zeigt der Spoofintelligenz-Einblick gefälschte Absender an, die automatisch erkannt und von der Spoofintelligenz zugelassen oder blockiert wurden. Sie können die Spoofintelligenz-Bewertung manuell überschreiben, um die erkannten gefälschten Absender aus der Erkenntnis zuzulassen oder zu blockieren. Wenn Sie dies jedoch tun, verschwindet der gefälschte Absender aus der Spoofing-Erkenntnis und wird nur noch auf der Registerkarte Gefälschte Absender auf der Seite Mandanten-Zulassungs-/Sperrlisten unter https://security.microsoft.com/tenantAllowBlockList?viewid=SpoofItem angezeigt. Oder Sie können in der Mandanten-Zulassungs-/Sperrliste manuell Zulassungs- oder Sperreinträge für Absender mit gefälschter Absenderadresse erstellen, auch wenn die Spoofing-Erkenntnisse die Nachrichten nie erkannt haben. Weitere Informationen finden Sie in den folgenden Artikeln:

    Hinweis

    • Der Schutz vor Spoofing ist in den voreingestellten Sicherheitsrichtlinien Standard und Strict aktiviert. Sie ist standardmäßig in der Standardmäßigen Antiphishingrichtlinie und in den neuen benutzerdefinierten Antiphishingrichtlinien aktiviert, die Sie erstellen.
    • Sie müssen den Anti-Spoofing-Schutz nicht deaktivieren, wenn Ihr MX-Eintrag nicht auf Microsoft 365 verweist; Sie aktivieren stattdessen die erweiterte Filterung für Connectors. Anweisungen hierzu finden Sie unter Erweiterte Filterung für Connectors in Exchange Online.
    • Das Deaktivieren des Antispoofingschutzes deaktiviert nur den impliziten Spoofingschutz vor zusammengesetzten Authentifizierungsprüfungen . Informationen dazu, wie sich der Antispoofingschutz und die DMARC-Richtlinie der Quelldomänen (p=quarantine oder p=reject im DMARC TXT-Eintrag) auf expliziteDMARC-Überprüfungen auswirken, finden Sie im Abschnitt Spoofschutz- und Absender-DMARC-Richtlinien .

  • Nicht authentifizierte Absenderindikatoren: Sind nur im Abschnitt Sicherheitstipps & Indikatoren verfügbar, wenn Spoofintelligenz aktiviert ist. Ausführliche Informationen finden Sie unter "Nicht authentifizierte Absenderindikatoren".

  • Aktionen: Für Nachrichten von blockierten, gefälschten Absendern (die automatisch durch die Spoof-Intelligenz blockiert werden (Fehler bei der zusammengesetzten Authentifizierung plus böswillige Absicht) oder manuell in der Mandanten-Zulassen/Blockieren-Liste blockiert werden) können Sie auch die Aktion angeben, die auf die Nachrichten angewendet werden soll:

Schutz vor Spoofing und DMARC-Richtlinien für Absender

In Antiphishing-Richtlinien können Sie steuern, ob die Werte p=quarantine oder p=reject in den DMARC-Richtlinien des Absenders berücksichtigt werden. Wenn eine Nachricht die DMARC-Prüfungen nicht besteht, können Sie in der DMARC-Richtlinie des Absenders getrennte Aktionen für p=quarantine oder p=reject festlegen. Die folgenden Einstellungen sind beteiligt:

  • DMARC-Datensatzrichtlinie berücksichtigen, wenn die Nachricht als Spoof erkannt wird: Mit dieser Einstellung wird die DMARC-Richtlinie des Absenders bei expliziten E-Mail-Authentifizierungsfehlern berücksichtigt. Wenn diese Einstellung ausgewählt ist, sind die folgenden Einstellungen verfügbar:

    • Wenn die Nachricht als Spoof erkannt wird und die DMARC-Richtlinie auf p=quarantine festgelegt ist: Die verfügbaren Aktionen sind:
      • Nachricht unter Quarantäne stellen
      • Verschieben der Nachricht in die Junk-Email Ordner der Empfänger
    • Wenn die Nachricht als Spoof erkannt wird und die DMARC-Richtlinie auf p=reject festgelegt ist: Die verfügbaren Aktionen sind:
      • Nachricht unter Quarantäne stellen
      • Ablehnen der Nachricht

    Wenn Sie Die Nachricht unter Quarantäne stellen als Aktion auswählen, verwendet das System die Quarantänerichtlinie, die für den Spoof Intelligence-Schutz ausgewählt wurde.

DMARC-Einstellungen in einer Antiphishingrichtlinie.

