Auf den Punkt: Direkter Zugriff auf Exchange-Online-Annahmepunkte über MX-Records umgeht vorgeschaltete E-Mail-Sicherheitsgateways und Authentifizierungsmechanismen.
Angreifer können E-Mail-Gateways umgehen, indem sie direkt mit dem Exchange-Online-Annahmepunkt kommunizieren und damit SPF, DKIM und DMARC-Validierungen unwirksam machen. Microsoft klassifiziert das Phänomen nicht als Schwachstelle, sondern als architektonisches Merkmal der Plattform.
Die Angriffsmethode „Ghost Sender“ nutzt die Tatsache aus, dass der MX-Record eines Tenants den direkten Zugriff auf den Exchange-Online-Dienst ermöglicht. Angreifer sprechen dabei nicht die vorgeschalteten E-Mail-Gateways an, sondern kommunizieren unmittelbar mit der Microsoft-Infrastruktur. Auf diesem Weg umgehen sie die Sicherheitsprüfungen, die Drittanbieter-Lösungen normalerweise vor der Zustellung durchführen.
Bei diesem Vorgehen werden Standard-Authentifizierungsmechanismen wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC (Domain-based Message Authentication, Reporting and Conformance) ineffektiv, da diese Validierungen von den vorgeschalteten Gateways stammen, die umgangen werden. Microsoft betrachtet diese Konstellation nicht als exploitable Schwachstelle, sondern beschreibt sie als Einschränkung, die in der Architektur von Exchange Online liegt.
CISOs sollten ihre Inbound Connectors überprüfen. In diesen lassen sich Verbindungsregeln konfigurieren, die festlegen, welche Quellen Nachrichten direkt an Exchange Online liefern dürfen. Eine Audit der bestehenden Connectoren offenbart möglicherweise zu permissive Einstellungen, die direkte Zustellungen ermöglichen, ohne dass die vorgelagerten Gateway-Sicherheitsmaßnahmen greifen.
Quelle: www.security-insider.de · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.