Sophos Email schützt eingehende und ausgehende E-Mails vor Phishing, Malware und Business Email Compromise. Seit April 2026 steht mit Sophos Email Plus eine erweiterte Lizenzstufe zur Verfügung. Die Anbindung an Microsoft 365 erfolgt über Mailflow Rules oder im Gateway-Modus. Beide Wege lassen sich in Sophos Central konfigurieren. Die eigentliche Arbeit beginnt aber erst danach: SPF, DKIM und DMARC müssen für jede Domain sauber eingerichtet sein, damit E-Mails authentifiziert werden und die Domain gegen Spoofing geschützt ist. Der Sophos DMARC Manager vereinfacht diesen Prozess erheblich und ergänzt ihn um BIMI, MTA-STS und TLS-RPT.
Dieser Guide beschreibt den Weg vom M365-Tenant über Mailflow Rules bis zur vollständigen E-Mail-Authentifizierung. Er ersetzt nicht die Sophos-Dokumentation, sondern zeigt, in welcher Reihenfolge die Schritte sinnvoll sind und wo die häufigsten Fehler liegen.
Key Takeaways: Sophos Email + M365 + DMARC
- Sophos Mailflow Rules ist der empfohlene Integrationsmodus für M365. Kein MX-Wechsel nötig, Setup in wenigen Minuten über Sophos Central.
- SPF, DKIM und DMARC sind nicht optional. Ohne korrekte Konfiguration werden E-Mails von Empfängern abgelehnt oder als Spam eingestuft.
- Der Sophos DMARC Manager (powered by Sendmarc) verwaltet SPF, DKIM, DMARC, BIMI, MTA-STS und TLS-RPT zentral über ein Portal mit DNS-Validierung per CNAME.
- DMARC sollte stufenweise verschärft werden: p=none (beobachten), p=quarantine (isolieren), p=reject (ablehnen). Nicht direkt auf reject gehen.
- Microsoft filtert High-Confidence Phishing im Mailflow-Modus vor Sophos. Das ist kein Fehler, sondern M365-Standardverhalten.
Gateway oder Mailflow Rules: Zwei Wege zu Sophos Email
Sophos Email lässt sich auf zwei Wegen mit Microsoft 365 verbinden. Die Wahl beeinflusst, wie der Mailflow technisch aufgebaut ist, wo E-Mails zuerst geprüft werden und welche DNS-Änderungen nötig sind.
| Kriterium | Sophos Mailflow Rules | Sophos Gateway |
|---|---|---|
| MX-Record | Zeigt weiterhin auf M365 | Muss auf Sophos umgestellt werden |
| Integration | Sophos erstellt automatisch Connectors und Transportregeln in M365 | MX-Eintrag ändern, M365-Connector manuell konfigurieren, Enhanced Filtering einrichten |
| E-Mail-Weg (eingehend) | M365 empfängt → Transportregel leitet an Sophos → Sophos prüft → zurück an M365 | Sophos empfängt zuerst → prüft → leitet an M365 weiter |
| M365 Spam-Filter | High-Confidence Phishing wird von M365 vor Sophos gefiltert | M365-Filter kann per Transportregel übersprungen werden |
| Setup-Aufwand | Gering, über Sophos Central automatisiert | Höher, manuelle DNS- und M365-Konfiguration nötig |
| Empfohlen für | Die meisten M365-Umgebungen | Umgebungen mit strikter Kontrolle über den Mailflow oder Hybrid-Exchange |
Für reine M365-Umgebungen sind Mailflow Rules der empfohlene Weg. Kein MX-Wechsel, kein Warten auf DNS-Propagation, keine doppelte Spam-Quarantäne (außer High-Confidence Phishing). Bei Hybrid-Szenarien mit On-Premises Exchange oder speziellen Compliance-Anforderungen kann der Gateway-Modus sinnvoller sein. Beide Modi lassen sich über Sophos Central verwalten.
Sophos Mailflow Rules mit M365 einrichten
Die Einrichtung läuft vollständig in Sophos Central. Voraussetzung ist ein synchronisiertes Active Directory (Entra ID Sync) und Global-Admin- oder Exchange-Admin-Rechte im M365-Tenant.
Ablauf der Einrichtung
- In Sophos Central unter Products & Services → Email → M365 Mailflow Domains die Domain hinzufügen.
- AD-Synchronisation prüfen. Benutzer und Postfächer müssen in Sophos Central sichtbar sein.
- Domain eingeben und „Setup M365 Mailflow" starten.
