So schützen Sie freigegebene Postfächer mit Sicherheitsgruppen in Microsoft 365

Freigegebene Postfächer in Microsoft 365 erlauben Teams eine effiziente Zusammenarbeit, etwa wenn das Support-Team Kundenanfragen bearbeitet. Ohne strenge Zugriffskontrollen wie Sicherheitsgruppen für freigegebene Postfächer und ohne Überwachung drohen jedoch Datenabfluss oder Missbrauch.

Dieser Leitfaden hilft Ihnen, kritische Postfachressourcen abzusichern: mit Überwachungsprotokollierung und DLP-Richtlinien, die Aktivitäten nachverfolgen und die Exfiltration von Daten verhindern.

Wenn Sie lieber zusehen statt lesen: Sehen Sie sich unser Video So schützen Sie freigegebene Postfächer mit Sicherheitsgruppen in Microsoft 365 an.

Sicherheitsgruppen zu freigegebenen Postfächern in Office 365 hinzufügen

Sicherheitsgruppen für freigegebene Postfächer vereinfachen die Zugriffsverwaltung und erhöhen die Nachvollziehbarkeit.

Anwendungsfall: Mit Sicherheitsgruppen entfallen manuelle Berechtigungsänderungen für jede einzelne Person. Die Prüfung von Zugriffen wird einfacher, weil Berechtigungen gruppenbasiert vergeben werden, und Postfächer mit sensiblen Daten lassen sich einheitlich kontrollieren.

Voraussetzungen: Stellen Sie vorab sicher, dass Sie Folgendes haben:

• Lizenzierung mit Microsoft 365 E3/E5 für erweiterte Funktionen wie Überwachungsprotokollierung (freigegebenes Postfach in Office 365) und DLP
• Administratorrollen wie globale:r Administrator:in, Compliance-Administrator:in oder Exchange-Administrator:in
• Tools wie die PowerShell-Module ExchangeOnlineManagement und Microsoft.Graph sowie eine Software zur Geräteverwaltung für Hybrid Join oder die Intune-Registrierung.

Wir empfehlen, vorher den Abschnitt Worauf Sie achten sollten zu lesen.

Strategien für die Bereitstellung:

Methode 1: Überwachungsprotokollierung für freigegebene Postfächer aktivieren (per PowerShell)

Die Überwachungsprotokollierung erfasst Benutzeraktionen in freigegebenen Postfächern und schafft damit die nötige Transparenz über alle Aktivitäten.

Anwendungsfall: Ideal, wenn Ihre Lizenz keine standardmäßige Überwachung bietet, Sie gezielt steuern möchten, welche Aktionen protokolliert werden, und die Compliance im Unternehmen detaillierte Überwachungsprotokolle für freigegebene Postfächer verlangt.

Schritt-für-Schritt-Anleitung:

1. Öffnen Sie PowerShell als Administrator:in oder Windows Terminal (Win + X drücken).
2. Führen Sie die folgenden Skripte aus:
   • Dieses Skript stellt die Verbindung zu Exchange Online her:

Connect-ExchangeOnline -UserPrincipalName [email protected]

Hinweis: Hier kommt moderne Authentifizierung zum Einsatz, und das Skript funktioniert unter Windows 10/11.

• • Postfachüberwachung aktivieren:

Set-Mailbox "[email protected]" -AuditEnabled $true

• • Wichtige Aktionen konfigurieren:

Set-Mailbox "[email protected]" -AuditDelegate SendOnBehalf, SendAs, Create, SoftDelete, HardDelete, Update, MoveToDeletedItems

Tipp: Konzentrieren Sie sich auf risikoreiche Aktionen wie Löschvorgänge oder das Versenden von E-Mails.

• • Aktuelle Aktivitäten anzeigen:

Search-MailboxAuditLog -Identity "[email protected]" -ShowDetails -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date)

Tipp: In modernen Umgebungen verwenden Sie stattdessen Search-UnifiedAuditLog.

Nach der Aktivierung zeichnet Office 365 die festgelegten Aktionen auf, zum Beispiel E-Mails, die in Gelöschte Elemente verschoben wurden.

