Exchange Online ist der cloudbasierte E-Mail-Dienst von Microsoft 365 und bildet die Grundlage für E-Mails, Kalender, Kontakte und gemeinsame Postfächer in vielen Unternehmen.

Wer Microsoft 365 mit geschäftlichen E-Mail-Adressen wie max.mustermann@firma.de nutzt, verwendet in den meisten Fällen Exchange Online. Für viele Unternehmen ist der Dienst geschäftskritisch, da ein Großteil der internen und externen Kommunikation darüber abgewickelt wird.

Die Ghost-Sender-Schwachstelle entsteht durch bestimmte Fehlkonfigurationen zwischen Exchange Online und vorgeschalteten Mailfilter-Lösungen. In solchen Fällen können Angreifer E-Mails direkt an Exchange Online zustellen und/oder vorhandene Sicherheitsprüfungen umgehen. Das Ergebnis: Gefälschte Nachrichten gelangen trotz vorhandener Schutzmechanismen in das Postfach der Empfänger. Besonders problematisch ist, dass etablierte Verfahren wie SPF, DKIM und DMARC dadurch nicht immer wie vorgesehen wirken.

Stellen Sie sich folgendes Szenario vor:

Eine Mitarbeiterin erhält eine E-Mail, die scheinbar vom Geschäftsführer stammt. Outlook zeigt den bekannten Namen und die gewohnte Absenderadresse an. In der Nachricht bittet der vermeintliche Absender um die Freigabe einer dringenden Zahlung, die Überweisung einer Rechnung oder eine kurzfristige Kontaktaufnahme. Für die Empfängerin sieht die E-Mail vollkommen legitim aus. Tatsächlich stammt sie jedoch von einem Angreifer.

Solche Angriffe können unter anderem zu folgenden Risiken führen:

• Phishing-Angriffen
• CEO-Fraud
• Identitätsmissbrauch
• Gefälschten Rechnungen und Zahlungsaufforderungen

Besonders relevant ist das Thema für Unternehmen mit:

• Microsoft 365 bzw. Exchange Online
• externen Mailfilter-Lösungen oder E-Mail-Security-Gateways
• Hybrid- oder komplexeren Mail-Infrastrukturen

Nach aktuellen Erkenntnissen sind zahlreiche betroffene Umgebungen nicht ausreichend gegen die Ghost-Sender-Angriffsmethode abgesichert.

Nach Bekanntwerden der Ghost-Sender-Problematik haben wir die veröffentlichten Angriffsszenarien analysiert und die erforderlichen Schutzmaßnahmen bereits bei unseren Kunden umgesetzt.

Dabei ist wichtig zu verstehen, dass Ghost Sender nicht nur einen einzelnen Angriffsweg beschreibt. In der Praxis sind insbesondere zwei unterschiedliche Szenarien relevant:

• Direkte Zustellungen an Exchange Online unter Umgehung des vorgesehenen Mailfilters
• Fehlkonfigurationen zwischen Exchange Online und vorgeschalteten Mailfilter-Lösungen, durch die SPF-, DKIM- und DMARC-Prüfungen ihre Schutzwirkung verlieren können

1. Inbound-Connectoren korrekt konfigurieren

Wird Exchange Online hinter einem externen Mailfilter betrieben, sollte ein Inbound-Connector vorhanden sein, der ausschließlich die bekannten Versandserver des Mailfilters akzeptiert. Nur so lässt sich sicherstellen, dass E-Mails den vorgesehenen Zustellweg einhalten und nicht direkt an Exchange Online vorbeigeschleust werden.

2. Enhanced Filtering aktivieren

In vielen Umgebungen sind die Connectoren zwar vorhanden, das Enhanced Filtering ist jedoch nicht aktiviert. Dadurch bewertet Exchange Online lediglich den vorgeschalteten Mailfilter und nicht die ursprüngliche Absender-IP. Die Folge: SPF-, DKIM- und DMARC-Prüfungen können ihre Schutzwirkung verlieren. Durch die Aktivierung von Enhanced Filtering wird die tatsächliche Absender-IP wieder berücksichtigt. Ein vorhandener Inbound-Connector allein bedeutet daher nicht automatisch, dass eine Umgebung gegen die bekannten Ghost-Sender-Szenarien geschützt ist.

3. Direct Send absichern

Standardmäßig kann Exchange Online E-Mails über den Tenant-Endpunkt annehmen, auch wenn diese nicht über den vorgesehenen Mailfilter zugestellt wurden. Deshalb sollte geprüft werden, ob unerwünschte Direct-Send-Zustellungen unterbunden werden. Dies verhindert, dass Angreifer den vorgeschalteten Mailfilter umgehen können.

Administratoren sollten insbesondere folgende Fragen beantworten können:

• Ist für den eingesetzten externen Mailfilter ein Inbound-Connector eingerichtet?
• Enthält der Connector ausschließlich die Versand-IP-Adressen des Mailfilters?
• Ist Enhanced Filtering für den Connector aktiviert?
• Werden Direct-Send-Zustellungen an Exchange Online unterbunden?
• Kommt ein externer Mailfilter wie Hornetsecurity oder eine vergleichbare Lösung zum Einsatz?

Diese Maßnahmen reduzieren das Risiko von E-Mail-Spoofing in den bekannten Ghost-Sender-Szenarien erheblich und sorgen dafür, dass bestehende Schutzmechanismen wieder wie vorgesehen greifen.

Die Ghost-Sender-Schwachstelle zeigt, dass Exchange-Online-Sicherheit weit über die Einrichtung von SPF, DKIM und DMARC hinausgeht. Entscheidend ist auch die korrekte Konfiguration von Exchange Online und eines eventuell vorgeschalteten externen Mailfilters.

Wir haben die notwendigen Schutzmaßnahmen bereits in den von uns betreuten Microsoft-365-Umgebungen umgesetzt und unterstützen Unternehmen gerne bei einer Überprüfung ihrer Exchange-Online-Konfiguration sowie der eingesetzten Mailfilter-Lösungen.