E-Mail, die ankommt, gefiltert ist und archiviert wird

Für die meisten kleinen und mittelständischen Unternehmen ist Exchange Online im Rahmen von Microsoft 365 heute die naheliegende Lösung: Verfügbarkeit, Speicher, mobile Nutzung und Zusammenarbeit sind ohne eigenen Serverbetrieb abgedeckt, und die Kosten sind planbar je Postfach.

Ein eigener Mailserver ist nur noch in Sonderfällen sinnvoll – etwa bei besonderen Anforderungen an den Speicherort oder bei tief integrierten Fachanwendungen. Wer ihn betreibt, übernimmt damit auch die Verantwortung für Verfügbarkeit, Sicherheitsupdates, Filterung und Zustellbarkeit. Das ist mit dem Personalstand vieler Mittelständler nicht dauerhaft leistbar.

Wir bewerten Ihre Situation offen und empfehlen auch, einen gut laufenden Bestand zu behalten, wenn eine Ablösung sich nicht rechnet. Wo ein Wechsel ansteht, migrieren wir Postfächer vollständig samt Kalendern, Kontakten, Regeln, gemeinsam genutzten Postfächern und Verteilerlisten.

Wenn Ihre Rechnungen oder Angebote beim Empfänger im Spam landen, liegt das selten am Inhalt. Meistens fehlen die Einträge, mit denen empfangende Server prüfen, ob eine Nachricht tatsächlich von Ihnen stammt. SPF legt fest, welche Server für Ihre Domain versenden dürfen. DKIM signiert ausgehende Nachrichten kryptografisch. DMARC gibt an, wie mit Nachrichten zu verfahren ist, die diese Prüfungen nicht bestehen.

Wir setzen alle drei korrekt auf – und das schließt Systeme ein, die neben dem Postfachsystem versenden: Newsletter-Dienste, ERP-Systeme mit Rechnungsversand, Ticketsysteme, Shop und Website-Formulare. Genau diese werden bei der Ersteinrichtung häufig vergessen und verursachen dann Zustellprobleme.

DMARC führen wir schrittweise ein: zunächst nur Berichte auswerten, dann Quarantäne, zuletzt Zurückweisung. Wer direkt auf Zurückweisung stellt, blockiert regelmäßig eigene legitime Versandwege. Die Berichte werten wir laufend aus – sie zeigen auch, ob Dritte versuchen, in Ihrem Namen zu versenden.

Der überwiegende Teil erfolgreicher Angriffe auf Unternehmen beginnt mit einer E-Mail. Ein Standardfilter fängt Massenspam ab, versagt aber häufig bei gezielten Betrugsversuchen: der angeblichen Nachricht der Geschäftsführung mit dringender Zahlungsaufforderung, der geänderten Bankverbindung in einer echt wirkenden Lieferantenrechnung, dem Link zu einer nachgebauten Anmeldeseite.

Wir setzen deshalb auf mehrstufige Prüfung: Reputationsbewertung des Absenders, Analyse von Anhängen in einer isolierten Umgebung, Prüfung von Links zum Zeitpunkt des Klicks, Erkennung von Absenderfälschungen und Warnhinweise bei externen Nachrichten, die einen internen Namen tragen.

Technik allein reicht allerdings nicht. Wir ergänzen den Schutz durch kurze, praxisnahe Sensibilisierung der Mitarbeitenden – anhand echter Beispiele aus Ihrer Branche statt allgemeiner Warnungen. Wichtig ist außerdem ein klarer Meldeweg: Wer eine verdächtige Nachricht erhält, muss wissen, wohin damit, ohne eine Rüge zu befürchten.

Geschäftliche E-Mails unterliegen ähnlichen Angabepflichten wie Geschäftsbriefe – Firmierung, Rechtsform, Sitz, Registergericht und Registernummer gehören hinein. Wenn jede Signatur lokal auf dem jeweiligen Rechner gepflegt wird, sind diese Angaben nach kurzer Zeit uneinheitlich oder unvollständig, und jede Adressänderung wird zur Sammelaktion.

