So verhindern Sie Phishing-E-Mails in Microsoft 365 und Google Workspace: Admin-Einstellungen und wann ein Gateway sinnvoll ist

Um Phishing-E-Mails in Microsoft 365 zu stoppen, aktivieren Sie die Standard- oder strengen vordefinierten Sicherheitsrichtlinien, fügen Sie die Personen und Domains, die am wahrscheinlichsten gefälscht werden, zum Identitätsschutz hinzu, lassen Sie Safe Links aktiviert und stellen Sie den Nutzern die integrierte Melde-Schaltfläche zur Verfügung. In Google Workspace aktivieren Sie die erweiterten Phishing- und Malware-Einstellungen von Gmail und veröffentlichen SPF, DKIM und DMARC. Falls dennoch zu viele E-Mails durchkommen, schalten Sie ein MX-Gateway wie iBlockSpam voran und schränken Sie die direkte Zustellung ein.

Was schützt Ihre Postfächer, bevor Sie Änderungen vornehmen?

Beide Plattformen filtern eingehende E-Mails bereits. Die Frage ist, welche zusätzlichen Schutzmaßnahmen Ihre Lizenz beinhaltet und welche deaktiviert sind.

Microsoft beschreibt eine dreistufige Schutzleiter in seiner Defender for Office 365 Übersicht. Die integrierten Sicherheitsfunktionen für alle Cloud-Postfächer (oft als Exchange Online Protection oder EOP bezeichnet) blockieren breit angelegte, bekannte Angriffe. Defender for Office 365 Plan 1 bietet zusätzlich Schutz vor Identitätsdiebstahl, Phishing-Schwellenwerte, Safe Links und Safe Attachments. Microsoft führt Microsoft 365 Business Premium und Microsoft 365 E3 als Beispiele auf, die Plan 1 enthalten. Plan 2 (zum Beispiel in Microsoft 365 E5) ergänzt Angriffssimulationstraining und automatisierte Untersuchung.

In Google Workspace befinden sich die Schutzmaßnahmen unter Apps > Google Workspace > Gmail, auf den Seiten Sicherheit sowie Spam, Phishing und Malware. Einige Funktionen hängen von Ihrer Edition ab.

Für den Gesamtüberblick (warum E-Mail nach wie vor der Haupteinstiegspunkt ist und wie das MX-Routing funktioniert), lesen Sie unseren Leitfaden zum Schutz von Business-E-Mails.

Wie verhindern Sie Phishing-E-Mails in Microsoft 365?

Beginnen Sie mit der von Microsoft empfohlenen Basislinie und fügen Sie dann die Schutzmaßnahmen hinzu, die nicht standardmäßig aktiviert sind. Arbeiten Sie dazu im Microsoft Defender Portal unter security.microsoft.com.

1. 1Aktivieren Sie eine vordefinierte Sicherheitsrichtlinie. Gehen Sie zu E-Mail & Zusammenarbeit > Richtlinien & Regeln > Bedrohungsrichtlinien > Vordefinierte Sicherheitsrichtlinien. Die Seite für vordefinierte Sicherheitsrichtlinien von Microsoft beschreibt Standard als Basislinie für die meisten Benutzer und Strict als ein aggressiveres Profil für hochrangige Ziele. Die meisten Einstellungen sind fest vorgegeben; Strict wird immer zuerst angewendet, dann Standard und anschließend alle benutzerdefinierten Richtlinien.
2. 2Fügen Sie Personen und Domänen zum Schutz vor Identitätsdiebstahl hinzu. Vordefinierte Richtlinien schützen Ihre akzeptierten Domänen automatisch, aber Sie müssen die Personen namentlich angeben. Im Standard- oder Strict-Preset können Sie bis zu 350 Benutzer und 50 benutzerdefinierte Domänen hinzufügen. Fügen Sie Führungskräfte, Finanzmitarbeiter und wichtige Lieferanten hinzu. Microsoft weist darauf hin, dass eine Look-alike-Domäne SPF, DKIM und DMARC bestehen kann, weshalb dieser Schritt entscheidend ist.
3. 3Überprüfen Sie den Phishing-Schwellenwert in benutzerdefinierten Richtlinien. In den Anti-Phishing-Richtlinien von Defender for Office 365 reicht der Schwellenwert von 1 (Standard, der Standardwert) bis 4 (am aggressivsten). Höhere Werte führen auch dazu, dass mehr legitime E-Mails markiert werden.
4. 4Lassen Sie die Spoof-Intelligence aktiviert und beachten Sie DMARC. Spoof-Intelligence und der Tipp zur Sicherheit beim Erstkontakt stehen für alle Cloud-Postfächer zur Verfügung. Mit der Einstellung Honor DMARC record policy können Sie E-Mails, die die p=quarantine- oder p=reject-Richtlinie eines Absenders nicht erfüllen, in Quarantäne stellen oder ablehnen.
5. 5Bestätigen Sie, dass Safe Links aktiv ist. Safe Links scannt URLs während des E-Mail-Verkehrs und prüft sie erneut, wenn ein Benutzer darauf klickt. Wenn Sie mindestens eine Defender for Office 365-Lizenz besitzen, wendet das integrierte Schutz-Preset Safe Links auf alle an, die nicht durch eine andere Richtlinie abgedeckt sind. Lassen Sie die Option Benutzern das Klicken auf die ursprüngliche URL ermöglichen deaktiviert.
6. 6Aktivieren Sie die Melden-Schaltfläche. Aktivieren Sie in den Einstellungen für Nutzer-Meldungen die integrierte Schaltfläche Melden. Gemäß dem Meldeleitfaden von Microsoft können Nutzer Phishing über unterstützte Outlook-Apps melden; die Meldungen gehen dann an Microsoft, ein Melde-Postfach oder an beides.
7. 7Führen Sie den Konfigurations-Analyzer aus. Der Konfigurations-Analyzer vergleicht Ihre Richtlinien mit den Standard- und Strict-Einstellungen und listet jede schwächere Einstellung auf.

