Gefälschte Chef-Mails: Schutz vor Identitätswechsel in Microsoft 365

Die kurze Antwort: Eine E-Mail, die scheinbar vom Geschäftsführer stammt und eine eilige, vertrauliche Überweisung verlangt, ist eine seit Jahren bekannte Betrugsmasche gegen Unternehmen, und sie funktioniert weiterhin. Das BSI beschreibt CEO-Fraud als Versuch, Entscheidungsträger oder für Zahlungen befugte Beschäftigte so zu manipulieren, dass sie vermeintlich im Auftrag des Top-Managements hohe Beträge überweisen. In Microsoft 365 Business Premium ist mit Microsoft Defender for Office 365 Plan 1 ein Schutz vor Identitätswechsel enthalten, der die Namen von Geschäftsführung und Buchhaltung sowie die eigene Domäne überwacht, ähnliche Absender in die Quarantäne stellt und Empfänger mit Sicherheitstipps warnt. Er ist in der Standardrichtlinie aber nicht konfiguriert und muss eingerichtet werden. Und er ersetzt die feste Regel nicht, jede ungewöhnliche Zahlungsanweisung per Rückruf zu prüfen.

Wie die gefälschte Chef-Mail funktioniert

Die Polizeiliche Kriminalprävention beschreibt den Ablauf: Die Täter sammeln vorab Informationen über das Unternehmen, etwa aus dem Handelsregister, aus Wirtschaftsberichten, Werbebroschüren oder der eigenen Website, und wenden sich dann gezielt an Beschäftigte in Buchhaltung oder Finanzabteilung. Sie geben sich als Geschäftsführung oder Geschäftspartner aus, drängen auf Eile und Vertraulichkeit und fordern eine Überweisung, häufig auf ein Konto im Ausland. Besonders gern passiert das, wenn die Chefin bekanntermaßen auf Reisen ist und Rückfragen schwerfallen.

Technisch gibt es zwei Varianten, und Microsoft unterscheidet sie sauber. Beim Spoofing fälscht der Angreifer die Absenderadresse Ihrer eigenen Domäne; dagegen helfen SPF, DKIM und DMARC, die inzwischen jeder Betrieb gesetzt haben sollte. Beim Identitätswechsel (Impersonation) sieht der Absender nur ähnlich aus: Der Anzeigename lautet wie der der Geschäftsführung, dahinter steckt aber eine fremde Adresse bei einem Freemail-Anbieter, oder die Domäne unterscheidet sich in einem Zeichen, etwa durch ein ähnliches Sonderzeichen oder einen angehängten Buchstaben. Solche Nachrichten bestehen die Authentifizierungsprüfungen, weil der Angreifer die ähnliche Domäne wirklich besitzt. Genau hier setzt der Schutz vor Identitätswechsel an. Die Variante per Telefon mit nachgemachter Stimme behandelt unser Beitrag zum Deepfake-Anruf vom Chef, die Variante über die manipulierte Rechnung der Beitrag zur geänderten Bankverbindung.

Was in welchem Plan steckt

Alle Postfächer in Microsoft 365 bringen laut Microsoft einen Grundschutz mit: die Spoof-Erkennung, den Sicherheitstipp beim ersten Kontakt mit einem Absender („Sie erhalten nicht oft E-Mails von ...") sowie die Kennzeichen für nicht authentifizierte Absender, ein Fragezeichen im Absenderbild und den Zusatz „via", wenn die sichtbare Domäne nicht zur technisch sendenden passt. Der Schutz vor Identitätswechsel für Benutzer und Domänen, die Postfachintelligenz und die einstellbaren Phishing-Schwellenwerte sind dagegen Bestandteil von Microsoft Defender for Office 365. Plan 1 davon ist laut Servicebeschreibung in Microsoft 365 Business Premium enthalten und seit dem 1. Juli 2026 auch in Office 365 E3 und Microsoft 365 E3; Business Basic und Business Standard haben ihn nicht. Wichtig: Die Standardrichtlinie in Defender for Office 365 enthält zwar Spoof-Schutz und Postfachintelligenz, die Listen der geschützten Benutzer und Domänen sind aber leer, und die Aktionen stehen auf „keine". Ohne Konfiguration passiert also nichts.

Schritt für Schritt: die Antiphishing-Richtlinie einrichten

Im Microsoft Defender Portal (security.microsoft.com) gehen Sie zu Email & collaboration, Policies & rules, Threat policies, Anti-phishing. Dort bearbeiten Sie entweder die Standardrichtlinie oder legen mit Create eine eigene Richtlinie für alle Empfänger Ihrer Domäne an.

Erstens der Schwellenwert. Der Regler „Phishing email threshold" steht standardmäßig auf Stufe 1; Microsoft empfiehlt in seiner Standardkonfiguration Stufe 3 („More aggressive") und in der strengen Variante Stufe 4. Je höher die Stufe, desto eher werden auch harmlose Nachrichten als Phishing behandelt.

