Consulting Briefing · 11.11.2026 · boddenberg.de

Defender for Office 365: Empfängerbedingungen in Bedrohungsschutz-Richtlinien wechseln von UND auf ODER

Executive Summary

Es ist ein einziges Wort, und es kann dir den Montagmorgen ruinieren: ODER. Laut Microsoft-Ankündigung MC1546447, zuletzt geändert am 10.11.2026, wertet Microsoft Defender for Office 365 die Empfängerbedingungen in Bedrohungsschutz-Richtlinien künftig mit „Match any“ aus, nicht mehr mit „Match all“. Wer in einer Richtlinie Benutzer, Gruppen und Domänen kombiniert hat, bekam bisher die Schnittmenge. Künftig bekommt er die Vereinigungsmenge. Aus zwölf Personen können so über Nacht dreihundert werden.

Der Rollout startet laut Meldung Anfang Dezember 2026. Die gute Nachricht: Bestehende Richtlinien werden nicht automatisch umgestellt. Die schlechte: Jede Änderung an einer bestehenden Richtlinie stellt sie um, auch wenn du nur einen Tippfehler in der Beschreibung korrigierst oder einen neuen Kollegen hinzufügst. Neue Richtlinien nutzen ab Rollout ohnehin ODER. Einen Schalter zum Abschalten gibt es nicht. Die einzige Bremse ist, die Finger von der Richtlinie zu lassen, und das ist bekanntlich keine Strategie, sondern ein Gebet.

Worum geht es im Detail?

Ein bisschen Hintergrund, sonst wirkt die Meldung harmloser, als sie ist. Bedrohungsschutz-Richtlinien in Exchange Online Protection und Defender for Office 365 bestehen technisch aus zwei Teilen: der Richtlinie mit den Einstellungen (was passiert mit Spam, wie aggressiv ist der Phishing-Filter, werden Links umgeschrieben) und der Regel, die festlegt, für wen das gilt. In der Regel stecken drei Bedingungstypen: Benutzer (in PowerShell *SentTo*), Gruppen (*SentToMemberOf*) und Domänen (*RecipientDomainIs*). Dazu kommen die Ausnahmen mit dem Präfix *ExceptIf*.

Bisher galt laut Microsoft-Learn-Dokumentation eine gemischte Logik, die jeder Admin genau einmal falsch verstanden hat: Mehrere Werte innerhalb eines Bedingungstyps werden mit ODER verknüpft, verschiedene Bedingungstypen aber mit UND. Microsoft dokumentiert dazu sogar das Beispiel selbst: Steht ein Benutzer in der Bedingung und zusätzlich eine Gruppe „Executives“, greift die Richtlinie für diesen Benutzer nur dann, wenn er auch Mitglied der Gruppe ist. Ausnahmen dagegen arbeiteten schon immer durchgehend mit ODER.

Genau das hat in der Praxis zu zwei Lagern geführt. Lager eins hat Bedingungen naiv zusammengeklickt, „Vorstand plus Domäne plus die Assistenz“, und sich gewundert, warum die Assistenz nie geschützt war. Für dieses Lager ist die Umstellung eine Reparatur, und genau damit begründet Microsoft sie: Die Gefahr, dass beabsichtigte Empfänger durchs Raster fallen, soll sinken. Lager zwei hat die UND-Logik bewusst als Filter genutzt, etwa „Domäne der Tochtergesellschaft UND Gruppe Finanzbuchhaltung“. Für dieses Lager ist die Umstellung eine Sprengladung mit Zeitzünder.

Warum der Geltungsbereich so viel ausmacht, erklärt die Rangfolge. Pro Schutzart greift für einen Empfänger genau eine Richtlinie: zuerst Strict, dann Standard, dann die benutzerdefinierten Richtlinien nach Priorität, zuletzt die Standardrichtlinie. Die erste passende gewinnt, der Rest wird nicht mehr ausgewertet. Wird eine benutzerdefinierte Richtlinie mit hoher Priorität größer, verdrängt sie für die neu erfassten Postfächer alles, was weiter unten steht. Das gilt in beide Richtungen: Eine strengere Richtlinie erzeugt Quarantäne-Frust, eine laxere Richtlinie reißt Schutzlücken.

