{"id":20291,"date":"2026-06-29T10:56:57","date_gmt":"2026-06-29T08:56:57","guid":{"rendered":"https:\/\/www.retarus.com\/blog\/de\/?p=20291"},"modified":"2026-06-29T12:55:15","modified_gmt":"2026-06-29T10:55:15","slug":"exchange-online-und-die-ghost-sender-fuenf-tipps-was-sie-jetzt-tun-sollten","status":"publish","type":"post","link":"https:\/\/www.retarus.com\/blog\/de\/exchange-online-und-die-ghost-sender-fuenf-tipps-was-sie-jetzt-tun-sollten\/","title":{"rendered":"Exchange Online und die \u201eGhost Sender\u201c: F\u00fcnf Tipps, was Sie jetzt tun sollten"},"content":{"rendered":"\n
Die sicherheitsrelevanten Meldungen rund um Microsoft 365 und Exchange Online h\u00e4ufen sich derzeit sp\u00fcrbar. \u00dcberhaupt wird die Gemengelage rund um das Thema E-Mail-Sicherheit zunehmend komplexer. Als langj\u00e4hriger Experten f\u00fcr E-Mail-Sicherheit und gesch\u00e4ftskritische Kommunikations-Infrastrukturen haben wir bei Retarus die wichtigsten Informationen zum aktuellsten Microsoft-\u201eAufregerthema\u201c zusammengefasst und f\u00fcr Sie eingeordnet.<\/p>\n\n\n\n
Seit einigen Tagen sorgen Berichte rund um die so genannten \u201eGhost-Sender<\/a>\u201c-Thematik f\u00fcr Diskussionen unter E-Mail-Verantwortlichen. Auch wir stehen diesbez\u00fcglich seit dem Auftreten der ersten Meldungen in engem Austausch mit unseren Kunden.<\/p>\n\n\n\n Vor dem Hintergrund des aktuellen Themas, wollen wir Ihnen im Folgenden einige Empfehlungen mit auf den Weg geben, damit Sie oder Ihre Administratoren den eigenen E-Mail-Flow und die aktuelle Konfiguration mit vorgeschalteten Security Gateways gezielt \u00fcberpr\u00fcfen k\u00f6nnen. Denn der Fall \u201eGhost Sender\u201c zeigt einmal mehr, dass die Sicherheit von E-Mail-Infrastrukturen nicht allein von einzelnen Schutzmechanismen oder Bereitstellungsmodellen abh\u00e4ngt, sondern ma\u00dfgeblich von deren sauberer technischer Umsetzung.<\/p>\n\n\n\n Es empfiehlt sich, zeitnah zu pr\u00fcfen, ob Ihre Umgebung grunds\u00e4tzlich f\u00fcr eine direkte Zustellung an den Tenant au\u00dferhalb des vorgesehenen Security-Gateway-Pfads anf\u00e4llig ist. Ein gezielter Test, etwa \u00fcber ein daf\u00fcr bereitgestelltes Pr\u00fcfverfahren wie ghost-sender.com, kann hier eine schnelle erste Einordnung geben. Wenn die Pr\u00fcfung zeigt, dass Ihre Exchange-Online-Postf\u00e4cher von au\u00dfen via \u201eGhost Sender\u201c erreichbar sind, empfehlen wir die folgenden Schritte.<\/p>\n\n\n\n Ein zentraler Punkt ist der vorgesehene Zustellpfad selbst. Eingehende E-Mails sollten technisch eindeutig \u00fcber das vorgelagerte Secure Email Gateway geleitet werden. In der Praxis hei\u00dft das: Der sogenannte Mail-Exchange-Eintrag (MX-Record) sollte so gesetzt sein, dass eingehende E-Mails zun\u00e4chst \u00fcber das Gateway und nicht direkt \u00fcber Exchange Online zugestellt werden. Gleichzeitig sollte in Exchange Online ein passender Inbound Partner Connector eingerichtet sein, der genau diesen Weg abbildet.<\/p>\n\n\n\n Ein weiterer wichtiger Schritt ist, den Connector m\u00f6glichst restriktiv zu konfigurieren. Entscheidend hierbei ist, dass nur autorisierte Gateway-Quell-IPs zugelassen werden. So l\u00e4sst sich verhindern, dass eingehende Verbindungen au\u00dferhalb des definierten Pfads dennoch als legitim behandelt werden. Erg\u00e4nzend kann es sinnvoll sein, den Mail Flow zus\u00e4tzlich \u00fcber Transport Layer Security (TLS) beziehungsweise eine passende TLS-Domain- oder Zertifikatspr\u00fcfung abzusichern.<\/p>\n\n\n\n Direkte Zustellungen an Exchange Online au\u00dferhalb des autorisierten Gateway-Pfads sollten konsequent unterbunden werden. Ob dies \u00fcber Transportregeln oder andere Restriktionen umgesetzt wird, h\u00e4ngt von der jeweiligen Umgebung ab. Entscheidend ist, dass nach der technischen Anpassung nicht nur die Konfiguration sauber aussieht, sondern auch praktisch gepr\u00fcft wird, ob Direct-to-Tenant- oder Spoofing-Szenarien tats\u00e4chlich blockiert werden.<\/p>\n\n\n\n Der f\u00fcnfte Punkt geht \u00fcber den aktuellen Anlass hinaus: \u00dcberpr\u00fcfen Sie regelm\u00e4\u00dfig auch die grundlegenden Schutzmechanismen rund um Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting and Conformance (DMARC). Gerade eine sauber umgesetzte und perspektivisch restriktivere DMARC<\/a>-Policy hilft dabei, unerw\u00fcnschte Mail Flows und Spoofing-Risiken insgesamt wirksam zu reduzieren. Wir bei Retarus sehen diese Mechanismen grunds\u00e4tzlich als festen Bestandteil einer belastbaren E-Mail-Sicherheitsstrategie.<\/p>\n\n\n\n Wer den Weg eingehender E-Mails konsequent absichert und direkte Umgehungen verhindert, kann das Risiko f\u00fcr Spoofing und betr\u00fcgerische Nachrichten deutlich reduzieren. Retarus versteht sich dabei als Partner, der genau diese Herausforderungen im Blick hat und Unternehmen dabei unterst\u00fctzt, E-Mail-Sicherheit ganzheitlich umzusetzen.<\/p>\n\n\n\nWas Sie jetzt tun sollten<\/h2>\n\n\n\n
1. Anf\u00e4lligkeit f\u00fcr direkte Zustellung pr\u00fcfen<\/h3>\n\n\n\n
2. Den vorgesehenen Zustellpfad eindeutig definieren<\/h3>\n\n\n\n
3. Den Inbound Connector restriktiv konfigurieren<\/h3>\n\n\n\n
4. Direkte SMTP-Zustellung an Exchange Online unterbinden<\/h3>\n\n\n\n
5. Senderauthentifizierung regelm\u00e4\u00dfig \u00fcberpr\u00fcfen<\/h3>\n\n\n\n
Retarus als Partner f\u00fcr alle E-Mail-Themen<\/h2>\n\n\n\n