Zustellung sicherstellen

Das ist der häufigste Grund, warum ein Awareness-Projekt nicht in Gang kommt — und der einzige Schritt, bei dem wir Ihre IT brauchen.

Eine Übungs-Mail, die im Spam landet, misst Ihren Spamfilter, nicht Ihre Belegschaft. Deshalb gilt: Ohne bestandene Zustellprüfung wird keine Übungs-Mail versendet. Die Übung wartet. Das sieht aus wie Stillstand, ist aber der Schutz davor, eine ganze Kampagne in den Papierkorb zu schicken.

Der Ablauf

1. Ihre IT trägt drei Werte frei: die Absender-Domain, die absendenden IP-Adressen und die Adresse der Landeseite. Alle drei bekommen Sie von uns — sie hängen an der Domain, die Ihrem Unternehmen zugewiesen ist.
2. Wir schicken eine Prüfmail an eine echte Adresse bei Ihnen.
3. Kommt sie im Posteingang an, laufen die Übungen an.

Eine bestandene Prüfung gilt 90 Tage. Danach fragen wir erneut — Mailfilter ändern sich, und eine ein Jahr alte Freigabe sagt nichts über heute.

Microsoft 365

Die Werte gehören in die erweiterte Zustellung (Advanced Delivery) im Defender-Portal, in den Bereich für Phishing-Simulationen von Drittanbietern — nicht in die normale Absender-Allowlist.

Der Unterschied ist wichtig: Die erweiterte Zustellung nimmt die Mails von der Filterung aus, ohne sie als „sicher” zu markieren. Ein Eintrag in der normalen Allowlist würde dazu führen, dass gemeldete Übungs-Mails nicht mehr in Ihrem Meldeprozess auftauchen.

Zusätzlich sollten Sichere Links und Sichere Anlagen für dieselbe Domain ausgenommen werden. Sonst klickt der Filter die Links selbst an, und in der Auswertung erscheinen Klicks, die niemand gemacht hat.

Google Workspace

In der Admin-Konsole unter Apps → Google Workspace → Gmail: die absendenden IP-Adressen in die zugelassenen Absender, dazu eine Spam-Regel für die Absender-Domain mit „Interne Absender-Authentifizierung umgehen”. Ist der erweiterte Phishing-Schutz aktiv, dieselbe Domain dort ausnehmen.

Wenn ein Gateway davorsteht

Hornetsecurity, Mimecast, Proofpoint und ähnliche Dienste filtern vor Microsoft oder Google. Dann müssen dieselben Werte auch dort eingetragen werden — die Microsoft-Einstellung greift sonst gar nicht erst.