Welche Aktion bei einer gefälschten Nachricht ausgeführt wird, hängt davon ab, ob Spoof Intelligence aktiviert ist und ob die Einstellung „DMARC-Richtlinie berücksichtigen“ aktiviert ist. Die Kombinationen und ihre resultierenden Verhaltensweisen sind:

Tipp

Es ist wichtig zu verstehen, dass ein Fehler bei der zusammengesetzten Authentifizierung nicht direkt dazu führt, dass eine Nachricht blockiert wird. Unser System verwendet eine ganzheitliche Bewertungsstrategie, die den allgemeinen verdächtigen Charakter einer Nachricht zusammen mit zusammengesetzten Authentifizierungsergebnissen berücksichtigt. Diese Methode verringert das Risiko, dass legitime E-Mails aus Domänen, die nicht strikt an die E-Mail-Authentifizierungsprotokolle halten, fälschlicherweise blockiert werden. Dieser ausgewogene Ansatz hilft dabei, wirklich böswillige E-Mails von legitimen Nachrichtensendern zu unterscheiden, die die standardbasierten E-Mail-Authentifizierungsmethoden nicht einhalten.

  DMARC-Richtlinie beachten Ein DMARC-Richtlinie anwenden Aus
Spoofintelligenz Ein. Separate Aktionen für implizite und explizite E-Mail-Authentifizierungsfehler:
  • Implizite Fehler: Verwenden Sie in der Antiphishing-Richtlinie die Aktion Wenn die Nachricht von Spoof Intelligence als Spoof erkannt wird (AuthenticationFailAction).
  • Explizite Fehler:
    • DMARC-Richtlinie p=quarantine: Verwenden Sie in der Anti-Phishing-Richtlinie die Aktion Wenn die Nachricht als Spoof erkannt wird und die DMARC-Richtlinie auf p=quarantine festgelegt ist.
    • DMARC-Richtlinie p=reject: Verwenden Sie in der Anti-Phishing-Richtlinie die Aktion Wenn die Nachricht als Spoofing erkannt wird und die DMARC-Richtlinie auf p=reject festgelegt ist.
    • DMARC-Richtlinie p=none: Microsoft 365 ergreift keine Aktion basierend auf DMARC, aber andere Schutzfunktionen im Filterstapel können weiterhin auf die Nachricht reagieren.
 Die Aktion Wenn die Nachricht als Spoof durch Spoofintelligenz erkannt wird (AuthenticationFailAction) in der Antiphishingrichtlinie wird sowohl für implizite als auch explizite E-Mail-Authentifizierungsfehler verwendet. Explizite E-Mail-Authentifizierungsfehler ignorieren p=quarantine, p=reject, p=noneoder andere Werte in der DMARC-Richtlinie.
Spoofintelligenz aus. Implizite E-Mail-Authentifizierungsprüfungen werden nicht verwendet.

Explizite E-Mail-Authentifizierungsfehler:
  • DMARC-Richtlinie p=quarantine: Verwenden Sie in der Anti-Phishing-Richtlinie die Aktion Wenn die Nachricht als Spoof erkannt wird und die DMARC-Richtlinie auf p=quarantine festgelegt ist.
  • DMARC-Richtlinie p=reject: Verwenden Sie in der Anti-Phishing-Richtlinie die Aktion Wenn die Nachricht als Spoofing erkannt wird und die DMARC-Richtlinie auf p=reject festgelegt ist.
  • DMARC-Richtlinie p=none: Die Nachricht wird von Microsoft 365 nicht als Spoofing identifiziert, aber andere Schutzfunktionen im Filterstapel können weiterhin auf die Nachricht reagieren.
 Implizite E-Mail-Authentifizierungsprüfungen werden nicht verwendet.

Explizite E-Mail-Authentifizierungsfehler:
  • DMARC-Richtlinie p=quarantine, p=reject: Verwenden Sie die Aktion Wenn die Nachricht durch die Spoof-Intelligenz als Spoofing erkannt wird (AuthenticationFailAction) in der Anti-Phishing-Richtlinie.
  • DMARC-Richtlinie p=none: Microsoft 365 ergreift keine Aktion basierend auf DMARC, aber andere Schutzfunktionen im Filterstapel können weiterhin auf die Nachricht reagieren.

Hinweis

Wenn der MX-Eintrag für die Microsoft 365-Domäne auf einen Nicht-Microsoft-Dienst oder ein Gerät verweist, das sich vor Microsoft 365 befindet, wird die Einstellung DMARC-Richtlinie berücksichtigen nur angewendet, wenn Enhanced Filtering for Connectors für den Connector aktiviert ist, über den eingehende Nachrichten empfangen werden.

