Erkenntnisse zu Massenabsendern in Cloudorganisationen

In allen Organisationen mit Cloudpostfächern ermöglicht es Ihnen die Übersicht zu Massenabsendern im Microsoft Defender-Portal, Informationen zu Erkennungen von Massen-E-Mails (auch als Gray Mail bezeichnet) in Ihrer Organisation anzuzeigen.

Microsoft 365 weist eingehenden Nachrichten von Massenabsendern einen Wert für den Beschwerdegrad bei Massen-E-Mails (BCL) zu. Ein höherer BCL-Wert weist darauf hin, dass es sich bei einer Massennachricht eher um Spam handelt. Der Massen-E-Mail-Schwellenwert in Antispamrichtlinien verwendet einen angegebenen BCL-Schwellenwert, um Nachrichten als Massenvorgang zu identifizieren und entsprechende Maßnahmen zu ergreifen. Weitere Informationen zur BCL finden Sie unter Massenbeschwerdestufe (BCL).

Der Einblick zu Massenabsendern hat die folgenden Funktionen:

• Sehen Sie, wie viele E-Mails in den letzten 60 Tagen auf jeder BCL-Ebene (1 bis 9) als Massen-E-Mail eingestuft werden.

• Simulieren sie Änderungen am Massen-E-Mail-Schwellenwert in Antispamrichtlinien. Die Ergebnisse zeigen die Anzahl der Nachrichten an, die zugestellt bzw. als Massen-E-Mail identifiziert würden.

  Tipp

  Sie können den BCL-Schwellenwert in der Standard-Antispamrichtlinie und in benutzerdefinierten Antispamrichtlinien ändern. Sie können den BCL-Schwellenwert in den voreingestellten Sicherheitsrichtlinien Standard oder Strict nicht ändern.

• Zeigen Sie Informationen zu Nachrichtenabsendern an, die vom Massen-E-Mail-Schwellenwert betroffen sind, einschließlich der Filterung basierend auf der Qualität des Absenders.

In diesem Artikel wird beschrieben, wie Sie die Erkenntnisse zu Massensendern im Microsoft Defender-Portal verwenden.

Was sollten Sie wissen, bevor Sie beginnen?

• Sie öffnen das Microsoft Defender-Portal unter https://security.microsoft.com. Um direkt zur Seite Bulk senders insight zu gelangen, verwenden Sie https://security.microsoft.com/senderinsights.

• Die Massensimulation und -erkennung funktioniert möglicherweise nicht ordnungsgemäß, wenn der MX-Eintrag für Ihre Microsoft 365-Domäne auf einen Nicht-Microsoft-Dienst oder ein Nicht-Microsoft-Gerät verweist.

• Ihnen müssen Berechtigungen zugewiesen werden, bevor Sie die Verfahren in diesem Artikel ausführen können. Sie haben folgende Optionen:

  • Microsoft Defender XDR einheitliche rollenbasierte Zugriffssteuerung (RBAC) (Wenn E-Mail & Zusammenarbeit>Defender for Office 365-Berechtigungen Aktiv sind. Betrifft nur das Defender-Portal, nicht PowerShell): Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (verwalten) oder Autorisierung und Einstellungen/Sicherheitseinstellungen/Kernsicherheitseinstellungen (Lesen).

  • Exchange Online Berechtigungen:

    • Hinzufügen, Ändern und Löschen von Richtlinien: Mitgliedschaft in den Rollengruppen Organisationsverwaltung oder Sicherheitsadministrator .
    • Schreibgeschützter Zugriff auf Richtlinien: Mitgliedschaft in den Rollengruppen Globaler Leser, Sicherheitsleser oder Organisationenverwaltung – nur Lesezugriff.

  • Microsoft Entra Berechtigungen: Durch die Mitgliedschaft in den folgenden Rollen erhalten Benutzer die erforderlichen Berechtigungen und Berechtigungen für andere Features in Microsoft 365:

    • Hinzufügen, Ändern und Löschen von Richtlinien: Mitgliedschaft in den Rollen Organisationsverwaltung^* oder Sicherheitsadministrator .
    • Lesezugriff auf Richtlinien: Mitgliedschaft in den Rollen Global Reader oder Security Reader.

