Safe Links in Microsoft 365: Ist das Umschreiben von Links wirklich sinnvoll?

Eine Sicherheitsmaßnahme soll Menschen helfen, ein Risiko einzuschätzen, und darf die Informationen, die sie dafür brauchen, nicht verbergen.

Microsoft Defender für Office 365 kann Links in E-Mails mit Safe Links prüfen. Klickt ein Empfänger auf einen verdächtigen Link, kann Microsoft den Zugriff auf die Website blockieren. Das ist eine nützliche zusätzliche Schutzschicht gegen Phishing.

Viele Organisationen aktivieren dabei auch das Umschreiben von Links. Die ursprüngliche URL wird dann durch eine lange Adresse auf safelinks.protection.outlook.com ersetzt. Damit kann Microsoft den Link in dem Moment erneut prüfen, in dem jemand darauf klickt.

Das Problem: Der Empfänger kann dadurch schlechter erkennen, wohin der Link wirklich führt. Während Mitarbeitenden beigebracht wird, vor dem Klicken die Adresse zu prüfen, macht die technische Sicherheitsmaßnahme genau diese Adresse schwerer lesbar.

Über den Nutzen von Safe Links wird also gar nicht gestritten. Die eigentliche Frage lautet, ob für diesen Schutz wirklich jeder Link umgeschrieben werden muss.

Was genau macht Safe Links?

Safe Links ist Teil von Microsoft Defender für Office 365. Obwohl die Funktion oft als Exchange-Funktion bezeichnet wird, konfiguriert man sie im Microsoft-Defender-Portal oder über Exchange Online PowerShell. Safe Links kann verschiedene Prüfungen durchführen:

• Links werden untersucht, bevor die E-Mail zugestellt wird.
• Verdächtige Links und Links zu Dateien können genauer untersucht werden.
• Microsoft kann die Zustellung der Nachricht zurückhalten, bis die Prüfung abgeschlossen ist.
• Der Link kann erneut geprüft werden, wenn der Empfänger darauf klickt.
• Eine bekannte schädliche Website kann blockiert werden, bevor sie sich öffnet.

Die Prüfung vor der Zustellung findet unabhängig davon statt, ob der Link umgeschrieben wird. Das Umschreiben ist für diese erste Prüfung also nicht erforderlich.

Was passiert beim Umschreiben?

Ein ursprünglicher Link kann so aussehen: https://www.example.com/anmelden. Safe Links kann diesen Link in eine Adresse ändern, die mit https://eur01.safelinks.protection.outlook.com/ beginnt. Das ursprüngliche Ziel steht dann codiert in einer langen Parameterkette hinter der Microsoft-Adresse. Klickt der Empfänger auf den Link, läuft die Anfrage zuerst über Microsoft. Dort wird geprüft, ob das Ziel inzwischen als schädlich bekannt ist.

Diese Prüfung zum Klickzeitpunkt ist wertvoll. Eine Website kann beim Eintreffen der E-Mail noch harmlos sein und erst einige Stunden später verändert werden. Das nennt man auch einen verzögerten Phishing-Angriff. Durch die Prüfung zum Klickzeitpunkt kann Microsoft eine solche nachträglich veränderte Website trotzdem blockieren.

Warum das Ziel schlechter erkennbar wird

Eine URL enthält Informationen. Die Domain zeigt, welche Organisation hinter der Website steht. Ein Mitarbeiter kann zum Beispiel den Unterschied erkennen zwischen https://login.microsoftonline.com und https://microsoft.login-pruefung.example. Im zweiten Beispiel landet der Besucher nicht bei Microsoft. Die echte Domain ist login-pruefung.example. Das Wort Microsoft steht dort nur, um Vertrauen zu wecken.

Sicherheitsbehörden raten Empfängern deshalb, einen Link vor dem Klicken mit der Maus anzufahren und zu prüfen, welche Adresse erscheint. Auch das Achten auf kleine Abweichungen in Domainnamen ist ein wichtiger Teil des Erkennens von Phishing.

