In vielen Tenants, die ich betreue, ist Microsoft Teams inzwischen das wichtigste Werkzeug für die Zusammenarbeit. Umso wichtiger ist es, Teams mit Defender for Office 365 abzusichern. E-Mail-Security gehört längst zum Standard, Teams dagegen wird häufig unterschätzt, obwohl Phishing, Malware-Anhänge und Social Engineering dort genauso vorkommen. Wer sich auf die Standardeinstellungen verlässt, übersieht leicht, wie gut Defender for Office 365 (Plan 1/2) Teams mittlerweile schützt. Voraussetzung ist allerdings, dass man die passenden Funktionen nutzt und die Stolperfallen kennt.

Safe Links prüft Teams-Links erst im Moment des Klicks

Safe Links kennen viele aus Exchange Online. Seit einiger Zeit schützt die Funktion auch Nachrichten in Teams: Klickt ein Nutzer auf einen Link, wird dieser in Echtzeit geprüft und bei Verdacht blockiert. Eingeschaltet wird das im Defender-Portal unter „Richtlinien & Regeln → Bedrohungsrichtlinien → Safe Links“. Für Microsoft Teams braucht es dabei eine eigene Richtlinie, und genau die fehlt in vielen Umgebungen. Ohne sie bleiben gerade Chats und Kanäle ein bequemer Weg für Phishing. Ist der externe Zugriff aktiviert, gehört Safe Links für Teams unbedingt dazu – mehr dazu im Beitrag Phishing über den externen Zugriff in Teams verhindern. Wie die Funktion arbeitet und wo ihre Grenzen liegen, erklärt Microsoft selbst: Safe Links in Teams.

Safe Attachments untersucht Dateien in Teams, OneDrive und SharePoint

In Teams werden Dateien fast nie direkt übertragen, sondern über SharePoint oder OneDrive geteilt. An dieser Stelle setzt Safe Attachments an. Hochgeladene Dateien analysiert die Funktion automatisch, verdächtige Funde werden blockiert oder entfernt. Die zugehörigen Richtlinien verwaltet man zentral im Defender-Portal unter „Safe Attachments → Richtlinie für SharePoint, OneDrive und Microsoft Teams“. Häufig sehe ich, dass einfach die Standardrichtlinie übernommen wird. Dabei sollte man sich die gewählte Aktion (nur überwachen, blockieren oder entfernen) und die Ausnahmen genau ansehen. Der Schutz greift übrigens unabhängig davon, ob eine Datei direkt in Teams oder im Browser geöffnet wird. Mit den Preset-Richtlinien („Voreingestellte Sicherheitsrichtlinien“) ist man schnell startklar, für Teams empfiehlt sich aber meist eine gezielte Anpassung. Details dazu stehen im Beitrag Was die voreingestellten Sicherheitsrichtlinien in Defender for Office 365 leisten.

Zero-hour Auto Purge entfernt Malware auch nachträglich

Vielen ist nicht bewusst, dass Defender for Office 365 inzwischen auch in Teams Nachrichten im Nachhinein entfernt, wenn sie erst später als Malware oder Phishing erkannt werden. Dieser „Zero-hour Auto Purge“ (ZAP) läuft automatisch, sobald Safe Links oder Safe Attachments eine Nachricht neu als Bedrohung einstufen. So sinkt das Risiko, dass ein bereits angeklickter Link oder eine geteilte Datei später noch Schaden anrichtet. Besonders bei gezielten Angriffen, deren Schadmuster anfangs niemand kennt, macht sich das bemerkbar.

flowchart TD
  Senden["Nachricht/Datei gesendet"] --> SafeLinks["Safe Links Prüfung"]
  Senden --> SafeAttachments["Safe Attachments Prüfung"]
  SafeLinks --> ZAP["ZAP: Nachträgliche Entfernung"]
  SafeAttachments --> ZAP
  ZAP --> Nutzer["Benutzer sieht Nachricht entfernt"]

Abbildung: So durchläuft eine Teams-Nachricht Safe Links, Safe Attachments und ZAP.

Nutzer können verdächtige Teams-Nachrichten selbst melden

Seit Mitte 2024 lässt sich das Melden verdächtiger Nachrichten in Teams zentral freischalten. Im Teams Admin Center erlaubt man die Option pro Richtlinie unter „Messaging-Richtlinien → Sicherheitsbedenken melden“. Je nach Konfiguration landen die gemeldeten Nachrichten anschließend direkt im Defender-Portal („E-Mail & Zusammenarbeit → Aktionen & Übermittlungen → Übermittlungen“). Damit sie dort auch verarbeitet und analysiert werden, müssen unter „Einstellungen → E-Mail & Zusammenarbeit → Einstellungen für vom Benutzer gemeldete Nachrichten → Microsoft Teams“ die richtige E-Mail-Adresse und das gewünschte Verhalten hinterlegt sein. Details und Einschränkungen beschreibt Microsoft unter Benutzereinsendungen in Teams und Teams-Support in Defender.

Mein Tipp aus der Praxis: Solange niemand die Funktion aktiv bekannt macht, kommen Meldungen aus Teams spät oder gar nicht. Eine kurze Anleitung im Intranet oder ein Hinweis direkt in Teams sorgt dafür, dass deutlich mehr Nutzer sie verwenden.

Das Defender-Portal bündelt alle Funde und Meldungen

Ob gemeldet oder automatisch blockiert: Alle betroffenen Nachrichten und Dateien tauchen gesammelt im Defender-Portal unter „Aktionen & Übermittlungen → Übermittlungen“ auf. Als SOC- oder Security-Admin sehe ich dort genau, was in Teams (und in anderen Workloads) als Bedrohung erkannt oder gemeldet wurde, samt Aktion und Verlauf. Bei Teams sollte man die Benutzermeldungen regelmäßig durchgehen und darauf reagieren. Oft weisen sie auf neue Angriffsmuster oder Social-Engineering-Versuche hin, die den automatischen Filtern bislang entgangen sind.

Mit wenigen Richtlinien lässt sich der Teams-Schutz deutlich verbessern

Safe Links, Safe Attachments, ZAP und das Melden durch Nutzer machen Teams mit Defender spürbar sicherer, sofern man die Funktionen bewusst einschaltet und konfiguriert. In vielen Tenants fehlen wichtige Richtlinien schlicht noch. Wer die Schutzmechanismen für Teams jetzt prüft und nachschärft, ist bei der Compliance besser aufgestellt und im Fall eines Angriffs klar im Vorteil. Werden externe Gäste zugelassen, ist der Teams-Schutz mit Defender wegen der Gefahr durch Social Engineering ohnehin Pflicht. Wie ihr die Zusammenarbeit mit Externen absichert, lest ihr im Beitrag Phishing über den externen Zugriff in Teams verhindern.