Verdächtige Outlook-Regeln und Weiterleitungen erkennen

Exchange Online · Posteingangsregeln · Kontosicherheit

Eine verdächtige Posteingangsregel ist selten nur ein Aufräumproblem. Sie kann Nachrichten an eine externe Adresse kopieren, Sicherheitswarnungen verbergen oder Antworten auf manipulierte Rechnungen aus dem Blickfeld verschieben. Die Prüfung muss deshalb aktuellen Regelbestand, historische Änderungen, Nachrichtenfluss, Kontozugriff und weitere Weiterleitungspfade gemeinsam auswerten.

Prüfregel: Vor dem Löschen wird der vollständige Zustand gesichert. Ist eine Regel unberechtigt, wird das Postfach als möglicherweise kompromittiert behandelt: Konto eindämmen, Sitzungen widerrufen, Anmeldungen und App-Zugriffe prüfen, Empfänger ermitteln und erst danach kontrolliert freigeben.

Die Schnellprüfung: Eine unbekannte Regel wird dokumentiert und nicht nur deaktiviert

Die betroffene Person kann in Outlook im Web zunächst sichtbare Regeln und eine eingestellte Weiterleitung prüfen. Diese Ansicht ist ein schneller Hinweis, aber keine vollständige Untersuchung: Ausgeblendete Regeln, historische Änderungen, postfachweite Weiterleitung und Zugriffe über Anwendungen benötigen administrative Prüfung.

Schritt für Schritt: Sichtbare Regeln in Outlook im Web kontrollieren

Outlook im Web über die bekannte Microsoft-365-Adresse öffnen; keinen Link aus einer verdächtigen Nachricht verwenden.
Über das Zahnrad die vollständigen Outlook-Einstellungen öffnen und unter E-Mail → Regeln die Posteingangsregeln anzeigen.
Von jeder Regel Name, Ein-/Aus-Status, Bedingung, Aktion, Ausnahme und Reihenfolge vollständig notieren oder als Bildschirmaufnahme sichern.
Besonders auf Weiterleiten an, Umleiten an, Als Anlage weiterleiten, Löschen, Als gelesen markieren und Verschieben nach achten.
Zielordner wie RSS-Abonnements, Notizen, Archiv, Junk-E-Mail, Gelöschte Elemente oder ungewöhnlich benannte Unterordner öffnen und auf fehlende Geschäftsnachrichten prüfen.
Regeln mit Bedingungen zu Rechnung, Zahlung, Bank, Geschäftsführung, Administrator, Microsoft, Sicherheit oder bestimmten Geschäftspartnern gesondert markieren.
Unter E-Mail → Weiterleitung prüfen, ob eine Adresse eingetragen ist und ob eine Kopie im ursprünglichen Postfach verbleiben soll.
Jede unbekannte Regel mit der Person abgleichen: Wann, warum und für welchen Geschäftsprozess wurde sie eingerichtet? Eine bloße Ähnlichkeit zu anderen Regeln gilt nicht als Bestätigung.
Bei unberechtigter Regel keine weiteren Kontoaktionen im möglicherweise kompromittierten Browser ausführen. IT über einen unabhängigen Kanal informieren.
Regel erst nach administrativer Beweissicherung entfernen, sofern kein unmittelbar drohender weiterer Schaden ein schnelleres Abschalten verlangt.

Erste Einordnung einer gefundenen Regel
Befund	Vorläufige Bewertung	Nächster Schritt
Bekannte Ablageregel ohne externe Aktion	Kann legitim sein, wenn Eigentümer, Zweck und Zielordner plausibel sind.	Bestätigen, dokumentieren und auf unerwünschte Nebenwirkung prüfen.
Externe Weiterleitung	Hohes Offenlegungsrisiko; kann legitim, aber auch typische Persistenz sein.	Zieladresse, Zweck, Freigabe, Erstellungszeit und Nachrichtenfluss prüfen.
Löschen oder als gelesen markieren	Verdächtig, wenn Sicherheits-, Zahlungs- oder Antwortnachrichten betroffen sind.	Ordner, wiederherstellbare Elemente und Auditspur untersuchen.
Unbekannte Regel mit unscheinbarem Namen	Name sagt nichts über die tatsächlichen Bedingungen und Aktionen aus.	Vollständige Beschreibung und alle Eigenschaften administrativ auslesen.
Keine sichtbare Regel trotz fehlender Nachrichten	Schließt Regel, Weiterleitung oder fremden Zugriff nicht aus.	Ausgeblendete Regeln, SMTP-Weiterleitung, Delegierung, Apps und Audit prüfen.
Regel wurde schon gelöscht	Aktueller Bestand zeigt die frühere Wirkung nicht mehr.	Auditzeitraum erweitern und Nachrichtenaktivität rekonstruieren.

