Microsoft 365 so einrichten, dass Clean Mailbox als eingehendes Gateway funktioniert

Warum diese Konfiguration nötig ist

Wenn Microsoft 365 (Exchange Online) eine von Clean Mailbox weitergeleitete E-Mail empfängt, sieht es die IP-Adresse unserer Server statt der IP des ursprünglichen Absenders. Setzt die Absenderdomain einen strengen SPF-Eintrag (-all) und eine strenge DMARC-Richtlinie (p=quarantine oder p=reject) durch, kann Microsoft die E-Mail als nicht authentifiziert behandeln — da die IP von Clean Mailbox im SPF-Eintrag des Absenders nicht aufgeführt ist — und sie blockieren oder in Quarantäne verschieben, obwohl sie unsere eigenen Anti-Spam- und Anti-Malware-Filter vollständig bestanden hat.

Das ist erwartetes Verhalten von Microsoft 365 und keine Fehlfunktion von Clean Mailbox: E-Mails in Ihrem Namen weiterzuleiten ist genau das, was ein eingehendes Security-Gateway tut (Clean Mailbox ebenso wie Proofpoint, Mimecast oder Barracuda), und es muss auf Seiten von Microsoft 365 als vertrauenswürdige Quelle deklariert werden.

Diese Anleitung richtet sich an den Domain-Administrator (oder Ihren IT-Dienstleister) und beschreibt eine Konfiguration, die Sie nur einmal durchführen müssen, nachdem Sie Ihre MX-Einträge auf Clean Mailbox umgestellt haben.

Freizugebende IP-Adressen

Clean Mailbox leitet Ihre eingehenden E-Mails von den folgenden Adressen weiter. Sie benötigen sie für beide Schritte unten.

Dieser erste Schritt weist den integrierten Spamschutz von Microsoft 365 (Microsoft Defender) an, unsere Server als vertrauenswürdige Quelle zu behandeln.

1. Das Sicherheitscenter von Microsoft Defender öffnen

Öffnen Sie im Microsoft 365 Admin Center den Bereich Alle Admin Center und klicken Sie dann auf Sicherheit.

2. Zu den Antispam-Richtlinien wechseln

Gehen Sie im linken Menü von Microsoft Defender zu E-Mail & Zusammenarbeit → Richtlinien & Regeln und öffnen Sie dann Bedrohungsrichtlinien.

3. Antispam öffnen

Klicken Sie in der Liste der Richtlinien auf Antispam.

4. Die Verbindungsfilterrichtlinie öffnen

Klicken Sie auf der Seite Antispamrichtlinien auf Verbindungsfilterrichtlinie (Standard).

5. Die IP-Adressen von Clean Mailbox zur Zulassungsliste hinzufügen

Fügen Sie im Feld Nachrichten von den folgenden IP-Adressen oder dem folgenden Adressbereich immer zulassen die oben aufgeführten IPv4-Adressen hinzu (jeweils eine, im Format x.x.x.x/32), aktivieren Sie Sichere Liste aktivieren und klicken Sie dann auf Speichern.

Der vorherige Schritt teilt Microsoft mit, dass Clean Mailbox eine vertrauenswürdige Quelle ist, verhindert für sich allein aber nicht immer Ablehnungen aufgrund von SPF/DMARC. Die unten beschriebene Mailflussregel zwingt Microsoft 365 ausdrücklich dazu, die Spamfilterung für alle von Clean Mailbox weitergeleiteten E-Mails zu umgehen.

1. Das Exchange Admin Center öffnen

Klicken Sie unter Alle Admin Center diesmal auf Exchange.

2. Mailflussregeln öffnen

Öffnen Sie im linken Menü Nachrichtenfluss → Regeln und klicken Sie dann auf Regel hinzufügen → Neue Regel erstellen.

3. Die Bedingung festlegen

Geben Sie der Regel einen aussagekräftigen Namen (zum Beispiel Antispam umgehen - Clean Mailbox) und legen Sie dann die Bedingung fest:

• Diese Regel anwenden, wenn → Der Absender → IP-Adresse liegt in einem dieser Bereiche oder stimmt genau überein
• Geben Sie die IPv4-Adressen von Clean Mailbox ein (213.32.76.196/32, 51.178.81.41/32, 45.63.114.93/32, 163.172.164.47/32)

4. Die Aktionen festlegen

Fügen Sie unter Folgendermaßen vorgehen diese Aktionen hinzu:

• Nachrichteneigenschaften ändern → Spamvertrauensstufe (SCL) festlegen und anschließend den Wert Spamfilterung umgehen wählen;
• (optional, aber empfohlen) Nachrichteneigenschaften ändern → Nachrichtenheader festlegen, mit dem Header X-MS-Exchange-OrganizationBypassClutter auf den Wert true.

Belassen Sie die übrigen Einstellungen auf ihren Standardwerten und speichern Sie die Regel. Prüfen Sie noch einmal, dass sie in der Regelliste als Aktiviert angezeigt wird.

Microsoft 365 erlaubt es nicht, in der grafischen Oberfläche der Mailflussregel IPv6-Adressen genauso aufzulisten wie IPv4-Adressen. Damit eine von Clean Mailbox über IPv6 weitergeleitete E-Mail die oben konfigurierten Regeln nicht umgeht, empfehlen wir, IPv6 für Ihre akzeptierte Domain zu deaktivieren, sodass unsere Server nur noch über IPv4 mit Microsoft 365 kommunizieren.

Verbinden Sie sich mit Exchange Online PowerShell (Connect-ExchangeOnline) und führen Sie dann aus:

Disable-IPv6ForAcceptedDomain -Domain "ihredomain.de"

Ersetzen Sie ihredomain.de durch Ihren Domainnamen. Dieser Befehl kann bedenkenlos ausgeführt werden, solange Ihr gesamter eingehender E-Mail-Verkehr bereits über Clean Mailbox läuft.

Funktion prüfen

Sobald die Konfiguration gespeichert ist (die Verbreitung kann einige Minuten dauern), senden Sie eine Test-E-Mail von einer externen Domain mit strengem SPF/DMARC und prüfen Sie:

• in der Nachrichtenablaufverfolgung von Microsoft Defender, dass die Nachricht als Zugestellt angezeigt und nicht in Quarantäne verschoben wurde;
• in den Headern der empfangenen Nachricht, dass SCL:-1 im Feld X-Forefront-Antispam-Report vorhanden ist.

Häufige Fragen

Meine E-Mails werden nach dieser Konfiguration weiterhin blockiert

Prüfen Sie, dass keine andere Mailflussregel mit höherer Priorität (niedrigerer Nummer) die Nachricht vor der in Schritt 2 erstellten Regel abfängt. Prüfen Sie außerdem im Unzustellbarkeitsbericht (NDR), dass die genannte IP-Adresse einer der oben aufgeführten IPs von Clean Mailbox entspricht.

Brauche ich einen eigenen eingehenden Connector?

Für die meisten Kunden genügt die oben beschriebene Konfiguration. Wenn Microsoft 365 die Reputation der ursprünglichen Absender-IP berücksichtigen soll (die Funktion Erweiterte Filterung für Connectors von Microsoft), kann ein eigener eingehender Connector eingerichtet werden — kontaktieren Sie uns, wir führen Sie durch die Einrichtung.