Direct Send in Microsoft 365: Missbrauch erkennen
Ein Drucker, eine interne Anwendung oder ein Überwachungssystem muss manchmal E-Mails an Mitarbeitende senden. In Microsoft 365 ist Direct Send eine Möglichkeit dafür: Ein Gerät oder Dienst schickt Nachrichten direkt an Empfänger im eigenen Mandanten. Für diese Versandart ist keine Anmeldung am Postfach erforderlich.
Das macht Direct Send praktisch – und interessant für Angreifer. Sie können versuchen, eine Nachricht an die Mail-Infrastruktur einer Organisation zu senden, die wie eine interne Mitteilung aussieht. Die Versandmethode allein beweist weder, dass eine E-Mail echt ist, noch, dass sie bösartig ist.
Woran lässt sich Missbrauch erkennen?
Verdächtig ist etwa eine unerwartete Aufforderung zur Anmeldung, eine dringende Zahlungsanweisung oder eine Datei, die angeblich von einem internen Team stammt. Auch ein angezeigter interner Absendername reicht als Echtheitsnachweis nicht aus.
Bei der Beurteilung sollten Sicherheitsteams mehrere Hinweise zusammen betrachten:
- Absender und Authentifizierung: Stimmen Absenderdomäne und technische Prüfergebnisse wie SPF, DKIM und DMARC zusammen?
- Inhalt und Kontext: Passt die Nachricht zu einem bekannten Prozess oder zu einer tatsächlich erwarteten Mitteilung?
- Links und Anhänge: Führen Links zu bekannten Zielen? Werden ungewöhnliche Dateitypen, QR-Codes oder Umwege über andere Geräte verwendet?
- Versandmuster: Werden viele Mitarbeitende gleichzeitig angeschrieben oder wiederholt ähnliche Nachrichten gesendet?
Ein fehlgeschlagener Authentifizierungscheck ist ein wichtiges Signal, aber auch kein Beweis für sich allein. Es kann legitime Konfigurationsprobleme geben. Umgekehrt ist eine technisch unauffällige Nachricht nicht automatisch harmlos.
Was können Unternehmen tun?
Erfassen Sie zuerst, welche Geräte und Anwendungen Direct Send tatsächlich benötigen. Definieren Sie für diese Absender klare Zuständigkeiten und überwachen Sie ihre Nutzung. Wo möglich, nutzen Sie einen geeigneten authentifizierten Versandweg statt eines ungeschützten Ausnahmeprozesses.
Stellen Sie sicher, dass Nachrichten unabhängig von ihrem Versandweg denselben Sicherheitsprüfungen und Meldeprozessen unterliegen. Mitarbeitende sollten auch scheinbar interne E-Mails einfach zur Analyse melden können, bevor sie auf Links klicken oder Anhänge öffnen.
Fazit
Direct Send ist ein legitimer Bestandteil vieler Microsoft-365-Umgebungen. Das Risiko entsteht, wenn eine scheinbar interne Nachricht allein wegen ihres Absenders Vertrauen erhält. Eine Übersicht über erlaubte Absender, technische Prüfungen und eine konsequente Analyse verdächtiger Meldungen helfen, Missbrauch zu erkennen.