Wie richte ich Microsoft 365 für Phishing-Simulationen ein?

Damit Phishing-Simulationen zuverlässig ankommen, sind in Microsoft 365 zwei Einstellungen nötig. Die erste sorgt dafür, dass die E-Mails überhaupt zugestellt werden. Die zweite verhindert, dass Outlook sie mit dem Hinweis „Unverified“ oder einem Fragezeichen neben dem Absender kennzeichnet.

Beide Schritte gehören zusammen. Nur die Zustellung freizugeben ist der häufigste Fehler – der Warnhinweis bleibt dann bestehen, weil er aus einer ganz anderen Prüfung stammt.

ℹ️ Das brauchen Sie: die Rolle Sicherheitsadministrator:in, Exchange-Administrator:in oder globale:r Administrator:in in Microsoft 365.

Warum funktionieren die üblichen Freigaben nicht?

Microsoft schützt Postfächer mit einem Mechanismus namens Secure by default. Er ignoriert bei verdächtig wirkenden Nachrichten bewusst die klassischen Freigabelisten – also die IP-Freigabeliste, zugelassene Absender in den Anti-Spam-Richtlinien und die Liste sicherer Absender in Outlook.

Für Phishing-Simulationen hat Microsoft stattdessen einen eigenen Weg vorgesehen. Genau den nutzen die beiden folgenden Schritte.

Schritt 1 – Zustellung freigeben

Hiermit teilen Sie Microsoft mit, dass es sich um eine autorisierte Phishing-Simulation handelt.

Öffnen Sie das Microsoft-Defender-Portal unter security.microsoft.com/advanceddelivery. Alternativ über das Menü: Email & collaboration → Policies & rules → Threat policies → Advanced delivery.
Wechseln Sie auf den Reiter Phishing simulation.
Klicken Sie auf Add – oder auf Edit, falls dort schon Einträge stehen.
Tragen Sie unter Sending domain ein: tacklephishing.com
Tragen Sie unter Sending IP beide Adressen ein: 52.56.150.127 und 35.177.22.237
Bestätigen Sie mit Add und schließen Sie das Fenster mit Close.

ℹ️ Beide Angaben sind nötig. Microsoft erkennt eine Simulation nur, wenn Domain und IP-Adresse hinterlegt sind. Nur eines von beiden einzutragen genügt nicht.

Schritt 2 – Den Hinweis „Unverified“ verhindern

Phishing-Simulationen geben sich als jemand anderes aus – als Paketdienst, als Kollegin, als bekannte Marke. Microsoft erkennt das und markiert die Nachricht entsprechend. Mit diesem Schritt erlauben Sie genau diese Simulationen.

Öffnen Sie security.microsoft.com/tenantAllowBlockList. Alternativ über das Menü: Email & collaboration → Policies & rules → Threat policies → Tenant Allow/Block Lists.
Wechseln Sie auf den Reiter Spoofed senders und klicken Sie auf Add.
Tragen Sie im Feld Add domain pairs die folgenden drei Zeilen ein. Das Sternchen steht dabei für „jeder imitierte Absender“:
```
*, 52.56.150.0/24 *, 35.177.22.0/24 *, tacklephishing.com
```
Stellen Sie Action auf Allow.
Stellen Sie Spoof type auf External und klicken Sie auf Add.
Wiederholen Sie die Schritte 2 bis 5 ein zweites Mal – diesmal mit Spoof type auf Internal. Damit sind auch Szenarien abgedeckt, die Ihre eigene Domain imitieren.

⚠️ Zwei Stolperfallen: Action steht standardmäßig auf Block – bleibt das so, blockieren Sie Ihre Simulationen vollständig. Und im zweiten Feld akzeptiert Microsoft keine einzelne IP-Adresse, sondern nur eine Domain oder einen Adressbereich. Deshalb steht dort 52.56.150.0/24 statt 52.56.150.127.

Schritt 3 – Nur bei Bedarf: SPF-Eintrag ergänzen

Diesen Schritt brauchen Sie nur, wenn Simulationen Ihre eigene Domain als Absender verwenden. Ergänzen Sie dann im SPF-Eintrag Ihrer Domain:

include:_spf.tacklephishing.com

Eine Übersicht aller Werte finden Sie im Artikel

Schritt 4 – Einrichtung testen

Senden Sie eine kleine Testkampagne an ein oder zwei Postfächer.
Prüfen Sie, ob die Nachricht im Posteingang landet – nicht im Junk-Ordner – und ob neben dem Absender ein Hinweis erscheint.
Wenn Sie es technisch nachvollziehen möchten: Öffnen Sie die Nachricht und wählen Sie View → View message source. Im Abschnitt Authentication-Results sollte die Prüfung nun bestanden sein.

ℹ️ Läuft Ihre E-Mail über einen vorgeschalteten Dienst? Dann sieht Microsoft möglicherweise nicht, woher die Nachricht ursprünglich kommt. Aktivieren Sie in diesem Fall Enhanced Filtering for Connectors und tragen Sie die Freigabe zusätzlich in diesem Dienst ein.