„Ich habe diese Regel nicht erstellt“ ist ein starkes Signal, aber noch keine vollständige Diagnose

Regeln können durch Outlook im Web, Outlook Desktop, Exchange Online PowerShell, Anwendungen oder frühere Migrationen entstanden sein. Der Benutzer erinnert sich möglicherweise nicht an eine alte legitime Konfiguration. Umgekehrt kann ein Angreifer die Regel bereits wieder gelöscht haben. Deshalb werden aktueller Zustand, historisches Audit, Anmeldeereignisse und Nachrichtenwirkung zusammengeführt.

1. Fünf Wege können E-Mails außerhalb des erwarteten Postfachs verfügbar machen

Eine leere Regelübersicht beantwortet nur einen Teil der Frage. Exchange Online unterscheidet Benutzerregeln, administrative Postfachweiterleitung und organisationsweite Nachrichtenflussregeln. Hinzu kommen Stellvertretungen und Anwendungen, die E-Mails über Schnittstellen lesen oder versenden.

Weiterleitungs- und Zugriffspfade im Vergleich
Pfad	Konfiguration	Typische Wirkung	Prüfstelle
Posteingangsregel	Benutzer oder berechtigte Anwendung im Postfach	Trifft nur passende eingehende Nachrichten; kann verschieben, löschen, weiter- oder umleiten.	Outlook-Regeln und `Get-InboxRule`
SMTP-Postfachweiterleitung	Postfacheigenschaft durch Administration	Leitet grundsätzlich eingehende Nachrichten weiter; Kopie kann im Postfach verbleiben.	Exchange-Admincenter und `Get-Mailbox`
Transportregel	Exchange-Organisation	Verändert, kopiert, blockiert oder leitet Nachrichten nach zentralen Bedingungen.	Exchange-Nachrichtenfluss und Audit
Delegierung	Vollzugriff, Senden als oder Senden im Auftrag	Anderes Konto liest das Postfach oder versendet mit dessen Identität.	Postfachberechtigungen und Audit
App- oder API-Zugriff	Benutzer- oder Administratorzustimmung, Dienstkonto oder Add-in	Anwendung kann Nachrichten je nach Berechtigung lesen, ändern oder senden.	Entra-Anwendungen, Zustimmungen und Anmeldeprotokolle

Weiterleiten und Umleiten sind fachlich nicht dasselbe. Beim Weiterleiten erscheint die Nachricht typischerweise als vom Postfach weitergesendet; beim Umleiten bleibt der ursprüngliche Absenderkontext eher erhalten. Für die Sicherheitsbewertung ist entscheidend, dass Inhalte einen zusätzlichen Empfänger erreichen. Auch Als Anlage weiterleiten kann vollständige Originalnachrichten offenlegen.

Externe automatische Weiterleitung wird möglichst zentral begrenzt

Exchange Online kann externe automatische Weiterleitung über die ausgehende Spamfilterrichtlinie steuern. Eine zentrale Sperre reduziert den Missbrauch von Benutzerregeln und SMTP-Weiterleitungen. Interne Weiterleitungen werden davon nicht automatisch gleich behandelt. Wo eine externe Weiterleitung geschäftlich erforderlich ist, erhält sie einen dokumentierten Empfänger, Zweck, Eigentümer und Prüftermin.

Mehrere Steuerstellen können gleichzeitig wirken, etwa Spamfilterrichtlinie, Remotedomäne und Transportregel. Eine erlaubende Einstellung garantiert deshalb nicht, dass die Nachricht tatsächlich weitergeleitet wird; ein anderer Kontrollpunkt kann sie blockieren. Der Test erfolgt mit einer nachvollziehbaren Nachricht und anschließendem Nachrichtenverlauf.

2. Verdächtig ist die Kombination aus Ziel, Bedingung, Aktion und Entstehung

Eine externe Adresse ist nicht automatisch bösartig, und eine intern wirkende Regel nicht automatisch harmlos. Die Bewertung fragt, ob Empfänger und Zweck autorisiert sind, welche Nachrichten betroffen sind, ob die Aktion Kommunikation verbirgt und ob Entstehungszeit sowie Kontoaktivität zum Benutzer passen.

