Ein eigener Mailfilter vor Microsoft 365 – wann sich das lohnt
Microsoft 365 filtert bereits. Trotzdem gibt es gute Gründe für einen eigenen Filter davor – und einen sehr guten Grund, es zu lassen. Dieser Beitrag ordnet beides ein und beschreibt den Aufbau samt der Stolperfalle, über die fast jeder einmal fällt.
Das Wichtigste in Kürze
- Ein vorgeschalteter Filter weist unerwünschte Nachrichten schon im Gespräch mit dem sendenden Server ab – sie erreichen das Postfachsystem gar nicht erst.
- Der Gewinn liegt weniger in der Erkennungsrate als in eigenen Regeln, eigener Quarantäne und Unabhängigkeit von einem einzelnen Anbieter.
- Die häufigste Stolperfalle: Das nachgelagerte System prüft SPF und verwirft plötzlich legitime Post – das muss vorher eingerichtet werden.
Die Grundabsicherung eines Microsoft-365-Mandanten – Anmeldung, Rollen, Weiterleitungen, SPF, DKIM und DMARC – haben wir in Microsoft 365 sicher einrichten beschrieben. Dieser Beitrag geht eine Stufe weiter und behandelt die Frage, die regelmäßig danach kommt: Lohnt sich ein eigener Mailfilter vor dem Postfachsystem?
Die ehrliche Antwort lautet: für viele Betriebe nicht. Für manche schon – und dann deutlich. Woran sich das unterscheidet, klären wir zuerst.
Warum überhaupt ein eigener Filter
Microsoft 365 filtert von Haus aus, und das ordentlich. Ein vorgeschalteter Filter tritt deshalb nicht an, um „besser zu erkennen“, sondern um vier andere Dinge zu ermöglichen:
- Abweisen statt einsortieren. Ein eigener Filter kann eine Nachricht schon während des Gesprächs mit dem sendenden Server ablehnen. Der Absender bekommt eine Fehlermeldung, die Nachricht wird nie angenommen. Das ist rechtlich und praktisch etwas anderes, als sie stillschweigend in einen Ordner zu schieben.
- Eigene Regeln. Das Regelwerk arbeitet mit Bausteinen für Absender, Empfänger, Inhalt und Uhrzeit, die sich frei kombinieren lassen. Wenn ein bestimmter Anhangstyp aus einer bestimmten Richtung grundsätzlich nicht durchkommen soll, ist das eine Regel und keine Support-Anfrage.
- Eine Quarantäne im eigenen Haus. Aussortierte Nachrichten liegen auf einem System, das Sie kontrollieren. Wer nachsehen will, warum eine Nachricht hängen blieb, kann das selbst tun.
- Ein Puffer bei Störungen. Ist das Postfachsystem nicht erreichbar, nimmt der vorgelagerte Filter die Post an und stellt sie später zu. Sie geht nicht verloren und prallt nicht beim Absender ab.
Dazu kommt ein Punkt, der besonders in gemischten Umgebungen zählt: Ein eigener Filter arbeitet unabhängig davon, wo die Postfächer liegen. Wer heute noch einen Exchange im Haus betreibt und in zwei Jahren wechseln will – oder umgekehrt –, muss den Filter nicht anfassen.
Was der Proxmox Mail Gateway mitbringt
Wir setzen dafür den Proxmox Mail Gateway ein. Er ist quelloffen, läuft auf einer virtuellen Maschine und ist so aufgebaut, dass er zwischen der Firewall und dem Postfachsystem sitzt. Die wesentlichen Bausteine:
- Spam-Bewertung mit SpamAssassin. Eine Nachricht sammelt Punkte aus vielen Einzelmerkmalen; ab einer Schwelle wird sie einsortiert, ab einer höheren abgewiesen. Beide Schwellen legen Sie fest.
- Virenprüfung mit ClamAV. Für Anhänge und eingebettete Inhalte.
- Greylisting. Unbekannte Absender werden beim ersten Versuch mit einer vorübergehenden Fehlermeldung abgewiesen. Reguläre Mailserver versuchen es kurz darauf erneut, ein großer Teil der Massenversender nicht. Der Preis ist eine kleine Verzögerung bei der ersten Nachricht eines neuen Kontakts.
- Prüfung der Absenderfreigabe (SPF). Passt der sendende Server zu dem, was die Absenderdomäne im Netz veröffentlicht hat?
- Ein objektorientiertes Regelwerk. Der Teil, der einen eigenen Filter gegenüber einer Standardeinstellung interessant macht.
Für ausgehende Post kann das System zusätzlich Nachrichten mit einer digitalen Signatur versehen (DKIM) – wahlweise für alle Domänen oder für eine ausgewählte Liste. Zu beachten ist, dass dabei ein Schlüssel für die gesamte Installation verwendet wird; wer je Domäne einen eigenen Schlüssel braucht, muss das anders lösen.