Microsoft 365 Quarantäne: Was Nutzer freigeben können und was nicht

Gemäß der Quarantäne-Übersicht von Microsoft werden Malware und Phishing mit hoher Konfidenz immer in Quarantäne gestellt, und nur Administratoren können diese freigeben. Standardmäßig können Nutzer mit ihren eigenen Spam-, Bulk-, Phishing- und Spoofing-Erkennungen arbeiten. Quarantäne-Richtlinien legen fest, was Nutzer tun dürfen und ob sie Benachrichtigungen erhalten. Spam, der durch die Standardrichtlinie zurückgehalten wird, läuft nach 15 Tagen ab (anpassbar von 1 bis 30); die Voreinstellungen behalten ihn für 30 Tage. Aktivieren Sie Benachrichtigungen, damit gewünschte E-Mails freigegeben werden, bevor sie gelöscht werden.

Wie verhindern Sie Spam und Phishing in Google Workspace?

In Gmail erzielen Sie die größten Erfolge mit den erweiterten Sicherheitseinstellungen und der Authentifizierung Ihrer eigenen Domain. Sie benötigen die Administratorberechtigung für die Gmail-Einstellungen.

1. 1Öffnen Sie Gmail Sicherheit. Gehen Sie zu Apps > Google Workspace > Gmail > Sicherheit. Die Seite zum erweiterten Phishing- und Malware-Schutz von Google gruppiert die Steuerelemente in drei Bereiche: Anhänge, Links und externe Bilder sowie Spoofing und Authentifizierung.
2. 2Aktivieren Sie jeden Schutz und wählen Sie eine Aktion. Die Standardaktion lautet „E-Mail im Posteingang behalten und Warnung anzeigen“. Sie können E-Mails stattdessen in den Spam-Ordner verschieben oder sie in eine Administrator-Quarantäne senden, von der die Nutzer keine Benachrichtigung erhalten.
3. 3Setzen Sie das Häkchen bei „Empfohlene Einstellungen zukünftig automatisch anwenden“ in jedem Bereich, damit neue Schutzmaßnahmen von Google automatisch für Sie aktiviert werden.
4. 4Aktivieren Sie das erweiterte Scannen von Nachrichten vor der Zustellung. Unter Spam, Phishing und Malware verzögert diese Einstellung verdächtige Nachrichten kurzzeitig, sodass Gmail vor der Zustellung zusätzliche Prüfungen durchführen kann.
5. 5Aktivieren Sie Security Sandbox, sofern Ihre Edition dies unterstützt. Security Sandbox öffnet Anhänge in einer virtuellen Umgebung. Standardmäßig ist diese Funktion deaktiviert; sie kann die Zustellung um bis zu 3 Minuten verzögern und ist für die Editionen Business Standard, Business Plus, Enterprise und Frontline Plus verfügbar.
6. 6Wenden Sie die Einstellungen auf der obersten Organisationsebene an, damit alle Nutzer abgedeckt sind. Änderungen können bis zu 24 Stunden dauern.