    Wichtig

    ^* Microsoft setzt sich nachdrücklich für das Prinzip der geringsten Rechte ein. Wenn Sie Konten nur die minimalen Berechtigungen zuweisen, die zum Ausführen ihrer Aufgaben erforderlich sind, können Sie Sicherheitsrisiken reduzieren und den allgemeinen Schutz Ihrer organization stärken. Globaler Administrator ist eine Rolle mit hohen Berechtigungen, die Sie auf Notfallszenarien beschränken sollten oder wenn Sie keine andere Rolle verwenden können.

• Informationen zu unseren empfohlenen Einstellungen für Antispamrichtlinien finden Sie unter Antispamrichtlinieneinstellungen.

Tipp

Einstellungen in den Standard- oder benutzerdefinierten Antispamrichtlinien werden ignoriert, wenn ein Empfänger auch in den voreingestellten Sicherheitsrichtlinien Standard oder Strict enthalten ist. Weitere Informationen finden Sie unter Reihenfolge und Rangfolge des E-Mail-Schutzes.

Der Massen-Schwellenwert in einer Anti-Spam-Richtlinie legt den BCL-Schwellenwert fest, mit dem eine Nachricht als Massen-E-Mail identifiziert wird. Beispielsweise bedeutet der Schwellenwert für Massen-E-Mails 7, dass Nachrichten mit dem BCL-Wert 7, 8 oder 9 als Massen-E-Mails identifiziert werden. Was mit Massennachrichten geschieht, hängt von der Aktion Massenbeschwerdeebene (Bulk Complaint Level, BCL) ab, die in der Antispamrichtlinie erfüllt oder überschritten wurde (z. B. Nachricht in Junk-Email Ordner verschieben, Quarantäne oder Nachricht löschen). Der Einfachheit halber wird in der Erkenntnis zu Massenabsendern die Identifizierung einer Nachricht als Massen-E-Mail und das Ergreifen von Maßnahmen gegen die Nachricht als blockiert bezeichnet.

Öffnen Sie den Einblick zu Massenabsendern im Microsoft Defender-Portal.

Die Erkenntnis zu Massenabsendern ist an den folgenden Speicherorten verfügbar:

• In den Eigenschaften der Standardmäßigen Antispamrichtlinie oder benutzerdefinierten Antispamrichtlinien:

  1. Wechseln Sie im Microsoft Defender-Portal unter https://security.microsoft.com im Abschnitt Richtlinien zu >>>Antispam. Oder verwenden Sie , um direkt zur Seite Antispamrichtlinien zu wechseln https://security.microsoft.com/antispam.

  2. Wählen Sie auf der Seite Antispamrichtlinien eine benutzerdefinierte Antispamrichtlinie aus (der Wert Typ ist Benutzerdefinierte Antispamrichtlinie) oder die Standard-Antispamrichtlinie mit dem Namen Antispamrichtlinie für eingehenden Datenverkehr (Standard), indem Sie auf eine beliebige Stelle in der Zeile neben dem Kontrollkästchen neben der ersten Spalte klicken.

  3. Wählen Sie in dem daraufhin geöffneten Detail-Flyout unten im Abschnitt Schwellenwert für Massen-E-Mails und Spameigenschaften die Option Spamschwellenwert und Eigenschaften bearbeiten aus.

  4. In dem daraufhin geöffneten Flyout „Spamschwellenwert und Eigenschaften“ enthalten die Erkenntnisse zu Massenversendern die folgenden Informationen zu allen Massen-E-Mails, die in den letzten 60 Tagen von allen Antispam-Richtlinien in der Organisation erkannt wurden:

     • Standardmäßig zeigt die Erkenntnis die Anzahl der Nachrichten an, die am aktuellen BCL-Schwellenwert der Antispamrichtlinie übermittelt und als Massennachrichten identifiziert wurden.

       

     • Das Verringern des Schwellenwerts für Massen-E-Mails zeigt Folgendes an:

       • Gibt an, wie viel weniger Nachrichten zugestellt werden würden.
       • Wie viele weitere Nachrichten als Massen-E-Mails identifiziert würden.
       • Wie viele Erkennungen von Massen-E-Mails sind wahrscheinlich falsch positive Ergebnisse (zulässige E-Mails, die als "schlecht" identifiziert wurden).

