Safe Attachments in Microsoft Defender für Office 365

Sichere Anlagen in Microsoft Defender für Office 365 bieten eine zusätzliche Schutzebene für E-Mail-Anlagen, die bereits vom Schutz vor Schadsoftware überprüft wurden. Insbesondere verwendet Safe Attachments eine virtuelle Umgebung, um Anhänge in E-Mail-Nachrichten auf schädliche Anhänge (z. B. Schadsoftware, Ransomware und Phishing) zu überprüfen, bevor die Nachrichten den Empfängern zugestellt werden (ein Prozess, der als Detonation bezeichnet wird).

Der Safe Attachments-Schutz für E-Mail-Nachrichten wird durch Safe Attachments-Richtlinien gesteuert. Obwohl es keine Standardrichtlinie für sichere Anlagen gibt, bietet die voreingestellte Sicherheitsrichtlinie Integrierter Schutz Schutz durch sichere Anlagen für alle Empfänger (Benutzer, die nicht in den voreingestellten Sicherheitsrichtlinien „Standard“ oder „Streng“ oder in benutzerdefinierten Richtlinien für sichere Anlagen definiert sind). Weitere Informationen finden Sie unter Voreingestellte Sicherheitsrichtlinien. Sie können auch Safe Attachments-Richtlinien erstellen, die für bestimmte Benutzer, eine bestimmte Gruppe oder bestimmte Domänen gelten. Anweisungen finden Sie unter Einrichten von Richtlinien für sichere Anhänge in Microsoft Defender für Office 365.

In der folgenden Tabelle werden Szenarien für sichere Anlagen in Microsoft 365 und Office 365 Organisationen beschrieben, die Microsoft Defender für Office 365 enthalten (mit anderen Worten, fehlende Lizenzierung ist in den Beispielen nie ein Problem).

Die Überprüfung durch Safe Attachments erfolgt in derselben Region, in der sich Ihre Microsoft 365-Daten befinden. Weitere Informationen zur geografischen Rechenzentrumsgeografie finden Sie unter Wo befinden sich Ihre Daten?

Richtlinieneinstellungen für sichere Anlagen

Dieser Abschnitt beschreibt die Einstellungen in Safe Attachments-Richtlinien:

• Empfängerfilter: Bedingungen und Ausnahmen zum Identifizieren der internen Empfänger, für die die Richtlinie gilt. Mindestens eine Bedingung ist erforderlich. Sie können die folgenden Empfängerfilter für Bedingungen und Ausnahmen verwenden:

  • Benutzer: Ein oder mehrere Postfächer oder E-Mail-Benutzer in der Organisation.
  • Gruppen:
    • Mitglieder der angegebenen Verteilergruppen oder E-Mail-aktivierten Sicherheitsgruppen (dynamische Verteilergruppen werden nicht unterstützt).
    • Die angegebenen Microsoft 365-Gruppen (dynamische Mitgliedschaftsgruppen in Microsoft Entra ID werden nicht unterstützt).
  • Domänen: Mindestens eine der konfigurierten akzeptierten Domänen in Microsoft 365. Die primäre E-Mail-Adresse des Empfängers befindet sich in der angegebenen Domäne.

  Sie können eine Bedingung oder Ausnahme nur einmal verwenden, aber die Bedingung oder Ausnahme kann mehrere Werte enthalten:

  • Mehrere Werte für dieselbe Bedingung oder Ausnahme verwenden ODER-Logik (z. B. <recipient1> oder <recipient2>):

    • Bedingungen: Wenn der Empfänger mit einem der angegebenen Werte übereinstimmt, wird die Richtlinie auf diese angewendet.
    • Ausnahmen: Wenn der Empfänger mit einem der angegebenen Werte übereinstimmt, wird die Richtlinie nicht auf sie angewendet.

  • Verschiedene Arten von Ausnahmen verwenden OR-Logik (z. B. <recipient1> oder <member of group1> oder <member of domain1>). Wenn der Empfänger mit einem der angegebenen Ausnahmewerte übereinstimmt, wird die Richtlinie nicht auf sie angewendet.