Kunden können die Einstellung DMARC-Richtlinie anwenden für bestimmte E-Mail-Nachrichten und/oder Absender mit den folgenden Methoden außer Kraft setzen:

Indikatoren für nicht authentifizierte Absender

Indikatoren für nicht authentifizierte Absender sind Teil der Spoofeinstellungen, die im Abschnitt Sicherheitstipps & Indikatoren in Antiphishingrichtlinien für alle Cloudpostfächer und in Antiphishingrichtlinien in Defender für Office 365 verfügbar sind. Die folgenden Einstellungen sind nur verfügbar, wenn Spoofintelligenz aktiviert ist:

  • (?) für nicht authentifizierte Absender bei Spoofing anzeigen: Fügt dem Foto des Absenders im Feld „Von“ ein Fragezeichen hinzu, wenn die Nachricht SPF- oder DKIM-Prüfungen nicht besteht und die Nachricht DMARC oder die zusammengesetzte Authentifizierung nicht besteht (Microsofts kombinierte Auswertung von SPF-, DKIM- und DMARC-Ergebnissen). Wenn diese Einstellung deaktiviert ist, wird das Fragezeichen nicht zum Foto des Absenders hinzugefügt.

    Screenshot eines nicht authentifizierten Absenders in einer E-Mail-Nachricht.

  • Tag "via" anzeigen: Fügt das "via"-Tag (chris@contoso.com <u>via</u> fabrikam.com) im Feld Von hinzu, wenn sich die Domäne in der Von-Adresse (der in E-Mail-Clients angezeigte Absender der Nachricht) von der Domäne in der DKIM-Signatur oder der MAIL FROM-Adresse unterscheidet. Weitere Informationen zu diesen Adressen finden Sie unter Eine Übersicht über E-Mail-Nachrichtenstandards.

    Screenshot des via-Tags in einer E-Mail-Nachricht.

Um zu verhindern, dass das Fragezeichen oder das "via"-Tag nachrichten von bestimmten Absendern hinzugefügt wird, haben Sie die folgenden Optionen:

  • Lassen Sie den gefälschten Absender in Spoof Intelligence oder manuell in der Mandantenliste für Zulassungen/Sperrungen zu. Das Zulassen des gefälschten Absenders verhindert, dass das "via"-Tag in Nachrichten des Absenders angezeigt wird, auch wenn die Einstellung "Via" anzeigen in der Richtlinie aktiviert ist.
  • Konfigurieren Sie die E-Mail-Authentifizierung für die Absenderdomäne.
    • Für das Fragezeichen auf dem Foto des Absenders sind SPF oder DKIM die wichtigsten.
    • Beim „via“-Tag bestätigen Sie, dass die Domäne in der DKIM-Signatur oder die MAIL FROM-Adresse mit der Domäne in der Absenderadresse übereinstimmt (oder eine Unterdomäne davon ist).

Weitere Informationen finden Sie unter Identifizieren verdächtiger Nachrichten in Outlook.com und Outlook im Web

Sicherheitstipp für den ersten Kontakt

Die Einstellung Sicherheitstipps für ersten Kontakt anzeigen ist in Antiphishingrichtlinien für alle Cloudpostfächer und in Antiphishingrichtlinien in Defender für Office 365 verfügbar und ist nicht von Den Einstellungen für Spoofintelligenz oder Identitätswechselschutz abhängig. Der Sicherheitstipp wird empfängern in den folgenden Szenarien angezeigt:

  • Wenn sie zum ersten Mal eine Nachricht von einem Absender erhalten
  • Sie erhalten nicht oft Nachrichten vom Absender.

Diese Funktion fügt eine zusätzliche Schutzebene vor potenziellen Identitätswechselangriffen hinzu, daher wird empfohlen, sie zu aktivieren.

Der Sicherheitstipp für den ersten Kontakt wird durch den Wert 9.25 des SFTY-Felds im Nachrichtenheader X-Forefront-Antispam-Report bestimmt. Diese Funktion ersetzt die Notwendigkeit, Nachrichtenflussregeln (auch als Transportregeln bezeichnet) zu erstellen, die einen Header namens X-MS-Exchange-EnableFirstContactSafetyTip mit dem Wert Enable für Nachrichten hinzufügen, obwohl diese Funktion weiterhin verfügbar ist.

Abhängig von der Anzahl der Empfänger in der Nachricht kann der erste Kontakt-Sicherheitstipp einen der folgenden Werte aufweisen:

  • Einzelner Empfänger:

    Sie erhalten nicht häufig E-Mails von der <E-Mail-Adresse>.

    Der Erste Kontakt-Sicherheitstipp für Nachrichten mit einem Empfänger

  • Mehrere Empfänger:

    Einige Personen, die diese Nachricht erhalten, erhalten nicht häufig E-Mails von der <E-Mail-Adresse>.

