Wer in den letzten Monaten mit mir an der Sicherheit von Microsoft 365 gearbeitet hat, kennt meine Einschätzung: CEO-Fraud ist und bleibt die mit Abstand erfolgreichste Spielart des Phishings. Daran ändern weder ausgefeilte Angreifertechnik noch gut geschulte Benutzer etwas. Impersonation-Schutz ist in fast jedem Tenant, den ich zu sehen bekomme, irgendwie konfiguriert, auf die tatsächlichen Risiken des Unternehmens zugeschnitten ist er aber selten. Bei Führungskräften und Mitarbeitenden aus der Finanzabteilung genügt es nicht, sich auf die voreingestellten Defender-Policies zu verlassen. Den Schutz dieser VIPs muss man bewusst planen. Dazu gehört die Entscheidung, wer überhaupt als besonders schützenswert gilt, welche Aktionen angemessen sind und weshalb der Standard der Preset Security Policies dafür nicht reicht.

Wirksamer Schutz beginnt mit eigenen Anti-Phishing-Richtlinien

Der Einstieg liegt im Microsoft-Defender-Portal unter E-Mail & Zusammenarbeit → Richtlinien & Regeln → Bedrohungsrichtlinien → Anti-Phishing. Dort lassen sich eigene Richtlinien für ausgewählte Benutzergruppen anlegen, und das sollte man auch tun, etwa für Geschäftsführung, Prokuristen, Finanzleitung oder HR. Die Listen der zu schützenden Benutzer und Domänen entstehen dabei nicht automatisch aus den internen VIPs, man muss sie von Hand pflegen. Hier unterscheiden sich eigene Richtlinien grundlegend von den Preset Security Policies, denn diese bringen zwar Standardempfehlungen mit, aber keine individuelle VIP-Liste.

In vielen Tenants stelle ich fest, dass schon wenige Handgriffe den Schutz deutlich verbessern. Oft reicht es, die kritischen Funktionspostfächer und die Domänen einzutragen, die Angreifer bevorzugt fälschen. Für dieselben Gruppen lässt sich zusätzlich Mailbox Intelligence aktivieren, wodurch Defender ungewöhnliche Absender noch besser erkennt.

flowchart TD
    Start["Defender Portal"] --> Policies["Anti-Phishing-Richtlinien"]
    Policies --> VIPs["Benutzer/Domänen hinzufügen"]
    Policies --> Intelligence["Mailbox Intelligence aktivieren"]
    Policies --> Actions["Aktionen (z.B. Quarantäne)"]
    Policies --> Tips["Sicherheitstipps" ]
    Policies --> Trusted["Vertrauenswürdige Absender verwalten"]
    VIPs --> Review["Impersonation Insight prüfen"]

Abbildung: Die wichtigsten Schritte zu einer gezielt eingerichteten Impersonation-Policy.

Auf die Schutzliste gehören mehr Adressen als nur der Vorstand

In der Praxis entscheidet vor allem eine Frage über die Qualität des Schutzes: Wen will ich besonders absichern, und mit welcher Begründung? Neben den naheliegenden Kandidaten wie CEO, CFO und HR-Leitung gehören in der Regel auch Funktionspostfächer wie „finance@“, „vorstand@“ oder „personalabteilung@“ auf die Liste. Größere Organisationen fahren oft besser mit mehreren eigenen Richtlinien, zum Beispiel einer für die Geschäftsführung und einer für die Finanzabteilung, jeweils mit eigenen Quarantäne-Aktionen. Ebenso sollten die eigenen E-Mail-Domänen in der Richtlinie stehen, damit Defender gefälschte interne Adressen erkennen und blockieren kann.

Nach wie vor begegnen mir schlecht gepflegte Domänen- und VIP-Listen. Führungskräfte kommen und gehen, neue Funktionspostfächer werden angelegt, nur die Anti-Phishing-Policy bleibt auf dem alten Stand. Abhilfe schafft eine regelmäßige Überprüfung, am besten gemeinsam mit IT und Personalabteilung. Wie ich Schutzmaßnahmen grundsätzlich priorisiere, beschreibe ich im Beitrag Microsoft 365 Sicherheits-Baseline 2025: Meine Checkliste aus der Praxis.

