Richtlinienempfehlungen zum Sichern von E-Mails

Artikel
05/20/2024

In diesem Artikel wird beschrieben, wie Sie die empfohlenen Zero Trust-Identitäts- und Gerätezugriffsrichtlinien implementieren, um E-Mail- und E-Mail-Clients der Organisation zu schützen, die moderne Authentifizierung und bedingten Zugriff unterstützen. Dieser Leitfaden basiert auf den Allgemeinen Identitäts- und Gerätezugriffsrichtlinien und enthält auch einige zusätzliche Empfehlungen.

Diese Empfehlungen basieren auf drei verschiedenen Sicherheits- und Schutzebenen, die basierend auf der Granularität Ihrer Anforderungen angewendet werden können: Ausgangspunkt, Unternehmen und spezialisierte Sicherheit. Weitere Informationen zu diesen Sicherheitsstufen und den empfohlenen Clientbetriebssystemen finden Sie in der Einführung zu empfohlenen Sicherheitsrichtlinien und -konfigurationen.

Diese Empfehlungen erfordern, dass Ihre Benutzer moderne E-Mail-Clients verwenden, einschließlich Outlook für iOS und Android auf mobilen Geräten. Outlook für iOS und Android bietet Unterstützung für die besten Features von Microsoft 365. Diese mobilen Outlook-Apps werden auch mit Sicherheitsfunktionen entwickelt, welche die mobile Nutzung unterstützen und mit anderen Microsoft Cloud-Sicherheitsfunktionen zusammenarbeiten. Weitere Informationen finden Sie in den häufig gestellten Fragen zu Outlook für iOS und Android.

Aktualisieren allgemeiner Richtlinien, um E-Mails einzubeziehen

Zum Schutz von E-Mails veranschaulicht das folgende Diagramm, welche Richtlinien aus den allgemeinen Identitäts- und Gerätezugriffsrichtlinien aktualisiert werden sollten.

Beachten Sie, dass das Hinzufügen einer neuen Richtlinie für Exchange Online zum Blockieren von ActiveSync-Clients erforderlich ist. Diese Richtlinie erzwingt die Verwendung von Outlook für iOS und Android auf mobilen Geräten.

Wenn Sie Exchange Online und Outlook beim Einrichten in den Umfang der Richtlinien einbezogen haben, müssen Sie nur die neue Richtlinie erstellen, um ActiveSync-Clients zu blockieren. Überprüfen Sie die in der folgenden Tabelle aufgeführten Richtlinien, und führen Sie entweder die empfohlenen Ergänzungen durch, oder vergewissern Sie sich, dass diese Einstellungen bereits enthalten sind. Jede Richtlinie verknüpft die zugehörigen Konfigurationsanweisungen in Allgemeinen Identitäts- und Gerätezugriffsrichtlinien.

Schutzebene	Richtlinien	Weitere Informationen
Startpunkt	rfordern Sie MFA, wenn das Anmelderisiko mittel oder hoch ist	Einbeziehen von Exchange Online in die Zuweisung von Cloud-Apps
	Blockieren Sie Clients, die die moderne Authentifizierung nicht unterstützen	Einbeziehen von Exchange Online in die Zuweisung von Cloud-Apps
	Wenden Sie die APP-Datenschutzrichtlinien an	Stellen Sie sicher, dass Outlook in der Liste der Apps enthalten ist. Achten Sie darauf, die Richtlinie für jede Plattform (iOS, Android, Windows) zu aktualisieren.
	Anfordern genehmigter Apps und APP-Schutzes	Einschließen von Exchange Online in die Liste der Cloud-Apps
	Blockieren von ActiveSync-Clients	Diese neue Richtlinie hinzufügen
Enterprise	Erfordern Sie MFA, wenn das Anmelderisiko niedrig, mittel oder hoch ist	Einbeziehen von Exchange Online in die Zuweisung von Cloud-Apps
	Erfordert kompatible PCs und Mobilgeräte	Einschließen von Exchange Online in die Liste der Cloud-Apps
Spezialisierte Sicherheit	Erfordern Sie immer MFA	Einbeziehen von Exchange Online in die Zuweisung von Cloud-Apps

Blockieren von ActiveSync-Clients

Exchange ActiveSync kann zum Synchronisieren von Messaging- und Kalenderdaten auf Desktop- und mobilen Geräten verwendet werden.