Verhindern SPF, DKIM und DMARC auf Ihrer Domain eingehende Phishing-Angriffe?

Sie verhindern, dass Angreifer unter Ihrer exakten Domain senden. Sie verhindern keine Look-alike-Domains oder kompromittierte externe Konten.

• SPF (RFC 7208) listet die Server auf, die berechtigt sind, im Namen Ihrer Domain zu senden. Den Workspace-Wert finden Sie im SPF-Leitfaden von Google.
• DKIM (RFC 6376) signiert jede Nachricht. Erstellen Sie in Google Workspace den Schlüssel unter Gmail > E-Mail authentifizieren, veröffentlichen Sie ihn und klicken Sie dann auf Authentifizierung starten (der DKIM-Leitfaden von Google empfiehlt 2048 Bit).
• DMARC (RFC 7489) teilt den Empfängern mit, was zu tun ist, wenn beide Prüfungen fehlschlagen. Der DMARC-Leitfaden von Google empfiehlt, nach SPF oder DKIM 48 Stunden zu warten, mit p=none zu beginnen und dann zu quarantine oder reject überzugehen.

Ein Inbound-Gateway ändert Ihren SPF-Eintrag nicht. Fügen Sie einen Dienst nur zu SPF hinzu, wenn Sie Outbound-Mails darüber versenden.

Wann sollten Sie einen Spam-Filter eines Drittanbieters vor Microsoft 365 oder Google Workspace schalten?

Nutzen Sie ein Gateway, wenn die Optimierung des integrierten Filters das Problem nicht mehr behebt oder wenn Sie Funktionen benötigen, die das System nicht bietet. Es ist eine zweite Sicherheitsebene, kein Ersatz.

Microsoft spricht die Kompromisse offen an. Der Leitfaden zur Integration von Nicht-Microsoft-Sicherheitsdiensten führt an, dass mit jedem zusätzlichen Produkt höhere Kosten, eine größere Komplexität und mehr False Positives entstehen. Zudem heißt es: „Ein vollständiger Schutz erreicht niemals 100 Prozent.“ Häufige Gründe, dennoch ein Gateway hinzuzufügen:

• Spam oder Phishing erreicht trotz Anwendung der Standard- oder Strict-Einstellungen weiterhin Posteingänge.
• Ihre Lizenz beinhaltet Defender for Office 365 nicht, und die Add-ons pro Benutzer übersteigen Ihr Budget.
• Sie wünschen sich eine zentrale Quarantäne und einen einheitlichen Regelsatz für mehrere Domains oder Mail-Plattformen, kombiniert mit einer einfachen persönlichen Quarantäne für jeden Benutzer.

Microsoft unterstützt die Konfiguration, bei der MX auf das Gateway zeigt und Enhanced Filtering for Connectors aktiviert ist, vollumfänglich. Es wird empfohlen, In-and-Out-Routing zu vermeiden, bei dem E-Mails Microsoft 365 zum Scannen verlassen und anschließend wieder zurückkehren.

Wie fügt man einen Gateway-Filter vor Microsoft 365 hinzu?

Sie erstellen einen Partner-Inbound-Connector, aktivieren das Enhanced Filtering, verschieben MX und sperren anschließend den Tenant, sodass nur das Gateway Zustellungen vornehmen kann. Die Reihenfolge ist entscheidend.

