Preset Policies in Defender for Office 365 ersetzen gewachsene Regeln

In vielen Tenants, die ich mir anschaue, bestimmen noch immer alte, teils über Jahre gewachsene Schutzregeln die E-Mail-Sicherheit. Bei den Sicherheitsrichtlinien in Microsoft Defender for Office 365 ist das besonders riskant. Man verlässt sich dort auf verschachtelte Policy-Objekte, die selten alle aktuellen Bedrohungen abdecken und kaum noch den Best Practices entsprechen. Dabei gibt es mit den Preset Security Policies, also den vordefinierten Schutzrichtlinien, längst eine bequemere und modernere Lösung. Sie ist schneller eingerichtet und birgt deutlich weniger Fehlerquellen.

Microsoft liefert drei Schutzstufen als Preset Policies aus

Für Exchange Online Protection (EOP) und Defender for Office 365 stellt Microsoft drei Schutzstufen als Preset Policies bereit: Standard, Strikt und die sogenannte Built-In Protection. Sie gelten tenantweit und sollen in den meisten Umgebungen einen soliden Basisschutz bieten. Standard ist für alle Nutzer:innen gedacht, Strikt für besonders gefährdete Personen, in der Regel Führungskräfte oder Admins. Built-In greift automatisch bei allen Postfächern, denen keine eigene Policy zugeordnet ist. In welcher Reihenfolge die Richtlinien angewendet werden, zeigt das folgende Diagramm:

flowchart TD
  A["Custom Policy"] --> B["Preset Strict"]
  B --> C["Preset Standard"]
  C --> D["Built-In Protection"]
  D --> E["Kein Schutz"]

Abbildung: Reihenfolge der Policy-Anwendung in Defender for Office 365 (von spezifisch nach allgemein).

Auf diese Hierarchie kommt es an. Eine individuelle (Custom) Policy hat Vorrang vor den Presets, und genau daraus entstehen in der Praxis häufig veraltete oder lückenhafte Schutzmaßnahmen. Microsoft empfiehlt deshalb, so wenig wie möglich von den Standard-Presets abzuweichen und eigene Regeln nur gezielt und sparsam einzusetzen (Dokumentation).

Die Presets bündeln mehrere Schutzmechanismen

In den Preset Security Policies stecken Anti-Spam, Anti-Malware und Anti-Phishing mit Impersonation Protection. Ist Defender for Office 365 lizenziert, kommen Safe Links und Safe Attachments hinzu. Am spannendsten finde ich die Impersonation Protection: Sie erkennt gezielte Angriffe auf Führungskräfte, bei denen sich jemand als bekannter Absender ausgibt, und blockiert sie. Damit legitime Partner nicht versehentlich hängen bleiben, lassen sich eigene User- und Domain-Imitationen eintragen. Außerdem schalten die Presets Quarantäne-Policies und Benutzerbenachrichtigungen automatisch ein. In vielen älteren Custom Policies fehlt beides oder ist nur halbherzig umgesetzt.

Aus der Praxis rate ich, die Impersonation-Whitelist regelmäßig auf Missbrauch zu prüfen. Eine Domain, die dort einmal gelandet ist, kommt Angreifern sehr gelegen. Halten Sie die Liste daher so restriktiv wie möglich und protokollieren Sie Zugriffe.

Die Built-In Protection fängt alle übrigen Postfächer auf

Die Built-In Protection wird oft übersehen. Sie stellt sicher, dass auch Postfächer ohne individuelle oder Preset Policy einen Grundschutz bekommen, etwa neu angelegte Konten oder freigegebene Postfächer. Konfigurieren lässt sie sich nicht, aber sie ist allemal besser als gar kein Schutz. Welche User gerade unter welche Policy fallen, sehen Sie direkt im M365-Defender-Portal.

Der Configuration Analyzer deckt Lücken in eigenen Policies auf

Da individuelle Policies die Presets aushebeln, sollten Sie Ihre Konfiguration regelmäßig mit den Microsoft-Empfehlungen abgleichen. Der Configuration Analyzer nimmt Ihnen diese Arbeit weitgehend ab, denn er vergleicht bestehende Custom Policies mit den aktuellen Best Practices (Analyzer). In vielen Tenants klafft dabei sofort eine große Lücke zwischen Anspruch und Wirklichkeit. Typische Funde sind veraltete Spam-Filterregeln, fehlende Phishing-Prüfungen oder ein nicht aktiviertes Zero-Hour Auto Purge (ZAP). Zusätzlich veröffentlicht Microsoft eine Übersicht der empfohlenen Einstellungen für EOP und Defender for Office 365 (Empfohlene Einstellungen).

Für einen ersten Überblick reicht oft schon ein einfacher PowerShell-Befehl, der die aktiven Policies abfragt:

Get-HostedContentFilterPolicy | Select Name, IsDefault

Damit sehen Sie schnell, welche Policy tatsächlich greift und ob noch alte Regeln aktiv sind.

Die Presets regeln auch Quarantäne und Benachrichtigungen

Gern vergessen wird, dass die Preset Policies neben den Erkennungsregeln auch festlegen, was danach mit einer verdächtigen Mail geschieht. Dazu gehören sinnvoll eingestellte Quarantäne-Policies, die automatisch greifen, und Benutzerbenachrichtigungen, damit Endanwender:innen nachvollziehen können, wo eine Nachricht geblieben ist. Vor allem in den Presets Strikt und Standard landen gefährliche E-Mails konsequent in der Quarantäne und tauchen gar nicht erst im Posteingang auf. Über Freigaben entscheiden weiterhin die Administratoren. Das entlastet das SOC und schafft Transparenz, die viele Unternehmen bisher nur unzureichend hergestellt haben.

Viele Tenants schleppen historische Custom Policies mit sich herum

Meiner Erfahrung nach entstehen veraltete oder lückenhafte Schutzmechanismen vor allem durch einen Wildwuchs an historischen Custom Policies. Viele dieser Regeln stammen aus der Zeit vor Defender for Office 365 oder wurden aus Sorge vor False Positives nie angefasst. Hinzu kommt, dass Microsoft neue Features wie Safe Links oder ein verbessertes Impersonation-Handling standardmäßig nur in den Presets aktiviert. Wer an eigenen Policies festhält, muss jede Einstellung von Hand nachziehen – und das macht kaum jemand konsequent. Auch das Zusammenspiel der modernen Presets mit SPF, DKIM und DMARC (SPF/DKIM/DMARC einrichten) gerät dabei leicht aus dem Blick. Ich empfehle deshalb, ältere Regeln regelmäßig zu überprüfen und so weit wie möglich auf die Microsoft-Vorgaben umzusteigen.

Ohne Presets fehlt heute der Basisschutz

Preset Security Policies in Defender for Office 365 lösen nicht jedes Problem, sie bilden aber den wichtigsten Grundschutz für jede M365-Umgebung. Wer weiter auf eigene Regeln setzt, nimmt Lücken und hohen Pflegeaufwand in Kauf und hinkt den aktuellen Best Practices meist hinterher. Microsoft passt die Presets fortlaufend an, sodass der Basisschutz auf dem aktuellen Stand bleibt. Für besondere Anforderungen haben maßgeschneiderte Policies weiterhin ihre Berechtigung, die Grundlage sollten aber die Presets sein. Prüfen Sie die Konfiguration regelmäßig mit dem Analyzer, bauen Sie Altlasten ab und ergänzen Sie eigene Schutzmechanismen nur dort, wo es nötig ist. Dann steht einem sicheren E-Mail-Betrieb wenig im Weg.