Safe Links kann das erschweren. Beim Kopieren eines Links, in bestimmten Benachrichtigungen, in reinem Text und in manchen anderen Anwendungen sieht der Empfänger vor allem die lange Microsoft-Adresse. Das echte Ziel ist dann nicht mehr direkt erkennbar.

Microsoft gibt an, dass unterstützte Outlook-Versionen beim Anfahren eines umgeschriebenen Links die ursprüngliche URL in einem Fenster anzeigen können. In der normalen Outlook-Ansicht muss das Ziel also nicht immer vollständig verborgen sein. Die Erfahrung kann jedoch je nach Outlook-Version, Gerät, Nachrichtenformat und Anwendung, in der die E-Mail geöffnet wird, unterschiedlich ausfallen.

Der Einwand gegen das Umschreiben lautet deshalb nicht, dass das ursprüngliche Ziel unter allen Umständen unsichtbar ist. Der Einwand lautet, dass ein einfacher, erkennbarer Link durch eine komplexe technische Konstruktion ersetzt wird, deren Lesbarkeit von der verwendeten Anwendung abhängt.

Die Sicherheitsmaßnahme widerspricht dem Training

Viele Organisationen bringen ihren Mitarbeitenden bei:

• Prüfe die Domain, bevor du klickst.
• Fahre einen Link mit der Maus an, um das Ziel zu sehen.
• Achte auf abweichende Schreibweisen.
• Prüfe, ob die Adresse zum Absender passt.
• Gehe im Zweifel selbst auf die bekannte Website.

Das sind vernünftige Ratschläge. Sie helfen Mitarbeitenden, ein Risiko selbstständig einzuschätzen. Werden jedoch alle Links auf eine Microsoft-Adresse umgeschrieben, entsteht eine widersprüchliche Botschaft. Die Organisation sagt, Mitarbeitende sollen einen Link prüfen, aber die technische Einrichtung erschwert genau diese Prüfung.

Eine lange Safe-Links-URL kann außerdem ungewollt Vertrauen wecken. Der Empfänger sieht schließlich eine Adresse von Microsoft. Daraus kann der falsche Schluss entstehen, dass die endgültige Website sicher sein muss.

Safe Links prüft einen Link, garantiert aber nicht, dass eine Website vertrauenswürdig ist. Neue Phishing-Websites können noch unbekannt sein. Eine legitime Website kann übernommen worden sein, und Angreifer können Techniken einsetzen, um automatisierten Prüfungen andere Inhalte zu zeigen als normalen Besuchern. Die technische Prüfung bleibt deshalb eine zusätzliche Schutzschicht und darf das eigene Urteil des Empfängers nicht ersetzen.

Microsoft kann auch ohne Umschreiben prüfen

Innerhalb einer benutzerdefinierten Safe-Links-Richtlinie bietet Microsoft die Einstellung Do not rewrite URLs, do checks via Safe Links API only (URLs nicht umschreiben, Prüfungen nur über die Safe-Links-API durchführen). Wird diese Einstellung verwendet:

• bleibt die ursprüngliche URL in der Nachricht stehen;
• wird der Link weiterhin vor der Zustellung geprüft;
• kann Microsoft in unterstützten Outlook-Versionen beim Klicken erneut prüfen;
• muss der Inhalt der E-Mail nicht verändert werden.

Die Prüfung zum Klickzeitpunkt erfolgt dann über eine Funktion in Outlook statt über eine Umleitung in der URL. Microsoft unterstützt das in Outlook für Windows, Outlook für Mac und Outlook im Web. Das zeigt: Scannen und Umschreiben sind zwei getrennte Designentscheidungen. Man kann Safe Links nutzen, ohne automatisch jede URL zu verändern.

Die Einschränkung der Prüfung über die Safe-Links-API

Die API-Variante hat auch einen wichtigen Nachteil. Die Prüfung zum Klickzeitpunkt funktioniert nur in Anwendungen, die diese Funktion unterstützen. Öffnet jemand die Nachricht in einem anderen Mailprogramm, bleibt die Prüfung vor der Zustellung bestehen, aber die zusätzliche Prüfung beim Klicken kann fehlen. Ein Link, der beim Empfang sicher war und später bösartig gemacht wird, könnte dann trotzdem geöffnet werden.