Merkmale mit hohem Untersuchungswert
Merkmal	Warum es relevant ist	Zu prüfen
Externe private Zieladresse	Geschäftsnachrichten verlassen die kontrollierte Umgebung.	Eigentümer, Domain, Freigabe, Zweck und tatsächlich zugestellte Inhalte
Bedingung zu Zahlung oder Rechnung	Kann Antworten und Warnungen in einem Betrugsablauf abfangen.	Schlüsselwörter, Absender, Empfänger und zeitnahe Zahlungsänderungen
Sicherheitsabsender betroffen	Warnungen und Kennwortmeldungen können verborgen werden.	Microsoft-, Admin-, Banken- und interne Sicherheitsadressen
Markieren als gelesen plus verschieben	Nachricht bleibt vorhanden, fällt dem Benutzer aber kaum auf.	Zielordner, Zähler, Regelpriorität und „Weitere Regeln nicht anwenden“
Löschen oder weiches Löschen	Antworten und Warnungen verschwinden aus der normalen Ansicht.	Gelöschte und wiederherstellbare Elemente sowie Nachrichtenverfolgung
Unscheinbarer oder leerer Name	Kann die Sichtprüfung erschweren, beweist allein aber keinen Angriff.	Vollständige Eigenschaften statt nur Regelname
Erstellung nach fremder Anmeldung	Stellt einen zeitlichen Zusammenhang zur Kontonutzung her.	Auditzeit, Client-IP, Sitzung und nachfolgende Nachrichtenaktion
Regel bereits entfernt	Der Angreifer kann Spuren nach Nutzung bereinigt haben.	Remove-InboxRule, UpdateInboxRules und Aktivitäten im Wirkungszeitraum

Eine Regel erhält genau einen nachvollziehbaren Geschäftszweck

Legitime Regeln werden nicht pauschal gelöscht. Der Eigentümer bestätigt Ziel, Bedingungen, Aktionen und Dauer. Eine Urlaubsvertretung benötigt möglicherweise eine interne Weiterleitung für einen begrenzten Zeitraum; ein dauerhaftes Kopieren sämtlicher Kundenkorrespondenz an ein Privatpostfach verlangt eine andere Entscheidung. Dokumentierter Zweck und tatsächliche Regelwirkung müssen übereinstimmen.

3. Der administrative Bestand zeigt auch ausgeblendete Regeln und Postfachweiterleitung

Exchange Online PowerShell liefert einen reproduzierbaren Bestand mit technischen Eigenschaften. Die Befehle werden mit einem getrennten Administratorkonto und den erforderlichen, möglichst kleinen Rollen ausgeführt. Platzhalter werden bewusst ersetzt; Ausgaben mit Adressen oder Nachrichtenbezug bleiben geschützt.

Schritt für Schritt: Regeln und Weiterleitung vollständig erfassen

Betroffenes Postfach anhand primärer SMTP-Adresse, Benutzerprinzipalname und Exchange-Empfängertyp eindeutig bestimmen.
Mit Connect-ExchangeOnline über das autorisierte Administratorkonto verbinden und Mandant sowie angemeldete Identität kontrollieren.
Mit Get-InboxRule -Mailbox benutzer@beispiel.de -IncludeHidden sichtbare und ausgeblendete Regeln abfragen.
Für jede Regel mindestens Name, Identity, Enabled, Priority und Description sowie Weiterleitungs-, Lösch-, Verschiebe-, Gelesen- und StopProcessingRules-Aktionen ausgeben.
Ausgabe unverändert mit Erhebungszeitpunkt sichern. Vor einer Bereinigung zusätzlich die menschenlesbare Description gegen die einzelnen technischen Felder prüfen.
Mit Get-Mailbox -Identity benutzer@beispiel.de die Eigenschaften ForwardingAddress, ForwardingSmtpAddress und DeliverToMailboxAndForward auswerten.
Interne ForwardingAddress und externe ForwardingSmtpAddress getrennt beurteilen; leere Werte ausdrücklich als geprüft dokumentieren.
Postfachdelegierungen für Vollzugriff, Senden als und Senden im Auftrag gegen den vorgesehenen Vertreterbestand abgleichen.
Organisationsweite Transportregeln nach Weiterleitung, zusätzlichem Empfänger, Umleitung und betroffenen Absendern prüfen.
Benutzer- und Administratorzustimmungen von Anwendungen bestimmen, die auf Mail lesen, schreiben oder senden dürfen.
Jeden bestätigten Pfad in eine gemeinsame Tabelle aus Quelle, Ziel, Bedingung, Wirkung, Eigentümer und Freigabe überführen.
Erst nach diesem Snapshot Regeln deaktivieren oder entfernen; Befehl, Zeitpunkt, Administrator und Ergebnis protokollieren.