Methode 2: Einheitliche Überwachungsprotokollierung über Microsoft Purview aktivieren

Die einheitliche Überwachungsprotokollierung schafft mandantenweite Transparenz über Aktivitäten in freigegebenen Postfächern in Office 365 und erleichtert damit Compliance und Bedrohungserkennung.

Anwendungsfall: Ideal, wenn Sie eine zentrale Überwachung aller Postfächer benötigen, die Überwachung standardmäßig deaktiviert ist oder Sie Vorfälle wie verdächtige SendAs-Aktionen oder Löschvorgänge untersuchen, die einen breiteren Kontext erfordern.

Schritt-für-Schritt-Anleitung:

1. Microsoft Purview aufrufen:
   • Navigieren Sie zu purview.microsoft.com → Lösungen → Das funktioniert in jedem Browser unter Windows 11, etwa Edge oder Chrome.
2. Aktivieren Sie die Protokollierung (falls deaktiviert).
   • Klicken Sie auf Aufzeichnung von Benutzer- und Administratoraktivitäten starten, falls Sie dazu aufgefordert werden.

Hinweis: Die Aktivierung kann rund 60 Minuten dauern.

3. Durchsuchen Sie die Aktivitäten:
   • Wählen Sie unter Vorgänge die Einträge SendAs, SendOnBehalf, SoftDelete oder HardDelete aus.
   • Geben Sie unter Benutzer die Benutzernamen der Stellvertretungen ein, nicht das freigegebene Postfach.
   • Filtern Sie unter Datumsbereich nach konkreten Vorfällen.
4. Exportieren Sie die Protokolle:
   • Klicken Sie auf Ergebnisse exportieren, um Compliance-Berichte zu erstellen oder tiefer zu analysieren.

Nach der Aktivierung können Sie die Aktivitäten freigegebener Postfächer in Office 365 direkt in Purview prüfen. Nutzen Sie die Protokolle, um Aktivitäten bei Sicherheitsvorfällen oder Compliance-Prüfungen nachzuvollziehen.

Methode 3: DLP-Richtlinien auf freigegebene Postfächer anwenden

DLP verhindert, dass sensible Daten Ihr freigegebenes Postfach in Office 365 verlassen, etwa Kreditkartennummern von Kund:innen oder Personaldaten.

Anwendungsfall: Setzen Sie DLP ein, wenn freigegebene Postfächer regulierte Daten verarbeiten, Sie versehentliche Datenabflüsse automatisiert blockieren möchten und die Compliance einen Nachweis über Schutzmaßnahmen verlangt.

Wichtig: Für DLP benötigen freigegebene Postfächer eine Lizenz für Exchange Online Plan 2 (über E3/E5). Bei Basis-Postfächern werden Richtlinien nicht durchgesetzt.

Schritt-für-Schritt-Anleitung:

1. Richtlinie erstellen:
   • Navigieren Sie zu Purview-Portal → Verhinderung von Datenverlust → Richtlinien → Richtlinie erstellen.
2. Template auswählen:
   • Wählen Sie Finanzdaten oder PII, oder erstellen Sie eine eigene Richtlinie.
3. Speicherorte festlegen:
   • Aktivieren Sie Exchange-E-Mail.
   • Fügen Sie unter Erweiterte Einstellungen die gewünschten freigegebenen Postfächer hinzu.
     • Tipp: Wenden Sie die Richtlinie nicht auf alle Postfächer an, sondern konzentrieren Sie sich auf freigegebene Postfächer mit hohem Risiko.
4. Regeln definieren:
   • Bedingungen: Fügen Sie vertrauliche Informationstypen hinzu, zum Beispiel Kreditkartennummern.
   • Aktionen: Blockieren Sie Nachrichten, benachrichtigen Sie Administrator:innen oder erlauben Sie Ausnahmen durch Benutzer:innen.
   • Benutzerbenachrichtigungen: Aktivieren Sie Richtlinientipps, um Absender:innen zu sensibilisieren.
5. Bereitstellen und überwachen:
   • Aktivieren Sie die Richtlinie und verfolgen Sie Treffer unter DLP → Richtlinienübereinstimmungen.

Nach der Bereitstellung erhalten Benutzer:innen Richtlinientipps, wenn sie versuchen, eingeschränkte Daten zu versenden. Blockierte E-Mails lösen außerdem Alarmierungen im Bericht zu Richtlinienübereinstimmungen in Purview aus.