Mailbox Intelligence und Quarantäne halten gefälschte Chefmails auf

Mailbox Intelligence wird häufig unterschätzt. Die Funktion lernt, mit wem ein Benutzer üblicherweise kommuniziert, und bemerkt deshalb eher, wenn sich ein neuer Absender als vertrauter Kontakt ausgibt. Ist sie in der Anti-Phishing-Policy für VIPs aktiviert, erkennt Defender deutlich zuverlässiger, wenn jemand etwa den CEO nachzuahmen versucht, ohne dass es jemals Kontakt gab.

Bei verdächtigen Nachrichten rate ich durchgängig zur Aktion „Quarantäne“. Nur damit lässt sich Missbrauch tatsächlich verhindern, denn „Nur warnen“ ist für besonders gefährdete Zielgruppen zu schwach. Sicherheitstipps in den E-Mails sensibilisieren die Benutzer zusätzlich, falls doch einmal eine Nachricht durchrutscht.

Mein Tipp: Richtlinien regelmäßig prüfen! Vor allem nach einem Wechsel in der Geschäftsleitung oder wenn neue Funktionspostfächer dazukommen, bleiben wichtige Adressen schnell ungeschützt. Genau deshalb kommen CEO-Fraud-Angriffe immer wieder durch.

Für die Detailkonfiguration verweise ich auf die Anleitungen von Microsoft, den Überblick über Anti-Phishing-Richtlinien und die Konfiguration von Anti-Phishing-Richtlinien.

Ausnahmen und Auswertungen verdienen genauso viel Aufmerksamkeit

Sorgfalt braucht es auch bei den vertrauenswürdigen Absendern. Gemeint sind Adressen, die von der Impersonation-Erkennung ausgenommen werden sollen, etwa externe Dienstleister mit ähnlichen Namensmustern. Hier kommt es auf das richtige Maß an: Mit zu vielen Ausnahmen hebelt man den Schutz aus, mit zu wenigen produziert man unnötige False Positives.

Auch Impersonation Insight fällt oft unter den Tisch. Der Bericht zeigt, wie viele Versuche, VIPs nachzuahmen, erkannt und blockiert wurden, und gibt Hinweise, wo die Konfiguration nachgebessert werden sollte. In meinen Projekten öffne ich dieses Dashboard regelmäßig, besonders nach neuen Angriffswellen oder nach Änderungen an den Policies. Dabei fällt mir nicht selten auf, dass eine Adresse wie „[email protected]“ gar nicht geschützt ist, weil sie nur als Alias existiert und nicht als primäre SMTP-Adresse eingetragen wurde.

Die Preset Policies ersetzen keinen gezielten VIP-Schutz

Viele Unternehmen verlassen sich beim Anti-Phishing auf die Preset Security Policies von Microsoft. Das halte ich für einen Fehler, denn diese Richtlinien schützen keine individuell gepflegten VIP-Listen. Als Baseline sind die Preset Policies gut eingestellt, bei gezielten Angriffen auf die Geschäftsführung oder auf Schlüsselpositionen greifen sie aber häufig zu kurz. Ein wirklich wirksamer Impersonation-Schutz setzt eigene Richtlinien voraus, in denen genau die schützenswerten Adressen und Domänen hinterlegt sind.

In vielen Tenants ist das bisher nur halbherzig umgesetzt, und erst nach einem Vorfall wird hektisch nachgebessert. Wer früher handelt, verhindert echten Schaden. Meist ergänze ich den Schutz um folgende Punkte:

  • Eigene Richtlinie für VIPs und Finanzen inkl. Quarantäne-Aktion
  • Liste der kritischen Benutzer und Domänen regelmäßig prüfen
  • Mailbox Intelligence aktivieren
  • Sicherheitstipps anzeigen
  • Vertrauenswürdige Absender sehr restriktiv nutzen

Den Impersonation-Schutz muss jemand dauerhaft pflegen

Anti-Phishing-Policies richtet man nicht einmal ein, um sie danach zu vergessen. Seine Wirkung entfaltet der Impersonation-Schutz nur, wenn jemand ihn aktiv pflegt, an Veränderungen anpasst und regelmäßig überprüft, gerade bei Führungskräften und in kritischen Bereichen. Die Preset Policies taugen als Ausgangspunkt, gegen gezielten CEO-Fraud reichen sie jedoch nie aus. Wer die Verantwortung für diese Konfiguration trägt, sollte sich mit den Details in Defender vertraut machen und „Impersonation Insight“ regelmäßig auswerten. Dann bleibt das Risiko beherrschbar, und das Unternehmen ist vor teuren Social-Engineering-Angriffen geschützt.