- Weiterleitung zu Microsoft. Dort die angeforderten Berechtigungen erteilen. Sophos erstellt automatisch Inbound- und Outbound-Connectors sowie Transportregeln in M365.
- Nach der Einrichtung den Verbindungstest in Sophos Central durchführen.
Sophos erstellt bei der Einrichtung eine xgeconnector.com-Domain im M365-Tenant. Diese Domain darf nicht entfernt werden, da sie für den Mailflow zwischen Sophos und M365 benötigt wird.
Falls im M365-Tenant bereits eigene Transportregeln existieren, zeigt Sophos Central eine Warnung an. Bestehende Regeln sollten geprüft werden, bevor die Sophos-Mailflow-Konfiguration aktiviert wird, um Konflikte bei der Regelreihenfolge zu vermeiden.
Subset von Postfächern schützen
Sophos Mailflow Rules können auch auf eine Teilmenge der Postfächer beschränkt werden. Dafür wird in M365 eine Gruppe angelegt und die gewünschten Postfächer hinzugefügt. Nach der AD-Synchronisation steht die Gruppe in Sophos Central zur Auswahl. Das kann für Pilotphasen oder stufenweise Rollouts nützlich sein.
SPF für Sophos Email konfigurieren
SPF (Sender Policy Framework) legt per DNS-Eintrag fest, welche Server E-Mails im Namen einer Domain senden dürfen. Ohne korrekten SPF-Record kann Sophos Email keine E-Mails versenden, die beim Empfänger als legitim erkannt werden.
Sophos stellt regionsabhängige SPF-Include-Records bereit. Welcher Include-Eintrag benötigt wird, hängt davon ab, in welcher Region die Sophos-Central-Instanz gehostet ist (EU, US, Asien-Pazifik). Der korrekte Eintrag steht in der Sophos SPF-Dokumentation.
SPF-Record richtig aufbauen
Pro Domain darf nur ein SPF-Record existieren. Wer bereits einen SPF-Eintrag hat (z. B. für M365), muss den Sophos-Include ergänzen, nicht einen zweiten Record anlegen. Ein Beispiel für eine Domain, die über M365 und Sophos EU versendet:
v=spf1 include:spf.protection.outlook.com include:_spf.eu.sophos.com -all
Wichtig: SPF erlaubt maximal 10 DNS-Lookups. Bei vielen Drittanbietern (Marketing-Tools, CRM, Ticketsystem) wird dieses Limit schnell erreicht. Der Sophos DMARC Manager bietet automatisches SPF-Flattening, das dieses Problem löst.
DKIM-Signierung aktivieren
DKIM (DomainKeys Identified Mail) signiert ausgehende E-Mails kryptographisch. Der Empfänger kann anhand eines öffentlichen Schlüssels im DNS prüfen, ob die Nachricht unverändert vom angegebenen Absender stammt.
Die DKIM-Konfiguration erfolgt in Sophos Central unter den E-Mail-Domain-Einstellungen. Sophos generiert ein Schlüsselpaar und stellt den öffentlichen Schlüssel als DNS-Eintrag (TXT oder CNAME) bereit. Dieser muss im DNS der Domain veröffentlicht werden.
Nach der Veröffentlichung prüft Sophos Central, ob der DNS-Eintrag erreichbar ist. Erst wenn die Validierung erfolgreich war, signiert Sophos ausgehende E-Mails mit DKIM. Ohne DKIM-Signierung fehlt die zweite Säule der E-Mail-Authentifizierung, was sich negativ auf die DMARC-Bewertung auswirkt.
DMARC einrichten: Von none über quarantine bis reject
DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM zu einem Regelwerk und legt fest, wie Empfänger mit nicht authentifizierten E-Mails umgehen sollen. Zusätzlich liefert DMARC Berichte darüber, wer im Namen der Domain E-Mails versendet und ob diese die Prüfung bestehen.
DMARC stufenweise verschärfen
DMARC sollte nicht direkt auf p=reject gestellt werden. Der empfohlene Weg:
- p=none (Monitoring). DMARC-Berichte werden gesammelt, aber nicht authentifizierte E-Mails werden normal zugestellt. In dieser Phase alle legitimem Sender identifizieren und SPF/DKIM für jeden korrigieren.
- p=quarantine (Isolieren). Nicht authentifizierte E-Mails landen im Spam. Noch kein harter Block, aber eine deutliche Warnung. In dieser Phase die Berichte prüfen und sicherstellen, dass keine legitimen Sender mehr durchfallen.