Der Aufbau vor Microsoft 365
Damit die Post den Umweg nimmt, ändern sich drei Dinge – und zwar in dieser Reihenfolge:
| Schritt | Was passiert |
|---|---|
| 1. Filter aufsetzen und einlernen | Der Filter kennt Ihre Domänen und weiß, wohin er zustellen soll. Er läuft zunächst mit, ohne dass Post über ihn geleitet wird. |
| 2. Zustellung im Postfachsystem freigeben | Microsoft 365 muss Post von diesem einen Absender annehmen und ihr vertrauen – und die eigene Filterung entsprechend zurücknehmen, damit nicht zweimal bewertet wird. |
| 3. MX-Eintrag umstellen | Erst jetzt zeigt der Eintrag im Netz auf den Filter. Ab diesem Moment läuft die eingehende Post über ihn. |
| 4. Direkten Weg schließen | Das Postfachsystem sollte anschließend nur noch Post vom eigenen Filter annehmen. Sonst umgeht ein Absender den Filter, indem er direkt zustellt. |
Schritt vier wird am häufigsten vergessen. Ein Filter, an dem man vorbeigehen kann, ist eine Empfehlung, keine Schutzmaßnahme – und Massenversender kennen die direkten Adressen der großen Anbieter.
Die Stolperfalle: SPF hinter dem Filter
Jetzt der Punkt, über den fast jeder einmal fällt. SPF funktioniert so, dass eine Domäne veröffentlicht, welche Server für sie versenden dürfen. Der empfangende Server vergleicht das mit dem Server, von dem die Nachricht tatsächlich kam.
Sobald ein eigener Filter dazwischensteht, kommt die Nachricht beim Postfachsystem nicht mehr vom Server des Absenders, sondern von Ihrem Filter. Und Ihr Filter steht selbstverständlich nicht in der Freigabe fremder Domänen. Aus Sicht des Postfachsystems sieht damit jede Nachricht wie eine Fälschung aus. Je nach Einstellung landet plötzlich reguläre Geschäftspost im Spam-Ordner oder wird ganz abgewiesen.
Die SPF-Prüfung gehört an die Stelle, an der die Nachricht von außen ankommt – also auf den vorgeschalteten Filter. Das nachgelagerte Postfachsystem muss so eingerichtet werden, dass es Post vom eigenen Filter als vertrauenswürdig behandelt und nicht erneut prüft. Diese Einstellung gehört vor die Umstellung des MX-Eintrags, nicht danach.
Für Ihre eigenen ausgehenden Nachrichten gilt der Umkehrschluss: Läuft auch der Versand über den Filter, gehört dessen Adresse in die SPF-Freigabe Ihrer Domäne. Und wenn DMARC ausgewertet wird, sollte die Umstellung zunächst im beobachtenden Modus laufen, bis die Berichte zeigen, dass alles sauber durchläuft – den Weg dorthin beschreibt NIS2 und E-Mail-Sicherheit.
Aufwand und laufender Betrieb
Technisch ist der Aufbau überschaubar: eine kleine virtuelle Maschine, ein bis zwei Tage für Einrichtung und Test, dazu eine Übergangsphase von ein bis zwei Wochen, in der die Schwellen auf Ihre tatsächliche Post eingestellt werden. Diese Phase gehört fest eingeplant – ein Filter, der ab Werk richtig eingestellt wäre, existiert nicht. Wie dabei vorgegangen wird, steht in Spamfilter feinjustieren.
Danach entsteht laufender Aufwand: Aktualisierungen, ein Blick in die Quarantäne, gelegentlich eine Regelanpassung. Wer das nicht einplant, hat nach einem halben Jahr ein ungepflegtes System an der wichtigsten Schnittstelle seines Unternehmens stehen. Das ist schlechter als gar kein eigener Filter.
Wann sich das nicht lohnt
- Wenn die vorhandene Filterung ihre Arbeit tut. Wer keine konkreten Beschwerden hat, löst mit einem zusätzlichen System kein Problem, sondern schafft eines.
- Wenn niemand die Quarantäne ansieht. Eine Quarantäne, in die nie jemand schaut, ist ein Ort, an dem Geschäftspost verschwindet.
- Wenn der Filter zusätzlich zur vorhandenen Bewertung läuft. Zwei Filterstufen hintereinander erhöhen nicht die Sicherheit, sondern die Zahl der Fehlalarme. Eine Stufe entscheidet, die andere vertraut.
- Gegen gezielte Betrugsversuche. Eine gut gemachte Zahlungsaufforderung von einer echten, übernommenen Adresse hat keine technischen Merkmale, an denen ein Filter sie erkennen könnte. Dagegen hilft, dass Ihre Leute wissen, worauf sie achten müssen, und dass Zahlungsfreigaben ein Vieraugenprinzip haben.
Fazit
Ein eigener Mailfilter vor dem Postfachsystem ist kein Standardbaustein, sondern eine Antwort auf konkrete Anforderungen: eigene Regeln, eine Quarantäne im Haus, Unabhängigkeit vom Postfachanbieter oder eine gemischte Umgebung aus eigenem Server und Cloud. Wo diese Anforderungen bestehen, ist der Proxmox Mail Gateway ein solider und kostengünstiger Baustein. Wo sie nicht bestehen, ist die bessere Empfehlung, die vorhandene Filterung ordentlich einzustellen.
Wir richten beides ein und sagen vorher, was in Ihrem Fall sinnvoller ist – siehe Cloud & Microsoft 365 und Netzwerk & IT-Sicherheit.
