Ein E-Mail-Gateway nimmt Post für eine Domäne an und reicht sie an den Exchange weiter. Kennt es die gültigen Adressen nicht, nimmt es alles an, auch Post an buchhaltung7@firma.de, die es nie gab. Der Exchange lehnt ab, und das Gateway schickt einen Rückläufer an einen Absender, der meist gefälscht ist.
Was ohne Prüfung passiert
- Rückläufer. Das Gateway erzeugt Unzustellbarkeitsberichte an gefälschte Absender und landet damit selbst auf Sperrlisten.
- Ertasten von Adressen. Wer beobachtet, welche Adressen angenommen und welche später abgelehnt werden, erhält eine Liste gültiger Postfächer. Mehr dazu im Beitrag Was ist Directory Harvesting.
- Last. Filter und Quarantäne arbeiten für Post, die niemand bekommen kann.
Welche Objekte zählen
Zustellbare Adressen stehen im Attribut proxyAddresses. Die Hauptadresse beginnt mit SMTP:, weitere Adressen mit smtp:. Nicht nur Benutzer tragen solche Adressen:
| Objekt | Warum es zählt |
|---|---|
| Benutzer mit Postfach | die gewöhnlichen Adressen |
| Deaktivierte Konten | freigegebene Postfächer und Raumpostfächer sind deaktivierte Benutzer |
| Mailfähige Gruppen | Verteiler wie info@ oder vertrieb@ |
| Dynamische Verteiler | eigene Objektklasse, leicht zu übersehen |
| Kontakte | Adressen, die intern weiterleiten |
| Öffentliche Ordner | mailfähige Ordner mit eigener Adresse |
Wer nur aktive Benutzer mit mail liest, lehnt freigegebene Postfächer und Verteiler ab. Das ist der teuerste Fehler dieser Einrichtung, weil echte Post verloren geht.
Bei mehreren Domänen in einer Gesamtstruktur gehört die Abfrage an den Global Catalog, über LDAPS auf Port 3269. Er kennt die Adressen aller Domänen.
Der Empfängerfilter im Exchange
Exchange bringt einen eigenen Empfängerfilter mit, eingeschaltet mit Set-RecipientFilterConfig -RecipientValidationEnabled $true. Er prüft am Exchange, klassisch auf dem Edge-Transport-Server. Steht ein Gateway eines anderen Herstellers davor, hat das Gateway die Nachricht zu diesem Zeitpunkt bereits angenommen. Die Prüfung muss deshalb am Gateway selbst stattfinden.
Sicher einrichten
- Vollständige Quelle. Alle Objekte aus der Tabelle, aus der ganzen Gesamtstruktur, auch deaktivierte Konten.
- Abdeckung prüfen. Je Domäne vergleichen, wie viele Adressen das Gateway kennt und wie viele der Exchange hat. Eine Domäne mit null Adressen darf nicht geprüft werden.
- Einbruch abfangen. Liefert ein Abgleich plötzlich deutlich weniger Adressen, etwa wegen eines falsch gesetzten Filters, darf der neue Stand nicht übernommen werden.
- Veralteten Stand abschalten. Kommt tagelang kein Abgleich, ist eine Prüfung ohne Prüfung besser als eine, die echte Empfänger ablehnt.
- Hybrid bedenken. Postfächer in Exchange Online brauchen ihre Adressen aus Entra ID, Postfächer im Haus aus dem AD.
Wie Conbool das löst
Der Verzeichnis-Agent von Conbool liest bei jedem vollständigen Lauf über den Global Catalog jedes Objekt mit SMTP-Adresse im ganzen Wald, auch deaktivierte Konten, Verteiler, dynamische Verteiler, Kontakte und öffentliche Ordner. Erst der Abschluss eines Laufs ersetzt den alten Stand. Bricht eine Domäne um mehr als die Hälfte ein, übernimmt Conbool nichts. Ein Stand ohne Aktualisierung verfällt nach sieben Tagen, und die Prüfung schaltet sich eher ab, als echte Post abzuweisen.
Mehr auf den Seiten Directory-Harvesting-Schutz und E-Mail-Sicherheit ohne Entra ID, die Anbindung in der Doku zum Verzeichnis.
