MailGuard-Quarantäne: Freigabe und Benachrichtigung

Die Quarantäne ist das Zwischenlager für verdächtige Nachrichten. Statt sie zuzustellen oder still zu verwerfen, hält MailGuard sie zurück und stellt einen kontrollierten Weg zur Freigabe bereit.

Gehaltene Nachrichten lassen sich prüfen und freigeben.

Wann eine E-Mail in Quarantäne landet

Ist die Quarantäne in einer Richtlinie eingeschaltet, wird eine Nachricht dort abgelegt statt zugestellt. Ausgelöst wird das durch die Bewertung, sofern die Richtlinie markierte Nachrichten in die Quarantäne legt, durch die Regeln zur Absenderprüfung, durch auffällige Kopfzeilen und Links sowie durch den Anhangsfilter und die DLP-Regeln. Die Schwellen dazu beschreibt die Seite Spam und Phishing.

Freigabe durch Empfänger

Zu einer zurückgehaltenen Nachricht erhält der Empfänger eine Benachrichtigung mit einem Freigabelink. Die Freigabeseite ist nur über diesen Link erreichbar und über ein Token abgesichert. Zur Bestätigung wird die eigene E-Mail-Adresse eingegeben, danach wird die Original-Nachricht zugestellt.

Das Original wird dabei in eine Hülle gepackt und als Anhang zugestellt. Das vermeidet Spoof-Filter und den Verzug-Drop in Microsoft 365.

Bei hoher Bedrohungsstufe ist die Selbstfreigabe gesperrt, in diesem Fall lässt sich der Administrator benachrichtigen. Maßgeblich ist eine eigene Schwelle: bis zu diesem Bewertungswert erscheint für Empfänger die Schaltfläche zum Freigeben, darüber nur noch Vorschau und Anforderung an die Administration. Freigegebene Nachrichten tragen die Kopfzeile X-Conbool-Released: yes. Damit sie in Exchange nicht erneut in der Spam-Bewertung hängen bleiben, gehört dort die passende Ausnahmeregel gesetzt, beschrieben unter Exchange Connectoren.

Wie lange Nachrichten liegen bleiben

Die Aufbewahrungsdauer steht in den MailGuard-Einstellungen unter Aufbewahrungsdauer. Voreingestellt sind 90 Tage, einstellbar zwischen 7 und 365 Tagen, ein leeres Feld bedeutet unbegrenzt.

Ein täglicher Lauf entfernt danach die gespeicherte Nachricht samt Anhängen. Der Eintrag in der Nachrichtenverfolgung bleibt als Nachweis erhalten und ist als Aufbewahrungsfrist abgelaufen gekennzeichnet. Eine Freigabe ist ab diesem Zeitpunkt nicht mehr möglich, denn das Original existiert nicht mehr.

Absender-Aktionen

Aus derselben Benachrichtigung heraus kann der Empfänger einen Absender dauerhaft blockieren oder ihm vertrauen. Ein vertrauter Absender wird künftig nicht mehr in die Quarantäne verschoben, ein blockierter Absender automatisch abgewiesen. Diese persönlichen Listen ergänzen den zentralen IP- und Absenderfilter.

Administration

Administratoren geben Nachrichten zentral frei und können saubere Dateien nach der Anhangsprüfung automatisch freigeben lassen. Jede Freigabe und jede Absender-Aktion ist im Tracing und im Audit-Log nachvollziehbar.

Sammelbenachrichtigung und Zeitpläne

Läuft die Zustellung im Nur-Portal-Modus, fasst MailGuard gehaltene Nachrichten zu einer Sammelbenachrichtigung zusammen. Deren Rhythmus wird unter Einstellungen im Bereich MailGuard festgelegt. Zur Wahl stehen Nie, Täglich, Wöchentlich, Monatlich und neu Benutzerdefiniert.

Die Option Benutzerdefiniert öffnet einen Zeitplan-Editor. Dort lassen sich einzelne Wochentage von Montag bis Sonntag auswählen, mindestens einer, sowie bis zu vier Uhrzeiten je Tag. Der Versand erfolgt an jedem gewählten Wochentag zu jeder gewählten Uhrzeit, alle Zeiten gelten in der Zeitzone Europe/Berlin.

Benutzerdefinierter Zeitplan mit Wochentagen und bis zu vier Uhrzeiten.

Verpasste Zeitpunkte werden bis zu sechs Stunden nachgeholt, ältere verfallen. So entsteht nach einer Ausfallzeit kein Schwall an Sammelmails auf einmal. Denselben Zeitplan nutzt die Admin-Freigabe-Benachrichtigung, sie folgt einem eigenen Benachrichtigungsrhythmus mit derselben Option. Auch beim Reports auswerten greift für den DMARC-Reports-Digest dieselbe Zeitplanung.

Weiterführend

Beim Rollout empfiehlt sich zunächst der Audit-Modus, damit legitime Post nicht unnötig in der Quarantäne landet. Zum Überblick führt die Seite MailGuard.