Methode 4: Postfachberechtigungen und Zugriffsbeschränkungen konfigurieren

Wer streng kontrolliert, wer auf das freigegebene Postfach in Office 365 zugreifen und darüber senden darf, beugt Insider-Bedrohungen und versehentlichen Datenabflüssen vor.

Anwendungsfall: Nutzen Sie dieses Vorgehen, wenn Beschäftigte die Rolle wechseln und ihre Zugriffsrechte veraltet sind. Ebenso sinnvoll ist es, wenn Prüfungen zu weitreichende Berechtigungen aufdecken oder Sicherheitsvorfälle auftreten.

Schritt-für-Schritt-Anleitung:

1. Öffnen Sie PowerShell als Administrator:in oder Windows Terminal (Win + X).
2. Führen Sie diese Skripte aus, um:
   • zu weitreichende Berechtigungen zu entfernen:
     • Skript zum Entziehen des Vollzugriffs:

Remove-MailboxPermission -Identity "[email protected]" -User "[email protected]" -AccessRights FullAccess

• • • Skript zum Entziehen der Send-As-Rechte:

Remove-RecipientPermission -Identity "[email protected]" -Trustee "[email protected]" -AccessRights SendAs

• • aktuelle Zugriffsrechte zu prüfen:
    • Skript zur Prüfung der Stellvertretungen mit Vollzugriff:

Get-MailboxPermission -Identity "[email protected]" | Where-Object {$_.AccessRights -eq "FullAccess"}

• • • Skript zur Prüfung der Send-As-Berechtigungen:

Get-RecipientPermission -Identity "[email protected]"

Nach dem Ausführen dieser Skripte verlieren nicht autorisierte Benutzer:innen sofort den Zugriff. Führen Sie die Prüfung regelmäßig durch, damit die Berechtigungen pro Person korrekt bleiben.

Ergänzende Methode 1: Lokale Zugriffsrichtlinien mit Registry und GPO durchsetzen

Cloud-Werkzeuge sichern freigegebene Postfächer in Office 365 ab, doch erst Kontrollen auf dem Endpunkt verhindern Datenabflüsse über Outlook auf Windows-11-Geräten.

Anwendungsfall: Nutzen Sie dieses Vorgehen, wenn Benutzer:innen über nicht verwaltete Geräte auf freigegebene Postfächer zugreifen. PST-Exporte oder die automatische Archivierung zu unterbinden, ist für die Compliance entscheidend und schützt vor lokaler Datenexfiltration.

Wichtig: Diese Methode ersetzt weder die Überwachung in der Cloud noch DLP. Sie verhindert jedoch die unbefugte Nutzung lokaler Mail-Profile und sorgt für wichtiges Endpunkt-Hardening.

Schritt-für-Schritt-Anleitungen:

(a) PST-Vorgänge deaktivieren (Registry)

1. Öffnen Sie den Registrierungs-Editor (Win + R, dann regedit eingeben).
2. Navigieren Sie zu diesem Pfad: HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\16.0\Outlook\Preferences
3. Erstellen Sie zwei DWORD-Werte:
   • Erstellen Sie DisablePST und setzen Sie den Wert auf 1.
     • Damit wird das Erstellen von PST-Dateien blockiert.
   • Erstellen Sie DisablePSTExport und setzen Sie den Wert auf 1.
     • Damit werden E-Mail-Exporte in PST-Dateien blockiert.

(b) Automatische Archivierung blockieren (Gruppenrichtlinie)

1. Öffnen Sie den Gruppenrichtlinienverwaltungs-Editor (gpedit.msc).
2. Navigieren Sie zu Benutzerkonfiguration → Administrative Vorlagen → Microsoft Outlook 2016+ → Outlook-Optionen → Sonstiges.
3. Aktivieren Sie Folgendes:
   • Benutzer am Hinzufügen neuer PST-Dateien hindern
   • AutoArchivierung deaktivieren

Nach der Bereitstellung können Benutzer:innen keine E-Mails mehr aus freigegebenen Postfächern in PST-Dateien exportieren. Auch die automatische Archivierung ist nicht mehr möglich, sodass die Daten prüfsicher in Office 365 verbleiben. Das verringert zugleich das Risiko von „Schattenkopien“ außerhalb des DLP-Bereichs von Microsoft Purview.

