Hornetsecurity für Microsoft 365: Wann zusätzlicher E-Mail-Schutz sinnvoll ist

Seit April 2024 bin ich Hornetsecurity-Partner und setze die Lösung heute bei 14 Kunden ein, meist zusammen mit Microsoft 365 Business Standard. Ob zusätzlicher E-Mail-Schutz auch für Ihr Unternehmen sinnvoll ist, hängt davon ab, welcher Schutz schon vorhanden ist, welche Lizenzen Sie haben und wie Betrieb und Betreuung geregelt sind. Danach richtet sich, ob ich Hornetsecurity, Business Premium oder beides empfehle.

Was Microsoft 365 für die E-Mail-Sicherheit schon mitbringt

Ohne Schutz ist kein Postfach in Microsoft 365. Jede Lizenz mit Exchange Online enthält Exchange Online Protection. Sie filtert Spam und Schadsoftware und erkennt gefälschte Absender über SPF, DKIM und DMARC. Microsoft beschreibt das selbst als Schutz gegen breite, bekannte Angriffe.

Den Unterschied macht Defender for Office 365 Plan 1. Er ist in Business Premium enthalten und lässt sich zu Business Standard als Zusatzlizenz buchen. Er prüft Links beim Anklicken (Safe Links), öffnet Anhänge vorher in einer abgeschotteten Umgebung (Safe Attachments) und erkennt Identitätsvortäuschung. Gemeint sind Mails, deren Absender einer echten Person oder Domain täuschend ähnlich sieht. Diesen Schutz enthält der Grundschutz laut Microsoft ausdrücklich nicht. Seit Sommer 2026 ergänzt Microsoft Business Basic und Business Standard nach eigener Ankündigung um eine Prüfung von Links beim Anklicken. Safe Attachments und der Schutz vor Identitätsvortäuschung bleiben Defender for Office 365 vorbehalten (Stand Oktober 2026). Was Business Premium darüber hinaus mitbringt, beschreibe ich im Artikel über ungenutzte Sicherheitsfunktionen in Business Premium.

Beim Archiv ist es ähnlich. Business Standard hat ein Archivpostfach mit 50 GB, in Business Premium wächst es bis 1,5 TB. Ein eigenes Archivsystem ist das in beiden Fällen nicht.

Warum ich bei Business Standard Hornetsecurity ergänze

Zur Einordnung: Als Hornetsecurity-Partner und Reseller vertreibe und verwalte ich für meine Kunden Software- und Cloudlizenzen verschiedener Hersteller, Microsoft eingeschlossen. Meine Empfehlung richtet sich deshalb nach dem, was beim Kunden schon vorhanden ist.

Die meisten dieser Kunden arbeiten mit Business Standard. Der Wechsel auf Business Premium wäre möglich, verlangt aber einiges an Konfiguration im Tenant, also in der Microsoft-365-Umgebung des Unternehmens: Richtlinien, Geräteverwaltung, Zugriffsregeln. Hornetsecurity dagegen ist schnell eingerichtet und ab der Umstellung wirksam. Grundsätzlich bevorzuge ich trotzdem eine Lösung von einem einzigen Anbieter. Business Premium bringt weit mehr als Mailschutz und Archiv mit, und wer diese Funktionen ohnehin braucht, ist dort besser aufgehoben.

Den Ausschlag für Hornetsecurity gaben für mich die intuitive Bedienung, ein etabliertes und stabiles Produkt und ein guter Support. Als Partner verwalte ich alle Kunden per Single Sign-on in einer Oberfläche. Meist setze ich 365 Total Protection Plan 3 ein, den Hornetsecurity „Enterprise Backup“ nennt:

Das Backup nutzen fast alle meine Kunden mit. Was die einzelnen Pläne enthalten, zeigen die Datenblätter von Hornetsecurity: 365 Total Protection, alle Pläne (PDF), 365 Total Backup (PDF) und Security Awareness Service (PDF).

Was der Filter abfängt: vor allem den falschen Chef

Am häufigsten landen bei meinen Kunden Phishing-Mails in der Quarantäne, die sich als interne Nachricht ausgeben. Typisch ist der vermeintliche Chef, der eine Mitarbeiterin oder einen Mitarbeiter bittet, schnell etwas zu erledigen, zum Beispiel Gutscheinkarten zu kaufen. Das BSI beschreibt diese Masche als CEO-Fraud: Täter geben sich als Geschäftsführung aus und bringen Mitarbeitende dazu, vermeintlich in deren Auftrag Geld zu überweisen.