Zweitens die geschützten Absender. Aktivieren Sie „Enable users to protect" und tragen Sie über „Manage senders" die Personen ein, deren Namen Angreifer missbrauchen würden: Geschäftsführung, Prokura, Leitung Buchhaltung, Personalleitung, gern auch externe Kontakte wie den Steuerberater. Bis zu 350 Adressen sind je Richtlinie möglich, für ein kleines Unternehmen reichen meist fünf bis zehn. Microsoft empfiehlt ausdrücklich die Personen in Schlüsselrollen.

Drittens die geschützten Domänen. Aktivieren Sie „Enable domains to protect" mit „Include domains I own" und ergänzen Sie unter „Include custom domains" die Domänen wichtiger Partner, etwa Ihrer Bank, Ihres Steuerberaters oder großer Lieferanten, bis zu 50 Stück. Damit fallen auch täuschend ähnliche Domänen dieser Partner auf.

Viertens die Postfachintelligenz. „Enable mailbox intelligence" ist standardmäßig aktiv und lernt, mit wem Ihre Beschäftigten tatsächlich korrespondieren. Erst mit „Enable intelligence for impersonation protection" darf sie aber handeln; diese Option ist standardmäßig aus und gehört an. Ein Hinweis dazu: Sind beide Optionen aktiv und hat ein Empfänger mit einem Absender schon einmal korrespondiert, greift der Schutz vor Identitätswechsel für dieses Paar nicht mehr, damit echte Kontakte mit gleichem Namen nicht ständig hängen bleiben.

Fünftens die Aktionen. Auf der Seite Actions legen Sie fest, was mit Treffern passiert. Microsoft empfiehlt in der Standardkonfiguration für erkannten Benutzer- und Domänenwechsel jeweils „Quarantine the message", für Treffer der Postfachintelligenz das Verschieben in den Junk-Ordner (in der strengen Variante ebenfalls Quarantäne). Wählen Sie eine Quarantänerichtlinie mit Benachrichtigung, damit Empfänger sehen, dass etwas zurückgehalten wurde.

Sechstens die Sicherheitstipps. Unter „Safety tips & indicators" aktivieren Sie den Tipp beim ersten Kontakt, den Tipp bei Benutzer- und bei Domänenwechsel sowie den Hinweis auf ungewöhnliche Zeichen in der Absenderadresse, außerdem das Fragezeichen für nicht authentifizierte Absender und den Zusatz „via". Der Sicherheitstipp bei Benutzerwechsel lautet sinngemäß, dass der Absender jemandem ähnelt, der Ihnen bereits geschrieben hat, aber möglicherweise nicht diese Person ist. Das ist genau der Moment, in dem die Buchhaltung zum Telefon greifen soll.

Wer es einfacher haben möchte, aktiviert stattdessen die voreingestellte Sicherheitsrichtlinie „Standard protection" unter Preset security policies. Microsoft empfiehlt diesen Weg in der Regel gegenüber eigenen Richtlinien. Auch dort fragt der Assistent die zu schützenden Adressen und Domänen ab; die eigenen Domänen und die Postfachintelligenz sind in den Voreinstellungen automatisch abgedeckt.

Ob die Schutzrichtlinien gegen Phishing und Schadsoftware in Ihrem Microsoft 365 gesetzt sind, können Sie mit dem Sicherheitscheck für Microsoft 365 prüfen lassen (kostenpflichtig); er liest dazu auch SPF, DKIM und DMARC und die Weiterleitungen nach außen aus. Wen Sie als geschützte Absender eintragen, entscheiden Sie weiterhin selbst.

Externe Absender sichtbar machen

Ein zweiter, unscheinbarer Baustein sitzt in Exchange Online: die Kennzeichnung externer Absender in Outlook. Nach dem Einschalten erscheint bei Nachrichten von außerhalb der Organisation ein Hinweis „Extern" im Bereich der Betreffzeile, in Outlook für Windows und Mac, im Web und in den Apps für iOS und Android. Eine Chef-Mail von einer fremden Adresse trägt damit sichtbar das Etikett, das sie verrät. Aktiviert wird die Funktion in der Exchange Online PowerShell mit dem Befehl Set-ExternalInOutlook und eingeschaltetem Parameter Enabled; laut Microsoft dauert es 24 bis 48 Stunden, bis die Kennzeichnung bei allen erscheint. Über eine Ausnahmeliste lassen sich bis zu 200 Absender oder Domänen ausnehmen, etwa Dienstleister, die in Ihrem Namen versenden. Wer bisher mit Nachrichtenflussregeln einen Zusatz in den Betreff externer Mails geschrieben hat, sollte diese Regeln vorher abschalten, damit die Kennzeichnung nicht doppelt erscheint.

