Sicherheitsrisiko bei Direct Send in Microsoft Exchange Online

Direct Send wird von Hackern missbraucht – aber viele Unternehmen brauchen es weiterhin.

Diese Aussage bringt ein aktuelles Problem im Bereich Microsoft 365 Exchange Online auf den Punkt: Ein praktisches Feature mit einem gefährlichen Nebeneffekt.

Was Sie beachten sollten, wenn Sie Direct Send im Einsatz haben, erklären wir Ihnen in diesem Blogpost.

Was ist Direct Send?

Direct Send erlaubt es Geräten und Anwendungen, E-Mails über Exchange Online an interne Empfänger zu versenden – ohne Authentifizierung. Typische Einsatzszenarien sind:

• Multifunktionsdrucker, die Scans per Mail verschicken
• interne Anwendungen, die automatisierte E-Mails generieren
• Alerts aus Monitoring-Systemen

Der Vorteil: Man braucht keine Benutzeranmeldung oder Authentifizierungsmechanismen wie SMTP AUTH oder OAuth.

Das Problem: offen für Missbrauch

Gerade weil Direct Send ohne Authentifizierung funktioniert und überdies keine Einschränkung auf spezifische Absendersysteme möglich ist, stellt es ein beliebtes Ziel für Angreifer dar. Sobald bekannt ist, dass ein Unternehmen Exchange Online verwendet, können Angreifer über diesen Weg ohne weiteres Zutun Phishing-Kampagnen oder Spam versenden – im Namen der eigenen Domain.

Lösung 1: Deaktivierung der Funktionalität

Idealerweise wird die Funktion vollständig abgeschaltet.

Anleitung von Microsoft:

👉 Mehr Kontrolle über Direct Send

Dies mag jedoch nicht in jedem Fall möglich sein, bspw. wenn die nutzenden Systeme die moderne Authentifizierung über OAuth nicht unterstützen. Dann kommt Lösung 2 in Betracht.

Lösung 2: Einschränkung auf erlaubte IP-Adressen

Microsoft hat auf die Gefahr reagiert und bietet nun eine Möglichkeit, Direct Send gezielt per Transportregel auf bestimmte IP-Adressen einzuschränken.

Anleitung von Microsoft:

👉 Mehr Kontrolle über Direct Send

Beispielhafte Umsetzung:

• Anlage einer Transportregel, die eingehende Direct Send-Nachrichten blockiert
• Ausnahme für definierte IP-Adressen des eigenen Netzwerks oder von Partnern

Damit wird verhindert, dass fremde Systeme E-Mails über die Direct Send-Funktion verschicken.

Wie finde ich heraus, wer Direct Send in meinem Mandanten verwendet?

Neben der Einschränkung kann auch eine Analyse vergangener Direct Send-E-Mails helfen. Microsoft beschreibt in seinem Blogbeitrag, wie man sich per PowerShell (oder bei Verfügbarkeit von Defender for Office 365 Plan 2 auch über die GUI) einen Bericht aller Direct Send-Nachrichten erstellen kann.

Nutzen:

• Erkennen, welche Systeme Direct Send verwenden
• Erkennen, wann ein potenzieller Missbrauch begonnen und aufgehört hat
• Identifizieren betroffener Benutzerkonten oder Zieladressen
• Frühzeitiges Warnen der Empfänger

Diese Transparenz hilft nicht nur im Akutfall, sondern auch zur Risikobewertung und Vorbereitung auf zukünftige Vorfälle.

Fazit & Handlungsempfehlung

Direct Send kann ein nützliches Werkzeug sein – doch wer es nutzt, muss es auch kontrollieren. Unsere Empfehlungen:

1. Sofort prüfen, ob Direct Send im eigenen Mandanten aktiv ist
2. IP-Adressfilterung mit Transportregeln implementieren
3. Auswertungen fahren, um eventuellen Missbrauch aufzudecken
4. Regelmäßig prüfen, ob neue Sicherheitsfunktionen verfügbar sind

Sie benötigen Unterstützung? Wir helfen gerne!

Quellen:

Microsoft Tech Community Blog:

https://techcommunity.microsoft.com/blog/exchange/introducing-more-control-over-direct-send-in-exchange-online/4408790/