Für mobile Geräte werden die folgenden Clients basierend auf der Richtlinie für den bedingten Zugriff blockiert, die in Anfordern genehmigter Apps und APP-Schutzes erstellt wurde:

Exchange ActiveSync-Clients, welche die Standardauthentifizierung verwenden.
Exchange ActiveSync-Clients, die moderne Authentifizierung, aber keine Intune-App-Schutzrichtlinien unterstützen.
Geräte, die Intune-App-Schutzrichtlinien unterstützen, aber nicht in der Richtlinie definiert sind.

Um Exchange ActiveSync-Verbindungen mithilfe der Standardauthentifizierung auf anderen Gerätetypen (z. B. PCs) zu blockieren, führen Sie die Schritte unter Exchange ActiveSync auf allen Geräten blockieren aus.

Einschränken des Zugriffs auf Exchange Online aus Outlook im Web

Sie können die Möglichkeit einschränken, dass Benutzer Anlagen aus Outlook im Web auf nicht verwalteten Geräten herunterladen können. Benutzer auf diesen Geräten können diese Dateien mithilfe von Office Online anzeigen und bearbeiten, ohne die Dateien auf das Gerät zu übertragen und die zu speichern. Sie können Benutzer auch daran hindern, Anlagen auf einem nicht verwalteten Gerät anzuzeigen.

Gehen Sie wie folgt vor:

Stellen Sie eine Verbindung mit Exchange Online PowerShell her.
Jede Microsoft 365-Organisation mit Exchange Online-Postfächern verfügt über eine integrierte Outlook im Web (früher als Outlook Web App oder OWA bezeichnet) Postfachrichtlinie namens OwaMailboxPolicy-Default. Administratoren können auch benutzerdefinierte Richtlinien erstellen.

Um die verfügbaren Outlook im Web-Postfachrichtlinien anzuzeigen, führen Sie den folgenden Befehl aus:
```
Get-OwaMailboxPolicy | Format-Table Name,ConditionalAccessPolicy
```

Führen Sie den folgenden Befehl für die betroffenen Richtlinien aus, um das Anzeigen von Anlagen, aber kein Herunterladen zuzulassen:

Set-OwaMailboxPolicy -Identity "<PolicyName>" -ConditionalAccessPolicy ReadOnly

Zum Beispiel:

Set-OwaMailboxPolicy -Identity "OwaMailboxPolicy-Default" -ConditionalAccessPolicy ReadOnly

Führen Sie zum Blockieren von Anlagen den folgenden Befehl für die betroffenen Richtlinien aus:

Set-OwaMailboxPolicy -Identity "<PolicyName>" -ConditionalAccessPolicy ReadOnlyPlusAttachmentsBlocked

Zum Beispiel:

Set-OwaMailboxPolicy -Identity "OwaMailboxPolicy-Default" -ConditionalAccessPolicy ReadOnlyPlusAttachmentsBlocked

Erstellen Sie im Azure-Portal eine neue Richtlinie für den bedingten Zugriff mit den folgenden Einstellungen:

Aufgaben>Benutzer und Gruppen: Wählen Sie geeignete Benutzer und Gruppen aus, die einbezogen und ausgeschlossen werden sollen.

Zuweisungen>Cloud-Apps oder -Aktionen>Cloud-Apps>Einschließen>Auswählen von Apps: Wählen Sie Office 365 Exchange Online- aus.

Zugriffssteuerung>Sitzung: Wählen Sie Durch App erzwungene Einschränkungen verwenden aus.

Erfordern, dass iOS- und Android-Geräte Outlook verwenden müssen

Um sicherzustellen, dass iOS- und Android-Geräte nur über Outlook für iOS und Android auf Geschäfts- oder Schulinhalte zugreifen können, benötigen Sie eine Richtlinie für bedingten Zugriff, die auf diese potenziellen Benutzer ausgerichtet ist.

Lesen Sie die Schritte zum Konfigurieren dieser Richtlinie unter Verwalten des Zugriffs auf die Messagingzusammenarbeit mithilfe von Outlook für iOS und Android.

Einrichten der Nachrichtenverschlüsselung

Mit der Microsoft Purview-Nachrichtenverschlüsselung, welche die Schutzfunktionen in Azure Information Protection verwendet, kann Ihre Organisation geschützte E-Mails problemlos für alle Benutzer auf jedem Gerät freigeben. Benutzer können geschützte Nachrichten mit anderen Microsoft 365-Organisationen sowie Nichtkunden senden und empfangen, die Outlook.com, Gmail und andere E-Mail-Dienste verwenden.

Weitere Informationen finden Sie unter Einrichten der Nachrichtenverschlüsselung.

Nächste Schritte

Konfigurieren von Richtlinien für Folgendes:

Share via