Office 365 E-Mail-Überwachung
Sensible Dateien verlassen Ihren Mandanten jede Woche per E-Mail. Hier ist die Liste.
In einem typischen Mandanten trägt ein Monat ausgehender Post Dutzende Nachrichten an externe Adressen mit Kartennummern, Ausweisen oder Verträgen im Anhang - und Hunderte Stellvertreter- und Senden-als-Verwendungen, die niemand prüft. 1Security liest den Mailfluss über jedes Postfach und macht Filter daraus: Richtung, Sendemethode, Anhänge, sensible Inhalte, ganze Threads. Gespeichert werden Signale, keine Kopie irgendeines Posteingangs.
- 5Sendemethoden an jeder Nachricht erfasst: direkt, Senden als, Senden im Auftrag, freigegebenes Postfach, Stellvertreter
- 300+Detektoren auf Anhängen und Nachrichtentext, sodass "sensibler Inhalt geht raus" ein Filter ist
- 0gespeicherte Nachrichtentexte - nur Metadaten und Erkennungen, kein durchsuchbares Mailarchiv
Das Problem
E-Mail-Sicherheit beurteilt, was ankommt. Nichts beurteilt, was geht.
Mail-Sicherheit ist für eingehende Urteile gebaut. Die zwei Ereignisse, die Geld kosten, sind ausgehend.
Ein Mail-Gateway stellt jeder eingehenden Nachricht drei Fragen: Ist das Spam, ist das Phishing, trägt es Malware - und beantwortet sie gut. Die ausgehenden Fragen sind andere: was den Mandanten diesen Monat verlassen hat, wie es gesendet wurde, ob ein externer Absender, der durch den Filter kam, jetzt interne Antworten bekommt, und was wirklich im Anhang war. Dafür braucht es eine zweite Sicht, länger aufbewahrt als eine Ablaufverfolgung.
Die zwei teuren Szenarien verstecken sich beide in der Form des Austauschs. Eine einzelne ausgehende Nachricht mit Anhang ist unauffällig. Dieselbe Nachricht an eine externe Adresse, mit einer Tabelle von 2.000 Kundendatensätzen, die nirgends in SharePoint oder OneDrive existiert, gesendet über Stellvertreterzugriff auf das Postfach eines Direktors, ist ein anderes Objekt. 1Security setzt diese vier Fakten in eine Zeile.
Und das Postfach selbst ist ein blinder Fleck: Ein typischer mittelgroßer Mandant hat Hunderte freigegebene Postfächer und Tausende Stellvertreterrechte, die niemand prüft, plus Weiterleitungsregeln, die lange nach dem Ausscheiden ihres Erstellers bestehen bleiben.
Was Sie bekommen
Mailfluss als Filter, nicht als Export
Jedes Signal unten ist eine Spalte auf dem Bildschirm E-Mails und ein Filter, den Sie kombinieren - kein Bericht, den Sie anfordern und abwarten.
Richtung
Eingehend, ausgehend oder intern an jeder Nachricht. Die Abflussanalyse beginnt mit "ausgehend + externe Empfänger", die Phishing-Analyse mit "eingehend + beidseitiger Austausch".
Sendemethode
Direkt, Senden als, Senden im Auftrag, freigegebenes Postfach oder Stellvertreterzugriff - die vier delegierten Wege sind die Lieblingsverkleidungen von Business E-Mail Compromise, und hier sind sie Filter.
Anhänge auf drei Arten
Klassische Anhänge, Cloud-Anhänge, die eigentlich SharePoint- oder OneDrive-Links sind, und einmalige Uploads - per Mail gesendete Dateien, die nirgends in Ihrem Mandanten existieren, das stärkste einzelne Abflusssignal.
Sensibler Inhalt in der Zeile
Der 1Security-Scan lässt 300+ Detektoren und OCR über Text und Anhänge laufen, sodass "ausgehend + vertrauliche Informationen" ein Filter ist. Purview-Bezeichnungen und Schutzstatus stehen daneben.
