M365 Defender | Safe Links & Safe Attachments konfigurieren

Nutzer klicken auf alles. Das ist keine Schulungslücke, sondern eine Konstante, mit der du in der Architektur rechnen musst. Ein klassischer Mailfilter bewertet eine Nachricht in dem Moment, in dem diese den Transportstack durchläuft: Verbindungsreputation, SPF, DKIM, DMARC, Signaturprüfung, Heuristik.

Was mit dem Ziel eines Links danach passiert, sieht dieser Filter nicht mehr. Genau in dieser Lücke arbeiten aktuelle Phishing-Kampagnen. Die URL ist bei Zustellung sauber und wird erst Stunden später scharf geschaltet.

Jedes Postfach in Exchange Online läuft durch Exchange Online Protection (EOP). Diese Schicht filtert Verbindungen, Malware mit bekannten Signaturen, Spam und Spoofing. Die Prüfung ist zustellungsbezogen: Die Entscheidung fällt, während die Nachricht durch den Mailflow läuft.

Ganz ohne nachträgliche Korrektur arbeitet EOP allerdings nicht. Zero-Hour Auto Purge (ZAP) entfernt Nachrichten auch nachträglich aus Postfächern, wenn Microsoft eine bereits zugestellte Nachricht später als Malware oder Phishing einstuft. ZAP braucht dafür allerdings ein Bedrohungssignal. Fehlt dieses Signal, weil niemand die Kampagne gemeldet hat und keine Detonation stattgefunden hat, greift auch ZAP nicht. Microsoft weist genau darauf in der Beschreibung der Safe-Attachments-Aktion Off ausdrücklich hin.

Defender for Office 365 setzt dort an, wo die zustellungsbezogene Bewertung endet. Zwei Bausteine tragen diese Aufgabe: Safe Links prüft URLs erneut beim Klick, Safe Attachments prüft Dateien durch Ausführung statt durch Signaturvergleich.

Safe Links schreibt URLs in eingehenden Nachrichten während des Mailflows um.

Klickt ein Nutzer, läuft der Aufruf zuerst gegen den Safe-Links-Dienst, der die Zieladresse gegen aktuelle Bedrohungsdaten prüft und URLs ohne belastbare Reputation asynchron im Hintergrund detoniert.

Der technische Nutzen entsteht durch die zeitliche Trennung. Der Angreifer registriert eine unauffällige Domain, verschickt die Kampagne und aktiviert die Phishing-Seite erst, nachdem die Mails zugestellt und von den Gateways als sauber bewertet wurden. Der Fachbegriff für die Schutzfunktion lautet Time-of-Click-Protection. Die Angriffstechnik dahinter heißt verzögerte Aktivierung: Das Ziel der URL ändert sich nach der Zustellung, die Nachricht selbst bleibt unverändert.

Ein Punkt entscheidet über das Verständnis der Wirkungskette: Safe Links prüft URLs bereits vor der Zustellung, unabhängig davon, ob sie umgeschrieben werden. Die Prüfung beim Klick ist die zweite Instanz, nicht die einzige. Setzt du die Option Do not rewrite URLs, do checks via SafeLinks API only, entfällt das Umschreiben, und der Klickschutz hängt am Client. Outlook für Windows, Outlook für Mac und Outlook im Web rufen den Safe-Links-Dienst per API auf. Ein Drittanbieter-Client ohne diese API-Unterstützung liefert keinen Klickschutz mehr, was Microsoft in der Dokumentation ausdrücklich als Phishing-Szenario beschreibt.

In Microsoft Teams und in den Office-Apps arbeitet Safe Links ohne Umschreiben. Dort greift ausschließlich die Prüfung beim Klick. Änderungen an der Teams-Einstellung brauchen bis zu 24 Stunden, bis sie wirksam werden.

Diese Grenzen solltest du kennen, bevor du Safe Links als flächendeckenden URL-Schutz verkaufst:

Safe Attachments setzt hinter der signaturbasierten Malware-Prüfung an. Anhänge werden in einer virtuellen Umgebung geöffnet und beobachtet, was Microsoft als Detonation bezeichnet. Passwortgeschützte Dateien werden dabei gegen eine Liste bekannter Passwörter und typischer Angreifermuster getestet.

Der Grund für diesen Aufwand liegt in der Ökonomie der Angreifer. Eine neu gepackte Payload, ein frisch kompilierter Loader oder ein Makro mit leicht geändertem Aufbau erzeugt einen neuen Hash und trifft auf keine passende Signatur. Das Verhalten beim Ausführen bleibt dagegen ähnlich, und genau darauf zielt die Sandbox.

Die Aktion je Richtlinie bestimmt, was mit erkannten Anhängen passiert:

Ein Punkt gehört an dieser Stelle präzisiert: Nur bei Block erreicht die Nachricht den Posteingang gar nicht erst. Bei Dynamic Delivery landet der Text sofort im Postfach, während der Anhang noch geprüft wird. Die Prüfung schließt typischerweise innerhalb von 15 Minuten ab, durch Wiederholungen und Analysezeit gelegentlich später. Dynamic Delivery funktioniert ausschließlich für Postfächer in Exchange Online, nicht für Empfänger in einer lokalen Exchange-Organisation, und greift auch bei öffentlichen Ordnern, verschobenen Nachrichten und S/MIME-verschlüsselten Mails nicht.

