Journaling für Exchange und Microsoft 365 einrichten

Läuft der Mailfluss über das Conbool Gateway, archiviert das Archiv ohne weitere Anbindung. Eine Lücke bleibt trotzdem: Nachrichten zwischen zwei Postfächern derselben Organisation stellt Exchange lokal zu, sie erreichen das Gateway nie. Journaling schließt genau diese Lücke, denn eine Journalregel erzeugt zu jeder Nachricht eine Kopie, unabhängig vom Weg.

Für Exchange und Microsoft 365 ist die Journalregel der vorgesehene Weg. Jeder andere Mailserver liefert stattdessen eine Kopie per BCC an dieselbe Adresse, beschrieben unter Eigener Mailserver.

Schritt 1: Quelle im Portal anlegen

Im Archiv im Bereich Verwaltung auf der Registerkarte Quellen und Migration im Abschnitt Journaling und Mailserver-Kopien eine Quelle anlegen. Dabei werden drei Angaben gesetzt.

• Name, zur Unterscheidung mehrerer Mailsysteme, etwa Exchange Online oder ein Standort mit eigenem Server.
• Zulieferweg, hier Journal. Die Voreinstellung erkennt die Art je Nachricht selbst, eine feste Einstellung ist eindeutiger, sobald eine Quelle nur ein Mailsystem bedient.
• Absender-IP-Allowlist, optional. Für Exchange Online bleibt sie leer, denn der ausgehende Adressbereich von Microsoft ist geteilt und ändert sich. Sinnvoll ist sie bei einem eigenen Server mit fester Adresse.

Danach zeigt das Portal die Ingestion-Adresse in der Form kennung@journal.conbool.com. Diese Adresse ist nicht erratbar und wirkt als Geheimnis. Sie lässt sich jederzeit rotieren, die alte Adresse nimmt danach nichts mehr an.

Vorher muss die Archivierung aktiviert sein, siehe Einrichtung. Ohne aktives Archiv wird eine eingehende Kopie nicht abgelegt.

Schritt 2: Journalregel in Exchange Online

Im Exchange Admin Center unter Mailfluss, je nach Fassung der Oberfläche auch E-Mail-Fluss oder Nachrichtenfluss, dann Journalregeln:

1. Die Adresse für unzustellbare Journalberichte setzen. Sie gilt einmal für die Organisation und darf nicht das Journalziel selbst sein, sonst kreisen Fehlberichte. Ein internes Postfach ist der richtige Ort.
2. Eine Regel hinzufügen und als Journalempfänger die Ingestion-Adresse aus dem Portal eintragen.
3. Als Umfang alle Nachrichten wählen, also ein- und ausgehende sowie interne. Nur damit ist die Lücke bei rein interner Post geschlossen.
4. Die Regel auf alle Nachrichten der Organisation anwenden, statt sie auf einzelne Postfächer zu begrenzen.

Ein Postfach in Exchange Online ist als Journalziel nicht zulässig. Genau deshalb ist eine externe Adresse nötig, und das Archiv stellt sie bereit.

Was ein Journalbericht enthält

Exchange verschickt keine einfache Kopie, sondern einen Bericht: eine kurze Nachricht mit den Zeilen Sender, Recipient und On-Behalf-Of, die die Originalnachricht als Anhang vom Typ message/rfc822 trägt.

Aus diesen Zeilen liest das Archiv die tatsächlichen Beteiligten des Umschlags. Das ist der entscheidende Unterschied zur Kopie per BCC: Bcc-Empfänger und die Auflösung von Verteilerlisten stehen im Umschlag, aber in keiner sichtbaren Kopfzeile. Nur der Bericht erfasst sie vollständig.

Archiviert wird je Beteiligtem, dessen Adresse zu einer verifizierten Domäne des Mandanten gehört. Fremde Gegenstellen erzeugen keinen eigenen Eintrag.

Absicherung der Adresse

Drei Prüfungen laufen vor der Annahme, jede mit einer eindeutigen Antwort.

• Ohne TLS wird mit 530 5.7.0 Journal ingestion requires TLS abgewiesen. Neu angelegte Quellen verlangen TLS, die Quelle weist den Zustand als Kennzeichen TLS erforderlich aus. Exchange Online stellt von sich aus per TLS zu.
• Eine unbekannte, rotierte oder deaktivierte Adresse wird mit 550 5.1.1 abgewiesen.
• Ist eine Allowlist gesetzt und die liefernde Adresse steht nicht darin, folgt 550 5.7.1 Source not permitted for this journal address.

Einrichtung prüfen

Im Archiv zeigt der Bereich Quellen und Migration den Ingest-Zustand und den Zeitpunkt der letzten Archivierung. Nach der ersten Nachricht springt der Zähler der Quelle an.

Eine belastbare Probe ist eine Nachricht zwischen zwei eigenen Postfächern. Sie taucht in der Nachrichtenverfolgung nicht auf, weil sie das Gateway nie berührt, muss aber im Archiv erscheinen. Genau dieser Unterschied belegt, dass die Journalregel arbeitet.

Fehlerbilder

• Es kommt gar nichts an. Zuerst prüfen, ob die Archivierung aktiviert ist, danach den Umfang der Journalregel und zuletzt die Adresse auf Tippfehler. Eine rotierte Adresse in einer alten Regel ist der häufigste Fall nach einer Umstellung.
• Nur ein Teil der Nachrichten kommt an. Der Umfang der Regel steht auf intern oder extern statt auf allen Nachrichten.
• Berichte laufen auf und werden abgewiesen. Für Exchange Online wurde eine Absender-IP-Allowlist gesetzt. Der ausgehende Adressbereich von Microsoft ist geteilt und lässt sich nicht sinnvoll auflisten, die Liste gehört hier geleert.
• Unzustellbare Journalberichte häufen sich. Die dafür hinterlegte Adresse fehlt oder zeigt auf das Journalziel selbst.

Doppelte Zustellungen sind unkritisch. Das Archiv legt je Nachricht, Empfänger und Richtung genau einen Eintrag an und verwirft Wiederholungen.

Weiterführend

Aktivierung, Speicherklassen und Altbestände beschreibt die Einrichtung. Fristen und Unveränderbarkeit stehen unter Aufbewahrung und WORM, der Zugriff auf den Bestand unter Suche und Zugriff. Für Mailserver ohne Journalfunktion gilt der Weg über Eigener Mailserver.