Ganze Threads als Zeilen
Der Tab Unterhaltungen fasst jeden Thread in einer Zeile zusammen: Teilnehmer, Dateien über den Austausch, aufgelaufene Erkennungen und ob ein externer Absender interne Antworten erhält.
Thread-Beweise, die Löschen überstehen
Jede Nachricht wird als Ursprung, Antwort oder Weiterleitung klassifiziert und über Postfächer hinweg verknüpft. Eine Antwort, deren Elternnachricht in jedem gescannten Postfach fehlt, ist der Beleg, dass das Original entfernt wurde.
Wie tief es geht
Die Abfluss-Kurzliste in vier Filtern
Ausgehend + externe Empfänger + vertrauliche Informationen + einmalige Uploads. Diese Liste ist meist kurz und immer lesenswert.
Sie bedeutet sensiblen Inhalt, der die Organisation in Dateien verlässt, die nie in SharePoint oder OneDrive existierten - eine aus einem Fachsystem exportierte Tabelle, ein abfotografierter Vertrag, ein Datenbankabzug. In einem typischen Mandanten umfasst die Kurzliste eines Monats einige Dutzend Nachrichten. Eine fünfminütige Prüfung klärt jede - sobald die Liste existiert.
Das Gegenstück auf Unterhaltungsebene ist die Prüfung auf erfolgreiches Phishing: Tab Unterhaltungen, beidseitiger Austausch, eingehend, Phishing-Markierung. Nicht die Versuche, die das Gateway abgewiesen hat - die externen Absender, die Antworten bekamen. Eine Nachrichtenansicht kann das nicht fragen, weil das Signal erst existiert, wenn ein Thread beide Richtungen enthält.
Das dritte ist die Verwischungsspur: fehlende Elternnachricht plus Phishing- oder Malware-Markierung. Threads, in denen das belastende Original bereits weg ist, aber eine Antwort noch darauf verweist - was selbst ein Nachweis dafür ist, dass etwas entfernt wurde, und wo.
In der Praxis
Vier Durchgänge, die sich als Ansichten lohnen
Jeder ist ein Filtersatz auf dem Bildschirm E-Mails. Einmal speichern, und der zweite Lauf kostet nichts.
- 01
BEC-Durchgang
Sendemethode "Senden als" oder "Stellvertreterzugriff", ausgehend, externe Empfänger. Jede Verwendung einer delegierten Identität an eine externe Adresse, bereit zum Bestätigen oder Hinterfragen. Typisches Ergebnis: eine Handvoll pro Woche, meist erwartet, gelegentlich nicht.
- 02
Stille Weiterleitung
Typ "Weiterleitung", externe Empfänger, vertrauliche Informationen. Internes Material, das eine Weiterleitung nach der anderen nach außen geht - der klassische Fund ist der Ausscheidende, der seinen Abgang vorbereitet.
- 03
Lebende sensible Threads
Tab Unterhaltungen, mit vertraulichen Informationen, sortiert nach letzter Aktivität. Die Austausche, die heute noch regulierte Inhalte ansammeln, nicht die, die letztes Quartal endeten.
- 04
Auf der Auswahl handeln
Nachrichten oder ein Postfach auswählen und eine Automatisierung staffeln - Quarantäne, Markierung, Entfernen einer Weiterleitungsregel - hinter dem 72-Stunden-Prüffenster. Postfachaktionen stellen unter Quarantäne oder markieren; nichts wird endgültig gelöscht.
Der Unterschied
Was die ausgehende Sicht hinzufügt
Das läuft neben Ihrem Mail-Gateway, nicht an seiner Stelle. Die Fragen sind andere.