Für die Quarantäne gilt eine Regel, die schärfer ist als der Standardwert der Quarantäne-Richtlinie: Nachrichten, die Safe Attachments als Malware oder Phishing eingestuft hat, können Nutzer nicht selbst freigeben, unabhängig davon, wie die Quarantäne-Richtlinie konfiguriert ist. Erlaubt die Richtlinie die Freigabe, dürfen Nutzer diese lediglich anfordern.

Neben den Richtlinien für E-Mail gibt es eine mandantenweite Einstellung für SharePoint, OneDrive und Teams. Diese ist standardmäßig aktiv und arbeitet ereignisgesteuert: Nicht jede Datei wird gescannt, sondern Microsoft nutzt Freigabe- und Gastaktivitäten sowie Heuristiken zur Auswahl. Erkannte Dateien werden im Speicherort gesperrt und lassen sich weder öffnen noch verschieben, kopieren oder teilen. Der Download bleibt möglich, solange du das nicht per SharePoint-Einstellung unterbindest.

Safe Links und Safe Attachments gehören zu Defender for Office 365 Plan 1. EOP allein liefert beides nicht. Microsoft 365 Business Premium enthält Plan 1 seit jeher.

Für Office 365 E3 und Microsoft 365 E3 wandert Plan 1 mit dem Packaging-Update in die Suite: Der Rollout begann im Juni 2026 und ist bis zum 1. August 2026 abgeschlossen, die zugehörige Preisanpassung greift zum 1. Juli 2026. Microsoft kündigt den Termin mindestens 30 Tage vorher im Message Center des Tenants an. Damit wird das früher übliche Plan-1-Add-on für E3-Umgebungen überflüssig. Plan 2 ergänzt Threat Explorer, Campaign Views, automatisierte Untersuchung und das Angriffssimulationstraining.

Eine Besonderheit für Tenants, die noch nie eine Richtlinie angelegt haben: Es existiert keine Standardrichtlinie für Safe Links oder Safe Attachments, aber die Preset-Richtlinie Built-in protection schützt alle Empfänger, sobald mindestens eine Defender-for-Office-365-Lizenz im Tenant vorhanden ist. Diese Richtlinie hat immer die niedrigste Priorität und lässt sich inhaltlich nicht anpassen.

Der schnellste Weg zu einer belastbaren Konfiguration führt über die voreingestellten Sicherheitsrichtlinien. Microsoft pflegt die Werte nach, du musst keine Einzeleinstellung nachziehen.

Öffne das Defender-Portal unter security.microsoft.com und navigiere zu E-Mail & Zusammenarbeit, Richtlinien & Regeln, Bedrohungsrichtlinien, Voreingestellte Sicherheitsrichtlinien.

Aktiviere Standardschutz für die Breite der Belegschaft und weise Empfänger über Domänen zu. Lege danach Strikter Schutz für Postfächer mit erhöhtem Risiko an, also Geschäftsführung, Buchhaltung, Personalabteilung und IT-Administration. Die Reihenfolge ist festgelegt: Strict greift vor Standard, benutzerdefinierte Richtlinien danach, Built-in protection zuletzt.

Eine eigene Richtlinie brauchst du, sobald du Ausnahmen für Postfächer ohne Lizenz oder eine eigene Liste nicht umzuschreibender URLs benötigst. Navigiere zu Bedrohungsrichtlinien, Safe Links, und starte den Assistenten über Erstellen.

Aktiviere im Bereich E-Mail das Umschreiben, ergänze die Prüfung interner Nachrichten und die Echtzeitprüfung verdächtiger Links. Behalte Auf Abschluss der URL-Prüfung warten aktiv, weil sonst Nachrichten zugestellt werden, deren Prüfung nicht abgeschlossen werden konnte. Schalte Teams und Office-Apps ein und deaktiviere Let users click through to the original URL, damit die Warnseite eine Sperre bleibt und kein Hinweis.

Per PowerShell besteht eine Richtlinie aus zwei Objekten. Die Policy trägt die Einstellungen, die Rule steuert Priorität und Empfängerfilter:

Zwei Parameter verdienen einen Hinweis. Die Klickprotokollierung heißt im Cmdlet TrackClicks und steht standardmäßig auf $true. In der How-To-Seite von Microsoft taucht im Syntaxblock noch die alte Schreibweise TrackUserClicks auf, die Cmdlet-Referenz führt diesen Namen nicht mehr. Halte dich an die Referenz. DisableUrlRewrite $false erzwingt das Umschreiben und ist das Gegenstück zur Portaloption Do not rewrite URLs.

Neue oder geänderte Safe-Links-Richtlinien brauchen bis zu sechs Stunden, bis sie wirken.