1. 1Senken Sie die MX TTL einen Tag vor der Änderung auf etwa 300 Sekunden.
2. 2Erstellen Sie einen Partner-Inbound-Connector im Exchange Admin Center (Nachrichtenfluss > Connectors) für alle Absender-Domains (*), der TLS erfordert. Lassen Sie die Beschränkungen vorerst deaktiviert.
3. 3Aktivieren Sie Enhanced Filtering for Connectors unter security.microsoft.com/skiplisting. Ohne diese Funktion scheint laut Erläuterung von Microsoft jede Nachricht von der IP des Gateways zu stammen, wodurch die Spoofing-Prüfungen an Genauigkeit verlieren. Geben Sie die IP-Bereiche des Gateways ein oder wählen Sie „Automatically detect and skip the last IP address“ für einen einzelnen Hop. Ein Pilotprojekt mit einigen Benutzern muss jede Adresse jedes Empfängers auflisten.
4. 4Ändern Sie den MX-Eintrag auf die Hosts des Gateways. Behalten Sie Microsofts MX nicht als Backup. Gemäß RFC 5321 Abschnitt 5.1 greifen Absender auf andere aufgeführte MX-Hosts zurück, wodurch Spammer das Backup direkt ins Visier nehmen können.
5. 5Sichern Sie den Connector ab, sobald die alte TTL abgelaufen ist. Der Routing-Leitfaden für Drittanbieter-Clouds von Microsoft empfiehlt, den Partner-Connector durch das TLS-Zertifikat des Gateways (bevorzugt) oder durch IP-Adressen einzuschränken. E-Mails, die direkt an Ihren Tenant gesendet werden, werden dann abgelehnt.
6. 6Entfernen Sie alle SCL -1 Bypass-Regeln. Microsoft bezeichnet SCL -1 als „Eingabe für die Filterung, nicht als endgültige Entscheidung“ und warnt davor, dass das Umgehen gemeinsam genutzter Gateway-IPs gefälschte E-Mails und Phishing-Mails durchlassen kann.
7. 7Deaktivieren Sie das Link-Rewriting im Gateway, falls Sie Safe Links verwenden. Microsoft warnt, dass eine doppelte Link-Umhüllung (Link Wrapping) verhindern kann, dass Safe Links die Links überprüft.

Die Microsoft-Opt-in-RejectDirectSend-Einstellung (Ankündigung) blockiert zudem anonyme Nachrichten, die Ihre eigenen Domains als Absender verwenden. Migrieren Sie zuerst Scanner und Apps, die Direct Send nutzen.

Wie füge ich einen Gateway-Filter vor Google Workspace hinzu?

In Gmail ist die wichtigste Einstellung der Inbound-Gateway. Er teilt Gmail mit, welche IPs ignoriert werden sollen, damit der echte Absender korrekt bewertet werden kann.

1. 1Senken Sie die MX TTL einen Tag im Voraus.
2. 2Inbound-Gateway öffnen unter Apps > Google Workspace > Gmail > Spam, Phishing und Malware auf der obersten Organisationsebene. Der Inbound-Gateway-Leitfaden von Google listet alle Optionen auf.
3. 3Fügen Sie die Gateway-IPs hinzu. Es werden nur öffentliche IPs akzeptiert. Listen Sie jedes Gateway auf, das die E-Mail durchläuft.
4. 4Wählen Sie „Externe IP automatisch erkennen“, damit Gmail die ursprüngliche IP des Absenders für SPF verwendet.
5. 5Wählen Sie „TLS für Verbindungen anfordern“ und speichern Sie. Lassen Sie „Spam-Bewertung von Gmail deaktivieren“ ausgeschaltet, damit Gmail als zweite Sicherheitsebene erhalten bleibt.
6. 6Warten Sie, bis die Einstellung übernommen wurde (bis zu 24 Stunden), und ändern Sie dann MX zu den Hosts des Gateways. Behalten Sie MX von Google nicht als Backup.
7. 7Wählen Sie „Alle E-Mails ablehnen, die nicht von Gateway-IPs stammen“, nachdem die alte TTL abgelaufen ist und Test-E-Mails über das Gateway eingehen.

Eine Einschränkung gilt: Google besagt, dass „Gmail die DMARC-Richtlinie des Absenders für Nachrichten, die über das Inbound-Gateway eingehen, nicht erzwingt.“ Ihr Gateway muss die Spoofing-Prüfungen für diese E-Mails übernehmen.

Bevor Sie die Einstellungen vollständig einschränken, senden Sie eine Testnachricht von einem externen Konto und lesen Sie deren Header aus. Der Hop unmittelbar vor Microsoft 365 oder Gmail sollte das Gateway sein, und SPF sollte die ursprüngliche IP des Absenders angeben. Um die Änderungen rückgängig zu machen, entfernen Sie zuerst die Einschränkungen und leiten Sie erst danach MX wieder zurück, da der Tenant ansonsten E-Mails ablehnt, die direkt eingehen.

