Weiterleitung des Security-Postfachs einrichten: Anleitung je Mailanbieter

Die Weiterleitung richten Sie dort ein, wo das Security-Postfach liegt: in der Verwaltung Ihres Mailanbieters oder Ihres Mailservers. Sie geben eine Zieladresse ein, wählen, dass eine Kopie im Postfach bleibt, und speichern. Bei Microsoft 365 muss zusätzlich die ausgehende Spamrichtlinie die automatische Weiterleitung nach außen erlauben, bei Gmail ein Filter verhindern, dass als Spam eingestufte Meldungen zurückbleiben. Eine Testmail an das Security-Postfach zeigt am Ende, ob alles ankommt.

Wie funktioniert die Weiterleitung?

Die Verordnung (EU) 2024/2847 verlangt von Herstellern eine Kontaktadresse für die Meldung von Schwachstellen (Anhang I Teil II Nummer 6) und eine zentrale Anlaufstelle, die Nutzer leicht finden (Artikel 13 Absatz 17). Meist ist das eine Adresse wie security@ Ihrer Domain. Eine Weiterleitung ändert daran nichts: Die Adresse bleibt dieselbe, Meldende merken nichts, und jede eingehende Mail geht zusätzlich an eine zweite Adresse.

Für CRA Response Center ist diese zweite Adresse die virtuelle Adresse, die Sie in der Anwendung beim Postfach sehen. Das Tool liest ab der ersten weitergeleiteten Mail mit, ordnet ein und benachrichtigt Ihre Bereitschaft. Es braucht keinen Zugang zu Ihrem Postfach und kein Passwort. Ihr Postfach bleibt die Quelle: Dort liegt jede Mail weiter, dort lesen Sie selbst.

Bevor Sie anfangen, klären Sie drei Dinge:

• Wer darf die Einstellung ändern? Bei Microsoft 365, Google Workspace und Exchange braucht es meist eine Person mit Administratorrechten, bei Hosting-Paketen den Zugang zur Kundenverwaltung.
• Ist security@ ein eigenes Postfach oder nur eine Weiterleitungsadresse? Bei manchen Hostern ist die Adresse nur ein Alias, der schon an ein anderes Postfach weiterleitet. Dann ergänzen Sie dort ein weiteres Ziel.
• Welcher Spamfilter liegt davor? Ein vorgeschalteter Filter, der Mails abweist, verhindert auch die Weiterleitung.

Die Bezeichnungen stammen aus den Hilfeseiten der Anbieter. Oberflächen ändern sich, einzelne Wörter können in Ihrer Version anders lauten.

Microsoft 365 und Exchange Online

Die Weiterleitung für ein Postfach stellt eine Person mit Administratorrechten im Exchange Admin Center ein. Microsoft nennt dafür auch das Microsoft 365 Admin Center als zweiten Weg. Die Schritte laut Microsoft-Hilfe:

1. Postfach öffnenIm Exchange Admin Center zu Empfänger, Postfächer gehen und das Security-Postfach anklicken.
2. Weiterleitung einschaltenUnter Postfach, E-Mail-Weiterleitung auf "E-Mail-Weiterleitung verwalten" klicken und "Alle an dieses Postfach gesendeten E-Mails weiterleiten" einschalten.
3. Zieladresse eintragen"Weiterleiten an eine externe E-Mail-Adresse" wählen und die Zieladresse eingeben.
4. Kopie behalten"Nachricht sowohl an Weiterleitungsadresse als auch an Postfach senden" auswählen und speichern.

Worauf achten: Die automatische Weiterleitung an externe Adressen steuert in Microsoft 365 die ausgehende Spamrichtlinie (Antispamrichtlinie für ausgehenden Datenverkehr) mit drei Werten: "Automatisch - Systemgesteuert", "Ein - Weiterleitung ist aktiviert" und "Aus - Weiterleitung ist deaktiviert". Der Standardwert "Automatisch" entspricht laut Microsoft seit 2021 für neue Organisationen dem Wert "Aus". Ist die Weiterleitung gesperrt, kommt eine Unzustellbarkeitsnachricht mit dem Code 5.7.520 zurück und die Kopie nicht an. Microsoft empfiehlt, eine eigene ausgehende Richtlinie anzulegen, die die Weiterleitung nur für die Postfächer erlaubt, die sie brauchen, hier also nur für das Security-Postfach. Auch Remotedomänen und Nachrichtenflussregeln können die Weiterleitung sperren; wenn eine Einstellung erlaubt und eine andere sperrt, gewinnt in der Regel die Sperre. Eine Posteingangsregel in Outlook ist ein weiterer Weg, unterliegt aber derselben Richtlinie.