Ergänzende Methode 2: Lokale Aktivitäten mit Eingabeaufforderung und AuditPol protokollieren

Ergänzen Sie die Überwachung in der Cloud, indem Sie Zugriffe auf Outlook-Dateien und den Umgang mit PST-Dateien auf Windows-11-Endpunkten nachverfolgen.

Anwendungsfall: Setzen Sie dies ein, wenn Sie verdächtige lokale Datenexporte untersuchen, Compliance-Vorgaben eine Aktivitätsverfolgung auf Endpunkt-Ebene verlangen und Sie mehr Transparenz über Offline-Aktionen außerhalb der Cloud brauchen.

Schritt-für-Schritt-Anleitung:

1. Öffnen Sie die Eingabeaufforderung (als Administrator:in).
   • Führen Sie diese Befehle aus:

:: Enable handle/file system tracking
auditpol /set /subcategory:"Handle Manipulation" /success:enable /failure:enable
auditpol /set /subcategory:"File System" /success:enable /failure:enable

2. Überwachen Sie die Ereignisse in der Ereignisanzeige (Win + R drücken, dann eventvwr.msc eingeben).
3. Wechseln Sie zu Windows-Protokolle → Sicherheit.
4. Filtern Sie nach:
   • Ereignis-ID 4663 (Zugriffsversuche auf Dateien).
   • Ereignis-ID 4656 (Erstellung von Handles).

Nach der Implementierung werden alle Zugriffsversuche auf PST-/OST-Dateien in den Sicherheitsprotokollen erfasst. Bei Untersuchungen lassen sich die Zeitstempel zudem mit Ereignissen aus freigegebenen Postfächern in Office 365 abgleichen, und nicht autorisierte Datenexporte werden erkannt.

Worauf Sie achten sollten

Dieser Abschnitt zeigt mögliche Stolpersteine, die Sie beim Umsetzen dieses Leitfadens im Blick behalten sollten.

Fehlerbehebung bei Sicherheitsgruppen für freigegebene Postfächer

Mit diesen gezielten Lösungen beheben Sie häufige Probleme beim Absichern freigegebener Postfächer in Office 365 schnell.

Es werden keine Überwachungsprotokolle erzeugt

Wenn Ereignisse aus freigegebenen Postfächern in Office 365 nicht auftauchen:

1. Prüfen Sie, ob die Überwachung aktiviert ist:

Get-Mailbox "[email protected]" | Select AuditEnabled

Lautet das Ergebnis False, führen Sie Set-Mailbox -AuditEnabled $true aus.

2. Prüfen Sie die Lizenzierung:
   • E1-/E3-Benutzer:innen: Aktivieren Sie die mandantenweite Überwachung über Purview.
   • Business-Lizenzen: Die Postfachüberwachung muss manuell aktiviert werden, sie ist standardmäßig nicht eingeschaltet.

DLP-Richtlinie greift nicht

Wenn Richtlinien sensible Daten ignorieren, prüfen Sie den Geltungsbereich unter Purview → DLP-Richtlinie und stellen Sie sicher, dass die betreffenden freigegebenen Postfächer unter Erweiterte Einstellungen hinterlegt sind. Passen Sie außerdem die Konfidenzstufen an, indem Sie die Regel bearbeiten → „Übereinstimmungsgenauigkeit“ erhöhen, um falsch negative Treffer zu reduzieren.

Noch ein wichtiger Hinweis: Stellen Sie sicher, dass die passende Lizenzierung vorliegt (Exchange Online Plan 2).

Wichtige Aspekte beim Absichern Ihrer freigegebenen Postfächer

Stärken Sie die Sicherheit freigegebener Postfächer in Office 365 mit diesen unverzichtbaren Schutzebenen.

1. MFA (Multi-Factor Authentication) durchsetzen

Verlangen Sie MFA von allen Benutzer:innen, die auf freigegebene Postfächer zugreifen, ohne Ausnahme. Damit wehren Sie viele Angriffe mit gestohlenen Zugangsdaten ab.