Get-InboxRule -Mailbox benutzer@beispiel.de -IncludeHidden |
  Format-List Name,Identity,Enabled,Priority,Description,
  ForwardTo,ForwardAsAttachmentTo,RedirectTo,
  DeleteMessage,SoftDeleteMessage,MoveToFolder,
  MarkAsRead,StopProcessingRules

Get-Mailbox -Identity benutzer@beispiel.de |
  Format-List ForwardingAddress,ForwardingSmtpAddress,
  DeliverToMailboxAndForward

Die Ausgabe wird fachlich gelesen. Eine Regel kann mehrere Bedingungen und Aktionen verbinden; die Kurzbeschreibung darf nicht an einer abgeschnittenen Konsolenbreite beurteilt werden. -IncludeHidden erweitert die Regelabfrage, ersetzt aber weder historische Audits noch die Prüfung anderer Zugriffswege.

4. Das Audit zeigt, wann und über welchen Vorgang eine Regel verändert wurde

Der aktuelle Bestand beantwortet nicht, ob eine Regel gestern Nachrichten umleitete und heute gelöscht wurde. Im Microsoft-Purview-Audit werden deshalb Erstellen, Ändern und Entfernen von Posteingangsregeln sowie Regelaktualisierungen aus Outlook untersucht.

Schritt für Schritt: Regeländerungen zeitlich zuordnen

Letzte sicher bekannte normale Postfachnutzung und erstes sichtbares Symptom erfragen.
Suchfenster mit ausreichendem Vorlauf beginnen und bis nach der Eindämmung führen.
Im Audit zuerst nach Benutzer suchen, ohne die Untersuchung auf eine einzige vermutete Regel zu verengen.
Aktivitäten für New-InboxRule, Set-InboxRule und Remove-InboxRule sowie aktualisierte Outlook-Regeln einbeziehen.
CreationTime, Operation, UserId, ClientIP, ClientInfoString, ObjectId und Parameters je Treffer sichern.
Im Parameters-Feld Bedingungen, Zielordner, Empfänger, Löschaktionen und StopProcessingRules rekonstruieren.
Zeitstempel in eine einheitliche Zeitzone umrechnen und Originalzeit erhalten.
Regelereignis mit Entra-Anmeldungen derselben Zeit verbinden; interaktive und nicht interaktive Anmeldungen prüfen.
Benutzer nach dem konkreten Gerät, Ort und Arbeitsvorgang fragen, ohne ihm nur eine gewünschte Antwort vorzulegen.
Bei fehlenden Treffern Zeitraum, Aktivitätstyp, Benutzerfilter, Auditverfügbarkeit und Aufbewahrung kontrollieren.
„Kein Treffer“ als fehlenden Nachweis dokumentieren und nicht als Beweis dafür, dass nie eine Regel existierte.
Verdächtige Zeitachse um nachfolgende Nachrichten-, Datei-, App- und Kontoaktivitäten erweitern.

Search-UnifiedAuditLog \
  -StartDate "2026-09-01" \
  -EndDate "2026-09-12" \
  -UserIds "benutzer@beispiel.de" \
  -Operations New-InboxRule,Set-InboxRule,Remove-InboxRule \
  -ResultSize 1000

Die Beispieldaten werden an den Vorfall und die verwendete Zeitzone angepasst. Bei mehr Treffern wird die Suche kontrolliert segmentiert, damit kein Ergebnis durch eine Größenbegrenzung unbemerkt fehlt. Rohdaten bleiben neben der redaktionell aufbereiteten Zeitleiste erhalten.

5. Die Wirkung wird anhand tatsächlich betroffener Nachrichten bestimmt

Eine schädliche Regel kann aktiv sein, ohne dass jede passende Nachricht erfolgreich weitergeleitet wurde. Umgekehrt kann eine inzwischen gelöschte Regel bereits vertrauliche Inhalte offengelegt haben. Regelbedingung, Aktivzeitraum und Nachrichtenfluss werden deshalb miteinander verschnitten.

