Defender for Office 365: Microsoft stellt Empfängerlogik auf Oder um

Microsoft stellt die Funktionsweise von Schutzrichtlinien in Defender for Office 365 um. Wie das Unternehmen unter der Vorgangsnummer MC1546447 mitteilte, ändert sich die Auswertungslogik für Empfängerbedingungen innerhalb von Threat-Protection-Policies.

Wenn Administratoren mehrere Empfängerkriterien gleichzeitig festlegen – etwa einzelne Benutzer, Gruppen und Domänen –, galt bisher der Grundsatz, dass alle Bedingungen zutreffen mussten. Künftig greift stattdessen eine Oder-Verknüpfung, bei der bereits das Zutreffen eines einzelnen Kriteriums ausreicht.

Umstellung von Und- auf Oder-Bedingung

Bislang setzte das Sicherheitssystem bei der Kombination verschiedener Empfängerebenen auf das Prinzip „Match all“ (AND). Eine Richtlinie griff demnach nur, wenn ein Empfänger sämtliche definierten Filtervorgaben gleichzeitig erfüllte. Durch die Anpassung wechselt Microsoft auf das Schema „Match any“ (OR).

Dieser Wechsel bringt handfeste Auswirkungen auf die Administration mit sich: Durch die veränderte Zuweisungslogik kann sich der Geltungsbereich einer bestehenden Richtlinie spürbar ausweiten. Erfüllt eine Nachricht beispielsweise nur die Domain-Bedingung, nicht aber die bisher zusätzlich geforderte Gruppenzugehörigkeit, greift die Schutzrichtlinie künftig dennoch.

Rollout-Zeitplan und Verhalten bei Bestandsrichtlinien

Der weltweite Rollout der neuen Logik zur allgemeinen Verfügbarkeit ist für Anfang Dezember 2026 vorgesehen. Nach Angaben von Microsoft soll die Bereitstellung auch Anfang Dezember 2026 abgeschlossen werden.

Wer die IT-Sicherheit in seinem Unternehmen stärken möchte, ohne sofort in neue Abteilungen investieren zu müssen, findet in diesem E-Book wertvolle Impulse. Der kostenlose Report zeigt auf, wie Sie Sicherheitslücken schließen und aktuelle Bedrohungen proaktiv abwenden. IT-Sicherheit ohne teure Investitionen stärken

Nach dem Abschluss des Rollouts erstellte Richtlinien nutzen die neue Oder-Logik standardmäßig. Für bereits existierende Konfigurationen greift die Änderung nicht unmittelbar: Bestehende Richtlinien werden nicht automatisch konvertiert, um den laufenden Betrieb nicht unvorhergesehen zu beeinflussen. Sobald Administratoren jedoch eine vorhandene Schutzrichtlinie bearbeiten und speichern, wechselt diese automatisch auf das neue Auswertungsschema.

Hinweise für Administratoren in Portal und PowerShell

Um Fehleinstellungen vorzubeugen, integriert Microsoft entsprechende Sicherheitsabfragen. Im Defender-Portal wird Administratoren bei der Bearbeitung ein Warn- und Bestätigungshinweis angezeigt. Wer die Verwaltung über die Befehlszeile abwickelt, erhält ebenfalls frühzeitig Informationen: Die Exchange Online PowerShell gibt beim Import des entsprechenden Moduls künftig eine Warnung aus.

Da sich Cyberrisiken und gesetzliche Anforderungen ständig weiterentwickeln, ist ein fundierter Überblick für Verantwortliche unerlässlich. Dieser kostenlose Leitfaden klärt darüber auf, welche rechtlichen Pflichten und technischen Bedrohungen Unternehmen aktuell kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen

Für Richtlinien, an denen keine Änderungen vorgenommen werden, besteht laut Microsoft kein unmittelbarer Handlungsbedarf. Bevor Administratoren jedoch bestehende Regeln anpassen, sollten sie die definierten Nutzer, Gruppen und Domains sowie den daraus resultierenden Geltungsbereich genau analysieren.

In rechtlicher und regulatorischer Hinsicht gibt der Hersteller Entwarnung: Im Zusammenhang mit der Umstellung der Richtlinienlogik wurden nach Unternehmensangaben keine relevanten Compliance-Aspekte identifiziert.