Solche Mails enthalten oft weder Anhang noch Link, an dem ein Virenscanner anschlagen könnte. Erkannt werden sie am gefälschten oder nachgeahmten Absender. Kein Filter erwischt alles. BSI und Polizei raten deshalb, ungewöhnliche Anweisungen per Rückruf bei der angeblichen Absenderin oder dem Absender zu prüfen. Das gehört in jede Einweisung.

Wie die Umstellung auf Hornetsecurity abläuft

Bleiben die Postfächer in Microsoft 365, stelle ich nur den Mailfluss um. Dafür ändere ich die MX-Einträge. Diese DNS-Einträge legen fest, welcher Server die Mails einer Domain annimmt. Sie zeigen danach auf Hornetsecurity, das die Mails prüft und an die Postfächer weiterleitet.

Kommen die Postfächer dagegen von einem anderen Anbieter, steht vorher eine Postfachmigration an. Dafür richte ich einen Migrationsjob ein, der die Postfächer alle paar Minuten synchronisiert, sodass alte und neue Umgebung gleich bleiben. Die MX-Einträge stelle ich erst um, wenn alle Mitarbeitenden eingewiesen sind. Je nach Datenmenge dauert eine solche Migration einen bis mehrere Tage.

Danach bekommen die Mitarbeitenden in festen Zeitfenstern einen Quarantänebericht. Im eigenen Control Panel sehen sie Archiv und Quarantäne und können sich Mails mit vertretbarem Risiko selbst zustellen. Eindeutig gefährliche Mails bleiben gesperrt.

Eine Schwäche gibt es: Freigegebene Postfächer sind umständlich. Dafür muss ich bei Hornetsecurity einen eigenen Speicherort anlegen, die Sicherungen der betreffenden Postfächer dorthin leiten und anschließend über Berechtigungen festlegen, wer auf welches Postfach zugreifen darf. Das funktioniert, ist aber mehr Aufwand, als ich mir wünschen würde.

Ohne Microsoft und Google: Hornet.email

Manche Kunden wollen weder zu Microsoft noch zu Google und brauchen nur E-Mail, Schutz und Archiv. Für sie ist Hornet.email ein gutes Produkt: Postfächer mit Kalender und Adressbuch, die bei Hornetsecurity liegen und einen integrierten Spam- und Malwareschutz haben. Das ist günstiger als Microsoft 365, bietet aber weniger. Es sind keine Exchange-Postfächer, wie viele sie aus Outlook gewohnt sind.

So hat es die Facharztpraxis aus meiner Referenz gelöst. Ihre Postfächer lagen vorher bei einem Webhoster. 2025 haben mehrere deutsche Hoster ihre E-Mail-Postfächer auf Microsoft 365 umgestellt, verpflichtend und gegen eine monatliche Gebühr je Postfach. Beim Hoster der Praxis bekam jeder Kunde einen eigenen Tenant, den der Hoster bereitstellt. Ein Administrator ließ sich dort anlegen, allerdings mit eingeschränkten Rechten, und erweitern ließ sich die Umgebung nur mit Produkten des Hosters. Wie viel Spielraum man hat und ob sich ein solcher Tenant später übernehmen lässt, hängt vom jeweiligen Vertrag und der Bereitstellung ab. Für die Praxis waren diese Einschränkungen der Anlass, zu wechseln.

Vor der Kündigung habe ich alle Postfächer in Mail Archiver gesichert, einer selbst gehosteten Open-Source-Lösung. Sie ist schlank, kostenfrei, läuft stabil und reicht für die Praxis aus. Heute nutzt die Praxis Hornet.email in der Enterprise-Variante, die ein Archiv mitbringt. Ein Archiv muss also nicht lokal stehen, auch Microsoft bietet eines. Was die IT-Sicherheitsrichtlinie sonst von Praxen verlangt, steht im Artikel über IT in der Arztpraxis.