Microsoft selbst nennt das Beispiel eines Nutzers, der in einem alternativen Mail-Client auf einen solchen nachträglich veränderten Link klickt. Weil dieser Mail-Client die Safe-Links-API nicht unterstützt, wird die Änderung zum Klickzeitpunkt nicht entdeckt. Die Entscheidung gegen das Umschreiben sollte deshalb auf der tatsächlichen Arbeitsumgebung beruhen:

• Nutzen praktisch alle Mitarbeitenden eine unterstützte Outlook-Version?
• Wird geschäftliche E-Mail auch in anderen Mailprogrammen geöffnet?
• Werden Nachrichten oft automatisch an externe Adressen weitergeleitet?
• Nutzen Mitarbeitende gemeinsame Geräte oder veraltete Outlook-Versionen?
• Wie wichtig ist der Schutz vor Links, die erst später schädlich werden?
• Wie schwer wiegt die Erkennbarkeit des ursprünglichen Ziels?

Es gibt also keine Einstellung, die in jeder Organisation automatisch die beste ist.

Microsoft nutzt selbst beide Modelle

Die Standardeinstellungen von Microsoft zeigen, dass es keine eindeutige Wahl gibt. In der integrierten Basisabsicherung nutzt Microsoft Safe Links ohne URL-Umschreibung. In den voreingestellten Sicherheitsstufen Standard und Strict werden Links dagegen umgeschrieben.

Bei einer neuen benutzerdefinierten Richtlinie, die über das Microsoft-Defender-Portal erstellt wird, ist die Option, nicht umzuschreiben, standardmäßig aktiviert. Erstellt man die Richtlinie über PowerShell, ist das Umschreiben standardmäßig nicht deaktiviert.

Auch in Microsoft Teams und unterstützten Office-Anwendungen kann Microsoft Links zum Klickzeitpunkt prüfen, ohne sie umzuschreiben. Das bestätigt, dass die URL-Umschreibung keine technische Voraussetzung für jede Form von Safe-Links-Schutz ist.

Was ist für die meisten Organisationen eine sinnvolle Konfiguration?

Für eine Organisation, die hauptsächlich mit aktuellen, unterstützten Outlook-Versionen arbeitet, ist folgende Konfiguration eine Überlegung wert:

• Aktivieren Sie Safe Links für E-Mail.
• Aktivieren Sie die Echtzeitprüfung verdächtiger Links und Download-Links.
• Lassen Sie Microsoft die Zustellung zurückhalten, bis die Prüfung abgeschlossen ist.
• Wenden Sie Safe Links auch auf interne Nachrichten an, wenn das Risiko übernommener interner Konten schwer genug wiegt.
• Aktivieren Sie "URLs nicht umschreiben, Prüfungen nur über die Safe-Links-API durchführen".
• Erlauben Sie Nutzern nicht, eine ernste Safe-Links-Warnung einfach wegzuklicken.
• Testen Sie das Verhalten in allen genutzten Outlook-Versionen und auf allen relevanten Geräten.

Damit bleibt das ursprüngliche Ziel lesbar, während die Prüfung vor der Zustellung erhalten bleibt und unterstützte Outlook-Versionen auch beim Klicken erneut prüfen.

Für Organisationen mit vielen verschiedenen Mailprogrammen kann das Umschreiben eine vertretbare Wahl sein. Die Umleitung über Microsoft sorgt dann dafür, dass die Prüfung zum Klickzeitpunkt nicht von Outlook abhängt. Das Umschreiben ist damit nicht grundsätzlich falsch. Falsch ist vor allem, es ohne Abwägung zu aktivieren und anschließend als reinen Sicherheitsgewinn darzustellen.