• Gehen Sie zu Microsoft Entra ID → Sicherheit → MFA → Aktivierung pro Benutzer:in oder über eine Richtlinie für bedingten Zugriff.

Für einen reibungslosen Zugriff können Sie auch Windows Hello oder die Authenticator-App nutzen.

2. Ältere Authentifizierungsverfahren blockieren

Ältere Protokolle wie POP3, IMAP4 und Exchange ActiveSync unterstützen weder moderne Authentifizierung noch MFA.

1. Gehen Sie zu Microsoft Entra ID → Bedingter Zugriff → Richtlinien → Neue Richtlinie.
2. Wählen Sie unter Bedingungen → Client-Apps die Option Exchange ActiveSync-Clients und andere Clients.
3. Wählen Sie unter Zugriffssteuerung → Gewähren die Option Zugriff blockieren.
4. Stellen Sie die Richtlinie zunächst auf „Nur Bericht“, prüfen Sie die Anmeldeprotokolle und setzen Sie sie nach der Validierung auf „Ein“.

3. App-Kennwörter deaktivieren

App-Kennwörter können moderne MFA-Kontrollen umgehen und sollten schrittweise abgeschafft werden.

• Deaktivieren Sie in Microsoft Entra ID das Erstellen neuer App-Kennwörter.
• Ermitteln Sie Anwendungen, die noch App-Kennwörter nutzen, und stellen Sie sie auf moderne Authentifizierung um.
• Lassen Sie die Richtlinie zum Blockieren älterer Authentifizierungsverfahren aktiv, damit vorhandene App-Kennwörter nicht mehr verwendet werden können.

Hinweis: Verwenden Sie nicht den veralteten Befehl Set-MsolUser, da das Modul MSOnline eingestellt wurde.

4. Bedingten Zugriff einrichten

Schränken Sie den Zugriff nach IP-Adresse, Standort oder Gerätekonformität ein. Erlauben Sie zum Beispiel per Richtlinie nur den Zugriff von Windows-11-Geräten, die per Hybrid Join eingebunden oder Intune-konform sind, sowie aus den IP-Bereichen des Unternehmens. So blockieren Sie riskante Anmeldungen von unbekannten Standorten oder privaten Geräten.

5. Nachrichtenflussregeln für Alarmierungen und Verschlüsselung ergänzen

Markieren oder verschlüsseln Sie sensible E-Mails aus freigegebenen Adressen automatisiert über Exchange Admin Center → Nachrichtenfluss → Regeln. Setzen Sie als Bedingung Absender = [email protected] plus Schlüsselwörter wie „vertraulich“. Legen Sie als Aktion fest, Administrator:innen zu benachrichtigen oder die Nachricht mit der Office 365-Nachrichtenverschlüsselung zu verschlüsseln.

Sie können dies auch mit einer DLP-Richtlinie kombinieren, die Regeln auslöst, sobald sensible Daten erkannt werden.

Wie unterstützt NinjaOne beim Absichern freigegebener Postfächer?

Vereinfachen Sie den Schutz freigegebener Postfächer in Office 365 mit diesen zentralen Integrationen:

Freigegebene Postfächer mit Sicherheitsgruppen schützen

Wer Sicherheitsgruppen für freigegebene Postfächer konsequent absichert, verhindert teure Sicherheitsvorfälle, etwa den Abfluss von Kundendaten aus dem Postfach support@company. Dieser Leitfaden hat Ihnen Überwachungsprotokollierung (PowerShell/Purview), DLP-Richtlinien und Zugriffskontrollen nach dem Least-Privilege-Prinzip an die Hand gegeben, um nachzuvollziehen, wer was getan hat, und die Exfiltration sensibler Daten zu verhindern.

Mit diesen Schutzebenen, von der Cloud bis zum Endpunkt, werden aus riskanten freigegebenen Postfächern compliance-konforme und prüfbare Ressourcen.

Verwandte Themen

• So konfigurieren Sie Microsoft Purview DLP
• Was ist ein Compliance-Audit? Definition und Bedeutung
• So richten Sie MFA (Multi-Factor Authentication) in Office 365 ein
• Sichere Kommunikation: So versenden Sie verschlüsselte E-Mails in Outlook und Office ‍365