Ein hilfreicher Check beginnt mit einem definierten Umfang.
Erfassen Sie Tenant, Prüfdatum, verwendete E-Mail-Domänen, Postfächer und verantwortliche Teams. Berücksichtigen Sie gemeinsame Postfächer, Anwendungen mit E-Mail-Versand, externe Dienstleister und hybride Mailwege. So lassen sich Ausnahmen einer konkreten Aufgabe zuordnen.
Nutzen Sie die Ergebnisse als Maßnahmenliste mit Zuständigkeit und Abschlusskriterium. Ein Konfigurationscheck ist eine Momentaufnahme; er kann weder sämtliche Angriffe ausschließen noch allein die Erfüllung rechtlicher Anforderungen belegen.
Fünf Bereiche für Ihren Exchange Online Sicherheitscheck.
1. Externe Weiterleitungen und Mailfluss
Erfassen Sie Weiterleitungen am Postfach sowie aktivierte Posteingangs- und Transportregeln. Notieren Sie externe Ziele, geschäftlichen Zweck, Freigabe und verantwortliche Stelle. Prüfen Sie zusätzlich die zugeordneten ausgehenden Spamrichtlinien und Einstellungen für Remotedomänen.
Eine eingerichtete Weiterleitung beweist noch keinen erfolgreichen Versand: Weitere Regeln können ihn blockieren. Bewerten Sie deshalb Regelbestand und wirksame Einschränkungen gemeinsam. Microsoft beschreibt das Zusammenspiel unter Steuerung externer automatischer Weiterleitungen. Bei „Automatisch – vom System gesteuert“ sollte die Wirkung im jeweiligen Tenant geklärt werden.
2. Schutzrichtlinien und tatsächliche Empfängerabdeckung
Prüfen Sie Anti-Spam-, Anti-Malware- und Anti-Phishing-Richtlinien sowie, soweit vorhanden und lizenziert, Safe Links und Safe Attachments. Dokumentieren Sie Zielgruppen, Ausnahmen, Priorität und die vorgesehenen Aktionen.
Eine vorhandene Richtlinie allein belegt keine Abdeckung. Bei mehreren passenden Richtlinien desselben Typs entscheidet die Reihenfolge; deren Einstellungen werden nicht einfach kombiniert. Gleichen Sie ausgewählte Empfänger mit der Microsoft-Dokumentation zur Richtlinienpriorität ab. Beziehen Sie voreingestellte Sicherheitsrichtlinien in diese Prüfung ein.
3. SPF, DKIM und DMARC für die verwendeten Domänen
Stellen Sie pro Versanddomäne die legitimen Absender zusammen, einschließlich Newsletter- und Fachanwendungen. Prüfen Sie DNS-Einträge und Nachrichtenheader ausgewählter Testnachrichten gemeinsam: SPF beschreibt erlaubte Versandquellen, DKIM ergänzt eine digitale Signatur und DMARC berücksichtigt die Übereinstimmung mit der sichtbaren Absenderdomäne.
Dokumentieren Sie auch Drittanbieter und Subdomänen. Eine vorhandene DNS-Konfiguration ist noch kein Nachweis für jeden Mailweg. Die Microsoft-Übersicht zur E-Mail-Authentifizierung erläutert das Zusammenspiel. Planen Sie Änderungen erst nach Prüfung der legitimen Versandquellen und möglicher Zustellfolgen.
4. SMTP AUTH und Postfachausnahmen
Vergleichen Sie die Organisationseinstellung mit den Postfacheinstellungen. Bei SmtpClientAuthenticationDisabled steht True für deaktiviert, False für aktiviert und ein leerer Postfachwert für die Übernahme der Organisationseinstellung. Eine explizite Postfacheinstellung hat dabei Vorrang.
Erfassen Sie pro Ausnahme Anwendung, Eigentümer und benötigten Versandweg. SMTP AUTH allein sagt noch nicht aus, welches Authentifizierungsverfahren eine Anwendung nutzt. Details finden Sie in der Microsoft-Dokumentation zu SMTP AUTH und unserem Leitfaden zu SMTP-AUTH-Ausnahmen.
5. Audit-Konfiguration und auffindbare Ereignisse
Erfassen Sie die organisationsweite Audit-Konfiguration und relevante Ausnahmen. Microsoft dokumentiert für die Prüfung der standardmäßigen Postfachüberwachung den lesenden Befehl Get-OrganizationConfig | Format-List AuditDisabled. Ein Wert von False zeigt an, dass diese organisationsweite Überwachung eingeschaltet ist.
Ergänzen Sie eine vereinbarte Ereignisstichprobe: Ist die erwartete Aktion im vorgesehenen Zeitraum auffindbar? Halten Sie Rollen, Aufbewahrung und Lizenzbedingungen für Ihren Prüfauftrag fest. Die Microsoft-Dokumentation zur Postfachüberwachung erklärt unter anderem Audit-Ausnahmen. Ein Konfigurationswert ersetzt diesen ergänzenden Nachweis nicht.