- p=reject (Ablehnen). Nicht authentifizierte E-Mails werden vom Empfänger abgelehnt. Das ist das Ziel und der beste Schutz gegen Domain-Spoofing.
Wer direkt auf reject geht, riskiert, dass legitime E-Mails (Newsletter-Tools, CRM, Ticketsysteme, Drittanbieter-Absender) stillschweigend abgelehnt werden. Die Monitoring-Phase dauert je nach Komplexität der Absenderlandschaft zwischen vier und zwölf Wochen.
DMARC-Record veröffentlichen
Ein DMARC-Record wird als TXT-Eintrag unter _dmarc.domain.de im DNS veröffentlicht. Minimalbeispiel für den Start:
v=DMARC1; p=none; rua=mailto:dmarc-berichte@domain.de; ruf=mailto:dmarc-forensik@domain.de
rua empfängt aggregierte Tagesberichte (XML), ruf empfängt forensische Einzelberichte. Die aggregierten Berichte sind die Basis für die Analyse. Der Sophos DMARC Manager übernimmt das Auswerten automatisch.
Sophos DMARC Manager: SPF, DKIM und DMARC zentral verwalten
Der Sophos DMARC Manager (powered by Sendmarc) ist ein Add-on zu Sophos Email und wird über Sophos Central aktiviert. Er bietet ein zentrales Portal für die Verwaltung von DMARC, SPF, DKIM, BIMI, MTA-STS und TLS-RPT über alle Domains einer Organisation.
Was der DMARC Manager konkret leistet
- Aggregierte (RUA) und forensische (RUF) DMARC-Berichte automatisch auswerten und visualisieren.
- Alle Sender identifizieren, die E-Mails im Namen der Domain versenden, und deren SPF/DKIM-Status bewerten.
- SPF-Records verwalten und automatisch flatten, um das 10-Lookup-Limit einzuhalten.
- DKIM-Keys verwalten und den Alignment-Status pro Sender anzeigen.
- DNS-Validierung per CNAME. Nach einmaliger CNAME-Einrichtung können alle weiteren Änderungen über das Portal vorgenommen werden, ohne jedes Mal den DNS manuell anzufassen.
- Domain-Score berechnen und anzeigen, basierend auf DMARC-Compliance, SPF/DKIM-Alignment, BIMI-Status und MTA-STS/TLS-RPT-Konfiguration.
Einrichtung des DMARC Managers
- In Sophos Central unter Email Security → DMARC Manager die Domain hinzufügen.
- Die angezeigte Verifizierung durchführen (TXT-Record im DNS).
- DMARC-Record konfigurieren. Das Portal generiert den Record und zeigt den benötigten DNS-Eintrag an.
- SPF-Konfiguration prüfen und bei Bedarf über das Portal anpassen (inkl. automatischem Flattening).
- DKIM-Keys anlegen und den öffentlichen Schlüssel im DNS veröffentlichen.
- Optional BIMI, TLS-RPT und MTA-STS konfigurieren.
Die Sophos-Dokumentation beschreibt den Vorgang in einer zweiteiligen Video-Anleitung. Für die vollständige Portal-Dokumentation stellt Sophos eine eigene Hilfeseite bereit.
BIMI, MTA-STS und TLS-RPT
Neben SPF, DKIM und DMARC unterstützt der Sophos DMARC Manager drei weitere Standards, die die E-Mail-Sicherheit und Markenwahrnehmung verbessern.
BIMI: Markenlogo im Posteingang
BIMI (Brand Indicators for Message Identification) ermöglicht es, ein verifiziertes Logo im Posteingang des Empfängers anzuzeigen. Voraussetzung ist eine DMARC-Policy auf quarantine oder reject und ein Verified Mark Certificate (VMC) oder Common Mark Certificate (CMC). BIMI ist kein Sicherheitsfeature im engeren Sinne, signalisiert dem Empfänger aber, dass die Domain authentifiziert und die Markenidentität geprüft ist.
MTA-STS: Verschlüsselte Übertragung erzwingen
MTA-STS (Mail Transfer Agent Strict Transport Security) stellt sicher, dass E-Mails zwischen Mailservern ausschließlich über verschlüsselte TLS-Verbindungen übertragen werden. Ohne MTA-STS kann ein Angreifer per Downgrade-Attacke die Verschlüsselung zwischen zwei Mailservern aushebeln. MTA-STS erfordert einen Policy-File auf einem Webserver und einen DNS-Record.