Lege die Richtlinie über Bedrohungsrichtlinien, Safe Attachments, Erstellen an und wähle als Reaktion auf unbekannte Schadsoftware entweder Block oder Dynamic Delivery.

Per PowerShell gilt dieselbe Zweiteilung aus Policy und Rule:

Eine neue Safe-Attachments-Richtlinie wirkt nach etwa 30 Minuten, also deutlich schneller als eine Safe-Links-Richtlinie.

Prüfe danach die mandantenweite Einstellung für die Kollaborationsdienste. Im Portal findest du diese über Safe Attachments, Globale Einstellungen, Abschnitt Dateien in SharePoint, OneDrive und Microsoft Teams schützen.

Der zweite Befehl schließt die Lücke, dass gesperrte Dateien zwar nicht mehr geöffnet, kopiert oder geteilt, aber weiterhin heruntergeladen werden können. Ergänze eine Warnungsrichtlinie mit der Aktivität Detected malware in file, damit Funde nicht nur im Report landen, sondern jemanden erreichen.

Zum Testen des Klickschutzes dokumentiert Microsoft die URL http://spamlink.contoso.com. Diese Adresse ist ungefährlich und soll dieselbe Reaktion auslösen wie eine als schädlich eingestufte Seite, vergleichbar mit dem GTUBE-String bei Spamfiltern. In der Praxis feuert die Testadresse nicht in jedem Tenant zuverlässig. Der belastbarere Nachweis ist der Blick in den Nachrichtenquelltext: Steht dort der Safelinks-Wrapper, greift die Richtlinie.

Im Portal liefert der Bericht zum Bedrohungsschutz die Trefferzahlen je Erkennungstechnologie. Mit Plan 2 ergänzt der Threat Explorer die Detailsicht bis auf Klickereignisse einzelner Nutzer.

Die Liste Do not rewrite the following URLs ist die häufigste selbstgebaute Lücke. Jeder Eintrag wird im Mailflow weder geprüft noch umgeschrieben. Eine Freigabe ist das trotzdem nicht: Zum Klickzeitpunkt kann Microsoft das Ziel weiterhin blockieren. Wer eine wirklich durchgängige Ausnahme braucht, arbeitet über die Tenant Allow/Block List, wobei auch deren Einträge vom Umschreiben nicht ausgenommen sind. Teams und die Office-Web-Apps werten die Liste ohnehin nicht aus, weshalb dort trotz Eintrag eine Sperre auftreten kann.

Monitor als Dauerzustand ist die zweite Falle. Der Modus liefert Sichtbarkeit für eine Einführungsphase, blockiert aber nichts. Wenn du ihn nutzt, aktiviere die Umleitung an ein Analysepostfach, sonst bleibt die Sichtbarkeit im Report stecken.

Die dritte betrifft Hybridumgebungen: Dynamic Delivery greift nur für Postfächer in Exchange Online. Empfänger auf einem lokalen Exchange-Server erhalten die Nachricht ohne Platzhalterlogik.

Safe Links und Safe Attachments schließen zwei konkrete Lücken der zustellungsbezogenen Filterung: die nachträglich scharf geschaltete URL und die Datei ohne bekannte Signatur. Beide Funktionen ersetzen weder EOP noch Awareness, sie verlängern die Prüfkette über den Zustellzeitpunkt hinaus.

Das Restrisiko bleibt greifbar. Safe Links bewertet ein Ziel zum Klickzeitpunkt anhand von Reputation und Detonation. Eine frisch aufgesetzte Adversary-in-the-Middle-Seite mit gültigem Zertifikat, die noch von keiner Telemetriequelle erfasst wurde, kann diese Prüfung passieren. Phishing über QR-Codes, über Anhänge mit eingebetteten Links in nicht unterstützten Formaten oder über Kanäle außerhalb von Microsoft 365 erreicht den Nutzer ohnehin ungeprüft. Aktivierst du Let users click through to the original URL, entwertest du die Sperre auf einen Hinweis, den ein Teil der Belegschaft wegklickt.

Wirtschaftlich betrachtet wird die Entscheidung mit dem Packaging-Update des Sommers 2026 einfacher. Wer E3 lizenziert, hat Plan 1 im Paket und zahlt für Safe Links und Safe Attachments nichts extra. Damit verschiebt sich die Frage von der Lizenz auf die Konfiguration, und dort liegt der eigentliche Aufwand: Preset-Richtlinien aktivieren, Ausnahmen dokumentieren, Quarantäne-Prozess definieren, Funde regelmäßig auswerten. Ein Tenant mit aktiviertem Standardschutz und ungenutzter Quarantäne ist kein geschützter Tenant, sondern ein Tenant mit ungelesenen Alarmen.

Plane deshalb den Betrieb mit ein: eine feste Zuständigkeit für die Quarantäne, eine Prüfung der Ausnahmeliste im Quartal und eine Kontrolle, ob ein vorgeschaltetes Gateway die Links bereits umschreibt und damit die zweite Instanz aushebelt.