Für Microsoft 365 stehen mehrere zusätzliche Schutzebenen zur Verfügung: Microsoft Defender for Office 365 erweitert den integrierten Basisschutz, Microsoft Purview schützt sensible Daten, und externe Dienste von Proofpoint, Mimecast, Hornetsecurity, Barracuda, Abnormal Security oder Check Point ergänzen die Plattform je nach Produkt durch vorgelagerte Filterung, API-Analyse, Kontoschutz oder Notfallfunktionen. Die richtige Wahl hängt vor allem davon ab, ob Phishing, Schadsoftware, kompromittierte Konten, Datenabfluss oder der Ausfall des Maildienstes das größte Risiko darstellen. Ein weiteres Produkt verbessert die Sicherheit nur, wenn es eine erkennbare Lücke schließt und nicht bloß vorhandene Filter verdoppelt.
Als erste Maßnahme sollte ein Unternehmen daher den vorhandenen Schutz erfassen. Exchange Online Protection gehört zum grundlegenden Mailbetrieb von Exchange Online, während weitergehende Funktionen von Microsoft Defender, Purview und anderen Microsoft-Diensten von Lizenz, Tarif und Konfiguration abhängen. Die im eigenen Mandanten tatsächlich verfügbaren Funktionen lassen sich im Microsoft 365 Admin Center unter Abrechnung und Produkte sowie in den jeweiligen Sicherheits- und Compliance-Portalen prüfen.
Welche Schutzschichten Microsoft 365 bereits mitbringt
Exchange Online Protection, kurz EOP, bildet bei Exchange Online die erste Filterebene. Der Dienst untersucht ein- und ausgehende Nachrichten unter anderem auf Spam und bekannte Schadsoftware. Richtlinien, Quarantäne und der Nachrichtenfluss werden über die Exchange- und Sicherheitsverwaltung gesteuert. EOP ist jedoch nicht mit sämtlichen erweiterten Funktionen von Microsoft Defender for Office 365 gleichzusetzen.
Microsoft Defender for Office 365 ergänzt den Basisschutz abhängig vom gebuchten Plan. Zu den bekannten Funktionsbereichen gehören die Untersuchung von Anhängen, der Schutz vor schädlichen Links, Anti-Phishing-Richtlinien sowie Werkzeuge für Untersuchung und Reaktion. Welche Berichte, Automatisierungsfunktionen oder Simulationen verfügbar sind, richtet sich nach Lizenz und Dienststand. Im Microsoft Defender-Portal lässt sich unter den Richtlinien für E-Mail und Zusammenarbeit nachvollziehen, welche Schutzregeln aktiv sind.
Microsoft Purview adressiert eine andere Seite des Risikos. Richtlinien zur Verhinderung von Datenverlust, Sensitivitätsbezeichnungen, Aufbewahrung und Verschlüsselung sollen verhindern, dass vertrauliche Informationen unkontrolliert versendet oder falsch behandelt werden. Ein leistungsfähiger Phishing-Filter ersetzt diese Kontrollen nicht: Eine technisch unbedenkliche Nachricht kann trotzdem Kundendaten, Personalinformationen oder Geschäftsgeheimnisse an einen falschen Empfänger übertragen.
| Schutzebene | Hauptaufgabe | Typische Lücke |
|---|---|---|
| Exchange Online Protection | Spam- und Malware-Grundschutz, Nachrichtenfluss, Quarantäne | Komplexe Täuschungsangriffe und organisationsspezifische Anomalien können weitere Kontrollen erfordern |
| Microsoft Defender for Office 365 | Erweiterter Schutz vor Phishing, schädlichen Links und Anhängen sowie Untersuchung | Funktionsumfang hängt von Plan und Konfiguration ab |
| Microsoft Purview | Datenklassifizierung, DLP, Verschlüsselung und Aufbewahrung | Kein Ersatz für die Erkennung eingehender Angriffe |
| Externe Schutzlösung | Zusätzliche Erkennung, unabhängige Filterebene oder Betriebsfunktionen | Mehr Aufwand, mögliche Überschneidungen und zusätzliche Kosten |
Sieben zusätzliche Lösungswege und ihr jeweiliger Schwerpunkt
1. Microsoft Defender for Office 365 als eng integrierte Erweiterung
Defender for Office 365 ist häufig die naheliegende Ergänzung, wenn Exchange Online bereits vollständig genutzt wird und die Administration möglichst in der Microsoft-Umgebung bleiben soll. Identitäten, E-Mail-Ereignisse und weitere Sicherheitssignale können innerhalb des Microsoft-Ökosystems zusammengeführt werden. Das erleichtert ein einheitliches Rollenmodell und reduziert zusätzliche Konsolen.