Wirkungsanalyse einer verdächtigen Regel
Frage	Prüfquelle	Ergebnis
Wann war die Regel aktiv?	Erstellungs-, Änderungs- und Löschereignisse im Audit	Begrenzter Wirkungszeitraum
Welche Nachrichten passten?	Bedingungen gegen Nachrichten im Zeitraum	Liste potenziell betroffener Message-IDs
Wurde extern zugestellt?	Nachrichtenverfolgung und automatische Weiterleitungsberichte	Ziel, Zeitpunkt und Zustellstatus
Wurde im Postfach verborgen?	Ordner, gelöschte und wiederherstellbare Elemente, Lesestatus	Betroffene Originale und Benutzerwirkung
Welche Inhalte waren enthalten?	Originalnachricht, Anlagen und Schutzbedarf	Datenarten, Personen und Geschäftsrisiko
Gab es Folgehandlungen?	Antworten, Zahlungen, Stammdatenänderungen, Downloads und Anmeldungen	Konkrete Gegenmaßnahmen und Betroffene

Bei Zahlungs- oder Rechnungsbezug werden offene und bereits ausgeführte Vorgänge sofort unabhängig vom Postfach geprüft. Geschäftspartner werden über eine bekannte Rufnummer kontaktiert. Bei möglichem Personenbezug erhalten Datenschutz- und Rechtsverantwortliche eine sachliche Übersicht aus Zeitfenster, Datenarten, Empfängern, Schutzmaßnahmen und Unsicherheiten.

6. Eine unberechtigte Regel löst die vollständige Kontobereinigung aus

Die Regel ist eine Wirkung des fremden Zugriffs, nicht dessen Ursache. Wird sie lediglich gelöscht, kann der Angreifer über bestehende Sitzung, fremde MFA-Methode oder App-Zustimmung eine neue Persistenz einrichten.

Betroffene Identität sperren und aktive Sitzungen über ein unabhängiges Administratorkonto widerrufen.
Aktuellen Regel-, Weiterleitungs-, Delegierungs- und App-Bestand als Beweis sichern.
Schädliche Regeln deaktivieren oder entfernen und nach Replikation erneut abfragen.
Unberechtigte SMTP-Weiterleitung, Delegierung und App-Zustimmung widerrufen.
Neues, eindeutiges Kennwort auf einem vertrauenswürdigen Gerät setzen.
Registrierte Authentifizierungsmethoden prüfen und bei unklarem Zustand vollständig neu registrieren.
Entra-Anmeldungen, Audit, Nachrichten, Dateien und Endgerät im verdächtigen Zeitraum untersuchen.
Empfänger schädlicher Nachrichten oder Weiterleitungen identifizieren und handlungsfähig informieren.
Postfach intern und extern testen; Weiterleitung, Ordneraktion und Nachrichtenverfolgung kontrollieren.
Konto erst nach sauberem Endgerät, bestätigten Methoden und geklärter Persistenz wieder freigeben.
Nach dem ersten Arbeitstag Regeln, Weiterleitung, Anmeldungen und Versand erneut prüfen.
Ursache und dauerhafte Maßnahme dokumentieren, etwa MFA-Härtung oder zentrale Forwarding-Sperre.

Eine deaktivierte Regel bleibt untersuchungsrelevant

Der Status „deaktiviert“ beendet ihre aktuelle Ausführung, beantwortet aber nicht, wann sie zuvor aktiv war. Für die Wirkung zählen Auditzeitraum, passende Nachrichten und Zustellstatus. Nach Abschluss wird entschieden, ob die Regel als Beweis dokumentiert gelöscht oder aus einem nachvollziehbaren Grund erhalten wird.

7. Andere Postfächer und fehlende Nachrichten werden mit demselben Modell geprüft

Eine bestätigte schädliche Regel kann Teil eines größeren Angriffs sein. Besonders relevant sind Konten, die dieselbe verdächtige IP, Anwendung, Zieladresse oder Phishingnachricht aufweisen. Parallel muss ein einzelnes fehlendes E-Mail-Element sauber diagnostiziert werden, damit normale Filterung, Quarantäne oder clientseitige Ansicht nicht fälschlich als Kontokompromittierung gilt.