Die Regel, die keine Technik ersetzt

Filter erkennen ähnliche Absender, nicht die Absicht. Ein Angreifer, der das echte Postfach eines Partners übernommen hat, kommt an jeder Absenderprüfung vorbei; wie das aussieht, zeigt unser Beitrag zum Thread-Hijacking. Deshalb bleibt die organisatorische Regel der Kern, und die Polizei formuliert sie klar: Bei ungewöhnlichen Überweisungsaufträgen vor der Transaktion prüfen, ob die Absenderadresse korrekt ist und ob der Auftrag tatsächlich vom genannten Auftraggeber stammt, zum Beispiel per Rückruf unter der bekannten Nummer, nie unter einer Nummer aus der Mail. Dazu klare Abwesenheitsregelungen und interne Kontrollmechanismen, die Information der Beschäftigten über die Masche und Zurückhaltung bei Firmeninformationen im Netz; als Kontrollmechanismus hat sich die Freigabe durch zwei Personen ab einer festgelegten Summe bewährt. Die Geschäftsführung muss diese Regel selbst mittragen: Wer sich darüber ärgert, dass die Buchhaltung zurückruft, untergräbt den Schutz.

Häufige Fragen

Reicht DMARC nicht gegen gefälschte Chef-Mails?

DMARC schützt Ihre eigene Domäne davor, dass Fremde in ihrem Namen senden. Eine ähnliche Domäne oder eine Freemail-Adresse mit dem Namen der Geschäftsführung besteht die Prüfungen aber, weil der Angreifer die Absenderdomäne tatsächlich kontrolliert. Microsoft weist ausdrücklich darauf hin, dass Identitätswechsel SPF, DKIM und DMARC bestehen kann. Beides gehört deshalb zusammen: DMARC gegen Fälschung, Schutz vor Identitätswechsel gegen Ähnlichkeit.

Wen sollten wir als geschützte Absender eintragen?

Microsoft empfiehlt Personen in Schlüsselrollen, intern etwa Geschäftsführung und Finanzverantwortliche, extern zum Beispiel Mitglieder von Beirat oder Aufsichtsrat. Für ein kleines Unternehmen sind das die Geschäftsführung, Prokuristen, die Leitung der Buchhaltung, die Personalverantwortliche und der Steuerberater. Die Postfachintelligenz deckt die übrigen Kontakte ab, sobald sie aktiv geschaltet ist.

Was tun, wenn eine echte Mail vom Chef in der Quarantäne landet?

Der Empfänger oder ein Administrator gibt die Nachricht aus der Quarantäne frei; mit einer Quarantänerichtlinie mit Benachrichtigung fällt das sofort auf. Prüfen Sie dann die Ursache: Schrieb die Geschäftsführung von einer privaten Adresse, ist die Lösung nicht die Ausnahme, sondern die Firmenadresse. Handelt es sich um einen echten externen Kontakt mit gleichem Namen, tragen Sie ihn unter den vertrauenswürdigen Absendern ein.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet die Antiphishing-Richtlinie in Ihrem Microsoft 365 ein, mit den geschützten Personen und Domänen Ihres Betriebs, passenden Quarantäneregeln und der Kennzeichnung externer Absender, und prüft nach vier Wochen, was in der Quarantäne gelandet ist. Ergänzend formulieren wir mit Ihnen die Rückrufregel und die Freigabegrenzen für die Buchhaltung, damit Technik und Ablauf zusammenpassen. Falls Sie noch Business Standard nutzen, zeigen wir Ihnen, was der Wechsel zu Business Premium an Schutz bringt. Im kostenlosen Erstgespräch sehen wir uns Ihre aktuelle Richtlinie an und sagen Ihnen, ob der Schutz vor Identitätswechsel bei Ihnen überhaupt aktiv ist. Mehr zu unserer Leistung rund um E-Mail-Sicherheit finden Sie auf der Leistungsseite. Ob eine verdächtige Nachricht wirklich von der angezeigten Adresse stammt, zeigt unsere kostenlose Header-Analyse für E-Mails.

Quellen

• Microsoft Learn, Anti-phishing policies in Microsoft 365, Stand 20.08.2026, https://learn.microsoft.com/en-us/defender-office-365/anti-phishing-policies-about
• Microsoft Learn, Recommendations for Microsoft 365 security settings (Anti-phishing policy settings), Stand 10.08.2026, https://learn.microsoft.com/en-us/defender-office-365/recommended-settings-for-eop-and-office365
• Microsoft Learn, Microsoft Defender for Office 365 service description, Stand 24.10.2025, https://learn.microsoft.com/en-us/office365/servicedescriptions/office-365-advanced-threat-protection-service-description
• Microsoft Learn, Set-ExternalInOutlook (Exchange PowerShell), Stand 27.02.2026, https://learn.microsoft.com/en-us/powershell/module/exchangepowershell/set-externalinoutlook
• Polizeiliche Kriminalprävention der Länder und des Bundes, CEO-Fraud: Betrüger geben sich als Chef aus, https://www.polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ceo-fraud/
• BSI, Social Engineering, der Mensch als Schwachstelle, https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Social-Engineering/social-engineering_node.html