Beachten Sie auch die Nachteile für E-Mail und Untersuchungen

Das Umschreiben von Links wirkt sich nicht nur auf Awareness aus. Es verändert auch den Inhalt der Nachricht. Das kann spürbar sein bei:

• Kopieren eines Links in ein Dokument oder eine Meldung;
• Weiterleiten einer Nachricht;
• Archivieren von E-Mail;
• Vergleich einer Nachricht mit dem Original;
• digitaler Forensik nach einem Vorfall;
• Verarbeitung durch andere E-Mail- oder Ticketsysteme;
• Anzeige von Links auf Mobilgeräten;
• Barrierefreiheit und dem Einsatz assistiver Technologie.

Microsoft schreibt eine URL zudem pro Empfänger um. Wird eine Nachricht manuell weitergeleitet oder beantwortet, können bereits umgeschriebene Links umgeschrieben bleiben.

Für die Vorfallsuntersuchung lässt sich das ursprüngliche Ziel meist noch aus der Safe-Links-URL herauslesen, für einen normalen Empfänger ist das aber nicht praktikabel. Eine Sicherheitsmaßnahme, die sich für technische Untersuchungen entschlüsseln lässt, ist damit noch nicht benutzerfreundlich.

Die menschliche Prüfung bleibt notwendig

Keine technische Prüfung kennt alle bösartigen Websites. Gerade bei gezieltem Phishing kann eine Domain erst seit Kurzem existieren oder nur gegen eine kleine Gruppe von Opfern eingesetzt werden. Mitarbeitende müssen deshalb weiterhin auf den Kontext achten:

• Erwarte ich diese Nachricht?
• Passt die Bitte zum Absender?
• Wird ungewöhnlicher Zeitdruck aufgebaut?
• Soll ich mich neu anmelden, obwohl das normalerweise nicht nötig ist?
• Wird nach Geld, personenbezogenen Daten oder einer Änderung von Zahlungsdaten gefragt?
• Passt das Ziel zu der Organisation, die in der Nachricht genannt wird?

Eine erkennbare URL hilft bei dieser Einschätzung, reicht aber nicht aus. Auch eine korrekt aussehende Domain kann übernommen worden sein. URL-Prüfung sollte deshalb mit Prozessvereinbarungen, phishing-resistenter Mehrfaktor-Authentifizierung und einer einfachen Meldemöglichkeit kombiniert werden.

Wie nimmt man Safe Links in ein Awareness-Programm auf?

Erklären Sie Mitarbeitenden, was Safe Links kann und was nicht. Nur zu erwähnen, dass es die Funktion gibt, reicht nicht. Die wichtigste Botschaft lautet:

Safe Links kann bekannte schädliche Websites blockieren, aber ein Link, der nicht blockiert wird, ist nicht automatisch sicher.

Zeigen Sie in Trainings:

• wie eine normale Internetadresse aufgebaut ist;
• wo die echte Domain in einer langen URL steht;
• wie Subdomains missbraucht werden können;
• dass die Microsoft-Adresse von Safe Links nicht das endgültige Ziel ist;
• wie Mitarbeitende eine verdächtige E-Mail melden;
• wann sie den Absender über einen anderen Kanal verifizieren sollten.

Nutzen Sie Phishing-Simulationen, um mehr zu messen als nur, wer klickt. Messen Sie auch, wie viele Mitarbeitende eine verdächtige E-Mail melden und wie schnell die erste Meldung eingeht. Ein Mitarbeiter, der eine gute Meldung macht, kann verhindern, dass Dutzende Kollegen auf denselben Link klicken. Das ist in der Praxis oft wertvoller als das Streben nach einer unrealistischen Klickrate von null.

Das Fazit

Safe Links ist eine wertvolle Sicherheitsmaßnahme. Das Scannen von Links vor der Zustellung und beim Klicken kann viele Phishing-Angriffe verhindern. Das automatische Umschreiben jedes Links hat jedoch einen Preis. Es macht das Ziel weniger transparent, verändert den Inhalt der E-Mail und kann den Sicherheitsrat untergraben, Links selbst zu prüfen.

Da Microsoft auch die Prüfung über die Safe-Links-API unterstützt, müssen Organisationen nicht zwangsläufig zwischen technischem Schutz und Lesbarkeit wählen. Für Organisationen, die fast ausschließlich unterstützte Outlook-Versionen nutzen, liegt die Prüfung über die Safe-Links-API ohne URL-Umschreibung nahe. In einer Umgebung mit vielen verschiedenen Mail-Clients kann das Umschreiben weiterhin gerechtfertigt sein.

