In vielen Tenants, die ich betreue, führt das Thema Quarantäne immer wieder zu Diskussionen. Daran beteiligt sind Endanwender ebenso wie Helpdesks und Security-Teams. Auf den ersten Blick wirkt es, als sei jede E-Mail in der Quarantäne bereits sicher aus dem Weg geräumt. In der Praxis zeigt sich aber, dass der weitere Umgang mit diesen Nachrichten eine heikle Governance-Frage ist. Die Antwort darauf liefern die Quarantäne-Richtlinien in Defender. Mit ihnen lässt sich granular festlegen, was Nutzer mit dort gelandeten Mails tun dürfen und was nicht.

Quarantäne-Richtlinien greifen an einer zentralen Stelle im Defender-Portal

Konfiguriert werden sie im Microsoft-Defender-Portal unter Email & Collaboration → Policies & rules → Threat policies → Quarantine policies. Dort lege ich pro Zielgruppe und Bedrohungsart fest, ob Nutzer Nachrichten selbst freigeben dürfen (Release), ob sie eine Freigabe anfordern können (Request release) oder ob Zugriff und Entscheidung allein bei den Admins liegen. Heikel sind vor allem Mails, die mit hoher Sicherheit als Phishing oder Malware eingestuft wurden. Für sie sollte man niemals eine Self-Service-Option aktivieren, weil das Risiko, dass Schadcode doch ins Postfach gelangt, schlicht zu hoch ist. Besser stellt man die Richtlinie so ein, dass ausschließlich Admins eine Freigabe prüfen und genehmigen. Weitere Details stehen in der offiziellen Microsoft-Dokumentation zu Quarantäne-Richtlinien.

Nutzer sollten nur harmlose Kategorien selbst freigeben dürfen

Die eigentliche Aufgabe besteht darin, Benutzerfreundlichkeit und Sicherheit sorgfältig abzuwägen. Viele Organisationen lassen Nutzer Mails mit dem Verdict „Bulk“ (Massenmail/Newsletter) oder „Spam“ selbst freigeben. Das erspart dem Helpdesk Rückfragen und den Anwendern Ärger. Bei Phishing (vor allem mit High confidence), Malware und Nachrichten mit dem Verdict „ZAP“ (Zero-hour Auto Purge) sieht die Sache anders aus. Eine Freigabe sollte hier immer über den Admin laufen. Leider wird das im Alltag nicht immer sauber getrennt. Oft sind die Quarantäne-Richtlinien zu großzügig eingestellt, weil man möglichst wenige Tickets haben möchte. Riskante Mails können dann versehentlich oder absichtlich doch im Postfach landen. Ich empfehle deshalb eine nüchterne Bestandsaufnahme: Welche Verdicts treten wie oft auf, und welche Folgen hat die aktuelle Policy für die Sicherheit?

Aus Erfahrung: Für High confidence Phish und Malware setze ich immer eine Quarantäne-Richtlinie, die ausschließlich Admin-Freigaben erlaubt. Nur dann behalten die Filter ihre Schutzwirkung.

Benachrichtigungen und Richtlinienzuweisung folgen getrennten Regeln

Quarantänebenachrichtigungen werden global im Defender-Portal gesteuert („Email & collaboration“ → „Policies & rules“ → „Threat policies“ → „Quarantine notifications“). Dort stellt man ein, in welchem Rhythmus Nutzer über neue Nachrichten in der Quarantäne informiert werden, etwa einmal täglich. Eine Benachrichtigung heißt allerdings nicht, dass der Nutzer die Mail auch freigeben darf. Welche Freigabeoptionen er hat, bestimmt allein die zugewiesene Quarantäne-Richtlinie.