  • Verschiedene Arten von Bedingungen verwenden AND-Logik. Der Empfänger muss allen angegebenen Bedingungen entsprechen, damit die Richtlinie auf sie angewendet wird. Beispielsweise konfigurieren Sie eine Bedingung mit den folgenden Werten:

  • Benutzer: romain@contoso.com

  • Gruppen: Führungskräfte

    Die Richtlinie wird romain@contoso.com auf angewendet, wenn er auch Mitglied der Gruppe „Executives“ ist. Andernfalls wird die Richtlinie nicht auf ihn angewendet.

• Reaktion auf unbekannte Schadsoftware in Safe Attachments: Diese Einstellung steuert die Aktion für die Überprüfung von E-Mail-Anhängen mit Safe Attachments auf Bedrohungen. Die verfügbaren Optionen werden in der folgenden Tabelle beschrieben:

  Option	Effekt	Verwenden Sie dies, wenn Sie folgende Aktionen ausführen möchten:
  Aus	Anlagen werden von sicheren Anlagen nicht auf Bedrohungen (z. B. Schadsoftware, Ransomware und Phishing) überprüft. Nachrichten werden weiterhin durch Den Anti-Malware-Schutz auf Schadsoftware überprüft.	Deaktivieren Sie das Scannen für ausgewählte Empfänger. Vermeiden Sie unnötige Verzögerungen bei der Weiterleitung interner Post. Diese Option wird für die meisten Benutzer nicht empfohlen. Sie sollten diese Option nur verwenden, um die Überprüfung von sicheren Anhängen für Empfänger zu deaktivieren, die nur Nachrichten von vertrauenswürdigen Absendern erhalten. ZAP verschiebt Nachrichten nicht in Quarantäne, wenn Safe Attachments deaktiviert ist und kein Bedrohungssignal empfangen wird. Weitere Informationen finden Sie unter Automatische Bereinigung zur Nullstunde (Zero-Hour Auto Purge, ZAP)
  Überwachen	Übermittelt Nachrichten mit Anlagen und verfolgt dann nach, was mit erkannten Bedrohungen geschieht. Die Zustellung sicherer Nachrichten kann sich aufgrund der Überprüfung durch Safe Attachments verzögern.	Sehen Sie, wohin erkannte Nachrichten in Ihrer Organisation gelangen.
  Blockieren	Verhindert, dass Nachrichten mit erkannten Anhängen zugestellt werden. Nachrichten werden unter Quarantäne gestellt. Standardmäßig können nur Administratoren (nicht Benutzer) die Nachrichten überprüfen, freigeben oder löschen.¹ Blockiert automatisch zukünftige Instanzen der Nachrichten und Anhänge. Die Zustellung sicherer Nachrichten kann sich aufgrund der Überprüfung durch Safe Attachments verzögern.	Schützt Ihre Organisation vor erneuten Angriffen unter Verwendung derselben Anhänge. Dieser Wert ist der Standard und der empfohlene Wert in den vordefinierten Sicherheitsrichtlinien Standard und Strict.
  Dynamische Zustellung	Nachrichten werden sofort zugestellt, aber Anhänge werden durch Platzhalter ersetzt, bis die Überprüfung durch Safe Attachments abgeschlossen ist. Nachrichten, die bösartige Anhänge enthalten, werden unter Quarantäne gestellt. Standardmäßig können nur Administratoren (nicht Benutzer) die Nachrichten überprüfen, freigeben oder löschen.¹ Weitere Informationen finden Sie im Abschnitt Dynamische Zustellung in Richtlinien für sichere Anlagen weiter unten in diesem Artikel.	Vermeiden Sie Verzögerungen bei Nachrichten und schützen Sie die Empfänger vor bösartigen Dateien.

