Mails in der Sophos-Quarantäne: freigeben und Absender dauerhaft erlauben

Landen Mails in der Sophos-Quarantäne, obwohl der Absender bekannt ist, reicht ein einfaches „Release“ nicht: Es stellt nur diese eine Nachricht zu. Dauerhaft löst du es mit „Release and Allow“ — Sophos liefert die Mail aus und setzt den Absender auf die Inbound-Allow/Block-Liste. Hängt derselbe Absender danach wieder fest, scheitert meist die Absender-Authentifizierung per SPF, DKIM oder DMARC.

Fehlalarm oder echter Treffer? Erst den Quarantäne-Grund lesen

Ob Mails in der Sophos-Quarantäne ein Fehlalarm sind, entscheidet nicht das Bauchgefühl, sondern der Grund-Eintrag. Sophos Central Email hält eine Nachricht zurück, wenn eine Inbound-Schutzregel sie als Spam, Bulk-Mail, Phishing, Malware oder Richtlinienverstoß einstuft — der Grund steht je Nachricht in der Message History (der durchsuchbaren Nachrichten-Historie), zusammen mit dem Ergebnis der SPF-, DKIM- und DMARC-Prüfung.

• Spam oder Bulk: Newsletter, Rechnungs-, Ticket- und Systemmails echter Absender. Bulk meint dabei angeforderten Massenversand — das sind die typischen Fehlklassifikationen, die du selbst korrigierst.
• High Confidence Phish, Malware, DLP: Diese Treffer sieht ein normaler Nutzer im Self-Service-Portal gar nicht erst und kann sie auch nicht freigeben. Hier schaut ein Administrator drauf, bevor etwas zugestellt wird — und zwar bewusst, nicht aus Bequemlichkeit.
• Anhangs- oder URL-Regel: Wird die Mail wegen eines Anhangs oder eines Links gehalten, hat das mit dem Spamfilter nichts zu tun. Dann ist die Anhang- beziehungsweise URL-Schutzregel der richtige Hebel.

Steht dort ein sauberes „Spam“ bei einem Absender, mit dem ihr täglich Geschäft macht, ist der Fall klar: freigeben und erlauben.

Schritt für Schritt: Mail freigeben und Absender dauerhaft erlauben

Notiere dir vor Policy-Änderungen den Ist-Stand oder mach einen Screenshot davon — so lässt sich jeder Eingriff zurückdrehen, wenn plötzlich zu viel durchrutscht.

1. In Sophos Central anmelden und in den Bereich Email Security wechseln. Das Admin-Konto steuert den kompletten Mailfluss, es gehört hinter Multi-Faktor-Authentifizierung.
2. Quarantäne öffnen und die Nachricht über die Filter nach Absender, Empfänger, Betreff oder Datum suchen.
3. Grund und Authentifizierungs-Status ansehen. Bestandene SPF-/DKIM-/DMARC-Prüfung plus Spam-Verdikt heißt: Fehlalarm. Gescheiterte Authentifizierung heißt: erst die Ursache klären, dann freigeben.
4. „Release and Allow“ wählen. Die Nachricht wird vor der Zustellung erneut gescannt und der Absender landet auf der Inbound-Allow/Block-Liste. Reines „Release“ stellt nur diese eine Mail zu, die nächste steckt wieder fest.
5. Inbound-Allow/Block-Liste nachziehen. Bei wiederkehrenden Partnern trägst du gleich die ganze Domain ein. Der Eintrag greift sowohl auf den SMTP-Envelope-Absender (den technischen Absender im Protokoll) als auch auf die sichtbare „From“-Adresse — trifft eine der beiden zu, gilt die Regel.
6. Message Authentication für den Eintrag erzwingen. Sophos empfiehlt das ausdrücklich: Nur Mails, die mindestens eine Prüfung (DMARC, SPF oder DKIM) bestehen, dürfen die Scans überspringen. Ohne diese Sperre ist eine erlaubte Domain eine Einladung für Spoofing, also gefälschte Absender.
7. Fehlklassifikation melden. Über „Report“ im Smart-Banner der Mail schickst du den Fall als „Reported clean“ an SophosLabs. Das Verdikt taucht im SophosLabs-Analysis-Report auf, üblicherweise nach drei bis fünf Werktagen.
8. Zustellung prüfen. Neue Testmail schicken lassen und in der Message History kontrollieren, dass sie durchläuft — nicht erst beim nächsten Beschwerdeanruf.

Für den Alltag lohnt sich zusätzlich die Quarantäne-Zusammenfassung: Nutzer bekommen den Digest ihrer zurückgehaltenen Mails und können vertrauenswürdige Absender selbst freigeben, statt jedes Mal ein Ticket zu öffnen. Die Detailregeln dazu stehen in der Sophos-Dokumentation zur Allow/Block-Liste.