Die bisherige Logik und die PowerShell-Parameter beschreibt Microsoft unter Preset security policies in EOP and Microsoft Defender for Office 365.

Was sind Chancen? Was sind Risiken?

Fair bleiben: Die alte Logik war eine Falle. In fast jedem Tenant-Review, das wir machen, findet sich mindestens eine Richtlinie, die nach dem Willen ihres Erstellers zwanzig Leute schützen sollte und tatsächlich niemanden schützt, weil die Bedingungen sich gegenseitig ausschließen. Das sieht man im Portal nicht, die Richtlinie steht fröhlich auf „Ein“. ODER entspricht dem, was Menschen intuitiv meinen, wenn sie drei Felder ausfüllen. Neue Richtlinien werden dadurch verständlicher, und für Lager eins schließt sich eine Lücke, die vermutlich seit Jahren offen steht.

Sicherheitsfolgen und Prioritäten: Am gefährlichsten sind Richtlinien, die Schutz absenken: Safe-Links-Richtlinien ohne URL-Umschreibung, Safe-Attachments-Richtlinien im Modus „Aus“, Anti-Spam-Richtlinien mit erlaubten Absendern und Domänen. Danach kommen Richtlinien, die Schutz verschärfen, denn die erzeugen Ärger, aber keine Kompromittierung. Ganz unten stehen Richtlinien mit nur einem Bedingungstyp, die bleiben im Ergebnis gleich. Ausgehende Spamrichtlinien filtern über Absender, nicht über Empfänger, und werden in der Meldung nicht genannt.

Lizenzen: Safe Links, Safe Attachments und der Identitätswechselschutz gehören zu Defender for Office 365 Plan 1 oder Plan 2. Wenn eine Richtlinie plötzlich ganze Domänen umfasst, profitieren unter Umständen Postfächer ohne entsprechende Lizenz. Technisch klappt das, lizenzrechtlich verlangt Microsoft für jeden geschützten Benutzer eine Lizenz. Ein Thema für das nächste True-up, nicht für die Panik.

Datenschutz und Mitbestimmung: Safe Links protokolliert, wer wann auf welchen Link geklickt hat. Diese Daten sind geeignet, Verhalten zu überwachen, und damit ist der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG im Spiel, in Behörden der Personalrat nach dem jeweiligen Personalvertretungsrecht. Wenn eure IT-Rahmenvereinbarung den Einsatz von Safe Links für bestimmte Bereiche regelt, ist eine Ausweitung auf die ganze Belegschaft eine Änderung, die dort mitzuteilen ist. Auch das Verzeichnis der Verarbeitungstätigkeiten sollte den tatsächlichen Geltungsbereich beschreiben, nicht den gefühlten. Für die meisten Organisationen bleibt das ein Fußnotenthema, für Organisationen mit detaillierten Anlagen zur Betriebsvereinbarung nicht.

Was müssen wir jetzt schon vorbereiten?

Ohne Eingreifen passiert zunächst: nichts. Bestehende Richtlinien laufen mit UND weiter. Das Problem ist der Moment, in dem jemand speichert, und in Organisationen mit mehreren Admins, einem Dienstleister und ein paar Automatisierungen ist dieser Moment nicht planbar. Abschalten lässt sich die neue Logik nicht, weder im Portal noch per PowerShell. Steuern lässt sie sich nur, indem du Richtlinien so baust, dass UND und ODER zum gleichen Ergebnis führen: ein Bedingungstyp pro Richtlinie.