TLS-RPT: Berichte über Zustellprobleme
TLS-RPT (TLS Reporting) liefert Berichte darüber, ob E-Mails an die Domain erfolgreich über TLS zugestellt werden konnten oder ob es zu Fehlern kam. Diese Berichte sind die Grundlage, um MTA-STS-Probleme oder TLS-Konfigurationsfehler zu erkennen, bevor sie zu Zustellausfällen führen.
Im Domain-Score des Sophos DMARC Managers werden BIMI, MTA-STS und TLS-RPT als eigene Kategorien bewertet. Eine Domain mit vollständiger Konfiguration (DMARC auf reject, SPF/DKIM aligned, BIMI mit VMC, MTA-STS enforced, TLS-RPT aktiv) erreicht den höchsten Score.
Typische Fehler bei Sophos Email + M365
xgeconnector.com-Domain gelöscht
Sophos erstellt bei der Mailflow-Einrichtung eine xgeconnector.com-Domain im M365-Tenant. Wird diese entfernt, bricht der Mailflow. Die Domain darf nicht angerührt werden.
Zweiten SPF-Record angelegt statt den bestehenden ergänzt
Pro Domain darf nur ein SPF-Record existieren. Ein zweiter Record führt zu einem PermError, der SPF komplett ungültig macht. Sophos-Include in den bestehenden Record integrieren.
DMARC direkt auf reject gestellt
Ohne vorherige Analyse der Absenderlandschaft werden legitime Drittanbieter-Mails abgelehnt. Newsletter-Tools, CRM-Systeme, Ticketplattformen und Marketing-Automation versenden häufig im Namen der Domain. Alle müssen SPF- und DKIM-aligned sein, bevor reject aktiviert wird.
DKIM-Key veröffentlicht, aber nicht validiert
Der DNS-Eintrag ist da, aber Sophos Central zeigt den Key nicht als validiert an. Häufige Ursachen sind DNS-Propagation (TTL abwarten), Tippfehler im Selector oder falsche Record-Typen (TXT vs. CNAME).
M365 High-Confidence Phishing als Fehler interpretiert
Im Mailflow-Modus filtert Microsoft High-Confidence Phishing, bevor die E-Mail Sophos erreicht. Das ist kein Konfigurationsfehler, sondern Standardverhalten von M365. Betrifft nur Mailflow Rules, nicht den Gateway-Modus.
Bestehende Transportregeln in M365 nicht geprüft
Vorhandene M365-Transportregeln können die Sophos-Regeln übersteuern oder deren Reihenfolge durcheinanderbringen. Vor der Aktivierung die Regelreihenfolge im Exchange Admin Center prüfen.
Checkliste: Sophos Email + M365 Go-Live
| Schritt | Detail | ☐ |
|---|---|---|
| Lizenz aktiv | Sophos Email Lizenz in Sophos Central vorhanden und zugewiesen | ☐ |
| AD-Sync läuft | Benutzer und Postfächer aus Entra ID in Sophos Central synchronisiert | ☐ |
| Mailflow oder Gateway gewählt | Für reine M365-Umgebungen Mailflow Rules, für Hybrid-Szenarien Gateway prüfen | ☐ |
| Mailflow-Domain eingerichtet | Domain in Sophos Central hinzugefügt, Berechtigungen erteilt, Connectors erstellt | ☐ |
| Verbindungstest bestanden | Test-E-Mail über Sophos Central gesendet und empfangen | ☐ |
| SPF-Record korrekt | Ein SPF-Record mit M365- und Sophos-Include, maximal 10 Lookups | ☐ |
| DKIM aktiviert und validiert | Öffentlicher Schlüssel im DNS, Validierung in Sophos Central erfolgreich | ☐ |
| DMARC-Record veröffentlicht | _dmarc.domain.de mit p=none und rua-Adresse als Startpunkt | ☐ |
| Alle Sender identifiziert | DMARC-Berichte auswerten, alle legitimen Drittanbieter-Sender mit SPF/DKIM abdecken | ☐ |
| DMARC-Policy verschärft | Nach Monitoring-Phase auf quarantine, nach Validierung auf reject | ☐ |
| DMARC Manager konfiguriert | Domain verifiziert, SPF-Flattening aktiv, DKIM-Keys angelegt | ☐ |
| BIMI, MTA-STS, TLS-RPT | Optional, aber empfohlen für vollständige E-Mail-Authentifizierung | ☐ |
| Bestehende M365-Regeln geprüft | Keine Konflikte mit Sophos-Transportregeln und Connectors | ☐ |
Sophos Email Einrichtung planen lassen →
Fazit: Sophos Email & M365 Setup selbst einrichten oder einrichten lassen
Sophos Email mit Microsoft 365 zu verbinden ist technisch unkompliziert. Mailflow Rules sind in wenigen Minuten eingerichtet, Connectors und Transportregeln werden automatisch erstellt. Die eigentliche Arbeit liegt in der E-Mail-Authentifizierung: SPF, DKIM und DMARC müssen für jede Domain korrekt konfiguriert und stufenweise verschärft werden, bevor der Schutz gegen Spoofing und Phishing greift.
