DMARCGeeks
DMARCGeeks
EOP und Defender for Office 365 können viel mehr als Microsoft im Default einschaltet. Wir bringen deinen Tenant auf Strict-Preset-Niveau oder darüber — mit gruppenspezifischen Custom-Policies, sauberer Quarantäne-UX und Compliance-tauglicher Doku.
Was M365 out-of-the-box nicht einschaltet (obwohl's da ist):
CEO-Fraud, fingierte CFO-Mails, look-alike-Domains. Microsoft hat den Schutz dafür — aber er muss explizit pro VIP eingerichtet werden.
Wenn ein User-Account kompromittiert wird, schickt der Tausende Spams raus — und versaut deine ganze IP-Reputation. Auto-Restrict greift erst spät.
Default-Notifikation ist 1× Mail mit Verfallsdatum. 90 % der User ignorieren das. Echte Self-Service-Workflows brauchen eigene Konfiguration.
Standardisiert pro Tenant. Auf Wunsch als JSON-Export, PowerShell-Bundle oder Auditor-Doku-PDF.
Alle Policies werden mit PowerShell DSC deployed — du bekommst das Skript, damit du sie reproduzierbar in weitere Tenants übernehmen kannst.
Wir hinterlegen in der Anti-Phishing-Policy deine wichtigsten internen Adressen (CEO, CFO, Finanzbuchhaltung) und vertraute externe Partner. Mails die aussehen wie von diesen Personen, aber nicht von ihnen kommen, werden quarantäniert oder mit Warning-Banner versehen. Stoppt die meisten BEC-Versuche.
Microsoft hat ein eingebautes Spoof-Intelligence-System, das aber per Default sehr permissiv ist. Wir tunen es auf Strict, pflegen die Allow-List nur für wirklich legitime Spoofs (Salesforce-from-your-domain etc.).
Anti-Spam-Outbound-Policy mit konservativen Throttles und Auto-Restrict bei Auffälligkeiten — ein kompromittierter Account macht so nicht 50'000 Spam-Mails bevor jemand was merkt.
Verdächtige Anhänge werden in Microsofts Sandbox detoniert — die Mail bekommt der User aber sofort (mit Anhang-Platzhalter), so dass keine Latenz entsteht. Sandbox-Result wird nachgereicht.
Tägliche Digest-Mail mit allen quarantänierten Items, klare „Freigeben"-Buttons pro Mail, „Frag den MSP"-Button für Unsicherheits-Fälle. User-Self-Release ist nur für Bulk/Spam aktiv — Phish/Malware geht nur über den Admin.
Mass-Mail-Outbound-Detection, Compromised-User-Alerts, ungewöhnliche Forward-Setups — alles in deinen Slack/Teams-Channel oder PagerDuty/OpsGenie. Plus Audit-Logs strukturiert nach Sentinel/Splunk.
Damit klar ist was du bekommst. Add-ons möglich, aber nicht im Standard-Paket.
Festpreis. Liefer-Garantie 5 Werktage nach Kick-Off.
Brauchst du Attack-Simulator-Setup oder Connector-Migration für Hybrid-Setups? Beides als Add-on möglich — bei Anfrage besprechen.
Bundle-Tipp: M365-Hardening + DMARC-Reise zusammen = sauberer Inbound-Schutz UND authentifizierter Outbound.
„Wir hatten EOP auf Standard-Preset und dachten: passt schon, ist ja Microsoft. Nach dem Hardening: Quarantäne-Volumen +35 % im ersten Monat — alles legitime Phishing-Versuche, die vorher durchgekommen wären. Der branded Digest ist das, was die User endlich überhaupt nutzen."
P1 reicht für die meisten Mittelstand-Tenants (Safe-Links, Safe-Attachments, Anti-Phishing). P2 lohnt für Enterprise mit Threat-Hunting, Attack-Simulator und Auto-Investigation. Wir prüfen das im Erstgespräch.
Ja. Wir setzen die Connectors so dass weder DKIM-Signing noch DMARC-Alignment kaputt gehen — typischer Fehler bei Hybrid-Migrations. Hybrid-Setup: ggf. +½ Tag Aufwand.
Wir konfigurieren erst in einer Test-Group (3-5 User), beobachten 24h, dann Roll-out auf alle. Plus: alle Änderungen sind reversibel — vor Roll-out exportieren wir den existing State per PowerShell.
Sehr sinnvoll, sogar. M365-Hardening + DMARC-Reise zusammen heißt: Inbound ist sauber UND Outbound ist authentifiziert. Bei kombinierter Buchung gibt's Bundle-Rabatt.
Wir veröffentlichen Quartals-Updates für unsere Standard-Blueprints. Mit Retainer (ab CHF 990 / Mo) kommen die Updates automatisch in dein Tenant.
5 Werktage nach Kick-Off. Tag 1: Bestandsaufnahme. Tag 2-3: Konfiguration in Test-Group. Tag 4: Roll-out und Beobachtung. Tag 5: Doku, Übergabe-Workshop, Abschluss.
Du zeigst uns deinen Tenant (oder erzählst nur). Wir sagen dir was zu tun ist und ob's mit dem Festpreis-Paket abgedeckt ist.