In fast jeder Umgebung mit eigenem Exchange steht ein Gateway vor dem Server. Es filtert, verschlüsselt, signiert und protokolliert. Was viele erst im Audit bemerken: für Post zwischen zwei Kolleginnen gilt davon nichts. Die Nachricht erreicht das Gateway nie.
Was der Exchange mit einer internen Nachricht macht
Outlook übergibt die Nachricht an den Postfachserver. Der Transportdienst nimmt sie an, und der Kategorisierer löst die Empfänger im Active Directory auf. Gehört ein Empfänger zur eigenen Organisation, ist das Ziel seine Postfachdatenbank. Die Nachricht wird direkt zugestellt.
Ein Sendeconnector kommt dabei nie ins Spiel. Er wird nur für Adressräume außerhalb der Organisation gewählt. Das ist kein Konfigurationsfehler, sondern die Architektur von Exchange.
Warum die üblichen Hebel nicht greifen
Akzeptierte Domäne auf interne Weiterleitung. Mit dem Typ InternalRelay stellt Exchange an jeden Empfänger lokal zu, der im Verzeichnis existiert. Nur unbekannte Empfänger gehen an den Connector. Für interne Post ändert sich nichts.
Transportregeln. Im eigenen Exchange können Regeln Nachrichten umleiten, in Kopie senden, Kopfzeilen setzen und Rechteverwaltung anwenden. Die Aktion, eine Nachricht über einen bestimmten ausgehenden Connector zu leiten, gibt es nur in Exchange Online. Eine Umleitung an eine externe Adresse ändert den Empfänger, nicht den Weg.
Journaling. Eine Journalregel erfasst interne Post für das Archiv. Verschlüsselt oder geschützt wird dabei nichts, es entsteht nur eine Kopie.
Die Folgen
- Interne Nachrichten mit Personaldaten, Gesundheitsdaten oder Verträgen liegen unverschlüsselt in den Postfächern.
- Regeln gegen Datenabfluss am Gateway sehen interne Weiterleitungen nicht.
- Die Nachrichtenverfolgung des Gateways kennt interne Post nicht.
Drei Wege zu verschlüsselter interner Post
1. S/MIME je Person
Jedes Postfach bekommt ein Zertifikat, verteilt per Gruppenrichtlinie oder Softwareverteilung. Das funktioniert ohne Gateway. Der Preis ist die Pflege: Zertifikate auf jedem Gerät, regelmäßige Erneuerung, ein Weg für neue Mitarbeitende, und am Ende entscheidet trotzdem die Person, ob sie verschlüsselt.
2. Hilfsdomäne
Eine zweite Domäne wie secure.firma.de wird im Exchange als externe Weiterleitung eingetragen, ein Sendeconnector führt sie zum Gateway, das die Adresse zurückschreibt und zustellt. Technisch sauber. Im Alltag schreibt aber jeder an die gewohnte Adresse. Ohne Kontakte im Adressbuch und Schulung bleibt der Weg leer.
3. Transport-Agent
Ein Agent im Transportdienst sieht jede Nachricht, auch die interne. Er übergibt interne Post per SMTP an das Gateway, das die Regeln anwendet und die Nachricht an den Exchange zurückgibt. Der Agent erkennt seine eigene Markierung und lässt lokal zustellen.
Dieser Weg ändert weder Adressen noch Postfächer. Er verlangt aber Sorgfalt an drei Stellen:
- Ausfall des Gateways. Die Nachricht muss zurückgestellt werden, nicht ungeschützt zugestellt. Klartext lässt sich nicht zurückholen.
- Outlook-Format. Outlook sendet intern im eigenen TNEF-Format. Termine und Aufgaben vertragen keine Umwandlung, gewöhnliche Nachrichten müssen trotzdem erfasst werden.
- Stabilität. Ein Agent, der nicht lädt, darf den Transportdienst nicht stoppen.
Die Details dazu stehen im Beitrag zum Exchange Transport Agent.
Wie Conbool das löst
Conbool liefert den dritten Weg als fertigen Exchange-Agenten. Er startet im Modus Beobachten, führt interne Post danach über SecureMail und stellt bei einem Ausfall des Gateways zurück. Mehr dazu auf der Seite Interne E-Mails im Exchange verschlüsseln, die Einrichtung steht in der Doku zum Exchange-Agenten.