    Der Erste Kontakt-Sicherheitstipp für Nachrichten mit mehreren Empfängern

Hinweis

Wenn die Nachricht mehrere Empfänger hat, basiert die Entscheidung, ob der Hinweis angezeigt wird und wem gegenüber, auf einem Mehrheitsmodell. Wenn die meisten Empfänger noch nie oder nicht häufig Nachrichten vom Absender empfangen haben, erhalten die betroffenen Empfänger den Tipp Einige Personen, die diese Nachricht erhalten haben... . Wenn Sie bedenken, dass dieses Verhalten die Kommunikationsgewohnheiten eines Empfängers für einen anderen verfügbar macht, sollten Sie den Sicherheitstipp für den ersten Kontakt nicht aktivieren und stattdessen weiterhin Nachrichtenflussregeln und den X-MS-Exchange-EnableFirstContactSafetyTip-Header verwenden.

Der erste Kontaktsicherheits-Tipp ist in S/MIME-signierten Nachrichten nicht gestempelt.

Exklusive Einstellungen in Antiphishingrichtlinien in Microsoft Defender für Office 365

In diesem Abschnitt werden die Richtlinieneinstellungen beschrieben, die nur in Antiphishingrichtlinien in Defender für Office 365 verfügbar sind.

Hinweis

Die Standardmäßige Antiphishingrichtlinie in Defender für Office 365 bietet Spoofschutz und Postfachintelligenz für alle Empfänger. Die anderen verfügbaren Features zum Schutz vor Identitätswechseln und Phishing-E-Mail-Schwellenwerten sind jedoch nicht in der Standardrichtlinie konfiguriert. Um alle Schutzfunktionen zu aktivieren, ändern Sie die Standardmäßige Antiphishingrichtlinie, oder erstellen Sie andere Antiphishingrichtlinien.

Einstellungen für Identitätswechsel in den Antiphishing-Richtlinien in Microsoft Defender für Office 365

Bei der Identitätsvortäuschung ähnelt der Absender oder die E-Mail-Domäne des Absenders in einer Nachricht einem echten Absender oder einer echten Domäne:

  • Ein Beispiel für die Imitation der Domäne contoso.com ist ćóntoso.com.
  • Ein Identitätswechsel ist eine Kombination aus dem Anzeigenamen und der E-Mail-Adresse des Benutzers. Beispielsweise kann Valeria Barrios (vbarrios@contoso.com) als Valeria Barrios angenommen werden, aber mit einer anderen E-Mail-Adresse.

Hinweis

Der Identitätswechselschutz sucht nach ähnlichen Domänen. Wenn Ihre Domäne beispielsweise contoso.com ist, suchen wir nach verschiedenen Domänen der obersten Ebene (.com, .bizusw.), aber auch nach Domänen, die sich sogar geringfügig ähneln. Zum Beispiel könnten contosososo.com oder contoabcdef.com als Versuche angesehen werden, sich als contoso.com auszugeben.

Eine Domäne, die eine andere vortäuscht, könnte andernfalls als legitim angesehen werden (die Domäne ist registriert, DNS-Einträge für die E-Mail-Authentifizierung sind konfiguriert usw.), außer dass ihr Zweck darin besteht, Empfänger zu täuschen.

Die Identitätswechseleinstellungen für Denitierungsschutz, Schutz vor Identitätswechsel, Postfachintelligenz, Identitätswechselsicherheitstipps und vertrauenswürdige Absender und Domänen sind nur in Antiphishingrichtlinien in Defender for Office 365 verfügbar.

Tipp

Einzelheiten zu erkannten Identitätsdiebstahlversuchen sind im Insight zu Identitätsdiebstahl verfügbar. Weitere Informationen finden Sie unter Erkenntnisse zum Identitätsdiebstahl in Defender for Office 365.

Einen Vergleich von Spoofing und Identitätsvortäuschung finden Sie unter Spoofing und Identitätsvortäuschung im Vergleich.

Schutz vor Benutzerimitation

Der Schutz vor der Imitation von Benutzern verhindert, dass bestimmte interne oder externe E-Mail-Adressen als Absender von Nachrichten imitiert werden. Beispielsweise erhalten Sie eine E-Mail vom Vice President Ihres Unternehmens, in der Sie aufgefordert werden, ihr interne Unternehmensinformationen zu senden. Würdest du es tun? Viele Leute würden die Antwort senden, ohne nachzudenken.

Sie können geschützte Benutzer verwenden, um interne und externe Absender-E-Mail-Adressen hinzuzufügen, um vor Identitätswechseln zu schützen. Diese Liste der Absender, die vor Benutzeridentitätswechseln geschützt sind, unterscheidet sich von der Liste der Empfänger , für die die Richtlinie gilt (alle Empfänger für die Standardrichtlinie; bestimmte Empfänger, wie in der Einstellung Benutzer, Gruppen und Domänen im Abschnitt Allgemeine Richtlinieneinstellungen konfiguriert).

Hinweis

Sie können für den Schutz vor Benutzeridentitätswechseln in jeder Antiphishingrichtlinie maximal 350 Benutzer angeben.