       

     • Das Erhöhen des Schwellenwerts für Massen-E-Mails zeigt Folgendes an:

       • Gibt an, wie viele weitere Nachrichten zugestellt werden.
       • Wie viele weniger Nachrichten als Massen-E-Mails eingestuft würden.
       • Wie viele Erkennungen von Massen-E-Mails sind wahrscheinlich falsch negative Ergebnisse (unerwünschte E-Mails, die zugestellt wurden).

       

• Auf der Seite E-Mail- und Zusammenarbeitsberichte und -erkenntnisse:

  1. Navigieren Sie im Microsoft Defender-Portal unter https://security.microsoft.com zum Abschnitt Berichte>E-Mail und Zusammenarbeit>Berichte und Erkenntnisse zu E-Mail und Zusammenarbeit. Oder verwenden Sie , um direkt zur Seite https://security.microsoft.com/emailandcollabreport zu gelangen.

  2. Wechseln Sie auf der Seite E-Mail- & Zusammenarbeitsberichte und -einblicke zum Abschnitt E-Mail- & Zusammenarbeitseinblicke, und suchen Sie nach dem Einblick zu Massenabsendern.

  

Wenn Sie ausführliche Informationen zu Massenerkennungen und Absendern anzeigen möchten, wählen Sie Erkenntnisse zu Massenabsendern anzeigen oder Details anzeigen aus, um die Seite Massenabsender-Erkenntnisse zu öffnen.

Seite mit Einblicken zu Massenabsendern anzeigen

Die Seite „Einblicke in Massensender“ ist über die folgenden Methoden verfügbar:

• Direkt unter https://security.microsoft.com/senderinsights.
• Wenn Sie Erkenntnisse zu Massenabsendern anzeigen im Flyoutfenster Spamgrenzwert und Eigenschaften in den Details einer benutzerdefinierten Antispamrichtlinie oder der Standard-Antispamrichtlinie auf der Seite Antispamrichtlinien unter https://security.microsoft.com/antispam auswählen.
• Wenn Sie auf der Karte Erkenntnisse zu Massenabsendern auf der Seite Berichte und Erkenntnisse zu E-Mail und Zusammenarbeit unter https://security.microsoft.com/emailandcollabreport auswählen.

Bevor Sie eine Simulation ausführen, geben die Werte in der Tabelle in der Mitte der Seite die folgenden Werte an:

• Massenbeschwerdestufe (Bulk Complaint Level, BCL): Der Bereich der möglichen BCL-Werte (1 bis 9).
• Alle E-Mails: Die Gesamtanzahl der Nachrichten, die bei jedem BCL-Wert identifiziert wurden (einige davon können 0 sein).
• Übermittelt am aktuellen BCL-Schwellenwert: Die Anzahl der Nachrichten, die für jeden BCL-Wert übermittelt wurden (nicht als Massenwert identifiziert):
  • Wenn der BCL-Wert kleiner als der Schwellenwert für aktuelle Massen-E-Mails ist, wurde die Nachricht zugestellt (wurde nicht als Massenvorgang identifiziert):
    • Die Werte Zugestellt beim aktuellen BCL-Schwellenwert und Alle E-Mails sind gleich.
    • Der Wert Zugestellt beim aktuellen BCL-Schwellenwert stimmt mit dem Wert E-Mail zugestellt bei aktueller Konfiguration überein.
  • Wenn der BCL-Wert größer oder gleich dem Schwellenwert für aktuelle Massen-E-Mails ist, wurde die Nachricht als Massenvorgang identifiziert und blockiert.
    • Der Wert für Geliefert beim aktuellen BCL-Schwellenwert für den BCL-Wert ist 0.
    • Der Wert Alle E-Mails stimmt mit dem Wert E-Mails, die beim aktuellen BCL-Schwellenwert identifiziert wurden überein.
• Zugestellt beim neuen BCL-Schwellenwert: Die Anzahl der Nachrichten, die nachdem Sie eine Simulation ausgeführt haben, nicht als Massen-E-Mail identifiziert wurden. Bevor Sie eine Simulation ausführen, ist der Wert bedeutungslos.

