Exchange ist Microsofts E-Mail-Plattform — und der mit Abstand verbreitetste Mail-Dienst im Unternehmenseinsatz. Bevor wir ins Detail gehen, ein paar Begriffe, die du oft hörst und leicht verwechselst.

Wo Exchange im Microsoft-Universum sitzt

Exchange Online ist ein Service unter mehreren in deinem Microsoft-365-Tenant — neben SharePoint, Teams, OneDrive, Intune. Die Identitäten kommen aus Microsoft Entra ID (vormals Azure AD): Wer in Entra ein Konto hat und eine Exchange-Lizenz, bekommt automatisch ein Postfach.

Womit du Exchange verwaltest

Alles in Exchange dreht sich um Recipients (Empfänger). Davon gibt es überraschend viele Typen, und sie zu unterscheiden ist eine der wichtigsten Skills überhaupt — das richtige Objekt für die richtige Situation zu wählen, spart Lizenzen und vermeidet Sicherheitsfehler.

Die Empfänger-Typen im Überblick

Verteilerliste vs. Microsoft-365-Gruppe

Ein häufiger Stolperstein: Wann nehme ich welches?

Dynamische Verteilerlisten

Statt manuell Mitglieder zu pflegen, beschreibst du sie per Filter: „Alle Nutzer mit Department -eq 'Vertrieb'". Sehr mächtig — die Mitgliedschaft aktualisiert sich automatisch, wenn jemand ins Team kommt oder geht.

New-DynamicDistributionGroup -Name "Vertrieb-Alle" `
  -RecipientFilter "Department -eq 'Vertrieb' -and RecipientType -eq 'UserMailbox'"

Postfach-Limits, die du kennen solltest

Das Exchange Admin Center (EAC) ist die grafische Verwaltungskonsole für Exchange Online. Du erreichst es unter admin.exchange.microsoft.com oder über das M365-Admin-Center → Admin Centers → Exchange.

Die wichtigsten Bereiche im EAC

EAC vs. Security & Compliance Centers

Eine zweite Verwechslungsgefahr: Anti-Spam, Anti-Phish, Safe Links & Co. liegen nicht im EAC, sondern im Microsoft Defender Portal unter security.microsoft.com. Compliance-Themen (Retention, eDiscovery, Audit) wiederum unter compliance.microsoft.com. Das ist historisch gewachsen und für Einsteiger verwirrend. Wir gehen das in den Sicherheits-/Compliance-Modulen Schritt für Schritt durch.

EAC und Graph X-Ray

Erinnerst du dich an die Graph X-Ray Extension aus dem ersten Hub? Bei vielen — aber nicht allen — Aktionen im EAC zeigt sie dir die zugrundeliegenden API-Aufrufe. Manche EAC-Funktionen laufen jedoch über klassische Exchange-Remote-PowerShell, nicht über Graph — dort siehst du im X-Ray nichts. Für solche Fälle ist EXO PowerShell die richtige Werkzeug.

Dies ist das wichtigste Werkzeug eines Exchange-Admins. Das Modul heißt ExchangeOnlineManagement, Version 3 (kurz EXO V3) — REST-basiert, MFA-fähig, läuft auf Windows, macOS und Linux mit PowerShell 7.

Installation & Verbindung

# Einmalig: Modul aus PowerShell Gallery installieren
Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser

# Verbinden — öffnet ein Browser-Fenster zur Anmeldung (MFA-fähig)
Connect-ExchangeOnline -UserPrincipalName admin@deinlab.onmicrosoft.com

# Test, dass die Verbindung steht
Get-Mailbox -ResultSize 5

# Am Ende sauber trennen
Disconnect-ExchangeOnline -Confirm:$false

Die wichtigsten Cmdlets — Lese-/Schreib-Logik

EXO folgt einer sehr klaren Verb-Substantiv-Logik. Wenn du dieses Muster verinnerlichst, kennst du gefühlt 80 % der Cmdlets:

Die schnellen Get-EXO*-Cmdlets

Für große Tenants gibt es schnelle REST-optimierte Varianten: Get-EXOMailbox, Get-EXORecipient, Get-EXOMailboxStatistics usw. Sie liefern bei Tausenden Objekten ein Vielfaches der Geschwindigkeit von Get-Mailbox — kosten dafür aber, dass du -Properties explizit anfordern musst:

# Klassisch — langsam bei vielen Postfächern
Get-Mailbox -ResultSize Unlimited

# Schnell — REST-optimiert, default-Felder sind reduziert
Get-EXOMailbox -ResultSize Unlimited `
  -Properties DisplayName, ProhibitSendQuota, WhenCreated

Cmdlets, die du täglich brauchst

# Ein bestimmtes Postfach inspizieren
Get-Mailbox alice@deinlab.onmicrosoft.com | Format-List

# Postfach-Größe und Item-Anzahl
Get-MailboxStatistics alice@… | Select DisplayName, TotalItemSize, ItemCount

# Wer hat Zugriff auf eine Shared Mailbox?
Get-MailboxPermission support@… | Where { $_.User -notlike "NT AUTHORITY*" }

# Vollzugriff auf Shared Mailbox geben
Add-MailboxPermission support@… -User bob@… -AccessRights FullAccess -InheritanceType All

# Senden im Namen erlauben (Send As)
Add-RecipientPermission support@… -Trustee bob@… -AccessRights SendAs

# Aus User Mailbox eine Shared Mailbox machen (kostenlose Lizenz freigeben!)
Set-Mailbox verlassen@… -Type Shared

Unattended Scripting: Zertifikats-basierte Auth

Für geplante Skripte (Reporting, Provisionierung) willst du keine Passwörter speichern. Der saubere Weg: App in Entra registrieren, ein Zertifikat hochladen, dann ohne Nutzer-Interaktion verbinden:

Connect-ExchangeOnline `
  -AppId             "00000000-0000-0000-0000-000000000000" `
  -CertificateThumbprint "AABBCC...DDEEFF" `
  -Organization      "deinlab.onmicrosoft.com"

Rollen: Was darfst du eigentlich?

EXO setzt RBAC ein. Auch nach erfolgreicher Anmeldung darfst du nur das, was deine Rolle erlaubt. Die wichtigsten:

• Global Administrator — darf alles (für dein Lab okay, in Produktion vermeiden).
• Exchange Administrator — volle Exchange-Kontrolle, nichts außerhalb.
• Exchange Recipient Administrator — Empfänger anlegen/ändern, aber keine globalen Mail-Flow-Einstellungen.
• Compliance Administrator — Audit, eDiscovery, Retention.

# 1. Anlegen
New-Mailbox -Shared -Name "Vertrieb" -DisplayName "Vertrieb" -PrimarySmtpAddress vertrieb@deinlab.onmicrosoft.com

# 2. Mitglieder berechtigen
Add-MailboxPermission vertrieb@… -User alice@… -AccessRights FullAccess -InheritanceType All
Add-RecipientPermission vertrieb@… -Trustee alice@… -AccessRights SendAs -Confirm:$false

# 3. Quota
Set-Mailbox vertrieb@… -ProhibitSendQuota 9GB -ProhibitSendReceiveQuota 10GB -IssueWarningQuota 8GB

Mail Flow ist die Reise, die eine E-Mail von einem Absender zu deinem Postfach (oder umgekehrt) nimmt. Sie zu verstehen ist die Voraussetzung dafür, Probleme zu lösen — die häufigste Frage eines Admins lautet „Warum ist diese Mail nicht angekommen?".

Die Reise einer eingehenden Mail

Klick auf jede Station, um sie genauer kennenzulernen:

Connectors — die Türen für besondere Mail-Wege

Ohne Connector kommt eine Mail einfach „von irgendwo im Internet". Connectors sind benannte, konfigurierte Verbindungen, die du brauchst, wenn:

E-Mail-Authentifizierung in 30 Sekunden

Drei DNS-Einträge, ohne die moderne Mail-Sicherheit nicht funktioniert:

Mailflow-Diagnose

Wenn eine Mail nicht ankommt, wird das EAC zum Detektiv:

• Mail flow → Message trace im EAC: zeigt jede Mail mit allen Stationen, Verzögerungen, Fehlern.
• Per PowerShell: Get-MessageTrace -SenderAddress … -RecipientAddress … -StartDate (Get-Date).AddDays(-7)
• Connectors → Validate testet Verbindungs-Konfigurationen aktiv.

Transport Rules sind Wenn-Dann-Regeln, die jede einzelne Mail unterwegs inspizieren und manipulieren. Sie sind eines der mächtigsten — und am häufigsten missbrauchten — Werkzeuge in Exchange.

