Wie funktioniert der DirectSend-Exploit?

**Der „DirectSend Exploit“ ist kein klassischer Software-Exploit mit Codeausführung, sondern ein Missbrauch von Microsoft-365-Direct-Send: Angreifer schicken dabei ohne Anmeldung E-Mails mit deiner Firmen-Domain an interne Empfänger und täuschen so interne Absender vor.** ([learn.microsoft.com](https://learn.microsoft.com/en-us/Exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365?redirectSourcePath=%252fen-us%252farticle%252fCara-untuk-menyediakan-multifunction-peranti-atau-aplikasi-untuk-menghantar-e-mel-yang-menggunakan-Office-365-69f58e99-c550-4274-ad18-c805d654b4c4)) ## Was Direct Send tatsächlich ist Direct Send ist eine von Microsoft vorgesehene Versandmethode für Geräte oder Anwendungen, die E-Mails direkt an den MX-Endpunkt von Microsoft 365 senden. Dabei erfolgt der Versand **ohne Authentifizierung**; gedacht ist das vor allem für Drucker, Scanner oder interne Anwendungen. Microsoft beschreibt aber auch klar die Einschränkung: Direct Send ist nur für Empfänger in der eigenen Microsoft-365-Organisation gedacht und eher für fortgeschrittene Umgebungen geeignet. ([learn.microsoft.com](https://learn.microsoft.com/en-us/Exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365?redirectSourcePath=%252fen-us%252farticle%252fCara-untuk-menyediakan-multifunction-peranti-atau-aplikasi-untuk-menghantar-e-mel-yang-menggunakan-Office-365-69f58e99-c550-4274-ad18-c805d654b4c4)) ## Wie der Missbrauch funktioniert Der Angriff nutzt aus, dass der empfangende Tenant interne Absenderdarstellung und Spoofing-Schutz nicht sauber genug trennt. Praktisch heißt das: - Der Angreifer verbindet sich mit dem MX-Server der Zielorganisation. - Er setzt als Absender eine Adresse aus der Firmen-Domain. - Die Mail geht an interne Postfächer derselben Organisation. - Für Empfänger wirkt sie dadurch oft wie eine legitime interne Nachricht. Der entscheidende Punkt: Das ist meist **kein Hack des Postfachs** und auch nicht automatisch eine Schwachstelle in Exchange selbst, sondern ein Problem aus unauthentifiziertem Versand plus unzureichender Schutzkonfiguration. Microsoft hat ausdrücklich klargestellt, dass die öffentlich diskutierten Phishing-Fälle **nicht** auf einer „Direct-Send-Sicherheitslücke“ im engeren Sinn beruhen, sondern auf komplexen Routing-Szenarien und fehlkonfiguriertem Spoof-Schutz. ([microsoft.com](https://www.microsoft.com/en-us/security/blog/2026/01/06/phishing-actors-exploit-complex-routing-and-misconfigurations-to-spoof-domains/?msockid=320c20a71fb16b7e07a536401e636a13)) ## Warum das gefährlich ist Der praktische Schaden ist größer, als viele denken: Solche Mails umgehen nicht zwingend alle Filter, aber sie wirken intern glaubwürdig genug für Passwort-Phishing, Rechnungsbetrug oder gefälschte Freigaben. Der Unterschied zu normalem externem Spoofing ist, dass hier gezielt die **interne Vertrauenswirkung** ausgenutzt wird. Genau deshalb ist Direct Send in vielen Tenants heute eher ein Risiko als ein Komfortfeature. ([microsoft.com](https://www.microsoft.com/en-us/security/blog/2026/01/06/phishing-actors-exploit-complex-routing-and-misconfigurations-to-spoof-domains/?msockid=320c20a71fb16b7e07a536401e636a13)) ## Wichtiger Unterschied Ein verbreitetes Missverständnis ist: „Jemand hat unsere Domain gehackt.“ Das stimmt in solchen Fällen oft nicht. Richtiger ist: Die Domain wird als sichtbarer Absender missbraucht, weil Direct Send absenderseitig keine Anmeldung verlangt und die Schutzregeln im Zielsystem den internen Schein nicht hart genug zurückweisen. Das ist eher mit einem schlecht gesicherten Seiteneingang vergleichbar als mit einem Einbruch über Admin-Zugang. Diese Einordnung folgt aus Microsofts eigener Beschreibung von Direct Send und der späteren Klarstellung zu den Phishing-Kampagnen. ([learn.microsoft.com](https://learn.microsoft.com/en-us/Exchange/mail-flow-best-practices/how-to-set-up-a-multifunction-device-or-application-to-send-email-using-microsoft-365-or-office-365?redirectSourcePath=%252fen-us%252farticle%252fCara-untuk-menyediakan-multifunction-peranti-atau-aplikasi-untuk-menghantar-e-mel-yang-menggunakan-Office-365-69f58e99-c550-4274-ad18-c805d654b4c4)) ## Was daraus konkret folgt Wenn Direct Send nicht zwingend für Drucker, Scanner oder Altanwendungen gebraucht wird, ist **Deaktivieren oder starkes Einschränken** die sinnvollste Maßnahme. Microsoft hat dafür zusätzliche Kontrollmöglichkeiten eingeführt; außerdem müssen SPF, DMARC und vor allem Anti-Spoofing-Regeln sauber gesetzt sein, sonst bleibt die Firmen-Domain intern leichter imitierbar. ([techcommunity.microsoft.com](https://techcommunity.microsoft.com/blog/exchange/introducing-more-control-over-direct-send-in-exchange-online/4408790))