Absender und Zustellung

Eine Übung misst nur dann Ihre Belegschaft, wenn sie im Posteingang ankommt. Landet sie im Junk-Ordner, misst die Auswertung den Spamfilter. Dieses Kapitel beschreibt die drei Dinge, die dafür stimmen müssen: die Absenderdomäne, den Zustellweg und die Freigabe beim Postfachanbieter.

Die Absenderdomäne

Empfohlen ist die von Conbool bereitgestellte Domäne. Eine Übung soll wie ein Angriff von außen aussehen. Aus der eigenen Firmendomäne verschickt, bringt sie der Belegschaft bei, der eigenen Domäne zu misstrauen. Für die bereitgestellte Domäne pflegt Conbool SPF und DKIM, Sie tragen dafür nichts ein.

Eine eigene Domäne ist möglich. Dann zeigt die Karte der Domäne unter Einstellungen, Schutz und Absender, welcher SPF-Eintrag und welcher DKIM-Schlüssel gesetzt sein müssen. Übernehmen Sie beide Werte mit Kopieren, nicht abgetippt.

Jede Nacht wird geprüft, ob SPF und DKIM noch stimmen. Fällt eine Domäne durch, plant das Programm über sie niemanden mehr ein, und im Änderungsprotokoll erscheint eine Zeile mit dem Grund. Betrifft das eine von Conbool bereitgestellte Domäne, sagt die Karte das ausdrücklich: Conbool ist benachrichtigt, Sie müssen nichts tun.

Der Zustellweg

Wie eine Übung ins Postfach kommt, hängt davon ab, wie Ihre Domäne eingerichtet ist. Umzustellen ist in keinem der beiden Fälle etwas.

• Mit Mailweg über Conbool geht die Übung direkt an Ihren Mailserver hinter dem Gateway, also am Conbool-Filter vorbei, der sie sonst als Phishing erkennen würde.
• Ohne Mailweg geht die Übung an den Mailserver, der im MX Ihrer Domäne steht, in der Regel Microsoft 365. Voraussetzung ist nur, dass die Domäne nachgewiesen ist, per TXT-Eintrag oder über Microsoft 365.

Die Freigabe beim Postfachanbieter

Eine gute Übung sieht für den Spamfilter aus wie echtes Phishing, weil sie genau das nachbildet. Ohne Ausnahme erkennt Microsoft Defender sie korrekt als Angriff. Die Werte für die Ausnahme stehen unter Einstellungen, Schutz und Absender, Abschnitt Zustellung.

Microsoft 365. Im Defender-Portal unter Richtlinien und Regeln, Bedrohungsrichtlinien, Erweiterte Zustellung den Reiter Phishingsimulation öffnen und die Absenderdomänen sowie die sendenden IP-Adressen eintragen.

Google Workspace. In der Admin-Konsole unter Apps, Google Workspace, Gmail die sendenden IP-Adressen in die Zulassungsliste für E-Mail eintragen.

Die Ausnahme gilt nur für Übungen aus diesen Domänen und von diesen Adressen. Echte Angriffe aus anderen Quellen werden weiter gefiltert.

Anschließend bestätigen Sie in Conbool, dass die Ausnahme eingetragen ist. Ohne diese Bestätigung startet kein Programm. Ändern sich Domänen oder sendende Adressen, gilt die Bestätigung als überholt und muss erneuert werden, ebenso nach einem halben Jahr.

Prüfen, ob es wirkt

Die Bestätigung ist eine Selbstauskunft. Belegen lässt sich die Ausnahme nur an einer echten Übung: eine Kampagne mit einem Testpostfach als einziger Zielgruppe anlegen und nachsehen, ob die Nachricht im Posteingang oder im Junk-Ordner liegt.

Landet sie im Junk-Ordner, sind die häufigsten Gründe:

• ein Wert ist abweichend eingetragen, etwa eine fehlende IP-Adresse,
• der Absender steht in der persönlichen Junk-Liste des Postfachs,
• eine eigene Transportregel greift vor der Ausnahme.