  ¹ Quarantänerichtlinien definieren, was Benutzer mit in Quarantäne befindlichen Nachrichten tun können und ob Benutzer Quarantänebenachrichtigungen erhalten. Weitere Informationen finden Sie unter Anatomie einer Quarantänerichtlinie. Benutzer können ihre eigenen Nachrichten, die von sicheren Anlagen als Schadsoftware oder Phishing in Quarantäne gestellt wurden, nicht freigeben, unabhängig davon, wie die Quarantänerichtlinie konfiguriert ist. Wenn die Richtlinie so konfiguriert ist, dass Benutzer diese unter Quarantäne gestellten Nachrichten freigeben, können Benutzer stattdessen die Freigabe dieser in Quarantäne befindlichen Nachrichten anfordern .

• Umleiten von Nachrichten mit erkannten Anlagen: Aktivieren Sie das Umleiten und Senden von Nachrichten, die überwachte Anlagen enthalten, an die angegebene E-Mail-Adresse: Senden Sie nur für die Aktion Überwachen Nachrichten, die erkannte Anlagen enthalten, zur Analyse und Untersuchung an die angegebene interne oder externe E-Mail-Adresse.

  Die Empfehlung für die Einstellungen für Standard- und strenge Richtlinien besteht darin, die Umleitung zu aktivieren. Weitere Informationen finden Sie unter Safe Attachments-Einstellungen.

• Nachrichten blockieren, die verschlüsselte Anhänge enthalten, die nicht gescannt werden konnten: Wenn Sie Blockieren als Antwort auf sichere Anhänge für unbekannte Malware auswählen, können Sie diese Einstellung aktivieren, um Nachrichten mit verschlüsselten (passwortgeschützten) Anhängen in Quarantäne zu stellen. Diese Einstellung gilt, wenn sichere Anhänge die Anhänge nicht scannen oder zünden können, zum Beispiel wenn das Passwort nicht verfügbar ist. Betroffene Nachrichten werden in Quarantäne gehalten, anstatt zugestellt zu werden, bis ein Administrator oder der Empfänger sie freigibt. Weitere Informationen finden Sie im Abschnitt "Verschlüsselte (passwortgeschützte) Anhänge in den Safe-Attachments-Richtlinien später in diesem Artikel.

• Priorität: Wenn Sie mehrere Richtlinien erstellen, können Sie die Reihenfolge angeben, in der sie angewendet werden. Keine zwei Richtlinien können dieselbe Priorität haben, und die Richtlinienverarbeitung wird beendet, nachdem die erste Richtlinie angewendet wurde (die Richtlinie mit der höchsten Priorität für diesen Empfänger).

  Weitere Informationen über die Prioritätsreihenfolge und darüber, wie mehrere Richtlinien ausgewertet und angewendet werden, finden Sie unter Reihenfolge und Priorität beim E-Mail-Schutz.

Dynamische Zustellung in Richtlinien für sichere Anlagen

Die Aktion Dynamische Übermittlung in den Richtlinien für sichere Anlagen zielt darauf ab, Verzögerungen bei der E-Mail-Übermittlung zu vermeiden, die durch die Überprüfung sicherer Anlagen verursacht werden können. Der Text der E-Mail-Nachricht wird mit einem Platzhalter für jede Anlage an den Empfänger übermittelt. Der Platzhalter bleibt erhalten, bis die Anlage als sicher befunden wird und die Anlage dann zum Öffnen oder Herunterladen verfügbar ist.

Wenn ein Anhang als schädlich eingestuft wird, wird die Nachricht unter Quarantäne gestellt.

Die meisten PDFs und Office-Dokumente können im abgesicherten Modus in der Vorschau angezeigt werden, während das Scannen von Safe Attachments läuft. Wenn ein Anhang nicht für die Dynamic Delivery-Vorschau kompatibel ist, sehen die Empfänger einen Platzhalter für den Anhang, bis die Überprüfung durch Safe Attachments abgeschlossen ist.

Wenn Sie ein mobiles Gerät verwenden und PDF-Dateien nicht in der Dynamischen Übermittlungsvorschau auf Ihrem mobilen Gerät gerendert werden, versuchen Sie, die Nachricht in Outlook im Web (früher als Outlook Web App bezeichnet) in Ihrem mobilen Browser zu öffnen.