Wenn sowohl Postfachintelligenz aktivieren als auch Intelligenz für Identitätswechselschutz aktivieren aktiviert sind, funktioniert der Benutzeridentitätsschutz nicht, wenn Absender und Empfänger zuvor per E-Mail kommuniziert haben. Wenn Absender und Empfänger nie per E-Mail kommuniziert haben, kann die Nachricht als Identitätswechselversuch identifiziert werden.

Wenn ein Benutzer bereits im Identitätswechselschutz in einer Antiphishingrichtlinie enthalten ist, erhalten Sie möglicherweise die folgende Fehlermeldung, wenn Sie versuchen, den Benutzer dem Identitätswechselschutz in einer anderen Anti-Phishing-Richtlinie hinzuzufügen: "Die E-Mail-Adresse ist bereits vorhanden." Dieser Fehler tritt nur im Defender-Portal auf. Sie erhalten den Fehler nicht, wenn Sie den entsprechenden TargetedUsersToProtect-Parameter in den Cmdlets New-AntiPhishPolicy oder Set-AntiPhishPolicy in Exchange Online PowerShell verwenden.

Standardmäßig sind keine Absender-E-Mail-Adressen für den Identitätswechselschutz konfiguriert, entweder in der Standardrichtlinie oder in benutzerdefinierten Richtlinien.

Wenn Sie der Liste Zu schützende Benutzer interne oder externe E-Mail-Adressen hinzufügen, unterliegen Nachrichten von diesen Absendern überprüfungen des Identitätswechselschutzes. Die Nachricht wird auf Identitätswechsel überprüft , wenn die Nachricht an einen Empfänger gesendet wird, für den die Richtlinie gilt (alle Empfänger für die Standardrichtlinie; Benutzer, Gruppen und Domänenempfänger in benutzerdefinierten Richtlinien). Wenn in der E-Mail-Adresse des Absenders eine Identitätsanmaßung erkannt wird, wird die für identitätsangemaßte Benutzer konfigurierte Aktion auf die Nachricht angewendet.

Für erkannte Benutzeridentitätswechselversuche sind die folgenden Aktionen verfügbar:

  • Keine Aktion anwenden: Die Standardaktion.

  • Umleiten der Nachricht an andere E-Mail-Adressen: Sendet die Nachricht an die angegebenen Empfänger anstelle der vorgesehenen Empfänger.

  • Verschieben von Nachrichten in die Junk-Email Ordner der Empfänger: Die Nachricht wird an das Postfach übermittelt und in den Ordner Junk-Email verschoben. Weitere Informationen finden Sie unter Konfigurieren von Junk-E-Mail-Einstellungen für Cloudpostfächer.

  • Quarantäne der Nachricht: Sendet die Nachricht in Quarantäne anstelle der vorgesehenen Empfänger. Informationen zur Quarantäne finden Sie in den folgenden Artikeln:

    Wenn Sie Nachricht unter Quarantäne stellen auswählen, können Sie auch die Quarantänerichtlinie auswählen, die auf Nachrichten angewendet wird, die durch den Schutz vor Benutzerimitation unter Quarantäne gestellt werden. Mithilfe von Quarantänerichtlinien wird definiert, was Benutzer mit in Quarantäne befindlichen Nachrichten tun können. Weitere Informationen finden Sie unter Anatomie einer Quarantänerichtlinie.

  • Stellen Sie die Nachricht zu, und fügen Sie dem Bcc-Feld weitere Adressen hinzu: Stellen Sie die Nachricht den beabsichtigten Empfängern zu, und stellen Sie sie den angegebenen Empfängern unbemerkt zu.

  • Nachricht löschen, bevor sie zugestellt wird: Die gesamte Nachricht einschließlich aller Anhänge unbemerkt löschen.

Schutz vor Domänennachahmung

Der Schutz vor Domänenidentitätswechsel verhindert, dass bestimmte Domänen in der E-Mail-Adresse des Absenders imitiert werden. Beispielsweise alle Domänen, die Sie besitzen (akzeptierte Domänen) oder bestimmte benutzerdefinierte Domänen (Domänen, die Sie besitzen oder Partnerdomänen). Absenderdomänen , die vor Identitätswechseln geschützt sind, unterscheiden sich von der Liste der Empfänger , auf die die Richtlinie angewendet wird (alle Empfänger für die Standardrichtlinie; bestimmte Empfänger, wie in der Einstellung Benutzer, Gruppen und Domänen im Abschnitt Allgemeine Richtlinieneinstellungen konfiguriert).

Hinweis

Sie können maximal 50 benutzerdefinierte Domänen für den Schutz vor Domänenidentitätswechsel in jeder Antiphishingrichtlinie angeben.

Wenn sowohl Postfachintelligenz aktivieren als auch Intelligenz für Identitätswechselschutz aktivieren aktiviert sind, funktioniert der Domänenidentitätswechselschutz nicht, wenn der Absender und der Empfänger zuvor per E-Mail kommuniziert haben. Wenn Absender und Empfänger nie per E-Mail kommuniziert haben, kann die Nachricht als Identitätswechselversuch identifiziert werden.