Diese Option passt vor allem zu Organisationen, die Microsoft-Sicherheitsdienste bereits betreiben und ihre Abläufe darauf ausrichten. Vor einer Lizenzentscheidung sollte geprüft werden, welche Funktionen der vorhandene Microsoft-365-Plan schon umfasst. Ein höherer Tarif ist nicht automatisch sinnvoll, wenn lediglich eine einzelne Schutzlücke geschlossen werden muss.
2. Secure Email Gateways vor Microsoft 365
Ein Secure Email Gateway nimmt eingehende Nachrichten üblicherweise vor Exchange Online entgegen, untersucht sie und leitet erlaubte E-Mails weiter. Bekannte Anbieter in diesem Bereich sind Proofpoint, Mimecast, Hornetsecurity und Barracuda. Solche Gateways können eine eigenständige Filterlogik, Quarantäne, Richtlinienverwaltung und je nach Produkt weitere Funktionen wie Verschlüsselung, Kontinuität oder Archivierung bereitstellen.
Die vorgelagerte Architektur schafft eine vom Microsoft-Mandanten getrennte Kontrollschicht. Sie verlangt allerdings saubere DNS- und Mailflow-Einstellungen. MX-Einträge, Exchange-Connectors und Regeln müssen verhindern, dass Angreifer den Gateway umgehen und Nachrichten direkt an Microsoft 365 zustellen. Ebenso wichtig ist die korrekte Behandlung vertrauenswürdiger Kopfzeilen; eine pauschale Freigabe sämtlicher Nachrichten des Gateways würde dessen IP-Adresse vertrauen, nicht automatisch jedem ursprünglichen Absender.
3. API-basierte und cloudintegrierte Angriffserkennung
API-basierte Dienste analysieren Nachrichten und Kontosignale innerhalb der Cloudumgebung, statt ausschließlich vor dem Postfach als Mailserver zu stehen. Abnormal Security ist ein bekannter Vertreter dieses Ansatzes. Auch Check Point Harmony Email & Collaboration sowie Produktlinien anderer Anbieter kombinieren je nach Ausführung API-, Inline- oder Gateway-Techniken.
Der Schwerpunkt liegt häufig auf verhaltensbezogener Erkennung: Ungewöhnliche Kommunikationsmuster, gefälschte Geschäftsanfragen, Lieferantenbetrug und Kontoübernahmen lassen sich nicht immer anhand eines schädlichen Anhangs erkennen. Eine scheinbar harmlose Zahlungsaufforderung kann technisch sauber sein und trotzdem einen Betrugsversuch darstellen.
Bei der Auswahl muss geklärt werden, wann der Dienst eingreift. Manche Lösungen erkennen und entfernen Nachrichten nach der Zustellung, andere können sie bereits vorher stoppen oder mehrere Verfahren verbinden. Für zeitkritische Angriffe ist dieser Unterschied wesentlich. Außerdem benötigt ein API-Dienst Berechtigungen im Microsoft-365-Mandanten. Diese sollten auf erforderliche Funktionen begrenzt, regelmäßig überprüft und bei Vertragsende sauber widerrufen werden.
4. SPF, DKIM und DMARC mit externer Auswertung
SPF, DKIM und DMARC sind keine vollständigen Sicherheitsprodukte, aber ein wichtiger Schutz gegen den Missbrauch eigener Absenderdomänen. SPF benennt berechtigte Versandquellen, DKIM versieht Nachrichten mit einer überprüfbaren Signatur und DMARC legt fest, wie Empfänger mit fehlgeschlagener Authentifizierung umgehen sollen. DMARC-Berichte zeigen außerdem, welche Systeme im Namen einer Domäne senden.
Externe DMARC-Dienste bereiten diese Berichte auf, ordnen Versandquellen zu und helfen bei der schrittweisen Verschärfung der Richtlinie. Das ist besonders nützlich, wenn neben Microsoft 365 auch CRM-Systeme, Newsletterdienste, Scanner, Ticketsysteme oder Anwendungen E-Mails verschicken. Eine sofortige strenge DMARC-Richtlinie ohne Bestandsaufnahme kann legitime Nachrichten abweisen. Der sichere Ablauf lautet: Versandquellen erfassen, SPF und DKIM ausrichten, Berichte beobachten und erst nach erfolgreicher Prüfung die Behandlung fehlerhafter Nachrichten verschärfen.
