Security & Compliance

Microsoft Defender for Office 365

Overview

Microsoft Defender for Office 365 (früher Office 365 Advanced Threat Protection) baut auf Exchange Online Protection (EOP) auf, dem Basisschutz jedes Exchange-Online-Postfachs. EOP filtert Spam und bekannte Malware, Defender for Office 365 ergänzt Schutz vor unbekannten Bedrohungen, gezieltem Phishing und Imitation.

Plan 1 enthält Safe Attachments (Sandbox-Prüfung von Anhängen, auch für Dateien in SharePoint, OneDrive und Teams), Safe Links (Prüfung von URLs zum Klickzeitpunkt in Mail, Office und Teams), Anti-Phishing mit Benutzer- und Domänen-Imitationsschutz und Mailbox Intelligence sowie Echtzeiterkennungen. Plan 2 ergänzt Threat Explorer, Threat Trackers, Kampagnenansichten, Automated Investigation and Response (AIR), Attack Simulation Training, Priority Account Protection und Advanced Hunting.

Aktuelle Änderung: Seit Juni 2026 rollt Microsoft Defender for Office 365 Plan 1 als Bestandteil von Microsoft 365 E3 und Office 365 E3 aus, bis dahin war Plan 1 im Enterprise-Umfeld ein Add-on. Abgrenzung: SPF, DKIM und DMARC (eigene Einträge) sind Absender-Authentifizierung im DNS, Defender for Office 365 bewertet Inhalte und Links.

How it works

Eine eingehende Mail durchläuft mehrere Prüfstufen:

  1. EOP prüft Verbindung, Absenderreputation, SPF, DKIM und DMARC sowie Spam und bekannte Malware.
  2. Anti-Phishing-Richtlinien vergleichen Absender mit geschützten Personen und Domänen und werten Mailbox Intelligence (übliche Kommunikationspartner) aus.
  3. Safe Attachments öffnet Anhänge in einer Sandbox und blockiert schädliche Dateien, bevor sie zugestellt werden.
  4. Safe Links schreibt URLs um und prüft sie bei jedem Klick erneut, auch Tage nach der Zustellung.
  5. Zero-hour Auto Purge (ZAP) entfernt nachträglich als schädlich erkannte Nachrichten. In Plan 2 startet AIR automatisch Untersuchungen, Warnungen laufen im Defender-Portal zusammen.

Benefits

  • Schützt vor Zero-Day-Anhängen, die signaturbasierte Filter noch nicht kennen, weil Dateien in der Sandbox ausgeführt werden.
  • Links werden zum Klickzeitpunkt bewertet, damit greift der Schutz auch, wenn eine Website erst nach der Zustellung bösartig wird.
  • Voreingestellte Sicherheitsrichtlinien (Standard und Strict) setzen Microsoft-Empfehlungen ohne manuelle Feinarbeit um.
  • Plan 2 verkürzt die Reaktionszeit, weil AIR betroffene Postfächer und Mails automatisch ermittelt und bereinigt.
  • Die Integration in Defender XDR verknüpft Mail-Angriffe mit Ereignissen auf Endgeräten und Identitäten.

Practical example

Eine Steuerberatungskanzlei mit 60 Mitarbeitenden und Business Premium erhält vermehrt CEO-Fraud-Mails, die sich als Kanzleiinhaber ausgeben. Die IT aktiviert die Preset Security Policy „Standard“ für alle und „Strict“ für Partner und Buchhaltung, trägt die Partner als geschützte Benutzer im Imitationsschutz ein und konfiguriert Quarantänebenachrichtigungen. Nach vier Wochen landen die Imitationsversuche zuverlässig in der Quarantäne, Fehlalarme werden über die Tenant Allow/Block List behandelt.

Things to keep in mind

  • Zuerst die voreingestellten Sicherheitsrichtlinien nutzen, eigene Richtlinien nur für begründete Ausnahmen anlegen.
  • Ausnahmen in der Tenant Allow/Block List sparsam und mit Ablaufdatum setzen, dauerhafte Ausnahmen werden zum Einfallstor.
  • Quarantänerichtlinien und Benachrichtigungen festlegen, damit Benutzer legitime Mails nicht übersehen.
  • Bei Plan 1 aus E3 prüfen, ob bisher gekaufte Add-on-Lizenzen zur Verlängerung noch nötig sind.
  • SPF, DKIM und DMARC trotzdem sauber einrichten, sie ergänzen sich mit dem Inhaltsfilter.

Licensing & availability

Exchange Online Protection ist in jedem Exchange-Online-Postfach enthalten. Plan 1 ist in Microsoft 365 Business Premium enthalten und rollt seit Juni 2026 in Microsoft 365 E3 und Office 365 E3 aus (laut Microsoft als organisationsweiter Dienstplan). Plan 2 ist in Microsoft 365 E5, Office 365 E5 und der Microsoft Defender Suite (früher Microsoft 365 E5 Security) enthalten. Beide Pläne sind auch als Add-on für Pläne mit Exchange-Online-Postfach erhältlich, Plan 2 lässt sich 90 Tage im Defender-Portal testen. Safe Documents erfordert Microsoft 365 A5 oder die Defender Suite. Stand: Oktober 2026.

Conclusion

Defender for Office 365 ist die wirksamste Ergänzung zum Basisschutz von Exchange Online, und mit E3 ist Plan 1 jetzt ohne Aufpreis dabei. Aktiviere die Preset Policies und prüfe, ob Dein Bedarf an Untersuchung und Phishing-Simulation Plan 2 rechtfertigt.

Further reading

Related articles