Die Anatomie einer Regel

Eine Regel besteht immer aus drei Teilen:

Top-5 Praxis-Beispiele

Per EAC oder per PowerShell

Im EAC: Mail flow → Rules → Add a rule → Create a new rule. Per PowerShell ist es kompakter und reproduzierbar:

# Klassiker: jede externe Mail im Betreff markieren
New-TransportRule -Name "Externe Mails markieren" `
  -FromScope NotInOrganization `
  -SentToScope InOrganization `
  -PrependSubject "[EXTERN] " `
  -ApplyHtmlDisclaimerLocation Prepend `
  -ApplyHtmlDisclaimerText "<p style='color:#b00'>Achtung: Diese Mail kommt von außerhalb der Firma.</p>" `
  -ApplyHtmlDisclaimerFallbackAction Wrap `
  -Mode Enforce

Test-Modus statt scharf schalten

Jede Regel kann in 3 Modi laufen — nutze das beim Lernen ausgiebig:

E-Mail ist der häufigste Angriffsvektor in Unternehmen. Microsoft begegnet dem mit zwei aufeinander gestapelten Produkten: EOP (in jedem Plan enthalten) und Defender for Office 365 (kostenpflichtig, in E5 oder als Add-on).

Was steckt wo drin?

Die Schlüsselfeatures von Defender for O365

Wo werden diese Policies konfiguriert?

Nicht im EAC. Alles unter security.microsoft.com → Email & collaboration → Policies & rules → Threat policies:

• Anti-spam policies — Schwellwerte, Bulk-Limits, Spam-Aktionen, Allow/Block-Listen.
• Anti-malware policies — Dateitypen, gemeinsame Anhangs-Filterregeln.
• Anti-phishing policies — Impersonation, Spoof-Intelligenz, Mailbox-Intelligence.
• Safe Attachments policies — Sandbox-Modus pro Empfängergruppe.
• Safe Links policies — URL-Umschreibung, Zeitpunkt-Prüfung, Teams-Schutz.

Preset Security Policies — der schnellste Start

Statt jede einzelne Policy zu konfigurieren, gibt es Standard und Strict als Microsoft-empfohlene Profile. Für Lab und kleine Umgebungen ist „Standard" auf alle Empfänger eine sehr gute Default-Wahl.

# Aktuelle Schutz-Konfiguration anzeigen
Get-AntiPhishPolicy | Select Name, Enabled, PhishThresholdLevel
Get-MalwareFilterPolicy | Select Name, Action
Get-HostedContentFilterPolicy | Select Name, BulkThreshold, SpamAction

# Preset Security Policies aktivieren (Defender Portal: Email & collaboration -> Policies -> Preset Security Policies)
# Standard und Strict werden dort als Wizards angeboten

Quarantäne — der zentrale Sammelpunkt

Alle gefilterten Mails landen in der Quarantäne unter security.microsoft.com → Review → Quarantine. Wichtige Aktionen:

• Release — freigeben (eventuell mit „false positive" melden).
• Preview — Inhalt sicher ansehen, ohne Schaden anzurichten.
• Submit to Microsoft — als false positive / missed phish einreichen, verbessert Microsofts ML.

In echten Firmenumgebungen — besonders im EU-Raum — kommen Aufbewahrungspflichten (DSGVO, HGB, branchenspezifische Vorschriften) und juristische Sicherungspflichten dazu. Exchange Online liefert die Werkzeuge dafür im Microsoft Purview-Portal (vormals „Microsoft 365 Compliance Center").

Die vier Werkzeuge, die du kennen musst

Retention: Aufbewahren ≠ Archivieren

Litigation Hold per PowerShell

# Postfach in Litigation Hold setzen (unbegrenzt)
Set-Mailbox alice@deinlab.onmicrosoft.com -LitigationHoldEnabled $true

# Mit zeitlicher Begrenzung (2555 Tage = ~7 Jahre)
Set-Mailbox alice@… -LitigationHoldEnabled $true -LitigationHoldDuration 2555

# Aktuellen Hold-Status prüfen
Get-Mailbox alice@… | Select LitigationHoldEnabled, LitigationHoldDate, LitigationHoldDuration

Audit Log: jede Aktion nachvollziehbar

Standardmäßig aktiv in neueren Tenants, aber unbedingt prüfen. Beispiele für protokollierte Ereignisse:

• Wer hat in welchem Postfach welche Mail gelesen / verschoben / gelöscht?
• Wer hat eine Transport Rule oder Connector geändert?
• Wer hat einer App welche Rechte gegeben?