Die richtige Wahl beginnt deshalb nicht mit der Frage, welchen Knopf Microsoft empfiehlt, sondern mit der Frage, welche Konfiguration in Ihrer Arbeitsumgebung die beste Kombination aus technischem Schutz, Transparenz und sicherem Verhalten bietet.

Verwandte Artikel

• Externe-Absender-Warnung in Exchange: Wie wirksam ist das Banner?
• Phishing erkennen: die wichtigsten Warnsignale
• Warum Phishing-Simulationen funktionieren
• CEO-Betrug erkennen und verhindern
• E-Mail-Sicherheit und Social Engineering: was Mitarbeitende wissen müssen

Quellen

• Microsoft Learn: Safe Links in Microsoft Defender für Office 365
• Microsoft Learn: Safe-Links-Richtlinien einrichten
• Microsoft Learn: Empfohlene Sicherheitseinstellungen für Microsoft 365
• NCSC (Niederlande): Wie erkenne ich eine Phishing-E-Mail?
• NCSC (Niederlande): Erste Schritte gegen Phishing

FAQ

Ist Safe Links dasselbe wie Exchange Online Protection?

Nein. Safe Links ist eine Funktion von Microsoft Defender für Office 365. Die Funktion arbeitet mit dem normalen Schutz vor unerwünschten E-Mails und schädlichen Dateien zusammen, erfordert aber eine passende Defender-für-Office-365-Lizenz.

Werden Links auch geprüft, wenn das Umschreiben aus ist?

Ja. Microsoft prüft die Links vor der Zustellung auch dann, wenn die URL-Umschreibung deaktiviert ist. In unterstützten Outlook-Versionen kann beim Klicken zusätzlich eine Prüfung über die Safe-Links-API stattfinden.

Warum schreibt Microsoft Links um?

Indem der Klick über Microsoft läuft, kann das Ziel kurz vor dem Öffnen erneut geprüft werden. Das schützt unter anderem vor Websites, die erst nach der Zustellung der E-Mail bösartig gemacht werden.

Ist die URL-Umschreibung eine schlechte Sicherheitsmaßnahme?

Nicht unter allen Umständen. In einer Umgebung mit unterschiedlichen oder nicht unterstützten Mail-Clients kann das Umschreiben wertvollen Schutz zum Klickzeitpunkt bieten. Der Nachteil ist, dass das ursprüngliche Ziel schlechter lesbar wird und der Inhalt der E-Mail verändert wird.

Was ist der Vorteil der Safe-Links-API?

Der ursprüngliche Link bleibt intakt. Die E-Mail ist dadurch besser lesbar, und der Empfänger kann die Ziel-Domain einfacher beurteilen. In unterstützten Outlook-Versionen bleibt eine zusätzliche Prüfung zum Klickzeitpunkt möglich.

Was ist der Nachteil der Safe-Links-API?

Die zusätzliche Prüfung beim Klicken hängt von der Unterstützung durch das Mailprogramm ab. In einem alternativen Mail-Client schützt nur die Prüfung, die vor der Zustellung stattgefunden hat.

Kann ein Mitarbeiter davon ausgehen, dass ein nicht blockierter Link sicher ist?

Nein. Safe Links senkt das Risiko, kann aber keine vollständige Garantie geben. Neue, gezielte oder technisch verschleierte Phishing-Websites können noch unbekannt sein. Der Empfänger muss deshalb weiterhin Absender, Kontext und Ziel beurteilen.

Welche Einstellung ist vorzuziehen?

Für Organisationen, die fast ausschließlich aktuelle, unterstützte Outlook-Versionen nutzen, ist das Scannen über die Safe-Links-API ohne URL-Umschreibung vorzuziehen. In einer gemischten Mail-Umgebung muss der Vorteil der universellen Prüfung zum Klickzeitpunkt gegen die verringerte Lesbarkeit abgewogen werden.