Offizielle Hilfe: E-Mail-Weiterleitung für ein Postfach in Exchange Online konfigurieren und Automatische externe E-Mail-Weiterleitung steuern (Microsoft Learn).

Google Workspace und Gmail

In Gmail richtet jede Person die Weiterleitung für ihr eigenes Konto ein, für das Security-Postfach also in dessen Gmail-Einstellungen. Google leitet bei der automatischen Weiterleitung alle neuen Nachrichten weiter, ausgenommen Spam. Deshalb gehört ein Filter dazu. Die Schritte laut Gmail-Hilfe:

1. Weiterleitungsadresse hinzufügenIn Gmail die Einstellungen öffnen, alle Einstellungen anzeigen, den Tab "Weiterleitung & POP/IMAP" wählen und auf "Weiterleitungsadresse hinzufügen" klicken.
2. Adresse bestätigenGmail schickt eine Bestätigungsmail an die Zieladresse. Bei CRA Response Center erscheint sie in der Anwendung beim Postfach; den Bestätigungslink dort öffnen.
3. Weiterleitung einschaltenZurück in Gmail die Seite neu laden, "Eingehende E-Mails weiterleiten an" wählen, "Gmail-Kopie im Posteingang behalten" einstellen und "Änderungen speichern" klicken.
4. Filter gegen Spam anlegenIn der Suchleiste "Suchoptionen anzeigen" öffnen, bei "An" die Adresse des Security-Postfachs eintragen, "Filter erstellen" klicken, "Nie als Spam einstufen" ankreuzen und den Filter erstellen.

Worauf achten: Ohne den Filter bleiben Meldungen, die Gmail für Spam hält, im Spam-Ordner und kommen nie bei der Zieladresse an. Gerade knappe Meldungen von unbekannten Absendern trifft das. Google beschreibt als zweiten Weg einen Filter mit der Aktion "Weiterleiten"; dann schalten Sie die automatische Weiterleitung aus, damit nichts doppelt ankommt. In Google Workspace muss die Administration die automatische Weiterleitung erlauben: in der Admin-Konsole unter Apps, Google Workspace, Gmail, Endnutzerzugriff, Automatische Weiterleitung, Einstellung "Nutzern erlauben, eingehende E-Mails automatisch weiterzuleiten". Laut Google ist sie ab Werk an. Ist sie aus, fehlt die Weiterleitung in den Gmail-Einstellungen ganz.

Offizielle Hilfe: Gmail-Nachrichten automatisch an ein anderes Konto weiterleiten, Probleme mit legitimen E-Mails im Spamordner beheben (Gmail-Hilfe) und Nutzern erlauben, ihre eigenen Gmail-E-Mails automatisch weiterzuleiten (Google-Workspace-Hilfe).

IONOS

Bei IONOS liegt die Weiterleitung in den Einstellungen der einzelnen E-Mail-Adresse. Die Schritte laut IONOS-Hilfe:

1. Adresse wählenBei IONOS anmelden, oben Menü, E-Mail wählen, bei mehreren Verträgen den richtigen auswählen und die Adresse des Security-Postfachs anklicken.
2. Weiterleitung hinzufügenIn den Einstellungen die Zeile Weiterleitung anklicken, dann "Weiterleitung hinzufügen".
3. Ziel eintragenDie Zieladresse eingeben und auf Weiter klicken. Laut IONOS ist die Weiterleitung nach wenigen Minuten aktiv.

Worauf achten: Laut IONOS bleiben eingehende Mails wie gewohnt im Postfach, an das Ziel geht eine Kopie. Je Adresse sind bis zu zehn Ziele möglich, eine bestehende Weiterleitung bleibt also erhalten, wenn Sie die Zieladresse ergänzen.