Diese Policy weist man nicht direkt den Benutzern zu, sondern hinterlegt sie in den Anti-Spam-, Anti-Phishing- und Anti-Malware-Richtlinien. Für jede dieser Regeln wählt man also eine oder mehrere Quarantäne-Policies aus und legt damit fest, wie die dort erfassten Nachrichten behandelt werden. Häufig stolpert man dabei über die Standardrichtlinien, die oft zu breit greifen oder beim Anlegen neuer Richtlinien nicht sauber angepasst werden. Deshalb sollte man gezielt prüfen, welche Policy an welcher Stelle tatsächlich wirkt. Wie sich Policies verwalten und zuweisen lassen, beschreibt die Anleitung von Microsoft übersichtlich.

Freigabeanfragen brauchen einen festen Prüfprozess bei den Admins

Dürfen Nutzer Nachrichten nicht selbst freigeben, aber eine Freigabe anfordern, landen ihre Anfragen im Defender-Portal. Ohne klaren Prozess verliert man dort schnell den Überblick. In größeren Umgebungen sind feste Review-Termine sinnvoll, idealerweise ergänzt um eine Mail-Benachrichtigung bei neuen Anfragen. Wer die Bearbeitung beschleunigen möchte, kann mit einer kleinen KQL-Abfrage unter Defender-Portal → Hunting → Advanced hunting nachsehen, welche Quarantäne-Release-Events zuletzt aufgetreten sind. Voraussetzung dafür sind Defender for Office 365 Plan 2 und die passende Rolle:

EmailEvents
| where ActionType == "QuarantineReleaseRequested"
| project Timestamp, RecipientEmailAddress, Subject, SenderFromAddress

Auf diese Weise fällt sofort auf, wenn ungewöhnlich viele Anfragen eingehen. Dahinter können falsch konfigurierte Policies oder laufende Phishing-Kampagnen stecken.

Ein Ablaufdiagramm zeigt den Quarantäne-Prozess im Überblick

Wer neu in das Thema einsteigt, versteht den Prozess mit einem einfachen Ablaufdiagramm oft am schnellsten. So könnte es aussehen:

flowchart TD
Eingang["Mail eingegangen"] --> Filter["Defender Filter (Spam/Phish/Malware)"]
Filter -->|"Verdict: Clean"| Inbox["Posteingang"]
Filter -->|"Verdict: Spam/Bulk"| Quar["Quarantäne"]
Filter -->|"Verdict: High Conf. Phish/Malware"| Quar
Quar --> Policy["Quarantäne-Richtlinie prüft Nutzerrechte"]
Policy -->|"Self-Release erlaubt"| Release["Nutzer gibt frei"]
Policy -->|"Nur Anfrage erlaubt"| Request["Nutzer stellt Freigabeanfrage"]
Request --> Admin["Admin prüft & gibt ggf. frei"]
Policy -->|"Nur Admin"| Admin

Abbildung: Quarantäne-Ablauf mit unterschiedlichen Richtlinienoptionen

Fünf Regeln erhöhen die Sicherheit und senken das Ticketaufkommen

Für Quarantäne-Richtlinien in Defender gehe ich nach einem Schema vor, das sich in der Praxis bewährt hat:

  • Keine Selbstfreigabe für High confidence Phish oder Malware
  • Bulk und Spam dürfen Nutzer meist selbst freigeben, was man aber regelmäßig überprüfen sollte
  • Quarantäne-Benachrichtigung einmal täglich aktivieren, damit die Nutzer aufmerksam bleiben
  • Regelmäßig auswerten, welche Nachrichten tatsächlich freigegeben werden
  • Die Zuordnung der Richtlinien in den Anti-Spam-, Anti-Phishing- und Anti-Malware-Richtlinien dokumentieren

Wer sich daran hält, entlastet den Helpdesk spürbar, ohne bei der Sicherheit nachzugeben. Die Quarantäne ist dabei keine Endstation. Sie ist ein lebendiger Filter, um den man sich laufend kümmern muss. Gerade wenn neue Angriffsmuster auftauchen, sollte man die eigenen Policies kritisch prüfen und nachschärfen. Wie sich Anti-Phishing- und Spam-Regeln sinnvoll steuern lassen, beschreibe ich im Artikel Defender for Office 365: Was bringen Preset Policies?.