# Audit-Status prüfen
Get-AdminAuditLogConfig | Select UnifiedAuditLogIngestionEnabled

# Letzte 7 Tage: alle Mailbox-Lösch-Aktionen suchen
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) `
  -Operations HardDelete, SoftDelete, MoveToDeletedItems

Wenn du den Graph/Azure-Hub schon durchgearbeitet hast, hast du bereits einen Lab-Tenant mit Testnutzern. Dieses Modul bündelt die wichtigsten praktischen Übungen zu zwei größeren Szenarien, die du in der Reihenfolge durchgehst.

Was du dafür brauchst

• Einen M365-Lab-Tenant (siehe Graph/Azure-Hub Modul 6 — Azure Free Account → eigener Entra-Tenant).
• Exchange-Online-Lizenz für mindestens 2 Testnutzer. Tipp: 30 Tage Microsoft 365 Business Standard Trial → 25 Lizenzen kostenlos.
• PowerShell 7 + ExchangeOnlineManagement-Modul.
• Optional: eine eigene Test-Domain, die du im Tenant verifizierst — sonst kannst du nur mit *.onmicrosoft.com arbeiten, was viele Übungen einschränkt.

Szenario A · „Firma einrichten"

Connect-ExchangeOnline -UserPrincipalName admin@deinlab.onmicrosoft.com

# Helper: nur erstellen wenn nicht existent
function Ensure-Mailbox($name, $type) {
  if (-not (Get-Mailbox -Identity $name -ErrorAction SilentlyContinue)) {
    New-Mailbox -Name $name "-$type"
  }
}

# Shared Mailbox
if (-not (Get-Mailbox info -ErrorAction SilentlyContinue)) {
  New-Mailbox -Shared -Name "info" -DisplayName "Information"
}
"alice","bob","carol" | ForEach-Object {
  Add-MailboxPermission info -User $_ -AccessRights FullAccess -InheritanceType All -ErrorAction SilentlyContinue
  Add-RecipientPermission info -Trustee $_ -AccessRights SendAs -Confirm:$false -ErrorAction SilentlyContinue
}

# Room Mailbox
if (-not (Get-Mailbox raum1 -ErrorAction SilentlyContinue)) {
  New-Mailbox -Room -Name "raum1" -DisplayName "Meeting-Raum-1"
  Set-Place raum1 -Capacity 6
  Set-CalendarProcessing raum1 -AutomateProcessing AutoAccept -BookingWindowInDays 5
}

# Externe-Mail-Warnung
if (-not (Get-TransportRule "Extern markieren" -ErrorAction SilentlyContinue)) {
  New-TransportRule -Name "Extern markieren" `
    -FromScope NotInOrganization -SentToScope InOrganization `
    -PrependSubject "[EXTERN] "
}

# Hold
Set-Mailbox alice -LitigationHoldEnabled $true -LitigationHoldDuration 2555

Write-Host "✓ Lab-Firma steht." -ForegroundColor Green

Szenario B · „Auf Phishing-Vorfall reagieren"

Wenn du noch mehr willst

• Eine zweite Domain im Tenant aufnehmen und ein zweites „Mandanten-Setup" simulieren.
• Hybrid-Setup nachbauen: kleinen Exchange-Server in einer VM (Eval-Lizenz) + Connector zur Cloud.
• Eine eigene Anti-Phish-Awareness-Kampagne mit Attack Simulator (Defender Plan 2) durchführen.
• Den gesamten Lab-Aufbau in Microsoft Graph PowerShell + ExchangeOnlineManagement nebeneinander schreiben — sieh, wo welches Modul stärker ist.

Der dichte Schnellzugriff für die häufigsten Aufgaben und die besten weiterführenden Quellen.

Top-PowerShell-Cmdlets

Wichtige Portale auf einen Blick

Empfänger-Typen — auf einer Karte

Offizielle Ressourcen

Glossar

Empfohlene Reihenfolge (TL;DR)

1. Woche 1: Module 1–3 lesen, EAC im Lab erkunden, Übung 1.
2. Woche 2: Modul 4 — PowerShell. Übungen 2 & 3.
3. Woche 3: Module 5–6 — Mail Flow + Transport Rules. Übungen 4–6.
4. Woche 4: Module 7–8 — Security & Compliance. Übungen 7 & 8.
5. Abschluss: Modul 9 — Mini-Firma + Incident-Response. Übungen 9 & 10.