Microsoft Defender for Office 365 ergänzt den in Exchange Online enthaltenen Spamfilter Exchange Online Protection (EOP) um Schutz vor Identitätswechsel, Linkprüfung beim Klick und eine Sandbox für Anhänge. Diese Anleitung zeigt Administratoren, wie sie im Microsoft Defender-Portal die voreingestellten Sicherheitsrichtlinien aktivieren, eigene Richtlinien für Anti-Phishing, Safe Links und Safe Attachments anlegen und jede Einstellung prüfen, wahlweise im Portal oder per Exchange Online PowerShell.

Voraussetzungen

Lizenz: Defender for Office 365 Plan 1 (Anti-Phishing mit Identitätswechsel-Schutz, Safe Links, Safe Attachments) oder Plan 2 (zusätzlich Threat Explorer, automatisierte Untersuchung und Reaktion, Angriffssimulationstraining). Plan 1 ist laut Microsoft unter anderem in Microsoft 365 Business Premium und Microsoft 365 E3 enthalten, Plan 2 in Microsoft 365 E5; beide gibt es auch als Add-on. Prüfen Sie Ihren Lizenzstand im Microsoft 365 Admin Center unter Abrechnung → Ihre Produkte.
Abgrenzung: EOP ist in jedem Exchange-Online-Postfach enthalten und filtert Spam, Malware und Spoofing. Defender for Office 365 baut darauf auf; die EOP-Richtlinien bleiben aktiv.
Rollen: Sicherheitsadministrator in Microsoft Entra ID oder die Rollengruppe Organisationsverwaltung in Exchange Online.
PowerShell: Modul ExchangeOnlineManagement in aktueller Version, PowerShell 7 empfohlen.
Grundlage: SPF, DKIM und DMARC für Ihre Domänen, damit der Spoofing-Schutz verlässlich bewerten kann (siehe Links am Ende).

Schritt 1: Exchange Online PowerShell verbinden

Alle PowerShell-Schritte setzen eine Verbindung zu Exchange Online voraus. Die Anmeldung erfolgt interaktiv mit MFA.

Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline -UserPrincipalName admin@ihre-domain.de

Verifizieren: Get-AntiPhishPolicy | Format-Table Name,IsDefault listet mindestens Office365 AntiPhish Default. Meldet PowerShell „The term 'Get-AntiPhishPolicy' is not recognized“, fehlt die Verbindung oder die Rolle.

Schritt 2: Voreingestellte Sicherheitsrichtlinien aktivieren

Voreingestellte Sicherheitsrichtlinien (Preset security policies) enthalten von Microsoft gepflegte Werte und passen sich neuen Empfehlungen automatisch an. Es gibt drei Stufen: Built-in protection (Safe Links und Safe Attachments in Grundeinstellung für alle, die keine andere Richtlinie trifft), Standard (empfohlene Grundabsicherung) und Strict (strenger, für Geschäftsführung, Buchhaltung und andere Prioritätskonten).

Öffnen Sie https://security.microsoft.com/presetSecurityPolicies (Pfad: E-Mail und Zusammenarbeit → Richtlinien und Regeln → Bedrohungsrichtlinien → Voreingestellte Sicherheitsrichtlinien).
Wählen Sie bei Standardschutz „Schutzeinstellungen verwalten“ und legen Sie im Assistenten die Empfänger fest, im Regelfall alle.
Tragen Sie unter Identitätswechsel-Schutz die Personen ein, deren Namen Angreifer typischerweise fälschen (Geschäftsführung, Buchhaltung), sowie eigene und Partner-Domänen.
Aktivieren Sie Strenger Schutz für die Prioritätskonten.

Es gilt die Rangfolge Strict vor Standard vor eigenen Richtlinien vor Built-in protection. Ein Empfänger in Strict erhält ausschließlich diese Einstellungen.

Verifizieren: Beide Richtlinien zeigen auf der Seite den Status „Ein“. Per PowerShell zeigen Get-EOPProtectionPolicyRule und Get-ATPProtectionPolicyRule die Regeln Standard Preset Security Policy und Strict Preset Security Policy mit State : Enabled.