Hier sind einige Überlegungen zur dynamischen Übermittlung und weitergeleiteten Nachrichten:

• Wenn der Empfänger der Weiterleitung durch eine Safe Attachments-Richtlinie geschützt ist, die die Option „Dynamische Übermittlung“ verwendet, sieht der Empfänger den Platzhalter und kann kompatible Dateien in der Vorschau anzeigen.
• Wenn der weitergeleitete Empfänger nicht durch eine Safe Attachments-Richtlinie geschützt ist, werden die Nachricht und die Anhänge ohne Safe Attachments-Überprüfung und ohne Platzhalter für Anhänge zugestellt.

Es gibt Fälle, in denen Dynamic Delivery Anhänge in Nachrichten nicht ersetzen kann. Diese Szenarien umfassen:

• Nachrichten in öffentlichen Ordnern.
• Nachrichten, die mithilfe benutzerdefinierter Regeln aus und dann wieder in das Postfach eines Benutzers weitergeleitet werden.
• Nachrichten, die (automatisch oder manuell) aus Cloudpostfächern an andere Speicherorte verschoben werden, einschließlich Archivordnern.
• Posteingangsregeln verschieben die Nachricht aus dem Posteingang in einen anderen Ordner.
• Gelöschte Nachrichten.
• Der Postfachsuchordner des Benutzers befindet sich in einem Fehlerzustand.
• Exchange Online Organisationen, in denen Exclaimer aktiviert ist. Informationen zum Beheben dieses Problems finden Sie unter KB4014438.
• S/MIME) verschlüsselte Nachrichten.
• Sie haben die Aktion „Dynamische Zustellung“ in einer Richtlinie für sichere Anlagen konfiguriert, aber der Empfänger unterstützt die dynamische Zustellung nicht (z. B. ist der Empfänger ein Postfach in einer lokalen Exchange-Organisation). Safe Links in Microsoft Defender für Office 365 kann jedoch Office-Dateianhänge scannen, die URLs enthalten (wenn die Safe Links-Überprüfung für unterstützte Office-Apps in der entsprechenden Safe Links-Richtlinie aktiviert ist).

Verschlüsselte (passwortgeschützte) Anhänge in Safe Attachments-Richtlinien

Verschlüsselte (passwortgeschützte) Anhänge sind in geschäftlichen Arbeitsabläufen üblich, verursachen aber Inspektionsherausforderungen. Safe Attachments öffnet E-Mail-Anhänge in einer virtuellen Umgebung, um sie auf bösartige Inhalte zu überprüfen (ein Prozess, der als Detonation bekannt ist). Safe Attachments können einen passwortgeschützten Anhang nicht vollständig scannen oder detonieren, es sei denn, das Passwort ist verfügbar (zum Beispiel beim Scannen aus dem E-Mail-Text extrahiert).

Sie konfigurieren Safe Attachments-Richtlinien so, dass Nachrichten mit passwortgeschützten Anhängen isoliert werden, wenn das Scannen oder die Detonation nicht abgeschlossen werden kann. Betroffene Nachrichten werden unter Quarantäne gestellt statt zugestellt. Sie bleiben in Quarantäne, bis sie entlassen werden:

• Administratoren können die Nachricht jederzeit mit voller Autorität veröffentlichen, ohne das Passwort zu benötigen. Für Anleitungen siehe Quarantäne-Nachrichten und Dateien als Administrator verwalten in Microsoft Defender for Office 365.
• Nutzer können ihre eigene quarantänierte Nachricht selbst freigeben, indem sie das Passwort für den Anhang angeben, sofern die zugewiesene Quarantänerichtlinie es erlaubt, eigene Nachrichten freizugeben. Nutzer können diese Nachrichten nicht direkt aus einer Quarantänebenachrichtigungs-E-Mail veröffentlichen. Stattdessen wählen sie in der Benachrichtigung "Review"-Nachricht aus, um die Nachricht im Microsoft Defender-Portal zu öffnen, wählen "E-Mail freigeben" und geben dann das Passwort für den Anhang ein. Für Anleitungen siehe Finden und als Benutzer in Microsoft Defender for Office 365 veröffentlichte Quarantäne-Nachrichten.