Schritt für Schritt: Den Mandanten auf verwandte Weiterleitungen prüfen

Indikatoren festlegen: Externe Zieladresse, Regelfragmente, Client-IP, Anwendungs-ID, Phishing-Absender, URL und relevanten Zeitraum aus dem bestätigten Fall übernehmen.
Postfachweiterleitungen inventarisieren: Benutzer- und freigegebene Postfächer auf ForwardingAddress, ForwardingSmtpAddress und Kopie-Einstellung prüfen.
Regeln gezielt abfragen: Bei Konten mit verwandtem Signal sichtbare und ausgeblendete Regeln auslesen; eine vollständige Regelabfrage jedes Postfachs wird geplant und protokolliert, nicht unkontrolliert parallel gestartet.
Ziele normalisieren: Anzeigenamen und aufgelöste SMTP-Adressen zusammenführen, damit dieselbe externe Adresse nicht unter verschiedenen Darstellungen übersehen wird.
Audit mandantenweit suchen: Für den relevanten Zeitraum Regeloperationen zunächst ohne einzelnen Benutzerfilter auswerten und anschließend nach Ziel, Parameter, IP und Sitzung gruppieren.
Anmeldungen korrelieren: Konten mit derselben ungewöhnlichen IP, Anwendung oder Gerätekombination prüfen. Ein gemeinsamer Provider allein genügt nicht; Zeit und Folgeaktivität müssen passen.
Empfänger des ursprünglichen Phishings bestimmen: Zustellung, Klick- oder Benutzerhinweise und neue MFA-Ereignisse für weitere Konten zusammentragen.
Automatische Weiterleitungsberichte auswerten: Absenderpostfach, externes Ziel, Umfang und Zeitraum mit der Soll-Liste erlaubter Ausnahmen vergleichen.
App-Zustimmungen prüfen: Gleiche verdächtige Anwendung und gleichartige Mailberechtigungen bei weiteren Benutzern oder tenantweit genehmigten Apps suchen.
Treffer priorisieren: Externe Weiterleitung plus fremde Anmeldung oder neue App-Zustimmung wird zuerst eingedämmt; eine alte bestätigte interne Ablageregel erhält eine normale Prüfung.
Jedes Konto separat entscheiden: Betroffenheit, Eindämmung und Wiederfreigabe werden pro Identität belegt. Ein gemeinsamer Indikator ersetzt keine individuelle Untersuchung.
Abschlussreichweite dokumentieren: Zahl der geprüften Postfächer, Suchzeitraum, Datenquellen, Treffer, Ausnahmen und technische Grenzen festhalten.

Priorisierung verwandter Treffer
Kombination	Bewertung	Handlung
Gleiche externe Zieladresse und neue Regel	Starker technischer Zusammenhang	Konto eindämmen, Zustand sichern und vollständige Untersuchung beginnen.
Gleiche fremde App mit Mailberechtigung	Möglicher gemeinsamer OAuth-Angriff	App-Zustimmung, Anmeldungen und tatsächliche Zugriffe je Benutzer prüfen.
Gleiche IP ohne weitere Auffälligkeit	Kann Provider, Mobilfunk oder Unternehmensausgang sein	Gerät, Zeit, Anwendung und Authentifizierung ergänzen.
Empfänger derselben Phishingnachricht	Exposition, aber noch kein Beweis für Zugriff	Benutzerhandlung, Klick, Kennworteingabe, MFA und Anmeldungen ermitteln.
Bestätigte alte Geschäftsweiterleitung	Kein Zusammenhang nach aktuellem Nachweis	Freigabe, Zweck und Ablaufdatum dennoch dokumentieren.

Schritt für Schritt: Eine fehlende Nachricht ohne vorschnelle Schlussfolgerung suchen

Absender, Empfänger, Betreff, ungefährer Versandzeitpunkt, Message-ID und vorhandene Zustellbestätigung erfassen.
Absender prüfen lassen, ob die Nachricht wirklich versandt wurde und an welche vollständige Adresse; ein Entwurf oder Tippfehler erzeugt keinen Exchange-Eingang.
Nachrichtenverfolgung verwenden, um Annahme, Ablehnung, Zustellung, Spamaktion, Transportregel oder Weiterleitung serverseitig zu bestimmen.
Posteingang, Sonstige/Fokussiert, Junk-E-Mail, Archiv, Gelöschte Elemente, wiederherstellbare Elemente und benutzerdefinierte Ordner durchsuchen.
Suche in Outlook im Web wiederholen. So wird eine lokale Outlook-Ansicht, Synchronisationsstörung oder fehlerhafte Suchindizierung vom Serverzustand getrennt.
Ansichtsfilter, Unterhaltungsansicht, Sortierung, Kategorien und fokussierten Posteingang kontrollieren.
Alle Regeln auf passende Absender-, Empfänger-, Betreff- und Textbedingungen sowie StopProcessingRules prüfen.
Postfachweiterleitung, Delegierung, Transportregeln, Quarantäne und Aufbewahrungsfunktionen nach dem Ergebnis der Nachrichtenverfolgung einbeziehen.
Auditdaten für Verschieben, Löschen oder Regeländerung prüfen, wenn der Verlauf eine erfolgreiche Postfachzustellung zeigt.
Bei verdächtiger Aktion Kontozugriff untersuchen; bei reinem Clientproblem Serverbestand unverändert lassen und Outlook gezielt reparieren.
Nach Korrektur eine eindeutig benannte Testnachricht senden und ihren kompletten Weg bis zur sichtbaren Ablage bestätigen.
Ergebnis als Absenderfehler, Transportentscheidung, Regelwirkung, Benutzeraktion, Clientansicht oder ungeklärt klassifizieren.