Schritt 3: Eigene Anti-Phishing-Richtlinie anlegen

Eine eigene Richtlinie brauchen Sie nur, wenn die Preset-Werte nicht passen, etwa für einen anderen Phishing-Schwellenwert oder abweichende Aktionen. Sie konfigurieren Spoofing-Schutz, Postfachintelligenz, Identitätswechsel-Schutz für Benutzer und Domänen sowie den Schwellenwert.

Im Portal: Bedrohungsrichtlinien → Antiphishing → Erstellen.

Der Schwellenwert PhishThresholdLevel hat vier Stufen: 1 Standard, 2 Aggressiv, 3 Aggressiver, 4 Am aggressivsten. Höhere Stufen erkennen mehr, erzeugen aber mehr Fehlalarme; Standard nutzt 3, Strict 4.

Per PowerShell: Richtlinie (Policy) und Regel (Rule) sind getrennte Objekte. Erst die Regel mit Empfängerfilter aktiviert die Richtlinie.

New-AntiPhishPolicy -Name 'AP-Geschaeftsfuehrung' `
  -EnableTargetedUserProtection $true `
  -TargetedUsersToProtect 'Max Muster;max.muster@ihre-domain.de' `
  -TargetedUserProtectionAction Quarantine `
  -EnableOrganizationDomainsProtection $true `
  -EnableMailboxIntelligence $true `
  -EnableMailboxIntelligenceProtection $true `
  -PhishThresholdLevel 3

New-AntiPhishRule -Name 'AP-Geschaeftsfuehrung' `
  -AntiPhishPolicy 'AP-Geschaeftsfuehrung' `
  -RecipientDomainIs 'ihre-domain.de' `
  -Priority 0

Verifizieren: Get-AntiPhishRule | Format-Table Name,State,Priority zeigt die Regel mit Enabled; Get-AntiPhishPolicy 'AP-Geschaeftsfuehrung' | Format-List PhishThresholdLevel,EnableTargetedUserProtection die gesetzten Werte.

Schritt 4: Safe Links für URL-Schutz konfigurieren

Safe Links prüft Links beim Eingang und erneut beim Klick. Der Schutz gilt für E-Mails, Microsoft Teams und unterstützte Office-Apps (Desktop, Mobil, Web).

Im Portal: Bedrohungsrichtlinien → Tresorlinks (https://security.microsoft.com/safelinksv2) → Erstellen. Aktivieren Sie E-Mail, Teams und Office-Apps und deaktivieren Sie das Durchklicken zur Originaladresse.

Per PowerShell:

New-SafeLinksPolicy -Name 'SL-Alle' `
  -EnableSafeLinksForEmail $true `
  -EnableSafeLinksForTeams $true `
  -EnableSafeLinksForOffice $true `
  -ScanUrls $true `
  -DeliverMessageAfterScan $true `
  -EnableForInternalSenders $true `
  -AllowClickThrough $false

New-SafeLinksRule -Name 'SL-Alle' `
  -SafeLinksPolicy 'SL-Alle' `
  -RecipientDomainIs 'ihre-domain.de'

In den Office-Desktop-Apps greift Safe Links nur, wenn die Benutzer mit ihrem Geschäfts- oder Schulkonto angemeldet sind und die Apps moderne Authentifizierung nutzen.

Verifizieren: Senden Sie sich von extern eine Mail mit einem Link. Beim Zeigen auf den Link in Outlook erscheint eine Adresse mit safelinks.protection.outlook.com. Get-SafeLinksRule | Format-Table Name,State zeigt Enabled.

Schritt 5: Safe Attachments mit Dynamic Delivery

Safe Attachments öffnet Anhänge in einer isolierten Umgebung (Detonation), bevor sie zugestellt werden. Die Prüfung dauert laut Microsoft in der Regel bis zu 15 Minuten, gelegentlich länger. Dynamic Delivery stellt die Nachricht sofort mit einem Platzhalter zu und ergänzt den Anhang nach der Prüfung; das funktioniert nur für Exchange-Online-Postfächer.