Auf der Quarantäne-Seite im Defender-Portal haben diese Nachrichten den Quarantäne-Grund für passwortgeschützte Gegenstanden.

Wenn ein Benutzer das Passwort eingibt, führt Safe Attachments vor der Freigabe eine Just-in-Time-Detonation (einen neuen Scan) des Anhangs durch. Das Passwort wird nur verwendet, um den Anhang zu öffnen und erneut zu scannen. Es wird nicht gelagert.

• Wenn der Anhang als sicher erachtet wird, wird die Nachricht im Briefkasten freigegeben.
• Wenn der Anhang als bösartig erkannt wird oder immer noch nicht gescannt werden kann, bleibt die Nachricht in Quarantäne, damit ein Administrator sie überprüfen kann.

Derzeit kann das Passwort nur einmal für jede in Quarantäne gestellte Nachricht eingereicht werden. Ein erneuter Versuch mit einem anderen Passwort wird nicht unterstützt.

Standardmäßig bewertet diese Einstellung passwortgeschützte Anhänge aller Dateitypen. Im Abschnitt "Diese Anhängungstypen ausschließen " können Sie bestimmte Anhängungstypen aus dem Setting ausschließen:

• Akrobat (pdf)
• Archiv (nur zip, gzip, 7z, rar, tar)
• Büro (nur Doc, Docx, XLS, XLSX, PPT, PPTX)
• Alle anderen Dateitypen

Anhänge werden durch ihren tatsächlichen Dateityp identifiziert, nicht nur durch die Dateiendung.

Ein Wert der Quarantänerichtlinie bestimmt, was Empfänger mit diesen quarantänierten Nachrichten tun dürfen und ob sie Quarantänebenachrichtigungen erhalten. Standardmäßig wird die Quarantänerichtlinie namens DefaultFullAccessWithNotificationPolicy verwendet. Weitere Informationen finden Sie unter Anatomie einer Quarantänerichtlinie.

Diese Einstellung unterstützt Nachrichten, bei denen ein einzelnes Passwort die Anhänge entsperrt:

• Eine Nachricht mit einem passwortgeschützten Anhang.
• Eine Nachricht mit mehreren passwortgeschützten Anhängen, die alle dasselbe Passwort verwenden. Der Nutzer gibt das Passwort einmal ein, um die Nachricht zu bewerten und gegebenenfalls freizugeben.

Nachrichten, die mehrere passwortgeschützte Anhänge mit unterschiedlichen Passwörtern enthalten, werden von dieser Einstellung nicht behandelt. Die gleiche Einschränkung gilt für ein einzelnes Archiv (zum Beispiel eine ZIP-Datei), das mehrere Objekte enthält, die durch unterschiedliche Passwörter geschützt sind. Diese Nachrichten werden weiterhin so verarbeitet wie heute, ohne die Quarantäne- und Selbstfreisetzungserfahrung.

In Defender for Office 365 Plan 2 können Sicherheitsteams Nachrichten mit passwortgeschützten Anhängen mithilfe fortschrittlicher Suche identifizieren:

EmailAttachmentInfo
| where AdditionalFields contains "IsPasswordProtectedItem"

Dateien zur Analyse übermitteln

• Wenn Sie eine Datei erhalten, die Sie zur Analyse an Microsoft senden möchten, siehe Übermitteln Sie Schadsoftware und Nicht-Schadsoftware zur Analyse an Microsoft.
• Wenn Sie eine E-Mail-Nachricht (mit oder ohne Anlage) erhalten, die Sie zur Analyse an Microsoft übermitteln möchten, finden Sie weitere Informationen unter Melden von Nachrichten und Dateien an Microsoft.