5. DLP, Klassifizierung und E-Mail-Verschlüsselung
Microsoft Purview Data Loss Prevention kann Nachrichten anhand definierter Bedingungen prüfen und je nach Richtlinie warnen, blockieren oder weitere Schutzmaßnahmen auslösen. Sensitivitätsbezeichnungen helfen dabei, Inhalte nach Schutzbedarf zu kennzeichnen. Externe E-Mail-Sicherheitsplattformen bieten teilweise eigene DLP- und Verschlüsselungsfunktionen.
Für die Entscheidung zählt nicht allein die Zahl mitgelieferter Erkennungsmuster. Richtlinien müssen zu den Daten und Arbeitsabläufen des Unternehmens passen. Eine zu breite Regel erzeugt zahlreiche Fehlalarme; eine zu enge Regel übersieht abgewandelte oder unstrukturierte Informationen. Sinnvoll ist ein anfänglicher Prüf- oder Simulationsbetrieb, sofern die gewählte Plattform ihn unterstützt. Erst nachdem Treffer bewertet und Ausnahmen begründet wurden, sollte eine Regel den Versand blockieren.
6. Security-Awareness-Training und Meldewege
Technische Filter reduzieren Angriffe, können aber legitime Konten, überzeugende Gesprächsverläufe oder rein textbasierte Täuschungen nicht zuverlässig ausschließen. Schulungs- und Simulationsplattformen trainieren deshalb den Umgang mit verdächtigen Zahlungsaufforderungen, geänderten Bankverbindungen, unerwarteten Freigaben und Anmeldeseiten. Microsoft und spezialisierte Anbieter stellen hierfür unterschiedliche Werkzeuge bereit.
Ein wirksames Programm misst nicht nur, wer auf eine simulierte Nachricht geklickt hat. Es braucht einen leicht erreichbaren Meldeweg in Outlook, eine schnelle Auswertung gemeldeter Nachrichten und einen Prozess für dringende Fälle. Bei einer angeblich geänderten Bankverbindung sollte die Bestätigung beispielsweise über einen bereits bekannten zweiten Kommunikationskanal erfolgen, nicht über die Telefonnummer oder Antwortadresse aus der verdächtigen E-Mail.
7. E-Mail-Backup, Archivierung und Kontinuität
Backup, Archivierung und E-Mail-Kontinuität verhindern Phishing nicht, begrenzen aber andere Folgen. Ein getrennt aufbewahrtes Backup kann bei versehentlicher Löschung, schädlicher Manipulation oder Problemen mit Aufbewahrungsregeln helfen. Ein Archiv dient hingegen vorrangig der unveränderbaren, auffindbaren Aufbewahrung und ist nicht automatisch ein vollständiger Wiederherstellungsdienst.
Kontinuitätsfunktionen sollen den Mailbetrieb während einer Störung aufrechterhalten. Einige Gateway-Anbieter stellen dafür eine getrennte Oberfläche oder Warteschlange bereit. Vor dem Kauf sind Wiederherstellungsumfang, Aufbewahrung, Datenstandort, Rollen, Protokollierung und das Verhalten bei einem Ausfall zu prüfen. Ein Anbieter sollte außerdem zeigen können, wie einzelne Nachrichten, Ordner oder ganze Postfächer tatsächlich zurückgespielt werden.
Direkter Vergleich bekannter Lösungsfamilien
Ein pauschaler Sieger wäre irreführend, weil sich die Angebote in Architektur und Umfang unterscheiden. Die folgende Einordnung verwendet für alle Kandidaten dieselben Kriterien: Einbindungsart, hauptsächlicher Schutzschwerpunkt, Integrationsaufwand und wichtige Grenze. Produktpakete und Lizenzen können sich ändern; maßgeblich sind die Leistungsbeschreibung des gewählten Tarifs und die Funktionen, die im Testmandanten sichtbar sind.