Im Portal: Bedrohungsrichtlinien → Sichere Anlagen (https://security.microsoft.com/safeattachmentv2) → Erstellen. Aktionen: Block (Standard und Empfehlung der Presets), DynamicDelivery oder Monitor (nur protokollieren).

Per PowerShell:

New-SafeAttachmentPolicy -Name 'SA-Vertrieb' `
  -Enable $true `
  -Action DynamicDelivery

New-SafeAttachmentRule -Name 'SA-Vertrieb' `
  -SafeAttachmentPolicy 'SA-Vertrieb' `
  -SentToMemberOf 'vertrieb@ihre-domain.de'

Verifizieren: Get-SafeAttachmentRule | Format-Table Name,State zeigt Enabled. Eine neue Richtlinie wirkt nach etwa 30 Minuten; danach erhält ein Mitglied der Gruppe bei einer externen Mail mit Anhang zunächst den Platzhalter.

Schritt 6: Quarantäne-Richtlinie und Benutzerfreigabe

Quarantäne-Richtlinien steuern je Bewertung, was Empfänger mit ihren isolierten Nachrichten tun dürfen. Für Malware und hochwahrscheinliches Phishing gilt standardmäßig AdminOnlyAccessPolicy: Nur Administratoren geben frei. Für Spam gelten großzügigere Standards.

Öffnen Sie Bedrohungsrichtlinien → Quarantänerichtlinien und wählen Sie Richtlinie hinzufügen.
Wählen Sie unter Empfängerzugriff auf Nachrichten Eingeschränkter Zugriff (Benutzer fordern die Freigabe an, ein Administrator entscheidet) oder Vollzugriff (Benutzer geben selbst frei). Per PowerShell entspricht das den Berechtigungen PermissionToRequestRelease bzw. PermissionToRelease.
Aktivieren Sie Quarantänebenachrichtigungen, damit Benutzer von isolierten Nachrichten erfahren.
Weisen Sie die neue Richtlinie in der Anti-Phishing- oder Antispam-Richtlinie der gewünschten Bewertung zu.

Für Phishing ist eingeschränkter Zugriff der sichere Mittelweg: Benutzer bleiben handlungsfähig, die Entscheidung trifft die IT.

Verifizieren: Get-QuarantinePolicy | Format-Table Name,EndUserQuarantinePermissionsValue zeigt die neue Richtlinie; ein Testbenutzer sieht unter https://security.microsoft.com/quarantine für betroffene Nachrichten die Schaltfläche „Freigabe anfordern“.

Schritt 7: Angriffssimulationstraining starten (Plan 2)

Mit Plan 2 simulieren Sie Phishing-Kampagnen gegen eigene Benutzer und weisen Klickenden automatisch Schulungen zu. Informieren Sie vorher Betriebsrat und Datenschutz, da das Training personenbezogene Klickdaten auswertet.

Öffnen Sie E-Mail und Zusammenarbeit → Angriffssimulationstraining.
Starten Sie eine Simulation, wählen Sie eine Technik (etwa Sammlung von Anmeldeinformationen) und eine Payload.
Legen Sie Zielgruppe, Schulungszuweisung und Zeitplan fest.
Werten Sie nach Abschluss die Berichte aus.

Organisationen mit E3 erhalten laut Microsoft eine eingeschränkte Testversion mit wenigen Payloads; der volle Umfang erfordert Plan 2.

Verifizieren: Die Simulation erscheint unter Simulationen mit Status „Geplant“ bzw. „Wird ausgeführt“; nach dem Versand füllen sich die Berichte.