Nachrichten von Absendern in den angegebenen Domänen werden auf Schutz vor Identitätsbetrug überprüft. Die Nachricht wird auf Identitätswechsel überprüft , wenn die Nachricht an einen Empfänger gesendet wird, für den die Richtlinie gilt (alle Empfänger für die Standardrichtlinie; Benutzer, Gruppen und Domänenempfänger in benutzerdefinierten Richtlinien). Wenn in der Domäne der E-Mail-Adresse des Absenders ein Identitätswechsel erkannt wird, wird die Aktion für den Domänenidentitätswechsel auf die Nachricht angewendet.

Standardmäßig sind keine Absenderdomänen für den Identitätswechselschutz konfiguriert, weder in der Standardrichtlinie noch in benutzerdefinierten Richtlinien.

Für erkannte Domänenidentitätswechselversuche sind die folgenden Aktionen verfügbar:

  • Keine Aktion anwenden: Der Standardwert.

  • Umleiten der Nachricht an andere E-Mail-Adressen: Sendet die Nachricht an die angegebenen Empfänger anstelle der vorgesehenen Empfänger.

  • Verschieben von Nachrichten in die Junk-Email Ordner der Empfänger: Die Nachricht wird an das Postfach übermittelt und in den Ordner Junk-Email verschoben. Weitere Informationen finden Sie unter Konfigurieren von Junk-E-Mail-Einstellungen für Cloudpostfächer.

  • Quarantäne der Nachricht: Sendet die Nachricht in Quarantäne anstelle der vorgesehenen Empfänger. Informationen zur Quarantäne finden Sie in den folgenden Artikeln:

    Wenn Sie Die Nachricht unter Quarantäne stellen auswählen, können Sie auch die Quarantänerichtlinie auswählen, die auf Nachrichten angewendet wird, die durch den Schutz vor Domänenimitation unter Quarantäne gestellt werden. Mithilfe von Quarantänerichtlinien wird definiert, was Benutzer mit in Quarantäne befindlichen Nachrichten tun können. Weitere Informationen finden Sie unter Anatomie einer Quarantänerichtlinie.

  • Stellen Sie die Nachricht zu, und fügen Sie dem Bcc-Feld weitere Adressen hinzu: Stellen Sie die Nachricht den beabsichtigten Empfängern zu, und stellen Sie sie den angegebenen Empfängern unbemerkt zu.

  • Nachricht löschen, bevor sie zugestellt wird: Löscht die gesamte Nachricht, einschließlich aller Anlagen, im Hintergrund.

Schutz vor Identitätswechsel durch Postfachintelligenz

Postfachintelligenz verwendet künstliche Intelligenz (KI), um E-Mail-Muster von Benutzern mit ihren häufigen Kontakten zu bestimmen.

Gabriela Laureano (glaureano@contoso.com) ist beispielsweise die GESCHÄFTSFÜHRERin Ihres Unternehmens, sodass Sie sie als geschützte Absenderin in den Einstellungen der Richtlinie Benutzern den Schutz ermöglichen hinzufügen. Einige der Empfänger in der Richtlinie kommunizieren jedoch regelmäßig mit einem Anbieter, der auch Gabriela Laureano (glaureano@fabrikam.com) genannt wird. Da diese Empfänger einen Kommunikationsverlauf mit glaureano@fabrikam.com haben, identifiziert die Postfachintelligenz Nachrichten von glaureano@fabrikam.com für diese Empfänger nicht als den Versuch, sich als glaureano@contoso.com auszugeben.

Hinweis

Der Schutz von Mailbox Intelligence funktioniert nicht, wenn Absender und Empfänger zuvor per E-Mail kommuniziert haben. Wenn Absender und Empfänger niemals per E-Mail kommuniziert haben, kann die Nachricht als Identitätswechselversuch durch Postfachintelligenz identifiziert werden.

Postfachintelligenz verfügt über zwei spezifische Einstellungen:

  • Postfachintelligenz aktivieren: Aktivieren oder Deaktivieren der Postfachintelligenz Diese Einstellung hilft der KI, zwischen Nachrichten von legitimen absendern und imitierten Absendern zu unterscheiden. Diese Einstellung ist standardmäßig aktiviert.
  • Intelligenz für identitätswechselschutz aktivieren: Diese Einstellung ist standardmäßig deaktiviert. Um Benutzer vor Identitätswechselangriffen zu schützen, verwenden Sie den Kontaktverlauf, der von der Postfachintelligenz (sowohl häufige Kontakte als auch kein Kontakt) gelernt wurde. Damit Postfachintelligenz bei erkannten Nachrichten Maßnahmen ergreifen kann, müssen diese Einstellung und die Einstellung Postfachintelligenz aktivieren aktiviert sein.