| Lösung | Einbindungsart | Schwerpunkt | Integrationsaufwand | Wichtige Grenze |
|---|---|---|---|---|
| Microsoft Defender for Office 365 | Direkt in Microsoft 365 | Phishing, Links, Anhänge, Untersuchung | Kein externer Mailserver, aber Richtlinien müssen abgestimmt werden | Umfang ist lizenzabhängig; keine unabhängige Plattform |
| Proofpoint | Je nach Produkt Gateway und cloudbasierte Integration | Bedrohungsfilterung, Identitätstäuschung, Richtlinien | Mailflow und Produktmodule müssen geplant werden | Überschneidungen mit Microsoft-Schutz möglich |
| Mimecast | Vor allem vorgelagerte Cloudplattform | E-Mail-Sicherheit sowie je nach Paket Kontinuität und Archivierung | DNS, Connectors und Betriebsabläufe sind einzurichten | Zusätzliche Plattform erhöht Verwaltungsaufwand |
| Hornetsecurity 365 Total Protection | Auf Microsoft 365 ausgerichtete Cloudlösung | Filterung und je nach Paket weitere Schutz- und Datendienste | Integration und gewählte Module bestimmen den Aufwand | Leistungsumfang muss paketbezogen geprüft werden |
| Barracuda Email Protection | Cloudbasierte Schutzplattform mit mehreren Modulen | Bedrohungsschutz sowie je nach Variante Backup oder Archivierung | Abhängig von den eingesetzten Komponenten | Nicht jedes Modul ist automatisch Bestandteil jedes Angebots |
| Abnormal Security | Cloud- und API-orientiert | Verhaltensanalyse, BEC und Kontoübernahmen | Mandantenberechtigungen und Reaktionsabläufe sind zentral | Kein klassischer Ersatz für sämtliche Gateway- und Archivfunktionen |
| Check Point Harmony Email & Collaboration | Cloudintegrierter Schutz, produktabhängig unterschiedliche Verfahren | E-Mail- und Kollaborationsbedrohungen | Berechtigungen, Richtlinien und Zusammenspiel mit Microsoft prüfen | Architektur und Funktionen der gewählten Variante müssen verifiziert werden |
Welche Lösung passt zu welchem Risiko?
- Wenn eine enge Microsoft-Integration, ein gemeinsames Sicherheitsportal und möglichst wenige zusätzliche Systeme Priorität haben, ist Microsoft Defender for Office 365 die erste zu prüfende Erweiterung.
- Wenn eine unabhängige Filterebene, eigene Quarantäne oder Mailkontinuität benötigt wird, kommen Gateway-Lösungen von Proofpoint, Mimecast, Hornetsecurity oder Barracuda in Betracht.
- Wenn gefälschte Zahlungsanweisungen, Lieferantenbetrug und kompromittierte Konten im Vordergrund stehen, sollte eine verhaltensbasierte API- oder Cloudlösung wie Abnormal Security oder eine vergleichbare Plattform im Test gezielt mit diesen Szenarien bewertet werden.
- Wenn vertrauliche Daten das Unternehmen über legitime E-Mails verlassen können, gehören Purview DLP, Klassifizierung und Verschlüsselung in die engere Auswahl. Ein weiterer Spamfilter löst dieses Problem nicht.
- Wenn Angreifer die eigene Domäne als Absender missbrauchen, müssen SPF, DKIM und DMARC sauber eingerichtet werden. Bei vielen Versanddiensten erleichtert ein DMARC-Auswertungsdienst die Kontrolle.
- Wenn Wiederherstellung, Aufbewahrung oder Betriebsfähigkeit bei Störungen ausschlaggebend sind, werden Backup, Archivierung und Kontinuität getrennt vom Angriffsschutz bewertet.
So wird eine Zusatzlösung ohne blinde Flecken geprüft
- Vorhandene Funktionen erfassen: Lizenzen, aktive EOP-, Defender- und Purview-Richtlinien, Quarantäneabläufe sowie SPF-, DKIM- und DMARC-Status dokumentieren.
- Bedrohungsszenario festlegen: Beispiele sind manipulierte Rechnungen, schädliche Links, unerlaubter Datenversand oder der Ausfall des Mailzugangs. Ohne dieses Ziel bleibt ein Produktvergleich beliebig.
- Architektur prüfen: Festlegen, ob ein Gateway vor Exchange Online, eine API-Integration oder eine Kombination eingesetzt wird. Dabei Berechtigungen, Datenverarbeitung und mögliche Umgehungswege einbeziehen.