Vom lesenden Zugriff zur abgestimmten Maßnahmenliste.
- Auftrag abgrenzen: Vereinbaren Sie betrachtete Domänen, Postfächer, Mailwege und Stichtag. Legen Sie fest, wer Nachweise freigibt und intern aufbewahrt.
- Zugriff vorbereiten: Stellen Sie die erforderlichen Leserechte und verfügbaren Funktionen fest. Exchange-Online-Daten benötigen eine passende Exchange-Verbindung; eine Microsoft-Graph-Anmeldung allein deckt sie nicht ab.
- Ist-Zustand erfassen: Lesen Sie die Konfigurationen und kennzeichnen Sie fehlende Daten. „Nicht geprüft“ darf nicht zu „unauffällig“ werden.
- Abweichungen einordnen: Klären Sie Geschäftsbedarf, Empfängerabdeckung und Ausnahmen mit dem zuständigen Team. Priorisieren Sie unbekannte externe Ziele und ungeklärte Schutzlücken.
- Kontrolliert abschließen: Lassen Sie Änderungen separat freigeben. Prüfen Sie danach Konfiguration und betroffene Mailwege erneut, bevor Sie eine Maßnahme schließen.
Beziehen Sie für die Konten hinter den Postfächern auch das Entra-ID-Security-Audit und die Conditional-Access-Checkliste ein.
Jeder Befund braucht eine Entscheidung und einen Abschlussnachweis.
Fiktives Beispiel: Ein gemeinsames Postfach leitet Nachrichten an eine externe Serviceadresse weiter. Im Audit bleibt zunächst offen, ob diese Weiterleitung noch benötigt wird und wirksam ist. Das zuständige Team klärt Zweck und Freigabe; erst danach folgen eine bestätigte Ausnahme oder eine kontrollierte Änderung samt Funktionstest.
Tenant / Prüfdatum / Datenquelle:
Postfach, Domäne oder Richtlinie / verantwortliche Stelle:
Ist-Zustand / erwarteter Zustand / betroffener Mailweg:
Nachweis / Datenlücke / vereinbarte Stichprobe:
Bewertung / Maßnahme / Freigabe / Termin:
Erneute Prüfung / Ergebnis / Abschlussnachweis:Die Audit-Report-Vorlage hilft bei der Trennung von Management-Entscheidungen und technischen Aufgaben. Speichern Sie Exporte mit Adressen und Konfigurationsdetails im vorgesehenen internen Prüfbereich.
Technische Befunde sammeln und offene Nachweise sichtbar halten.
M365 Audit erfasst bei aktivierter und zugänglicher Exchange-Erhebung ausgewählte Richtlinien, Weiterleitungskonfigurationen, SMTP-AUTH-Einstellungen und Audit-Konfigurationen. Die Kontrollen MAIL-01 bis MAIL-06 im Prüfkatalog geben den thematischen Rahmen vor.
Die DNS-Bewertung für SPF, DKIM und DMARC verlangt einen manuellen Nachweis. Bei Schutzrichtlinien bleiben Regelzuweisung, Ausnahmen und Empfängerabdeckung ergänzend zu beurteilen. Auch Mailfluss- und Ereignisstichproben gehören zum abgestimmten Prüfauftrag. Die Checkliste beschreibt damit einen größeren Umfang als die automatische Auswertung.
Sehen Sie sich vor dem Einsatz Bericht und Bewertungsmethodik an. Stimmen Sie benötigte Daten, Zugriff und Ergänzungsprüfungen mit Ihrem Team oder Dienstleister ab.
Was sollten Sie vor einem Exchange-Online-Audit klären?
Reicht ein guter Secure Score?
Er kann die Orientierung unterstützen. Für einen konkreten Befund brauchen Sie zusätzlich die betroffenen Objekte, Ausnahmen und Nachweise. Unser Leitfaden zum Microsoft Secure Score ordnet den Wert ein.
Was passiert bei fehlenden Rechten oder Lizenzen?
Halten Sie fest, welche Daten nicht verfügbar waren und welche Aussage dadurch offenbleibt. Klären Sie den benötigten Zugriff oder einen alternativen Nachweis, bevor Sie den Prüfpunkt abschließen.
Ändert diese Checkliste Einstellungen im Tenant?
Die beschriebenen Prüfschritte dienen der Bestandsaufnahme und Bewertung. Änderungen benötigen einen eigenen Auftrag, einen passenden Test und einen dokumentierten Abschluss.
Stand: 30. September 2026. Technische Referenzen: die oben verlinkte Microsoft-Learn-Dokumentation.