Für Identitätswechselversuche, die von Postfachintelligenz erkannt werden, sind die folgenden Aktionen verfügbar:

  • Keine Aktion anwenden: Der Standardwert. Diese Aktion hat dasselbe Ergebnis wie wenn Postfachintelligenz aktivieren aktiviert, aber Intelligenten Schutz vor Identitätswechsel aktivieren deaktiviert ist.
  • Umleiten der Nachricht an andere E-Mail-Adressen
  • Verschieben der Nachricht in die Junk-Email Ordner der Empfänger
  • Nachricht unter Quarantäne stellen: Wenn Sie diese Aktion auswählen, können Sie auch die Quarantänerichtlinie auswählen, die für Nachrichten gilt, die durch Postfachintelligenzschutz unter Quarantäne gesetzt werden. Quarantänerichtlinien definieren, was Benutzer mit unter Quarantäne gestellten Nachrichten tun können, und ob Benutzer Nachrichten erhalten, wenn eine Nachricht unter Quarantäne gestellt wurde. Weitere Informationen finden Sie unter Anatomie einer Quarantänerichtlinie.
  • Übermitteln Sie die Nachricht, und fügen Sie der Bcc-Zeile weitere Adressen hinzu.
  • Löschen der Nachricht vor der Übermittlung

Sicherheitstipps zum Identitätswechsel

Sicherheitstipps für den Identitätswechsel werden Benutzern angezeigt, wenn Nachrichten als Identitätswechselversuche identifiziert werden. Die folgenden Sicherheitstipps sind verfügbar:

  • Sicherheitshinweis zum Benutzer‑Imitationsschutz anzeigen: Die Absenderadresse enthält einen Benutzer, der im Benutzer‑Imitationsschutz aufgeführt ist. Nur verfügbar, wenn Benutzerschutz aktivieren aktiviert und konfiguriert ist.

    Dieser Sicherheitstipp wird durch den Wert 9,20 des SFTY Felds im X-Forefront-Antispam-Report-Header der Nachricht gesteuert. Der Text lautet:

    <Absender> ähnelt einer Person, die Ihnen zuvor eine E-Mail gesendet hat, ist aber möglicherweise nicht diese Person.

    Screenshot einer E-Mail-Nachricht mit einem Sicherheitstipp für den Benutzeridentitätswechsel.

  • Sicherheitstipp zum Identitätswechsel anzeigen: Die From-Adresse enthält eine Domäne, die im Schutz vor Domänenidentitätswechsel angegeben ist. Nur verfügbar, wenn Zu schützende Domänen aktivieren aktiviert und konfiguriert ist.

    Dieser Sicherheitstipp wird durch den Wert 9,19 des SFTY Felds im X-Forefront-Antispam-Report-Header der Nachricht gesteuert. Der Text lautet:

    Dieser Absender gibt sich möglicherweise als eine Domäne aus, die Ihrer Organisation zugeordnet ist.

    Screenshot einer E-Mail-Nachricht mit einem Sicherheitstipp zum Domänenidentitätswechsel.

  • Sicherheitstipp Ungewöhnliche Zeichen für Benutzeridentitätswechsel anzeigen: Die From-Adresse enthält ungewöhnliche Zeichensätze (z. B. mathematische Symbole und Text oder eine Mischung aus Groß- und Kleinbuchstaben) in einem Absender, der im Benutzeridentitätsschutz angegeben ist. Nur verfügbar, wenn Benutzerschutz aktivieren aktiviert und konfiguriert ist. Der Text lautet:

    Die E-Mail-Adresse <email address> enthält unerwartete Buchstaben oder Zahlen. Es wird empfohlen, nicht mit dieser Nachricht zu interagieren.

Hinweis

Sicherheitstipps werden in den folgenden Nachrichten nicht gestempelt:

  • Signierte S/MIME-Nachrichten.
  • Nachrichten, die durch Ihre Organisationseinstellungen erlaubt sind.

Vertrauenswürdige Absender und Domänen

Vertrauenswürdige Absender und Domänen sind Ausnahmen von den Identitätswechselschutzeinstellungen. Nachrichten von den angegebenen Absendern und Absenderdomänen werden von der Richtlinie nie als identitätsbasierte Angriffe klassifiziert. Anders ausgedrückt: Die Aktion für geschützte Absender, geschützte Domänen oder Postfachintelligenzschutz wird nicht auf diese vertrauenswürdigen Absender oder Absenderdomänen angewendet. Der maximale Grenzwert für diese Listen beträgt 1.024 Einträge.

Hinweis

Vertrauenswürdige Domäneneinträge enthalten keine Unterdomänen der angegebenen Domäne. Sie müssen für jede Unterdomäne einen Eintrag hinzufügen.