Der Sophos DMARC Manager vereinfacht diesen Prozess durch automatische Berichtsauswertung, SPF-Flattening und DNS-Verwaltung per CNAME. Für Organisationen mit mehreren Domains oder komplexer Absenderlandschaft spart das erheblich Zeit und reduziert Konfigurationsfehler.
Gerne unterstützen wir Sie bei Setup, Migration und Betrieb von Sophos Email. Ob Mailflow-Einrichtung, DMARC-Rollout oder vollständige E-Mail-Authentifizierung mit BIMI und MTA-STS: Über Professional Services begleiten wir den gesamten Prozess. Ergänzend bieten wir ein E-Mail-Security-Audit an, das bestehende Konfigurationen prüft und konkrete Verbesserungen empfiehlt.
FAQ: Sophos Email + M365 + DMARC arrow_drop_down
FAQ: Sophos Email, M365 und DMARC
Was ist der Unterschied zwischen Sophos Mailflow Rules und Gateway-Modus?
Bei Mailflow Rules zeigt der MX-Record weiterhin auf M365 und Sophos wird über Connectors und Transportregeln in den Mailflow eingebunden. Im Gateway-Modus zeigt der MX-Record auf Sophos, E-Mails werden dort zuerst geprüft und dann an M365 weitergeleitet. Für reine M365-Umgebungen sind Mailflow Rules der empfohlene Weg.
Warum filtert M365 Phishing, bevor Sophos die E-Mail sieht?
Im Mailflow-Modus verarbeitet M365 eingehende E-Mails zuerst, bevor sie über Transportregeln an Sophos weitergeleitet werden. Microsoft filtert High-Confidence Phishing dabei standardmäßig vor. Das lässt sich im Mailflow-Modus nicht deaktivieren und ist kein Konfigurationsfehler.
Muss ich SPF ändern, wenn ich Sophos Email nutze?
Ja. Der SPF-Record muss um den Sophos-Include erweitert werden, damit ausgehende E-Mails über Sophos beim Empfänger als SPF-authentifiziert erkannt werden. Pro Domain darf nur ein SPF-Record existieren. Der Sophos-Include wird in den bestehenden Record integriert.
Wie lange dauert es, DMARC auf reject zu bringen?
Das hängt von der Komplexität der Absenderlandschaft ab. Bei Domains mit wenigen Sendern (nur M365 und ein Newsletter-Tool) kann der Prozess in vier bis sechs Wochen abgeschlossen sein. Bei Organisationen mit vielen Drittanbieter-Sendern (CRM, Marketing-Automation, Ticketsysteme, Partner-Plattformen) sollten acht bis zwölf Wochen eingeplant werden.
Was macht der Sophos DMARC Manager?
Der Sophos DMARC Manager (powered by Sendmarc) verwaltet DMARC, SPF, DKIM, BIMI, MTA-STS und TLS-RPT zentral über ein Portal. Er wertet DMARC-Berichte automatisch aus, identifiziert alle Sender, bietet SPF-Flattening und ermöglicht DNS-Änderungen per CNAME, ohne bei jeder Anpassung den DNS manuell anfassen zu müssen.
Brauche ich BIMI, MTA-STS und TLS-RPT?
Nicht zwingend, aber empfohlen. BIMI zeigt ein verifiziertes Markenlogo im Posteingang des Empfängers. MTA-STS erzwingt verschlüsselte Übertragung zwischen Mailservern. TLS-RPT liefert Berichte über Zustellprobleme. Alle drei Standards verbessern sowohl Sicherheit als auch Zustellbarkeit und Markenwahrnehmung.
Was ist die xgeconnector.com-Domain in meinem M365-Tenant?
Diese Domain wird von Sophos bei der Mailflow-Einrichtung automatisch im M365-Tenant erstellt und ist für den Mailflow zwischen Sophos und M365 erforderlich. Sie darf nicht entfernt werden, da sonst der E-Mail-Fluss unterbrochen wird.