Nachrichtenverfolgung und Ordneransicht beantworten verschiedene Fragen

Die Nachrichtenverfolgung zeigt den serverseitigen Transport und seine Entscheidung. Sie beweist nicht, dass der Benutzer die Nachricht in seiner aktuellen Outlook-Ansicht sieht. Die Ordnerprüfung zeigt den gegenwärtigen Postfachzustand, aber nicht allein den vollständigen Transportweg. Erst beide Ebenen trennen Nichtzustellung, Regelwirkung, Löschung und Darstellungsproblem.

Ein Regelbefund wird so dokumentiert, dass eine zweite Person ihn nachvollziehen kann

Mindestfelder eines Regelbefunds
Feld	Konkreter Inhalt
Postfach und Regel	Primäre SMTP-Adresse, Regel-Identity, Name, Priorität, Aktivstatus und Ausgeblendet-Status
Bedingungen	Absender, Empfänger, Betreff, Text, Sensitivität, Zeitraum und Ausnahmen vollständig
Aktionen	Zieladresse oder -ordner, Weiterleitungsart, Löschung, Lesestatus und StopProcessingRules
Entstehung	Erstellt, geändert und entfernt mit Zeit, Benutzer, Client, IP und Auditoperation
Wirkung	Aktivzeitraum, passende Nachrichten, Zustellstatus, offengelegte Daten und Folgehandlungen
Bewertung	Legitim, schädlich oder ungeklärt mit begründetem Nachweis und bestätigendem Eigentümer
Maßnahme	Deaktivierung oder Löschung, Kontoeindämmung, Empfängerinformation und dauerhafte Korrektur
Abschluss	Ausführende Person, Zeitpunkt, Kontrollabfrage, Testnachricht und Nachkontrolltermin

Der Bericht enthält keine unnötigen vollständigen Nachrichteninhalte. Für technische Zuordnung genügen häufig Message-ID, Betreff, Zeit, Absender, Empfänger und Datenklasse. Sensible Anhänge bleiben in der vorgesehenen Beweis- oder Fachablage. So bleibt der Befund aussagekräftig, ohne durch seine Dokumentation eine neue unkontrollierte Datenkopie zu erzeugen.

Bei mehreren Regeln erhält jede eine eigene Zeile. Sammelbewertungen wie „Regeln geprüft, alles bereinigt“ lassen weder eine spätere Rückfrage noch eine unabhängige Kontrolle zu. Auch eine legitime Regel wird mit ihrem bestätigten Eigentümer geführt. Ändern sich Abteilung, Vertretung oder externer Empfänger, kann so gezielt entschieden werden, ob Zweck und Berechtigung weiterhin bestehen.

8. Wiederkehrende Kontrolle macht Weiterleitungen sichtbar

Die wirksamste Kontrolle verbindet technische Begrenzung mit einer kleinen Soll-Liste. Externe automatische Weiterleitung bleibt gesperrt, wenn sie nicht benötigt wird. Erlaubte Ausnahmen besitzen Eigentümer, Ziel, Zweck und Ablaufdatum.