Wenn Microsoft 365-Systemnachrichten von den folgenden Absendern als Identitätswechselversuche identifiziert werden, können Sie die Absender der Liste der vertrauenswürdigen Absender hinzufügen:

  • noreply@email.teams.microsoft.com
  • noreply@emeaemail.teams.microsoft.com
  • no-reply@sharepointonline.com

Schwellenwerte für Phishing-E-Mails in Antiphishingrichtlinien in Microsoft Defender für Office 365

Die folgenden Schwellenwerte für Phishing-E-Mails sind nur in Antiphishingrichtlinien in Defender für Office 365 verfügbar. Diese Schwellenwerte steuern die Empfindlichkeit bei der Anwendung von Machine Learning-Modellen auf Nachrichten zur Erkennung von Phishing:

  • 1 – Standard: Der Standardwert. Die Schwere der Maßnahme, die auf die Nachricht angewendet wird, hängt vom Grad der Gewissheit ab, dass es sich bei der Nachricht um Phishing handelt (gering, mittel, hoch oder sehr hoch). Für Nachrichten, die mit einem sehr hohen Maß an Zuverlässigkeit identifiziert wurden, wurden beispielsweise die schwerwiegendsten Aktionen angewendet. Für Nachrichten, die mit einem geringen Vertrauensgrad identifiziert wurden, wurden weniger schwerwiegende Aktionen angewendet.
  • 2 - Aggressiv: Nachrichten, die als Phishing mit einem hohen Maß an Vertrauen identifiziert werden, werden so behandelt, als würden sie mit einem sehr hohen Maß an Vertrauen identifiziert.
  • 3 - Aggressiver: Nachrichten, die als Phishing mit einem mittleren oder hohen Maß an Vertrauen identifiziert werden, werden so behandelt, als würden sie mit einem sehr hohen Maß an Vertrauen identifiziert.
  • 4 - Aggressiv: Nachrichten, die als Phishing mit einem niedrigen, mittleren oder hohen Maß an Vertrauen identifiziert werden, werden so behandelt, als ob sie mit einem sehr hohen Maß an Vertrauen identifiziert würden.

Die Wahrscheinlichkeit falsch positiver Ergebnisse (gute Nachrichten, die als schlecht gekennzeichnet sind) steigt, wenn Sie diese Einstellung erhöhen. Informationen zu den empfohlenen Einstellungen finden Sie unter Phishing-E-Mail-Schwellenwerte in Antiphishingrichtlinien in Microsoft Defender für Office 365.

Spoofing im Vergleich zur Identitätsvortäuschung

Spoofing ist ein Angreifer, der die E-Mail-Adresse oder Domäne des Absenders gefälscht, damit er wie eine vertrauenswürdige Quelle aussieht. Der Angreifer manipuliert die E-Mail-Adresse des Absenders im Nachrichtenkopf (auch als From-Adresse, 5322.From Adresse oder P2-Absender bezeichnet), um den Empfänger zu täuschen.

  • Der Antiphishingschutz für alle Cloudpostfächer umfasst die grundlegende Spoofingerkennung über SPF, DKIM und DMARC-Überprüfung.
  • Defender für Office 365 umfasst erweiterte Spoofintelligenz zur besseren Erkennung und Abwehr komplexer Spoofingangriffe.

Identitätswechsel ist ein Angreifer, der einen vertrauenswürdigen Benutzer, eine vertrauenswürdige Domäne oder Marke imitiert, um den Empfänger dazu zu bringen, zu glauben, dass die E-Mail echt ist. Der Angreifer verwendet häufig subtile Variationen des tatsächlichen Benutzer- oder Domänennamens (z. B mithun@ćóntoso.com . anstelle von mithun@contoso.com).

  • Der Anti-Phishing-Schutz für alle Cloud-Postfächer umfasst keinen Schutz vor Identitätsvortäuschung.
  • Defender for Office 365 umfasst den Identitätswechselschutz für Benutzer und Domänen, sodass Administratoren vertrauenswürdige Entitäten und Schwellenwerte für die Erkennung definieren können.

Der Identitätswechsel kann E-Mail-Authentifizierungsprüfungen (SPF, DKIM und DMARC) bestehen, wenn der Angreifer eine Lookalike-Domäne erstellt und gültige DNS-Einträge veröffentlicht hat. Trotz bestandener Authentifizierung nimmt der Angreifer immer noch die Identität einer vertrauenswürdigen Domäne oder eines vertrauenswürdigen Benutzers an, um Empfänger zu täuschen. Dieses Verhalten unterstreicht die Bedeutung des erweiterten Identitätswechselschutzes, der von Defender für Office 365 bereitgestellt wird.

Informationen zur Verarbeitungsreihenfolge für die E-Mail-Schutztypen und zur Prioritätsreihenfolge von Richtlinien finden Sie unter Reihenfolge und Rangfolge des E-Mail-Schutzes.

  • Last updated on