Wenn der MX bleiben muss: E-Mail-Schutz ohne Änderung am MX-Eintrag

Es gibt einen Satz, der jedes zweite Erstgespräch beendet: „Wir dürfen den MX-Eintrag nicht anfassen." Manchmal steht eine Konzernvorgabe dahinter, manchmal ein laufender Vertrag mit dem bisherigen Anbieter, manchmal eine Ausschreibung, die erst im nächsten Jahr entschieden wird. Der Grund ist selten technisch, und er ist fast nie verhandelbar.

Es gibt für diesen Fall einen zweiten Weg. Er ist gut genug, um ihn zu bauen, und er ist schwächer als der erste. Beides gehört in dasselbe Gespräch.

Was der MX-Eintrag eigentlich entscheidet

TL;DR: Der MX-Eintrag bestimmt, welcher Server die Post einer Domäne zuerst annimmt. Zeigt er auf ein Sicherheitsgateway, wird jede Nachricht vor der Zustellung geprüft und eine Bedrohung erreicht das Postfach nie. Bleibt er beim bisherigen Anbieter, kann ein Schutz nur nach der Zustellung eingreifen: er liest die neuen Nachrichten über die Postfach-Schnittstelle, prüft sie und entfernt Treffer wieder.

Der Unterschied ist keine Frage der Erkennungsqualität. Es sind dieselben Prüfungen: Virenscan, Reputationslisten, Linkanalyse, Identitätsprüfung, Anhangszerlegung. Der Unterschied ist der Zeitpunkt, an dem sie stattfinden — und damit die Frage, ob eine gefährliche Nachricht überhaupt jemals in einem Postfach liegt.

Der Betrieb ohne MX-Wechsel, Schritt für Schritt

Schritt 1, Zugriff: Der Schutz bekommt eine Berechtigung auf die Postfächer des Microsoft-365-Mandanten. Ohne diese ausdrückliche Freigabe passiert nichts.

Schritt 2, Takt: In einem festen Abstand — bei Conbool zwischen 5 und 120 Minuten, voreingestellt sind 15 — liest ein Lauf die neu eingegangenen Nachrichten.

Schritt 3, Prüfung: Jede neue Nachricht durchläuft dieselbe Kette wie im Zustellweg. Es wird keine Prüfung weggelassen; sie findet nur an einer anderen Stelle statt.

Schritt 4, Reaktion: Ein Treffer wird aus dem Postfach genommen, in den Junk-Ordner verschoben oder nur gekennzeichnet. Was davon passiert, entscheidet der Mandant.

Die Lücke, die niemand wegdiskutieren sollte

Zwischen Schritt 2 und Schritt 4 liegt eine Zeitspanne, und in dieser Zeitspanne liegt die Nachricht im Postfach. Bei einem Abstand von 15 Minuten sind das im schlechtesten Fall 15 Minuten, in denen jemand auf einen Link klicken oder einen Anhang öffnen kann.

Das ist der ganze Unterschied, und er lässt sich nicht wegkonfigurieren. Ein kürzerer Abstand verkleinert das Fenster, schließt es aber nicht: unter fünf Minuten läuft der Lauf sich selbst hinterher, und die Schnittstelle von Microsoft drosselt ab einer bestimmten Frequenz.

Deshalb sollte ein Anbieter, der diesen Betrieb anbietet, ihn auch so benennen. Bei Conbool heißt der Schutzzustand in diesem Modus nicht „geschützt", sondern trägt einen eigenen Namen, das Lagebild zeigt ihn, und die Auswahl des Abstands sagt in Minuten, wie lange eine Bedrohung im schlechtesten Fall liegt.

Zweite Ehrlichkeit: der Modus muss laufen

Ein Schalter, der eingeschaltet ist und nichts tut, ist gefährlicher als ein ausgeschalteter — weil ihn niemand mehr prüft. Ein Betrieb über die Postfach-Schnittstelle kann still liegenbleiben: die Berechtigung wird zurückgezogen, ein Lauf hängt, ein Postfach antwortet nicht mehr.

Ein brauchbarer Schutz muss das melden, statt es zu verschweigen. Bei Conbool gilt der Modus deshalb nur dann als aktiv, wenn im dreifachen des eingestellten Abstands ein Lauf wirklich durchgelaufen ist. Sonst fällt der Zustand auf „ungeschützt" zurück, und der Mandant bekommt die Meldung.

Wann welcher Weg der richtige ist

Prüfung im Zustellweg ist die erste Wahl, wenn der MX-Eintrag änderbar ist. Eine blockierte Nachricht wird dem Absender abgewiesen, was zwei Vorteile hat: sie erreicht das Postfach nie, und der Absender erfährt davon. Bei einem Fehlalarm meldet sich der Gegenüber, statt sich zu wundern.

Prüfung nach der Zustellung ist die richtige Wahl, wenn der MX bleiben muss — und sie ist deutlich besser als kein Schutz. Sie eignet sich außerdem als Zwischenschritt: viele Häuser starten so, sehen einen Monat lang die Zahlen und wechseln danach in den Zustellweg, wenn der Vertrag ausläuft.

Beides zusammen ist kein Widerspruch. Auch mit MX-Eintrag auf dem Gateway lohnt die nachträgliche Prüfung, denn manche Urteile entstehen erst Stunden später. Wie das aussieht, steht in unserem Überblick zum nachträglichen Entfernen zugestellter E-Mails.

Worauf man bei Anbietern achten sollte

Reine Schnittstellen-Anbieter werben gern damit, dass „keine Änderung am MX nötig" sei, und lassen offen, dass daraus ein Prüfzeitpunkt nach der Zustellung folgt. Drei Fragen klären das schnell:

• Wann wird geprüft? Vor oder nach der Zustellung. Alles andere ist Beiwerk.
• Wie groß ist das Fenster? Der Abstand zwischen zwei Läufen, in Minuten, und ob er einstellbar ist.
• Was passiert, wenn der Lauf ausfällt? Meldet das Produkt es, oder steht der Schutz weiter auf grün?

Wer auf alle drei eine klare Antwort bekommt, kann die Entscheidung treffen. Wer keine bekommt, weiß auch etwas.

Fazit

Der Betrieb ohne MX-Wechsel ist kein Notbehelf und kein Ersatz. Er ist ein zweiter Weg mit einer benennbaren Schwäche: die Nachricht liegt bis zum nächsten Lauf im Postfach. Für ein Haus, das seinen MX nicht anfassen darf, ist das der Unterschied zwischen Schutz und keinem Schutz — solange der Anbieter die Schwäche nennt, statt sie zu verschweigen.

Mehr zum Gateway im Zustellweg steht auf der Seite zu MailGuard.