Offizielle Hilfe: E-Mail-Weiterleitung in einem E-Mail-Postfach einrichten (IONOS Hilfe-Center).

Strato

Strato beschreibt zwei Wege: im Kunden-Login über einen Filter des Postfachs oder im Webmail über eine Regel. Die Schritte im Kunden-Login laut Strato-Hilfe:

1. Postfach wählenIm Kunden-Login die E-Mail-Verwaltung des Pakets öffnen, das Security-Postfach markieren und "Filter bearbeiten" wählen.
2. Regel anlegen"Neu anlegen" wählen, der Regel einen Namen geben und als Bedingung "Alle E-Mails" einstellen.
3. Ziel eintragenAls Aktion "Umleiten nach" wählen, die Zieladresse eintragen und speichern.

Worauf achten: Keine zweite Aktion "Verwerfen" hinzufügen, sonst löscht Strato die Mail nach der Weiterleitung aus dem Postfach. Im Webmail führt der Weg über das Zahnrad, Alle Einstellungen, Mail, Regeln, "Neue Regel hinzufügen" und die Aktion "Umleiten nach"; laut Strato bleiben die Mails dabei im Postfach.

Offizielle Hilfe: Eine E-Mail-Weiterleitung einrichten (Strato FAQ).

All-Inkl

Bei All-Inkl legen Sie Weiterleitungen in der technischen Verwaltung KAS an. Die Schritte laut All-Inkl-Anleitung:

1. Bereich öffnenIm KAS anmelden, links E-Mail wählen und rechts "E-Mail-Weiterleitung" anklicken.
2. Weiterleitung anlegen"Neue Weiterleitung anlegen" wählen, im Feld E-Mail-Adresse die Adresse des Security-Postfachs eintragen und bei "Ziel 1" die Zieladresse. Weitere Ziele über "weiteres Ziel".
3. SpeichernLaut All-Inkl ist die Weiterleitung nach etwa 5-15 Minuten aktiv und steht bis dahin auf "in Bearbeitung".

Worauf achten: Den Spamfilter einer Weiterleitung können Sie bei All-Inkl nicht selbst einstellen; er ist automatisch aktiv, wenn das Ziel extern liegt, und das KAS zeigt dann ein rotes Symbol. Ob neben der Weiterleitung eine Kopie in einem Postfach gleicher Adresse bleibt, sagt die Anleitung nicht. Prüfen Sie das mit der Testmail und lassen Sie die Adresse des Security-Postfachs als eines der Ziele stehen, wenn sie schon an ein internes Postfach ging.

Offizielle Hilfe: E-Mail-Weiterleitung einrichten (All-Inkl Anleitungen).

Plesk

Viele Hoster stellen Plesk als Verwaltungsoberfläche bereit. Die Weiterleitung liegt dort bei der einzelnen Mail-Adresse. Die Schritte laut Plesk-Dokumentation:

1. Adresse öffnenUnter E-Mail die Adresse des Security-Postfachs wählen und die Registerkarte Weiterleitung öffnen.
2. Weiterleitung einschalten"E-Mail-Weiterleitung einschalten" ankreuzen und die Zieladresse eintragen.
3. Kopie behalten"Keine Kopien der weitergeleiteten E-Mails im Posteingang von Plesk speichern" nicht ankreuzen und mit OK speichern.

Worauf achten: Ab Werk bleiben Kopien im Postfach. Wie Ihr Hoster den Spamfilter vor Plesk eingestellt hat, unterscheidet sich; fragen Sie im Zweifel dort nach, ob Mails abgewiesen oder nur markiert werden.

Offizielle Hilfe: Einrichten einer E-Mail-Weiterleitung (Plesk Obsidian Dokumentation).

cPanel

Auch cPanel ist eine verbreitete Oberfläche bei Hostern. Die Weiterleitung heißt dort Forwarder. Die Schritte laut cPanel-Dokumentation (englische Bezeichnungen, deutsche Oberflächen übersetzen sie):

1. Forwarders öffnenIm Bereich Forwarders bei "Managing" die Domain des Security-Postfachs wählen und "Add Forwarder" klicken.
2. Adresse eintragenBei "Address to forward" den Teil vor dem @ eintragen und im Menü Domain die Domain wählen.
3. Ziel eintragen"Forward to Email Address" wählen, die Zieladresse eingeben und mit "Add Forwarder" speichern.

