Anti-Phishing-Richtlinie gegen Identitätswechsel

Kurz gesagt: Mit einer Anti-Phishing-Richtlinie in Microsoft Defender for Office 365 schützt du wichtige Personen und deine Domains vor Identitätswechsel, etwa bei CEO-Fraud. Du legst sie im Defender-Portal unter E-Mail und Zusammenarbeit > Richtlinien und Regeln > Bedrohungsrichtlinien > Antiphishing an, trägst die zu schützenden Benutzer und Domänen ein und wählst als Aktion zum Beispiel Quarantäne.

Stand: 03.11.2026

Wogegen schützt der Identitätswechselschutz?

Beim CEO-Fraud gibt sich ein Angreifer als Geschäftsführer, Buchhaltung oder bekannter Lieferant aus und fordert zum Beispiel eine dringende Überweisung. Oft passt der Anzeigename, die Absenderadresse kommt aber von einer ähnlich aussehenden Domain. Manchmal kommt ein Anruf oder eine Sprachnachricht dazu, die echt klingen soll, bis hin zu gefälschten Stimmen. Die Mail bleibt meist der schriftliche Teil des Betrugs, und genau hier setzt die Richtlinie an.

In Microsoft 365 mit Defender for Office 365 bieten Anti-Phishing-Richtlinien laut Microsoft zwei Arten von Schutz: den Schutz vor Spoofing, den es für alle Cloud-Postfächer gibt, und zusätzlich den Schutz vor Identitätswechsel (Impersonation). Die Standardrichtlinie gilt automatisch für alle Empfänger. Microsoft empfiehlt in der Regel, statt eigener Richtlinien die voreingestellten Sicherheitsrichtlinien Standard oder Strict für alle Benutzer einzuschalten. Wer gezielt bestimmte Personen schützen will, legt eine eigene Richtlinie an.

Wie lege ich die Richtlinie an?

1. Im Microsoft Defender-Portal unter security.microsoft.com zu E-Mail und Zusammenarbeit > Richtlinien und Regeln > Bedrohungsrichtlinien > Antiphishing gehen (Email & collaboration > Policies & rules > Threat policies > Anti-phishing).
2. Erstellen (Create) klicken.
3. Name und optional eine Beschreibung vergeben, Weiter.
4. Unter Benutzer, Gruppen und Domänen festlegen, für welche Empfänger die Richtlinie gilt. Mehrere Werte derselben Bedingung sind mit ODER verknüpft, verschiedene Bedingungen mit UND. Subdomänen sind automatisch eingeschlossen.
5. Auf der Seite Phishing threshold & protection den Schwellenwert wählen: 1 Standard (Voreinstellung), 2 Aggressiv, 3 Aggressiver, 4 Am aggressivsten.
6. Enable users to protect aktivieren und über Manage senders die zu schützenden Personen eintragen, zum Beispiel Geschäftsführung und Buchhaltung. Möglich sind interne und externe Absender, bis zu 350 pro Richtlinie.
7. Enable domains to protect aktivieren. Mit Include the domains I own schützt du die eigenen Domains, mit Include custom domains zusätzlich Domains von Partnern.
8. Bei Bedarf unter Add trusted senders and domains Ausnahmen eintragen, höchstens 1024 Einträge. Subdomänen musst du hier einzeln eintragen.
9. Enable mailbox intelligence und Enable intelligence for impersonation protection aktiviert lassen beziehungsweise aktivieren. Ebenso Enable spoof intelligence.
10. Weiter zur Seite Actions.

Welche Aktionen solltest du wählen?

Für erkannten Identitätswechsel von Benutzern, von Domains und für Treffer der Postfachintelligenz steht die Aktion standardmäßig auf Don’t apply any action. Ohne Änderung wird also nur erkannt, aber nichts getan. Zur Auswahl stehen:

• Nachricht an andere Adressen umleiten
• In den Junk-E-Mail-Ordner verschieben
• Nachricht in Quarantäne verschieben, mit wählbarer Quarantänerichtlinie
• Zustellen und andere Adressen in Bcc setzen
• Vor der Zustellung löschen

Aus unserer Erfahrung ist Quarantäne für Identitätswechsel ein guter Startpunkt. Die Option, die DMARC-Richtlinie des Absenders zu beachten, ist standardmäßig aktiv: Bei p=quarantine wird die Mail in Quarantäne verschoben, bei p=reject abgewiesen.

Welche Sicherheitstipps sollten an sein?

Im Abschnitt Safety tips & indicators aktivierst du Hinweise für die Empfänger: den Tipp beim ersten Kontakt, Tipps bei Identitätswechsel von Benutzern und Domains und den Hinweis auf ungewöhnliche Zeichen. Die Fragezeichen-Anzeige für nicht authentifizierte Absender und der „via“-Hinweis sind standardmäßig aktiv.

Was solltest du zusätzlich beachten?

• Der Schutz für Benutzer greift laut Microsoft nicht, wenn Absender und Empfänger schon einmal per E-Mail kommuniziert haben.
• Werden Systemnachrichten von Microsoft 365, etwa von Teams oder SharePoint, fälschlich erkannt, kannst du diese Absender als vertrauenswürdig eintragen.
• Technik ersetzt keine Prozesse. Lege fest, dass Zahlungsänderungen und dringende Überweisungen immer über einen zweiten, bekannten Kanal bestätigt werden.

So unterstützen wir dich

Wir richten Anti-Phishing-Richtlinien, DMARC und Prozesse gegen CEO-Fraud für Unternehmen in Osnabrück und Umgebung ein, weiter entfernt per Fernwartung. Bei Bedarf ergänzen wir das um einen zusätzlichen E-Mail-Filter wie Hornetsecurity. Mehr zu unserer IT-Sicherheit für Unternehmen.

Häufige Fragen

Brauche ich Defender for Office 365 dafür?

Für den Schutz vor Identitätswechsel ja. Den Spoofing-Schutz gibt es laut Microsoft in Anti-Phishing-Richtlinien für alle Cloud-Postfächer.

Wie viele Personen kann ich schützen?

Bis zu 350 Benutzer pro Anti-Phishing-Richtlinie.

Was passiert standardmäßig mit erkannten Mails?

Bei Identitätswechsel steht die Aktion standardmäßig auf „keine Aktion“. Stell sie bewusst auf Quarantäne oder Junk-E-Mail.

Sollte ich lieber die voreingestellten Richtlinien nutzen?

Microsoft empfiehlt in der Regel, die voreingestellten Sicherheitsrichtlinien Standard oder Strict für alle Benutzer einzuschalten, statt eigene Richtlinien zu pflegen.

Quellen

• Configure anti-phishing policies in Microsoft Defender for Office 365 (Microsoft Learn, abgerufen am 03.11.2026)