{"id":20300,"date":"2026-07-03T10:47:30","date_gmt":"2026-07-03T08:47:30","guid":{"rendered":"https:\/\/www.retarus.com\/blog\/de\/?p=20300"},"modified":"2026-07-07T15:04:48","modified_gmt":"2026-07-07T13:04:48","slug":"direct-send-in-exchange-online-so-schuetzen-sie-ihren-ausgehenden-mail-verkehr","status":"publish","type":"post","link":"https:\/\/www.retarus.com\/blog\/de\/direct-send-in-exchange-online-so-schuetzen-sie-ihren-ausgehenden-mail-verkehr\/","title":{"rendered":"Direct Send in Exchange Online: So sch\u00fctzen Sie Ihren ausgehenden Mail-Verkehr"},"content":{"rendered":"\n
Die \u201eDirect-Send\u201c-Funktion in Exchange Online ist seit L\u00e4ngerem bekannt. Aktuell beobachten wir in Kundenprojekten jedoch wieder vermehrt Konfigurationen, die unbeabsichtigte oder unerw\u00fcnschte Mailflows erm\u00f6glichen.<\/p>\n\n\n\n
Die Ursache: Historisch gewachsene Konfigurationen bleiben oft \u00fcber l\u00e4ngere Zeit unangetastet und bergen dadurch Risiken f\u00fcr Sicherheit, Compliance und Kontrolle. F\u00fcr Unternehmen, die Exchange Online als Bestandteil ihrer E-Mail-Infrastruktur nutzen, lohnt sich daher ein genauer Blick auf die eigene Konfiguration.<\/p>\n\n\n\n
Mit Direct Send k\u00f6nnen Systeme innerhalb einer Microsoft-365-Umgebung E-Mails direkt \u00fcber Exchange Online versenden, ohne dass eine Authentifizierung \u00fcber SMTP erforderlich ist. Urspr\u00fcnglich war diese Funktion etwa f\u00fcr Multifunktionsger\u00e4te, Anwendungen<\/a> oder andere interne Systeme vorgesehen.<\/p>\n\n\n\n Je nach Architektur und individueller Microsoft-365-Konfiguration kann Direct Send allerdings dazu f\u00fchren, dass Nachrichten den vorgesehenen Mailflow umgehen. Die Kontrolle \u00fcber den eigenen E-Mailverkehr geht an diesem Punkt verloren.<\/p>\n\n\n\n Aus unserer Erfahrung haben sich insbesondere die folgenden Ma\u00dfnahmen bew\u00e4hrt:<\/p>\n\n\n\n Pr\u00fcfen Sie zun\u00e4chst, ob Direct Send in Ihrer Umgebung tats\u00e4chlich ben\u00f6tigt wird. In vielen Organisationen wurde die Funktion fr\u00fcher einmal aktiviert, wird aber gar nicht mehr aktiv genutzt. Wenn m\u00f6glich, sollte sie dann eingeschr\u00e4nkt oder ganz deaktiviert werden.<\/p>\n\n\n\n Eine wirksame M\u00f6glichkeit besteht darin, legitime Nachrichten innerhalb von Exchange Online mit einem individuell modifizierten Header zu kennzeichnen und diesen vor dem Versand zu \u00fcberpr\u00fcfen.<\/p>\n\n\n\n Dazu kann eine Transportregel einen solchen Header mit einem \u201egeheimen\u201c Wert erg\u00e4nzen. Eine nachgelagerte Policy-Regel \u00fcberpr\u00fcft anschlie\u00dfend, ob dieser vorhanden ist. Nachrichten ohne den ver\u00e4nderten Header k\u00f6nnen zun\u00e4chst \u00fcberwacht und sp\u00e4ter bei Bedarf \u2013 ebenfalls regelbasiert \u2013 blockiert oder gesondert weitergeleitet werden.<\/p>\n\n\n\n Als Alternative zur Header-Pr\u00fcfung l\u00e4sst sich auch die Microsoft Tenant-ID aus den Exchange-Headern als Authentifizierungsmerkmal verwenden.<\/p>\n\n\n\n Dabei wird \u00fcberpr\u00fcft, ob ausgehende Nachrichten den erwarteten Tenant Identifier enthalten. Nachrichten, die diese Pr\u00fcfung nicht bestehen, kann man auch hier abh\u00e4ngig von den Sicherheitsanforderungen \u00fcberwachen, blockieren oder weiterleiten.<\/p>\n\n\n\n Bevor man zu so drastischen Ma\u00dfnahmen greift, empfiehlt sich zun\u00e4chst ein Monitoring der potenziell betroffenen Nachrichten.<\/p>\n\n\n\n Hierf\u00fcr kann beispielsweise eine entsprechende Policy-Regel verd\u00e4chtige Nachrichten zun\u00e4chst per Blindkopie (BCC) an eine dedizierte Mailbox weiterleiten. So l\u00e4sst sich nachvollziehen, ob und in welchem Umfang Direct-Send-Nachrichten \u00fcberhaupt auftreten, ohne den laufenden Betrieb zu beeintr\u00e4chtigen.<\/p>\n\n\n\n Sobald ausreichend Erkenntnisse aus dem Monitoring vorliegen, k\u00f6nnen die zuvor beschriebenen Regeln aktiviert werden.<\/p>\n\n\n\n Die Direct-Send-Thematik zeigt einmal mehr, dass eine sichere E-Mail-Infrastruktur weit \u00fcber klassische Spam- und Malware-Filter hinausgeht. Gerade in hybriden und cloudbasierten Enterprise-Umgebungen ist ein durchg\u00e4ngiger und kontrollierter Mailflow entscheidend.<\/p>\n\n\n\n Neben der regelm\u00e4\u00dfigen \u00dcberpr\u00fcfung von Direct Send sollten Unternehmen daher ihre gesamte Exchange-Online-Konfiguration kontinuierlich evaluieren und sicherstellen, dass nur autorisierte Nachrichten die vorgesehenen Kommunikationspfade nutzen.<\/p>\n\n\n\n Die Direct-Send-Problematik reiht sich in eine Reihe aktueller Diskussionen rund um Exchange Online ein. Ein weiteres Beispiel ist die sogenannte Ghost-Sender-Problematik<\/a>, bei der unter bestimmten Voraussetzungen ebenfalls unerw\u00fcnschte Mailflows entstehen k\u00f6nnen.<\/p>\n\n\n\nSo reduzieren Sie das Risiko<\/h2>\n\n\n\n
1. Direct Send \u00fcberpr\u00fcfen und einschr\u00e4nken<\/h3>\n\n\n\n
2. Nachrichten eindeutig kennzeichnen<\/h3>\n\n\n\n
3. Alternativ die Microsoft Tenant-ID pr\u00fcfen<\/h3>\n\n\n\n
4. Zun\u00e4chst Transparenz schaffen<\/h3>\n\n\n\n
Enterprise-E-Mail-Sicherheit endet nicht am Gateway<\/h2>\n\n\n\n
Verwandtes Thema: Ghost Sender in Exchange Online<\/h2>\n\n\n\n
Unterst\u00fctzung bei komplexen Mailflow-Szenarien<\/h2>\n\n\n\n