Worauf achten: Laut cPanel behalten Konten mit Weiterleitung eine Kopie. Nicht die Option "Discard" wählen, sie verwirft Mails ohne Rückmeldung an den Absender.

Offizielle Hilfe: Forwarders (cPanel & WHM Documentation, englisch).

Exchange Server im eigenen Haus

Bei Exchange Server 2016, 2019 und Subscription Edition stellen Sie die Weiterleitung im Exchange Admin Center oder in der Exchange-Verwaltungsshell ein. Microsoft weist darauf hin, dass das Admin Center nur Empfänger aus der eigenen Organisation anbietet; für eine externe Zieladresse ist die Shell der dokumentierte Weg.

1. Postfach öffnenIm Exchange Admin Center zu Empfänger, Postfächer gehen, das Security-Postfach wählen und auf Bearbeiten klicken.
2. Weiterleitung ansehenUnter Postfachfunktionen bei Nachrichtenfluss "Details anzeigen" wählen. Dort steht, ob und wohin weitergeleitet wird.
3. Externe Adresse per ShellIn der Exchange-Verwaltungsshell mit Set-Mailbox die Zieladresse als ForwardingSMTPAddress setzen und DeliverToMailboxAndForward auf $True stellen, damit die Mail auch im Postfach bleibt.

Laut Microsoft-Hilfe sieht der Befehl so aus, mit Ihren Werten statt der Platzhalter in spitzen Klammern:

Set-Mailbox -Identity "<Security-Postfach>" -DeliverToMailboxAndForward $True -ForwardingSMTPAddress "<Zieladresse>"

Worauf achten: Ob die Weiterleitung nach außen tatsächlich zugestellt wird, hängt auch von den Einstellungen für Remotedomänen, von Transportregeln und von einem vorgeschalteten Spamfilter ab. Leitet ein eigener Mailserver weiter, kann beim Ziel die Prüfung des Absenders (SPF) scheitern; dagegen hilft eine Absender-Umschreibung (SRS) auf dem Server oder dem vorgeschalteten Gateway. Prüfen Sie den Weg mit einer Testmail von außen.

Offizielle Hilfe: E-Mail-Weiterleitung für ein Postfach konfigurieren (Microsoft Learn, Exchange Server).

Typische Fehler

• Keine Kopie behalten. Die Mail liegt dann nur noch bei der Zieladresse. Fällt die Weiterleitung aus, fehlt sie im eigenen Postfach.
• Bestätigung vergessen. Bei Gmail läuft die Weiterleitung erst, wenn der Link in der Bestätigungsmail geöffnet wurde.
• Spam bleibt hängen. Ohne Filter "Nie als Spam einstufen" leitet Gmail Spam nicht weiter. Bei anderen Anbietern sollte der Spamfilter des Security-Postfachs markieren, nicht abweisen.
• Weiterleitung nach außen gesperrt. In Microsoft 365 sperrt die ausgehende Spamrichtlinie oft ab Werk; der Fehlercode 5.7.520 zeigt das.
• Falsches Postfach. Die Weiterleitung liegt an info@ oder an einem persönlichen Postfach, die Meldeadresse aus der security.txt ist aber eine andere.
• Kein Test. Eine Testmail von einer externen Adresse, etwa einem privaten Konto, zeigt den ganzen Weg. Eine Mail aus dem eigenen Haus nimmt oft einen anderen.

Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern

Häufige Fragen

Weiterlesen

• Spam im Security-PostfachWarum der Spamfilter markieren statt abweisen sollte und wie Sie Massenmails sortieren.
• security.txt nach RFC 9116 und BSI TR-03183-3Die Datei, über die Meldende Ihr Security-Postfach finden.
• PSIRT im MittelstandWer das Postfach liest, wer bewertet und wer antwortet.

Quellen

• Verordnung (EU) 2024/2847, Artikel 13 Absatz 17, Anhang I Teil II Nummer 6, Amt für Veröffentlichungen der EU, 20. November 2024.
• Die Hilfeseiten der Anbieter sind jeweils im Abschnitt verlinkt, Stand 20. Oktober 2026.