Wir richten deshalb eine zentrale Signaturverwaltung ein. Die Signatur wird serverseitig angehängt oder zentral verteilt, greift auf Ihr Verzeichnis für Name, Position und Durchwahl zu und sieht auf allen Geräten gleich aus – auch auf dem Smartphone, wo lokal gepflegte Signaturen praktisch nie stimmen.

Damit lassen sich auch zeitlich begrenzte Hinweise steuern, etwa Betriebsferien oder Messetermine, ohne dass jemand einzelne Mitarbeitende darum bitten muss.

Geschäftliche Korrespondenz unterliegt handels- und steuerrechtlichen Aufbewahrungspflichten. Für Unterlagen mit Beleg- oder Handelsbriefcharakter – Angebote, Auftragsbestätigungen, Rechnungen, Verträge – gelten mehrjährige Fristen, und die Ablage muss unveränderbar, vollständig und maschinell auswertbar sein. Welche Ihrer Nachrichten konkret darunterfallen und welche Fristen gelten, ist eine steuer- und rechtliche Frage; wir setzen die technische Seite um und arbeiten dabei auf Wunsch mit Ihrem Steuerberater zusammen.

Technisch heißt revisionssicher: Nachrichten werden beim Ein- und Ausgang automatisch und vollständig archiviert, unveränderbar gespeichert, protokolliert und über die gesamte Aufbewahrungsdauer lesbar gehalten. Löschen oder Nachbearbeiten durch Anwender ist nicht möglich – auch nicht durch Administratoren.

Ein Archiv, das nur ablegt, aber nichts wiederfindet, nützt allerdings wenig. Wir achten deshalb auf schnelle Recherche über Absender, Zeitraum, Betreff und Inhalt sowie auf einen kontrollierten Zugriff: Anwender sehen ihre eigene Korrespondenz, weitergehende Recherchen laufen über ein definiertes Verfahren mit Protokollierung. Beim Ausscheiden von Mitarbeitenden bleibt die geschäftliche Korrespondenz verfügbar, auch wenn das Postfach aufgelöst wird.

Private Nutzung des dienstlichen Postfachs sollte klar geregelt sein, weil sie die Archivierung datenschutzrechtlich verkompliziert. Wir weisen darauf hin und liefern die technischen Möglichkeiten; die Regelung selbst treffen Sie mit Ihrer Personalvertretung und Ihrem Datenschutzbeauftragten.

Zentrale Adressen wie info, buchhaltung oder bestellung gehören in gemeinsam genutzte Postfächer, nicht in das persönliche Postfach einer Mitarbeiterin. Sonst bleiben Anfragen im Urlaubsfall liegen, und beim Ausscheiden geht der Verlauf verloren.

Wir richten gemeinsame Postfächer mit klaren Zuständigkeiten ein, bei Bedarf mit Kennzeichnung des Bearbeitungsstands, damit nicht zwei Personen dieselbe Anfrage beantworten. Verteilerlisten pflegen wir strukturiert, statt sie über Jahre wachsen zu lassen – veraltete Verteiler sind eine häufige Ursache dafür, dass Informationen an ehemalige Mitarbeitende gehen.

Dazu kommen Regelungen für Abwesenheiten und das Ausscheiden von Mitarbeitenden: automatische Antworten mit Vertretungshinweis, Weiterleitung an die Vertretung und ein definierter Ablauf, wie ein Postfach nach dem Austritt behandelt wird.

Ein Archiv ist keine Datensicherung, und die Aufbewahrungsfristen der Plattform sind keine Sicherung im eigentlichen Sinn. Wird ein Postfach gelöscht, ein Konto übernommen oder werden Inhalte manipuliert, brauchen Sie eine eigenständige Sicherung mit Wiederherstellung einzelner Elemente.

Wir richten diese Sicherung für Exchange Online ein und testen die Wiederherstellung regelmäßig mit Protokoll. Denn eine Sicherung, deren Rückspielung nie erprobt wurde, ist eine Annahme und keine Absicherung.

Im laufenden Betrieb übernehmen wir die Verwaltung: neue Postfächer einrichten, Berechtigungen anpassen, Quarantäne und Filterregeln pflegen, DMARC-Berichte auswerten, Zustellprobleme untersuchen. Für Kunden im Raum München sind wir bei Bedarf auch vor Ort.