In Exchange Online is automatisch doorsturen van e-mail naar externe adressen standaard geblokkeerd. Dat is goed: aanvallers die een account overnemen, stellen vaak ongemerkt een doorstuurregel in. Toch heeft een collega soms een goede reden om tijdelijk mails extern door te sturen. In dit artikel lees je hoe je dat toelaat voor specifieke gebruikers, en hoe je die uitzondering automatisch laat vervallen.
Hoe werkt het?
- Het standaard uitgaand spambeleid heeft de instelling Regels voor automatisch doorsturen met drie waarden: Automatisch - Door systeem beheerd (betekent: uit), Aan en Uit.
- Je laat het standaardbeleid op Automatisch of Uit staan voor iedereen.
- Je maakt een tweede uitgaand beleid met doorsturen op Aan, en je koppelt dat alleen aan een groep, bijvoorbeeld Doorsturen-toegestaan.
- Wie in die groep zit, mag extern doorsturen. Haal je iemand uit de groep, dan vervalt de uitzondering.
Let op: ook externe domeinen (remote domains) en e-mailstroomregels kunnen doorsturen blokkeren. Het strengste beleid wint.
Stap 1: Een groep maken
- Maak in het Microsoft 365-beheercentrum een Microsoft 365-groep, bijvoorbeeld Doorsturen-toegestaan, met een eigenaar uit IT.
- Voeg nog geen leden toe, of alleen een testgebruiker.
Wil je later toegangspakketten gebruiken? Kies dan een Microsoft 365-groep: toegangspakketten ondersteunen geen e-mail-ingeschakelde beveiligingsgroepen of distributielijsten.
Stap 2: Een apart uitgaand spambeleid maken
- Ga naar security.microsoft.com > E-mail en samenwerking > Beleid en regels > Beleid voor bedreigingen > Antispam.
- Klik op Beleid maken > Uitgaand.
- Geef een naam, bijvoorbeeld Tijdelijk extern doorsturen.
- Kies bij Groepen de groep Doorsturen-toegestaan.
- Zet Regels voor automatisch doorsturen op Aan - Doorsturen is ingeschakeld.
- Sla het beleid op. Een eigen beleid heeft altijd voorrang op het standaardbeleid.
Liever met PowerShell? Verbind met Exchange Online PowerShell en voer uit:
New-HostedOutboundSpamFilterPolicy -Name "Tijdelijk extern doorsturen" -AutoForwardingMode On
New-HostedOutboundSpamFilterRule -Name "Tijdelijk extern doorsturen" -HostedOutboundSpamFilterPolicy "Tijdelijk extern doorsturen" -FromMemberOf "doorsturen-toegestaan@contoso.com"Stap 3: Een toegangspakket met vervaldatum
Met een toegangspakket (access package) in Microsoft Entra ID Governance vragen gebruikers zelf toegang aan, keurt een manager goed en vervalt het lidmaatschap automatisch. Hiervoor heb je een licentie zoals Entra ID P2 of Entra ID Governance nodig.
- Ga naar entra.microsoft.com > Identity Governance > Rechtenbeheer (Entitlement management) > Toegangspakketten.
- Klik op Nieuw toegangspakket en geef een duidelijke naam, bijvoorbeeld Tijdelijk e-mail extern doorsturen.
- Voeg bij Resourcerollen de groep Doorsturen-toegestaan toe met de rol Lid.
- Stel bij Aanvragen in wie mag aanvragen (bijvoorbeeld alle interne medewerkers, geen gasten) en wie goedkeurt (bijvoorbeeld de manager van de aanvrager, of een IT-team).
- Stel bij Levenscyclus in dat de toewijzing na een aantal dagen verloopt, bijvoorbeeld na 5 dagen.
- Klik op Maken.
Stap 4: Gebruikers vragen toegang aan
- De gebruiker gaat naar myaccess.microsoft.com. Deel die link op je intranet of in Teams.
- Hij zoekt het toegangspakket, klikt op Aanvragen en geeft een reden.
- Na goedkeuring wordt hij lid van de groep en mag hij extern doorsturen.
- Na de ingestelde periode vervalt het lidmaatschap automatisch. Het doorsturen wordt dan opnieuw geblokkeerd.
Geen Entra ID Governance? Dan voeg je de gebruiker handmatig toe aan de groep en zet je een herinnering in je agenda om hem na de afgesproken periode weer te verwijderen.
Tips
- Het kan even duren (tot een uur of langer) voor een groepswijziging effect heeft op het doorsturen.
- Controleer regelmatig welke doorstuurregels er bestaan, bijvoorbeeld via het rapport over automatisch doorgestuurde berichten in het Exchange-beheercentrum.
- Bekijk de waarschuwingen in Microsoft Defender over verdachte doorstuuractiviteit.