Wie iBlockSpam dies umsetzt

iBlockSpam ist eine Marke der BroadNet Group (siehe alle unsere Marken). Es handelt sich um einen Inbound-Filter, der auf der MX-Ebene arbeitet. Sie leiten die MX-Einträge Ihrer Domain auf die Filter-Server um. Jede Nachricht wird auf Spam, Viren, Malware, Phishing und Spoofing geprüft. Bereinigte E-Mails werden an die von Ihnen bereits genutzte Plattform weitergeleitet: Microsoft 365, Google Workspace, cPanel/WHM, Exchange oder einen anderen Server. Die Postfächer werden nicht verschoben (so funktioniert es).

Dies gibt die iBlockSpam-Website zu dem Produkt an:

• Domain-basierte Preisgestaltung. Protect kostet 12 $ pro Domain und Monat bei jährlicher Abrechnung (144 $ pro Jahr) oder 15 $ bei monatlicher Abrechnung. Protect Plus kostet 19 $ pro Domain und Monat bei jährlicher Abrechnung (228 $ pro Jahr) oder 24 $ bei monatlicher Abrechnung. Die Preise auf der Preisseite sind Beta-Preise in USD, zuzüglich Steuern.
• Alle Postfächer inklusive. Für Postfächer und Domain-Aliase auf einer Domain fallen keine Gebühren pro Postfach an. Jede Domain beinhaltet 100.000 eingehende Nachrichten pro Monat und eine maximale Nachrichtengröße von 400 MB.
• Persönliche Quarantäne für jeden Nutzer, mit Zusammenfassungen per E-Mail stündlich, täglich, an einem gewählten Wochentag oder nach einem benutzerdefinierten Zeitplan. Administratoren erhalten zudem eine gemeinsame Domain-Quarantäne. Details unter Quarantäne und Zusammenfassungen.
• Filter und Listen. Geografische Filter, Filter für Anhangtypen und Microsoft Office-Makros, benutzerdefinierte Domain-Regeln sowie Allow- und Blocklisten mit Absenderverifizierung.
• Geführte Einrichtung. Ein Assistent zeigt Ihre aktuellen DNS-Einstellungen und die neuen Werte nebeneinander an und protokolliert Schritte für ein Rollback. Die Microsoft 365 Einrichtungsseite umfasst den Partner-Connector, Enhanced Filtering und Connector-Lockdown. Die Google Workspace Einrichtungsseite umfasst die Inbound-Gateway-Einstellungen.
• Ausfall-Spooling. Wenn Ihr Mailserver offline ist, werden E-Mails bis zu 5 Tage lang zwischengespeichert. Der Nachrichtenverlauf wird für 30 Tage aufbewahrt.
• Monitoring. MX, SPF und DMARC Drift-Warnungen (wöchentlich bei Protect, täglich bei Protect Plus), DMARC Bericht-Monitoring und täglicher Lookalike Domain Watch. Protect Plus bietet zusätzlich einen monatlichen Inhaberbericht und eine persönliche Einrichtungssitzung.

Die Website informiert zudem transparent über Limits. Es gibt keine kostenlose Testversion; stattdessen gilt für das erste Jahresabonnement einer Domain eine 30-tägige Geld-zurück-Garantie. Monatliche Gebühren sind nicht erstattungsfähig. Die E-Mail-Verarbeitung erfolgt in den USA. Kein Filter kann alles erfassen, daher wird ein Teil des Spams durchgehen und einige gewünschte E-Mails könnten blockiert werden. Lookalike Domain Watch erkennt täuschend ähnlich aussehende Domains, kann diese jedoch nicht abschalten. DMARC erstellt Monitoring-Berichte, blockiert jedoch keine E-Mails.

Phishing erfolgt auch per Textnachricht; lesen Sie dazu unseren Leitfaden zur Smishing-Abwehr. Für den Versand von Transaktions-E-Mails nutzen Sie bitte den E-Mail-Service von BroadNet.

Möchten Sie wissen, wie es um Ihre Domain steht? Führen Sie den kostenlosen Email Health Check durch, um Ihre MX, SPF, DKIM und DMARC Datensätze auszulesen. Vergleichen Sie anschließend die Tarife auf der iBlockSpam Preisseite und erstellen Sie Ihr Konto, um mit der geführten Einrichtung für Microsoft 365 oder Google Workspace zu beginnen.

Häufig gestellte Fragen

Was sind die voreingestellten Sicherheitsrichtlinien Standard und Strict in Microsoft 365?