Verwenden Sie zum Ausführen einer Simulation die folgenden Elemente auf der Seite:

• Der nicht änderbare Schieberegler Aktueller Schwellenwert für Massen-E-Mails zeigt den aktuellen BCL-Schwellenwert an, je nachdem, wie Sie die Seite Erkenntnisse zu Massenabsendern aufgerufen haben:
  • Direkt: Der BCL-Schwellenwert ist 7.
  • Aus den Eigenschaften einer Antispamrichtlinie: Der BCL-Schwellenwert ist der aktuelle Wert in der Antispamrichtlinie.
• Mit dem Schieberegler Neuer Schwellenwert für Massen-E-Mails können Sie die Auswirkungen des Erhöhens und Verringerns des BCL-Schwellenwerts auf übermittelte oder blockierte Nachrichten simulieren.
• Der Schieberegler für den Schwellenwert für die Qualität des Simulationssenders gibt einen Vertrauensschwellenwert für gute/schlechte Absender an, der in der BCL-Updatesimulation verwendet werden soll. Ein höherer Wert gibt simulierte BCL-Schwellenwertergebnisse basierend auf zuverlässigeren Absendern an. Der Schwellenwert für die Qualität des Simulationssenders für Absender basiert auf den folgenden Faktoren:
  • Frühere Interaktionen mit dem Absender.
  • Nachrichtenhäufigkeit des Absenders.
  • Rückmeldungen von Administratoren oder Benutzern zu Nachrichten vom Absender.

Nachdem Sie die Schwellenwerte Neuer Schwellenwert für Massen-E-Mail und Simulation der Absenderqualität ausgewählt haben, wählen Sie Simulieren aus:

• Die Seite wird mit der Anzahl der blockierten und zulässigen Nachrichten für die aktuellen und neuen simulierten BCL-Schwellenwerte aktualisiert.
• Der untere Bereich der Seite wird mit Informationen zu Absendern aktualisiert, die als Massenabsender eingestuft würden.

Informationen zu Massenabsendern auf der Seite „Einblicke in Massenabsender“ anzeigen

Die Tabelle mit den Massenabsenderdetails am unteren Rand der Seite enthält Daten zu Massenabsendern, deren Nachrichten als Massennachrichten identifiziert wurden.

Die Tabelle kann Absenderdaten enthalten, wenn Sie zum ersten Mal die Seite Massenabsender mit Erkenntnissen öffnen, wenn die Schwellenwerte Aktueller Schwellenwert für Massen-E-Mail und Simulation absenderqualität bereits zu einer Massen-E-Mail-Identifizierung geführt haben, bevor Sie Simulationen ausführen.

Andernfalls werden Absender nach dem Ausführen einer Simulation basierend auf den Schwellenwerten Aktueller Massen-E-Mail-Schwellenwert und Simulation der Absenderqualität in die Tabelle mit den Absenderdetails eingeschlossen.

Für Einträge in der Tabelle mit den Absenderdetails sind die folgenden Spalten immer verfügbar:

• Absender: Die E-Mail-Adresse des Absenders.
• BCL
• Schwellenwert für die Qualität des Simulationssenders

Die verbleibenden Spalten in der Tabelle mit den Absenderdetails hängen von der Beziehung zwischen dem Aktuellen Schwellenwert für Massen-E-Mails und den Schwellenwerten neuer Massen-E-Mails ab, nachdem Sie eine Simulation ausgeführt haben:

• Neuer Schwellenwert für Massen-E-Mails ist gleich Aktueller Schwellenwert für Massen-E-Mails:

  • Potenziell falsch positiv
  • Potenziell falsch negativ

  Um die Ergebnisse zu filtern, wählen Sie Alle Absender und dann einen der folgenden Werte aus:

  • Potenziell falsch positiv: Es werden nur Absender angezeigt, bei denen Potenziell falsch positiv auf True gesetzt ist.
  • Potenziell falsch negativ: Es werden nur Absender angezeigt, bei denen Potenziell falsch negativ den Wert True hat.