Wer heute neu plant, dem rate ich zuerst zu Business Premium, das neben Exchange Online umfangreiche Sicherheitsfunktionen enthält. Gemeinnützige Organisationen bekommen es zu eigenen Konditionen, siehe Microsoft 365 für Vereine. Alternativ oder ergänzend deckt Hornetsecurity E-Mail-Sicherheit, Archivierung und Backup an einer Stelle ab. Mehr zu meinem Vorgehen finden Sie unter IT-Sicherheit und Microsoft 365.

Häufige Fragen

Hat Microsoft 365 Business Standard keinen Spamschutz?

Doch. Business Standard enthält Exchange Online Protection mit Filtern gegen Spam, Schadsoftware und gefälschte Absender. Nicht enthalten ist Defender for Office 365 mit Safe Attachments und Schutz vor Identitätsvortäuschung. Das gibt es mit Business Premium oder als Zusatzlizenz. Eine Prüfung von Links beim Anklicken ergänzt Microsoft nach eigener Ankündigung seit Sommer 2026 auch in Business Standard.

Brauche ich Hornetsecurity, wenn ich Business Premium habe?

Für den Mailschutz meist nicht, wenn Defender for Office 365 eingerichtet ist. Bleibt die Frage nach Backup und Archiv, und hier unterscheiden sich die Lösungen grundlegend. Beide sichern den Tenant. Hornetsecurity bringt zusätzlich E-Mail-Sicherheit und ein rechtssicheres Mailarchiv mit. AvePoint Cloud Backup enthält beides nicht, im Paket mit AvePoint Policies and Insights kommt dafür ein Werkzeug für SharePoint-Berechtigungen dazu, mit dem sich der Tenant auf Schwachstellen und mögliche Datenlecks überwachen lässt. Wird neben Defender nur ein Backup gebraucht, setze ich eher AvePoint ein. Geht es auch um ein rechtssicheres Archiv, passt Hornetsecurity besser.

Muss ein E-Mail-Archiv lokal stehen?

Nein. Hornetsecurity archiviert in der Cloud, Microsoft bietet je nach Lizenz Archivpostfächer. Ein lokales Archiv wie Mail Archiver ist sinnvoll, wenn Postfächer vor einer Kündigung gesichert werden sollen oder die Daten im eigenen Haus bleiben sollen.

Quellen

• Defender for Office 365 Plan 1 in Business Premium, Schutzstufen: Microsoft Learn – Übersicht über Microsoft Defender for Office 365 (Stand: September 2026)
• Grundschutz aller Lizenzen, Zusatzschutz in Business Premium: Microsoft Learn – Sicherheitsübersicht für Microsoft 365 for Business (Stand: September 2026)
• Linkprüfung beim Anklicken in Business Basic und Standard ab Sommer 2026: Microsoft Licensing – Microsoft 365 packaging and pricing updates (Stand: Oktober 2026)
• Identitätsvortäuschung nur in Defender for Office 365: Microsoft Learn – Antiphishing-Richtlinien (Stand: September 2026)
• Größe der Archivpostfächer: Microsoft Learn – Exchange Online-Grenzwerte (Stand: September 2026)
• Pläne von 365 Total Protection: Hornetsecurity – 365 Total Protection (Stand: September 2026)
• Backup für Microsoft 365: Hornetsecurity – 365 Total Backup (Stand: September 2026)
• Continuity: Hornetsecurity – Email Continuity Service (Stand: September 2026)
• Archivierung: Hornetsecurity – Email Archiving (Stand: September 2026)
• Hornet.email: Hornetsecurity – Hornet.email (Stand: September 2026)
• CEO-Fraud: BSI – Social Engineering, der Mensch als Schwachstelle und Polizeiliche Kriminalprävention – CEO-Fraud (Stand: September 2026)
• Umstellung von Hoster-Postfächern auf Microsoft 365 (2025): Borns IT- und Windows-Blog – Umstellung auf Microsoft 365 und Borns IT- und Windows-Blog – eigener Tenant je Kunde, Domain im Tenant des Hosters (Stand: September 2026)
• AvePoint: AvePoint – Cloud Backup für Microsoft 365, AvePoint Learn – Policies and Insights (Stand: September 2026)
• Mail Archiver: mail-archiver.org (Stand: September 2026)