Typische Fehler und Lösungen

Gesamtkonfiguration prüfen: Der Konfigurationsanalysator unter https://security.microsoft.com/configurationAnalyzer vergleicht eigene Richtlinien mit Standard und Strict und listet Abweichungen.
Eigene Richtlinie greift nicht: Der Empfänger ist bereits in Strict oder Standard erfasst, die haben Vorrang. Nehmen Sie ihn dort aus oder passen Sie die Preset-Richtlinie an.
Fehler beim Anlegen der Regel: Die referenzierte Policy existiert nicht oder ist bereits einer anderen Regel zugeordnet. Legen Sie zuerst die Policy an; je Policy ist eine Regel möglich.
Anhänge kommen verzögert an: Die Sandbox-Prüfung läuft. Setzen Sie für zeitkritische Gruppen Dynamic Delivery.
Benutzer können Nachrichten nicht freigeben: Für die Bewertung gilt AdminOnlyAccessPolicy. Weisen Sie eine eigene Quarantäne-Richtlinie zu; Malware-Nachrichten geben grundsätzlich nur Administratoren frei.
Safe Links wirkt in Office-Desktop-Apps nicht: Die App ist nicht mit dem Geschäftskonto angemeldet oder nutzt keine moderne Authentifizierung.
Umgeschriebene Links stören ein Fremdsystem: Tragen Sie die betroffenen URLs in der Safe-Links-Richtlinie unter DoNotRewriteUrls ein, statt den Schutz abzuschalten.
Legitime Massen-Mails landen in Quarantäne: Prüfen Sie den Absender und lassen Sie ihn gezielt über die Mandanten-Zulassungs-/Sperrliste zu, nicht über eine Transportregel, die alle Filter umgeht.

Häufige Fragen

Reicht der EOP-Spamfilter nicht aus?

EOP filtert Spam, bekannte Malware und Spoofing. Gegen gefälschte Absendernamen von Führungskräften, neu registrierte Phishing-Domänen und unbekannte Schadsoftware in Anhängen helfen erst Identitätswechsel-Schutz, Safe Links und Safe Attachments aus Defender for Office 365.

Sollten Sie mit Preset-Richtlinien oder eigenen Richtlinien starten?

Mit Presets. Sie folgen den Empfehlungen von Microsoft und werden automatisch angepasst. Eigene Richtlinien ergänzen Sie nur für begründete Abweichungen.

Was bedeuten die Phishing-Schwellenwerte?

Stufe 1 bis 4 bestimmt, ab welcher Wahrscheinlichkeit eine Nachricht als Phishing gilt. Beobachten Sie nach einer Erhöhung eine Woche lang die Quarantäne auf Fehlalarme.

Wann sollten Sie Dynamic Delivery statt Block nutzen?

Für Postfächer, bei denen verzögerte Zustellung stört, etwa Vertrieb oder Kundenservice. Block bleibt für alle anderen die sicherere Wahl.

Brauchen Sie für jede Richtlinie eine eigene Regel?

Ja, bei eigenen Richtlinien. Die Policy enthält die Einstellungen, die Rule legt fest, für wen sie gilt. Ohne Rule ist die Policy wirkungslos.

Was gehört zu Plan 1 und was zu Plan 2?

Plan 1 umfasst Identitätswechsel-Schutz, Safe Links, Safe Attachments und Echtzeiterkennungen. Plan 2 ergänzt Threat Explorer, automatisierte Untersuchung und Reaktion, Angriffssimulationstraining und Kampagnenansichten.

Fazit

Mit den Presets Standard und Strict steht der Phishing-Schutz in wenigen Minuten auf dem von Microsoft empfohlenen Niveau. Eigene Anti-Phishing-, Safe-Links- und Safe-Attachments-Richtlinien sowie passende Quarantäne-Richtlinien ergänzen Sie gezielt; der Konfigurationsanalysator zeigt, ob die Einstellungen danach noch den Empfehlungen entsprechen.

Weiterführende Anleitungen und Quellen

SPF, DKIM und DMARC für Ihre Domäne in Exchange Online einrichten als Fundament für den Spoofing-Schutz.
MFA und Conditional Access in Entra ID konfigurieren als ergänzende Identitätsabsicherung.
Geräte mit Intune und Windows Autopilot ausrollen für ein durchgängig verwaltetes Endgeräte-Setup.
Weitere Themen in der Kategorie Microsoft 365.

Quellen: Defender for Office 365 Übersicht, Voreingestellte Sicherheitsrichtlinien, Sichere Anlagen, Quarantänerichtlinien (Microsoft Learn, Stand 30.09.2026).