  

• Neuer Schwellenwert für Massen-E-Mails ist kleiner als der aktuelle Schwellenwert für Massen-E-Mails:

  • Neuer Absender blockiert
  • Potenziell falsch positiv

  Um die Ergebnisse zu filtern, wählen Sie Alle Absender und dann einen der folgenden Werte aus:

  • Neuer Absender blockiert: Es werden nur Absender angezeigt, bei denen Neuer Absender blockiertden Wert True aufweist.
  • Potenziell falsch positiv: Es werden nur Absender angezeigt, bei denen Potenziell falsch positiv auf True gesetzt ist.

  

• Neuer Schwellenwert für Massen-E-Mails ist größer als der aktuelle Schwellenwert für Massen-E-Mails:

  • Neuer Absender zulässig
  • Potenziell falsch negativ

  Um die Ergebnisse zu filtern, wählen Sie Alle Absender und dann einen der folgenden Werte aus:

  • Neuer Absender erlaubt: Es werden nur Absender angezeigt, bei denen Neuer Absender erlaubt auf Wahr gesetzt ist.
  • Potenziell falsch negativ: Es werden nur Absender angezeigt, bei denen Potenziell falsch negativ den Wert True hat.

  

Wenn Sie die Liste der Einträge von normal in kompakten Abstand ändern möchten, wählen Sie Listenabstand in komprimieren oder normal ändern und dann Liste komprimieren aus.

Verwenden Sie das Suchfeld und einen entsprechenden Wert, um bestimmte Absender in der Tabelle zu finden.

Verwenden Sie Exportieren , um die aktuell angezeigte Liste der Absender in einer CSV-Datei zu speichern. Der Standarddateiname lautet Bulk sender-Erkenntnisse - Microsoft Defender.csv, und der Standardspeicherort ist der lokale Ordner „Downloads“. Wenn an diesem Speicherort bereits eine exportierte Datei vorhanden ist, wird der Dateiname erhöht (z. B. Massenabsendererkenntnisse – Microsoft Defender(1).csv).

Detaillierte Informationen zu einem Bulk-Sender auf der Seite „Einblicke zu Bulk-Sendern“ anzeigen

Um Details zu einem bestimmten Absender in der Tabelle mit den Absenderdetails am unteren Rand der Seite Bulk senders insight anzuzeigen, klicken Sie auf eine beliebige Stelle in der Zeile außer auf das Kontrollkästchen neben der ersten Spalte. Das flyout "Absenderdetails ", das geöffnet wird, enthält die folgenden Informationen zum Absender:

• Absender: Die E-Mail-Adresse des Absenders.
• Nachrichten: Die Anzahl der Nachrichten vom Absender.
• Nachrichten im Posteingang: Die Anzahl der Nachrichten vom Absender, die an benutzerinterne Posteingänge übermittelt wurden.
• Nachrichten in Quarantäne oder Junk-Email: Die Anzahl der Nachrichten des Absenders, die an junk-Email Ordner des Benutzers übermittelt oder unter Quarantäne gestellt wurden.
• Admin Einstellung: Gibt an, ob die Zulassungs-/Sperrliste des Mandanten den Absender zugelassen oder blockiert hat. Gültige Werte sind:
  • Zulassen: Für den Nachrichtensender ist ein Zulassungseintrag vorhanden.
  • Blockieren: Für den Nachrichtensender ist ein Blockeintrag vorhanden.
• Vom Benutzer zugelassene Nachrichten: Die Anzahl der Nachrichten des Absenders, bei denen sich der Absender in der Liste "Sichere Absender" in Benutzerpostfächern befindet.
• Vom Benutzer blockierte Nachrichten: Die Anzahl der Nachrichten des Absenders, bei denen sich der Absender in der Liste Blockierte Absender in Benutzerpostfächern befindet.
• False positive Meldungen: Die Anzahl der Nachrichten des Absenders, die als legitime E-Mails gesendet und versehentlich gesperrt wurden.
• Falsch-negative Meldungen: Die Anzahl der Nachrichten des Absenders, die als schädliche E-Mails gemeldet wurden, obwohl sie versehentlich zugestellt wurden.
• Der Benutzer wurde vom Junk-Email in den Posteingang verschoben.
• Benutzer aus dem Posteingang in den Junk-Email verschoben
• Vom Benutzer gelöschte Nachrichten
• Vom Administrator unter Quarantäne gestellte Nachrichten
• Admin E-Mails aus dem Posteingang in den Junk-Email verschoben
• Admin hat Nachrichten gelöscht