Mail-Weiterleitungsregeln erkennen & stoppen

Nach einer Kontoübernahme ist der erste Schritt vieler Angreifer eine unscheinbare Postfachregel: Eingehende Mails werden still an eine externe Adresse weitergeleitet. Das Konto wirkt unauffällig, während Daten kontinuierlich abfließen. Genau deshalb gehören Weiterleitungsregeln zu den wichtigsten Frühwarnsignalen.

Warum Angreifer Weiterleitungen lieben

• Persistenz: Die Exfiltration läuft weiter, selbst wenn der Zugang später wieder gesperrt wird.
• Unauffälligkeit: Regeln tragen oft kryptische oder leere Namen und fallen im Alltag nicht auf.
• Reichweite: Rechnungen, Passwort-Resets und vertrauliche Threads landen automatisch beim Angreifer.

Drei Arten von Weiterleitung

• Posteingangsregeln (Inbox Rules): pro Postfach angelegt, oft mit „forwardTo" an eine externe Adresse.
• Postfach-Weiterleitung (Mailbox Forwarding): auf Postfachebene konfiguriert.
• Transportregeln (Mail Flow): organisationsweit – besonders kritisch.

So erkennst du sie

• Posteingangsregeln je Postfach prüfen (Exchange Online / Graph messageRules).
• Im Überwachungsprotokoll nach New-InboxRule und Set-Mailbox mit Weiterleitung suchen.
• Auf Regeln mit externen Zieladressen besonders achten.

Sofort handeln und vorbeugen

Verdächtige Regel deaktivieren, Sitzungen widerrufen, Passwort zurücksetzen und den Vorfall dokumentieren. Vorbeugend: automatische externe Weiterleitung per Outbound-Spam-Richtlinie blockieren und Alerts für neue Weiterleitungsregeln einrichten.

Mit TenantSecure

TenantSecure erkennt neue Weiterleitungsregeln alle 5 Minuten – über alle Mandanten hinweg und ausschließlich anhand von Metadaten (Regelname, Zieladresse, Zeitpunkt). Nachrichteninhalte werden dabei nie gelesen oder gespeichert.