Kontrollplan für kleine Microsoft-365-Umgebungen
Kontrolle	Anlass	Abweichung
Regel- und Weiterleitungsbestand	Regelmäßig und nach Sicherheitsmeldung	Neue externe Ziele oder unbekannte Aktionen untersuchen.
Automatisch weitergeleitete Nachrichten	Regelmäßiger Bericht	Unbekannter Absender, Empfänger oder Umfang führt zur Postfachprüfung.
Postfachdelegierungen	Rollenwechsel und regelmäßige Rechteprüfung	Nicht mehr benötigte Voll- und Senderechte entfernen.
App-Zustimmungen	Neue App, Sicherheitsmeldung und regelmäßige Prüfung	Unbekannten Publisher oder unnötige Mailberechtigung widerrufen.
Anmeldungen	Alarm, Benutzerhinweis und Stichprobe	Unplausible Kombination aus Zeit, App, Gerät und Authentifizierung untersuchen.
Ausnahmen	Vor Ablaufdatum	Bedarf erneut bestätigen oder Weiterleitung beenden.

Abnahmecheck für Regeln und Weiterleitungen

Sichtbare und ausgeblendete Posteingangsregeln sind vollständig erfasst.
ForwardingAddress, ForwardingSmtpAddress und Kopie-Einstellung wurden geprüft.
Delegierungen, Transportregeln und Apps mit Mailzugriff sind abgeglichen.
Historische Regeländerungen besitzen Benutzer, Zeit, Client und Parameter.
Der Wirkungszeitraum und potenziell betroffene Nachrichten sind bestimmt.
Externe Zustellung, Inhalte und Folgehandlungen sind bewertet.
Unberechtigte Zugänge und Persistenz wurden vollständig entfernt.
Interner und externer Nachrichtentest ist ohne unerwartete Umleitung bestanden.
Nachkontrolle und dauerhafte Forwarding-Richtlinie sind terminiert.

Häufige Fragen zu verdächtigen Outlook-Regeln

Ist jede externe Weiterleitung ein Sicherheitsvorfall?

Nein. Sie benötigt jedoch einen bestätigten Geschäftszweck, autorisiertes Ziel, bekannten Eigentümer und angemessenen Schutz. Kann niemand die Einrichtung erklären oder verbirgt sie bestimmte Nachrichten, wird sie als möglicher Kontovorfall untersucht.

Warum reicht die Regelansicht in Outlook nicht?

Sie zeigt den aktuellen benutzersichtbaren Bestand. Ausgeblendete Regeln, gelöschte frühere Regeln, SMTP-Weiterleitung, Delegierungen, Transportregeln und App-Zugriffe benötigen administrative Abfragen und Auditdaten.

Was bedeutet „Weitere Regeln nicht anwenden“?

Nach Ausführung dieser Regel werden nachfolgende Regeln für die betreffende Nachricht nicht mehr verarbeitet. In Verbindung mit Verschieben, Gelesen-Markierung oder Löschung kann das legitime Regeln und sichtbare Abläufe gezielt umgehen.

Kann eine gelöschte Regel noch nachgewiesen werden?

Je nach verfügbarem Auditzeitraum können Erstellen, Ändern und Entfernen nachvollzogen werden. Die Nachrichtenverfolgung kann zusätzlich zeigen, ob passende Nachrichten tatsächlich weitergeleitet wurden.

Soll eine verdächtige Regel sofort gelöscht werden?

Bei laufendem Schaden wird sie unverzüglich deaktiviert. Wenn es die Lage zulässt, werden Eigenschaften und Auditbezug vorher gesichert. In beiden Fällen folgt die vollständige Kontobereinigung, weil die Regel nur ein Teil des Zugriffs sein kann.

Wie verhindert man externe Weiterleitung grundsätzlich?

Über die ausgehende Spamfilterrichtlinie kann automatische externe Weiterleitung zentral deaktiviert werden. Weitere Kontrollen wie Remotedomänen und Transportregeln müssen abgestimmt und mit einer realen Nachricht geprüft werden.

Technische Grundlagen und weiterführende Dokumentation

Microsoft Learn: Identify who modified mailbox rules – aktueller Regelbestand und historische Änderungen.
Microsoft Learn: Get-InboxRule – Abfrage von Regeln einschließlich ausgeblendeter Regeln.
Microsoft Learn: Control external email forwarding – Weiterleitungstypen, zentrale Steuerung und Bericht.
Microsoft Learn: Audit troubleshooting scenarios – Auditaktivitäten aus Outlook und Exchange.
Microsoft Learn: Suspicious inbox forwarding rules – Untersuchung und Reaktion bei bestätigter schädlicher Regel.

Verdächtige Postfachregeln vollständig untersuchen

fra.digital prüft Regeln, Weiterleitungen, Delegierungen, App-Zugriffe, Auditdaten und Nachrichtenwirkung und bereinigt übernommene Microsoft-365-Postfächer kontrolliert.

Postfach prüfen lassen