Schritt 1, Inventur bis 17.11.2026: Im Defender-Portal findest du die Richtlinien unter E-Mail und Zusammenarbeit › Richtlinien und Regeln › Bedrohungsrichtlinien, die voreingestellten Richtlinien unter Voreingestellte Sicherheitsrichtlinien. Schneller geht es per Exchange Online PowerShell. Das folgende Skript listet alle Regeln, die mindestens zwei Bedingungstypen kombinieren:

Schritt 2, Änderungsstopp ab 20.11.2026: Für jede gefundene Regel gilt bis zum Umbau: nicht anfassen. Das betrifft auch Dienstleister und Automatisierungen, die etwa Neueinstellungen per Skript in Richtlinien eintragen. Ein kurzer Hinweis an alle, die Admin-Rechte im Defender-Portal haben, kostet fünf Minuten und spart eine Nachtschicht.

Schritt 3, Umbau bis 27.11.2026: Statt UND-Kombination legst du für die gewünschte Schnittmenge eine eigene E-Mail-aktivierte Sicherheitsgruppe an, zum Beispiel „MDO-FiBu-Tochter“, und verwendest in der Richtlinie nur noch diese eine Gruppe. Wo du eine Domäne abzüglich einzelner Bereiche meinst, nimm die Domäne als Bedingung und die Bereiche als Ausnahme. Das ergibt unter UND und ODER dasselbe und ist ab sofort zukunftssicher. Erst danach die Richtlinie speichern, die Warnung bewusst lesen und bestätigen.

Schritt 4, Prüfung im Rollout ab Anfang Dezember 2026: Für ausgewählte Empfänger prüfst du, welche Richtlinie tatsächlich greift. Die Bedrohungsrichtlinien-Diagnose im Defender-Portal zeigt für eine Empfängeradresse, welche Richtlinien zutreffen. Die Quarantäne und das Helpdesk-Aufkommen der ersten Woche sind der ehrlichste Indikator. Bis Januar 2027 dokumentierst du den Zielzustand und gleichst die Zahl der geschützten Postfächer mit den Defender-Lizenzen ab.

Häufig gestellte Fragen

Werden meine bestehenden Defender-Richtlinien automatisch auf ODER umgestellt?

Nein, laut Microsoft-Ankündigung MC1546447 bleiben bestehende Richtlinien bei der bisherigen UND-Logik, bis sie geändert werden. Sobald eine Richtlinie im Defender-Portal oder per Exchange Online PowerShell gespeichert wird, wechselt sie auf ODER.

Kann ich die neue ODER-Logik in Defender for Office 365 deaktivieren?

Nein, einen Schalter dafür gibt es nicht; neue Richtlinien nutzen nach dem Rollout immer ODER. Wer weiterhin eine Schnittmenge braucht, legt dafür eine eigene E-Mail-aktivierte Sicherheitsgruppe an und verwendet in der Richtlinie nur diese eine Bedingung.

Welche Richtlinien sind von der Umstellung auf Match any betroffen?

Betroffen sind Bedrohungsschutz-Richtlinien wie Anti-Spam, Anti-Phishing, Anti-Malware, Safe Links und Safe Attachments sowie die Standard- und Strict-Voreinstellungen, sofern sie mehrere Bedingungstypen aus Benutzern, Gruppen und Domänen kombinieren. Richtlinien mit nur einem Bedingungstyp und die Ausnahmen, die schon immer mit ODER arbeiten, ändern ihr Verhalten nicht.

Wie finde ich Defender-Richtlinien mit mehreren Empfängerbedingungen per PowerShell?

Mit Cmdlets wie Get-HostedContentFilterRule, Get-AntiPhishRule, Get-MalwareFilterRule, Get-SafeLinksRule und Get-SafeAttachmentRule lassen sich die Regeln abrufen und nach den Eigenschaften SentTo, SentToMemberOf und RecipientDomainIs filtern. Jede Regel, in der mindestens zwei dieser Eigenschaften gefüllt sind, ändert beim nächsten Speichern ihren Geltungsbereich.

Wann wird die neue Empfängerlogik in Defender for Office 365 ausgerollt?

Microsoft nennt für die weltweite allgemeine Verfügbarkeit Anfang Dezember 2026 als Beginn und Abschluss des Rollouts. Die Meldung selbst läuft bis zum 4. Januar 2027.