- Pilotgruppe bilden: IT, Buchhaltung, Personalbereich und Geschäftsleitung bilden unterschiedliche Risiken ab. Ein begrenzter Pilot zeigt Fehlalarme, Verzögerungen und Bedienprobleme, bevor sämtliche Postfächer betroffen sind.
- Reale Arbeitsabläufe testen: Legitime Newsletter, Multifunktionsgeräte, Anwendungen, verschlüsselte Nachrichten, große Anhänge und externe Freigaben müssen weiterhin funktionieren. Testnachrichten dürfen keine echten Schadprogramme enthalten.
- Reaktion erproben: Prüfen, wer Warnungen bewertet, Nachrichten mandantenweit sucht, Quarantänefreigaben kontrolliert und betroffene Konten sperrt. Eine gute Erkennung ohne verantwortlichen Prozess liefert nur weitere Alarme.
- Rückweg vorbereiten: Vor Änderungen an MX-Einträgen, Connectors und Transportregeln den Ausgangszustand sichern. Für die Abschaltung des Produkts müssen Reihenfolge, Zuständigkeit und erwarteter Mailflow dokumentiert sein.
Fehlkonfigurationen können den Zusatzschutz entwerten
Bei einem vorgeschalteten Gateway ist der direkte Zustellweg zu Exchange Online besonders kritisch. Akzeptiert Microsoft 365 Nachrichten unter Umgehung des Gateways, können Angreifer die zusätzliche Prüfung umgehen. Connectors und Filterregeln müssen daher zur tatsächlichen Architektur passen. Eine falsch gesetzte Transportregel, die Prüfungen pauschal überspringt, ist keine harmlose Komforteinstellung.
Auch doppelte Filterung braucht Abstimmung. Zwei Systeme können unterschiedliche Quarantänen, Warnbanner oder Bewertungen erzeugen. Das führt mitunter dazu, dass Administratoren eine Nachricht im falschen Portal suchen oder Benutzer widersprüchliche Hinweise erhalten. Vor dem Produktivbetrieb sollte feststehen, welches System für welche Entscheidung verantwortlich ist.
API-basierte Lösungen bringen ein anderes Risiko mit: weitreichende App-Berechtigungen. Im Microsoft Entra Admin Center lässt sich prüfen, welche Unternehmensanwendungen Zugriff auf den Mandanten besitzen und welche Berechtigungen genehmigt wurden. Nicht mehr benötigte Integrationen sollten kontrolliert entfernt werden. Das Löschen eines Benutzerkontos beim externen Anbieter entzieht nicht zwangsläufig automatisch jede im Mandanten erteilte Zustimmung.
Erfolg lässt sich nicht an abgefangenen E-Mails allein messen
Eine belastbare Bewertung berücksichtigt mehrere Signale: Zahl und Art bestätigter Angriffe, Fehlalarme, Zeit bis zur Untersuchung, Häufigkeit von Benutzerfreigaben, gemeldete Verdachtsfälle und Aufwand pro Sicherheitsereignis. Hohe Blockierzahlen können einen guten Schutz anzeigen, aber ebenso eine zu aggressive Richtlinie oder gewöhnlichen Spam widerspiegeln.
Microsoft Secure Score und die Berichte in den Sicherheitsportalen können Hinweise auf fehlende Einstellungen geben, ersetzen jedoch keine Risikobewertung. Eine Maßnahme ist nicht allein deshalb passend, weil sie eine Punktzahl erhöht. Für kleine Organisationen kann eine sauber konfigurierte Microsoft-Umgebung mit Mehrfaktorauthentifizierung, klaren Meldewegen und gepflegter Domänenauthentifizierung wirksamer sein als ein zusätzliches Produkt, dessen Alarme niemand bearbeitet.
Die sinnvollste Erweiterung ist somit diejenige, die eine zuvor benannte Lücke messbar schließt: Defender für eng integrierten erweiterten Schutz, ein Gateway für eine unabhängige Filter- und Betriebsebene, API-Analyse für verhaltensbasierte Täuschungsangriffe, Purview für Datenkontrolle sowie Backup oder Kontinuität für Wiederherstellung und Ausfälle. Erst ein begrenzter Pilot mit dokumentierten Erfolgskriterien zeigt, ob der zusätzliche Dienst den Schutz tatsächlich verbessert oder lediglich Komplexität hinzufügt.