Dabei handelt es sich um Microsofts fertige Schutzprofile für E-Mails. Standard dient als Basis für die meisten Nutzer. Strict ist aggressiver und eignet sich für hochrangige Ziele wie Führungskräfte und Finanzmitarbeiter. Die meisten Einstellungen können nicht bearbeitet werden. Sofern Defender for Office 365 lizenziert ist, decken sie auch Safe Links, Safe Attachments und den Schutz vor Identitätsdiebstahl ab. Aktivieren Sie diese im Microsoft Defender Portal unter den Threat-Richtlinien.

Benötige ich Defender for Office 365, um Phishing in Microsoft 365 zu stoppen?

Nicht für den Basisschutz. Jedes Cloud-Postfach erhält Anti-Spam, Anti-Malware, Spoof-Intelligence und Quarantäne. Der Schutz vor Identitätsdiebstahl, Phishing-Schwellenwerte, Safe Links und Safe Attachments erfordern Defender for Office 365 Plan 1 oder Plan 2. Microsoft führt Microsoft 365 Business Premium und E3 als Beispiele an, die Plan 1 enthalten, und E5 als Beispiel für Plan 2. Defender for Office 365 wird ebenfalls als Add-on verkauft.

Wie lange bewahrt Microsoft 365 in Quarantäne gehaltene E-Mails auf?

Es hängt davon ab, warum die Nachricht zurückgehalten wurde. Spam, der durch die Standard-Anti-Spam-Richtlinie in Quarantäne gestellt wurde, wird 15 Tage lang aufbewahrt; Administratoren können den Zeitraum auf 1 bis 30 Tage festlegen. Die voreingestellten Richtlinien Standard und Strict bewahren die Nachrichten 30 Tage lang auf. Nach Ablauf der Aufbewahrungsfrist werden die Nachrichten dauerhaft gelöscht und können nicht wiederhergestellt werden.

Welche Gmail-Einstellungen sollte ein Google Workspace-Administrator gegen Phishing aktivieren?

Öffnen Sie Apps, Google Workspace, Gmail und Safety in der Admin-Konsole. Aktivieren Sie den Schutz für Anhänge, Links und externe Bilder sowie den Schutz vor Spoofing und Authentifizierung und setzen Sie ein Häkchen bei „Empfohlene zukünftige Einstellungen automatisch anwenden“. Aktivieren Sie unter Spam, Phishing und Malware das erweiterte Scannen von Nachrichten vor der Zustellung sowie Security Sandbox, sofern Ihre Edition dies beinhaltet. Wenden Sie die Einstellungen auf der obersten Organisationsebene an, damit jeder Nutzer geschützt ist.

Kann ich einen Spam-Filter eines Drittanbieters zu Google Workspace hinzufügen?

Ja. Fügen Sie zuerst die öffentlichen IP-Bereiche des Filterdienstes in der Inbound-Gateway-Einstellung unter Spam, Phishing und Malware hinzu und wählen Sie „Externe IP automatisch erkennen“ sowie „TLS anfordern“. Verweisen Sie anschließend Ihre MX-Einträge auf den Dienst. Sobald der E-Mail-Verkehr darüber läuft, wählen Sie „Alle E-Mails ablehnen, die nicht von Gateway-IPs stammen“. Google erzwingt die DMARC-Richtlinie des Absenders für Gateway-Mails nicht, daher muss das Gateway das Spoofing prüfen.

Was passiert, wenn ich Microsoft 365 so konfiguriere, dass nur E-Mails von einem Gateway akzeptiert werden?

Alles, was E-Mails direkt an Ihren Tenant liefert, wird nicht mehr funktionieren. Dazu gehören Scanner, Drucker und geschäftskritische Anwendungen, die Direct Send für den Host mail.protection.outlook.com nutzen. Migrieren Sie diese zuerst auf eine authentifizierte SMTP-Übermittlung oder einen eigenen Connector. Sperren Sie den Connector erst, nachdem die alte MX TTL abgelaufen ist und Test-E-Mails über das Gateway eingegangen sind.

Ersetzt ein Gateway-Filter die Spam-Filterung von Microsoft 365 oder Gmail?

Nein. Das Gateway fungiert als erste Schicht davor. Microsoft 365 scannt eingehende E-Mails immer, und mit Enhanced Filtering for Connectors wird der ursprüngliche Absender bewertet, anstatt das Gateway. Gmail scannt ebenfalls weiter, es sei denn, Sie deaktivieren die Spam-Bewertung für Gateway-E-Mails, was in der Regel nicht empfohlen wird. Zwei Schichten fangen mehr ab, verursachen jedoch zusätzliche Kosten.