- Ausgehender sensibler Inhalt als Filter, live - nicht im Nachhinein rekonstruiert
- Wie eine Nachricht tatsächlich gesendet wurde - Senden als, im Auftrag, Stellvertreter - nicht nur, von wem sie angeblich stammt
- Per Mail gesendete Dateien, die nirgends in Ihrem SharePoint oder OneDrive existieren
- Ganze Threads als einzelne Zeilen, mit Teilnehmern und Dateien über den Austausch summiert
- Externe Absender, die interne Antworten erhalten haben
- Antworten, deren Elternnachricht in jedem gescannten Postfach fehlt
- Die riskanteste Sendemethode irgendwo im Thread, am Thread markiert
- Historie bis zu drei Jahre - von einer 90-Tage-Ablaufverfolgung zu drei Jahren Mailsignalen
Ansatz
Signale, keine Überwachung von Personen
Die Plattform speichert Kommunikationsmetadaten und Sicherheitserkennungen - Richtungen, Teilnehmer, Markierungen, Sendemethode, Treffer vertraulicher Informationen. Nachrichtentexte und Anhänge werden in einem flüchtigen Prozess analysiert und verworfen. Es gibt kein durchsuchbares Archiv von Nachrichtentexten, und es soll keines werden.
- 0gespeicherte Nachrichtentexte - nur Metadaten und Erkennungen
- 3Anhangsarten unterschieden: klassisch, Cloud-Link, einmaliger Upload
- 3 JahreMailsignale auf Standardlizenzen - von 90 Tagen auf drei Jahre
Verwandt
Wo das hingehört
E-Mail ist ein Ausgang. Freigabelinks sind ein anderer, und die Erkennung vertraulicher Daten macht beide beobachtenswert. Untersuchungen kreuzen meist alle drei.
Erkennung vertraulicher Daten
Die 300+ Detektoren hinter "vertrauliche Informationen" an einer Nachricht, und wo sonst im Mandanten diese Daten liegen.
Vertrauliche Daten ansehen →Dateiberechtigungen
Der andere Ausgang: die Tausende Jeder-Links und Vergaben auf den Dateien selbst.
Dateien ansehen →Einheitliches Überwachungsprotokoll
Bis zu drei Jahre Aktivität, in die eine E-Mail-Untersuchung meist weitergeht.
Überwachungsprotokolle ansehen →
FAQ
Fragen, die zuerst kommen
Liest das die E-Mails der Mitarbeiter?
Es analysiert Nachrichten, um Signale zu erfassen - Richtung, Sendemethode, Teilnehmer, Anhänge, Erkennungen vertraulicher Informationen - und verwirft den Inhalt. Es gibt bewusst kein durchsuchbares Archiv irgendeiner Post: Das ist eine Sicherheits-Signalschicht, kein Posteingangsbetrachter.
Woher weiß es, dass eine Nachricht gelöscht wurde?
An der Lücke, die sie hinterlässt. Eine Antwort trägt Kopfzeilenverweise auf ihre Elternnachricht. Fehlt diese in jedem gescannten Postfach, ist die Antwort der Beleg, dass das Original entfernt wurde oder nie durch Ihren Mandanten lief. Die Spur überlebt die Löschung.
Was ist ein einmaliger Upload?
Eine Datei, die per E-Mail kam oder ging und nirgends in Ihrem SharePoint oder OneDrive existiert. Bei ausgehender Post ist das das stärkste einzelne Abflusssignal, weil normale Zusammenarbeit eine Kopie hinterlässt.
Braucht es eine Premium-Lizenz oder Defender for Office 365?
Nein. Die E-Mail-Überwachung läuft auf Standard-Lizenzen für Microsoft 365 über ein separat zugestimmtes E-Mail-Modul der schreibgeschützten App. Defender beurteilt weiter Nachrichten am Perimeter; das hier beantwortet, was ging, wie es gesendet wurde und was aus einem Austausch wurde.
Kann es handeln oder nur zeigen?
Beides. Ausgewählte Nachrichten und Postfächer können an Automatisierungen hinter dem Prüffenster übergeben werden - Quarantäne, Markierung, Entfernen von Weiterleitungsregeln. Postfachaktionen löschen nie endgültig, und jede Aktion wird mit dem Genehmigenden protokolliert.
Sehen Sie, was letzten Monat per E-Mail rausging.
Schreibgeschützt verbinden, das E-Mail-Modul aktivieren, und die Abfluss-Kurzliste ist noch am selben Tag vier Filter entfernt. Die meisten Teams finden mindestens einen Thread, den sie lieber früher gesehen hätten.
Oder beantworten Sie ausgehende Fragen weiter aus einer 90-Tage-Ablaufverfolgung.