Angreifer missbrauchen Microsoft 365: So bleiben Sie geschützt

Zusammenfassung: Varonis hat eine aktive Phishing-Kampagne aufgedeckt, die interne Nutzer imitiert, indem sie die Direct-Send-Funktion von Microsoft 365 missbraucht. Da Direct Send keine Authentifizierung erfordert und als „intern“ eingestuft wird, umgehen diese Nachrichten häufig die Prüfungen, auf die Sie sich bei externer Post verlassen. Microsoft bietet nun eine optionale Einstellung, RejectDirectSend, um diesen Weg zu blockieren – wird sie jedoch ohne Vorbereitung aktiviert, kann dies Drucker, Scanner und Fachanwendungen stören, die weiterhin auf Direct Send angewiesen sind.

Die wichtigsten Erkenntnisse

• Direct Send ermöglicht es jedem Host innerhalb von Microsoft 365, E-Mails an Ihre Nutzer zuzustellen, ohne sich zu authentifizieren. Bedrohungsakteure nutzen dies, um Kollegen zu imitieren und externe Mail-Prüfungen zu umgehen.
• Die seit Mai 2025 aktive Kampagne hat bereits über 70 Organisationen in verschiedenen Branchen ins Visier genommen.
• Microsofts neuer RejectDirectSend-Schalter blockiert diesen Angriffsvektor, kann jedoch Geräte beeinträchtigen, die weiterhin auf Direct Send angewiesen sind. Testen Sie dies vor der Durchsetzung.

Direct Send existiert, damit Geräte und Anwendungen Personen innerhalb Ihres Microsoft-365-Mandanten per E-Mail erreichen können, ohne sich zu authentifizieren. Denken Sie an Multifunktionsdrucker, die per Scan an E-Mail senden, Überwachungstools, die Warnmeldungen versenden, oder Legacy-Anwendungen, die nie auf SMTP-Auth umgestellt wurden.

Angreifer haben erkannt, dass sie denselben unauthentifizierten Weg nutzen können, um Phishing-Nachrichten direkt in Posteingänge einzuschleusen und dabei echte Kollegen zu imitieren. Da der Datenverkehr innerhalb der Microsoft-Infrastruktur bleibt, kommen viele nach außen gerichtete Kontrollen wie Banner, Quarantänen und sogar einige Domain-based Message Authentication, Reporting, and Conformance (DMARC)-Prüfungen gar nicht erst zum Einsatz. Diese Technik wurde seit Mai 2025 gegen über 70 Organisationen eingesetzt, und es gibt keine Anzeichen für eine Verlangsamung.

Erstens: Internes Vertrauen ist wirkungsvoll. Ihre Nutzer sind darauf konditioniert, entspannter zu reagieren, wenn eine E-Mail scheinbar von „HR“ oder „IT“ stammt und einen internen Anzeigenamen sowie eine interne Adresse verwendet. Das erhöht die Wahrscheinlichkeit von Klicks und dem Abgreifen von Zugangsdaten erheblich.

Zweitens: DMARC schützt die Perimeter; es ist hervorragend darin, exakte Domain-Imitationsangriffe aus dem Internet zu stoppen, doch eine über Direct Send eingeschleuste Nachricht kann perfekt ausgerichtet erscheinen, da sie die Microsoft-Cloud nie verlässt. Drittens sind viele Erkennungssysteme darauf ausgelegt, externe Mails genau zu prüfen. Wenn sich Ihre SIEM-Regeln, SEG-Richtlinien oder Nutzerschulungen auf „von außen nach innen“ konzentrieren, kann intern wirkender Datenverkehr unbemerkt durchrutschen. Schließlich kann eine überstürzte Behebung schaden: Wenn Sie Direct Send einfach ohne Migrationsplan blockieren, können geschäftskritische Arbeitsabläufe stillschweigend ausfallen.

Das Blockieren von Direct Send ohne Vorbereitung kann sehr reale Nebenwirkungen haben. Multifunktionsdrucker stellen möglicherweise keine gescannten PDFs mehr an gemeinsam genutzte Postfächer zu. Fachanwendungen könnten stillschweigend keine Rechnungen oder Support-Tickets mehr versenden. Sicherheits- und Überwachungstools könnten ihren E-Mail-Benachrichtigungskanal verlieren, was blinde Flecken bei Warnmeldungen schafft. Denken Sie auch nach der Migration daran, dass SMTP-Auth und Relay-Connectors eigene Raten- und Größenbeschränkungen haben; planen Sie die Kapazität entsprechend und achten Sie in den Protokollen auf Drosselungen oder Fehler.

Beginnen Sie damit, herauszufinden, wer und was in Ihrer Umgebung noch Direct Send verwendet. Führen Sie Nachrichten-Traces oder Protokollsuchen für Datenverkehr durch, der Ihren Mandanten ohne Authentifizierungsergebnisse erreicht, und gleichen Sie dies mit einer einfachen Bestandsaufnahme ab: Drucker, Scanner, Überwachungstools, ERP- oder Ticketsysteme, benutzerdefinierte Skripte. Rechnen Sie mit Überraschungen – alte Arbeitsabläufe neigen dazu, hartnäckig fortzubestehen.

Sobald Sie diese Liste haben, migrieren Sie die legitimen Absender. Die sauberste Option besteht darin, Geräte und Anwendungen auf die SMTP-Auth-Client-Übermittlung über Port 587 mit einem dedizierten Dienstkonto umzustellen. Wo möglich, gehen Sie noch einen Schritt weiter und richten Sie einen zertifikatsgebundenen Connector ein, der nur Mails von bekannten IPs oder TLS-Identitäten akzeptiert. Beide Optionen bieten Ihnen Authentifizierung, Protokollierung und Ratenbegrenzungskontrolle, die Direct Send nie bereitgestellt hat.

Nachdem Sie nachgewiesen haben, dass diese Wege funktionieren, blockieren Sie den Missbrauchspfad. Microsofts neuer mandantenweiter Schalter tut genau das:

Führen Sie dies in einer Pilotgruppe oder während eines Wartungsfensters ein, überwachen Sie auf NDRs oder plötzliche Rückgänge bei erwarteten Mails, und halten Sie einen Rollback bereit. Behandeln Sie dies wie jede andere Änderung, die Geschäftsprozesse beeinträchtigen kann.

Härtung sollte nicht bei der Transportebene enden. Stellen Sie sicher, dass Ihre primären Domains DMARC-Durchsetzung (p=reject) erreicht haben und dass Sie aktiv auf Anomalien überwachen. Wir empfehlen, die Header potenziell verdächtiger E-Mails zu prüfen. Wenn Sie Unterstützung bei der Erreichung der DMARC-Durchsetzung benötigen, nimmt Ihnen Red Sift OnDMARC den Aufwand bei der Implementierung ab und verschafft Ihnen bereits in 6–8 Wochen Sicherheit. Fügen Sie außerdem Erkennungen für die spezifischen Köder hinzu, die in dieser Kampagne beobachtet wurden (zum Beispiel „neue Sprachnachricht“-Themen oder QR-Code-Anhänge), und erinnern Sie Ihre Nutzer daran, dass „intern“ nicht mehr automatisch „sicher“ bedeutet.

Nicht sicher, wo Sie anfangen sollen? Überprüfen Sie Ihren DMARC-Status und Ihre Domain-Sicherheit kostenlos mit Red Sift Investigate.