Der Absender steht auf der Allowlist — und wird trotzdem quarantäniert

Das ist der Punkt, an dem die meisten Tickets zweimal aufgemacht werden. Eine Allowlist ist kein Freifahrtschein, sondern an Bedingungen geknüpft:

• Alle Auth-Prüfungen scheitern: Fällt eine Mail bei DMARC, SPF und DKIM gleichzeitig durch, wird der erlaubte Status verworfen und es laufen sämtliche Scans. Die nachhaltige Lösung liegt beim Absender — seine DNS-Einträge müssen stimmen.
• DMARC-Policy auf p=none: Dann liefert DMARC kein belastbares Urteil, und die Bewertung hängt an SPF und DKIM. In Kombination mit aktivem Spoofing-Schutz in den User Settings entscheidet das über Quarantäne oder Zustellung.
• Malware-Scan läuft immer: Auch erlaubte Adressen und Domains werden auf Schadcode geprüft. Eine Quarantäne mit Malware-Verdikt hebelst du nicht per Allowlist aus, und das ist gut so.
• Falsche Policy-Zuordnung: Prüfe, welche Email-Security-Policy für die Empfängergruppe wirklich greift und ob die Spam-Aktion auf Quarantäne statt Löschen steht. Sonst suchst du nach Mails, die längst weg sind.
• URL-Schutz statt Spamfilter: Werden Links umgeschrieben oder blockiert, ist Time-of-Click-Protection zuständig — dort gibt es eine eigene URL-Allowlist. Den Spamfilter dafür aufzuweichen, wäre der falsche Griff.

Neu 2026: 90 Tage Rückblick und Message Replay

Zwei Änderungen sind für die Quarantäne-Arbeit praktisch relevant. Seit Ende April 2026 verlängert Sophos mit „Extended Message History and Quarantine Retention“ das Zeitfenster für Message History, Quarantäne, Emergency Inbox und die zugehörigen Reports auf 90 Tage — allerdings nur mit Sophos-Email-Plus-Lizenz. Mit der Standard-Lizenz bleibt es bei 30 Tagen, danach werden zurückgehaltene Nachrichten gelöscht. Wer eine wichtige Mail vermisst, sollte also nicht bis zum Monatsende warten.

Dazu kam Message Replay: Admins können eine bereits verarbeitete eingehende Mail aus der Message History erneut an die ursprünglichen Empfänger ausliefern, ohne den Absender um ein neues Senden zu bitten. Bereits zugestellte Nachrichten hängt Sophos dabei an eine neue Mail an, damit der Empfänger Original und Wiederholung auseinanderhalten kann; für abgewiesene (rejected) Mails funktioniert das nicht. Die laufenden Änderungen stehen in den Sophos-Email-Release-Notes — im Release 2026.32 vom 11. August 2026 kamen unter anderem eigene Hinweistexte für unverifizierte Time-of-Click-Links und ein URL-Export als CSV/PDF dazu.

Hintergrund: Warum landen legitime Mails in der Sophos-Quarantäne?

Spamfilter urteilen nicht binär, sondern mit Wahrscheinlichkeiten. Sophos bewertet die Reputation des sendenden Systems, das Ergebnis der Authentifizierung, Inhalt, Links und Anhänge und leitet daraus ein Risiko ab. Geschäftsmails mit Serienbrief-Vorlagen, Betreffs wie „Invoice“ oder „Payment“, automatisierte Ticket-Benachrichtigungen und Massenversand ähneln statistisch echtem Spam — deshalb landen Mails in der Sophos-Quarantäne, die inhaltlich völlig in Ordnung sind.

Die drei Prüfungen dahinter lohnen sich als Grundlagenwissen, sie tauchen in jeder Mailfluss-Störung und regelmäßig in Fachinformatiker-Prüfungen auf: SPF legt im DNS fest, welche Server für eine Domain senden dürfen. DKIM signiert die Mail kryptografisch, sodass Veränderungen auf dem Weg auffallen. DMARC verknüpft beides mit der sichtbaren Absenderdomain und sagt dem Empfänger, was bei einem Fehlschlag passieren soll. Fällt eine dieser Prüfungen aus, wirkt der Absender technisch fremd — ganz gleich, wie lange man schon mit ihm zusammenarbeitet.

Deshalb ist die gezielte Allowlist mit erzwungener Authentifizierung der sauberere Weg, als die Spam-Schwelle für alle abzusenken: Sie beantwortet nur die eine Frage „wem vertraue ich?“, ohne den Schutz der restlichen Postfächer anzufassen.

Häufige Fragen

Wie lange bleiben Mails in der Sophos-Quarantäne abrufbar?

Mit der Standard-Lizenz 30 Tage, mit Sophos Email Plus seit April 2026 90 Tage. Danach werden die Nachrichten automatisch gelöscht und lassen sich nicht mehr freigeben.

Was ist der Unterschied zwischen „Release“ und „Release and Allow“?

„Release“ stellt nur diese eine Nachricht zu. „Release and Allow“ liefert sie ebenfalls aus und trägt den Absender zusätzlich auf die Inbound-Allow/Block-Liste ein, damit künftige Mails durchlaufen.

Warum landet ein Absender trotz Allowlist wieder in der Quarantäne?

Weil der erlaubte Status verfällt, wenn DMARC, SPF und DKIM alle fehlschlagen. Dann greifen wieder sämtliche Scans. Der Absender muss seine DNS-Einträge korrigieren.

Dürfen Endnutzer ihre Quarantäne selbst verwalten?

Ja, über das Self-Service-Portal und die Quarantäne-Zusammenfassung, sofern der Admin es freigibt. Treffer als High Confidence Phish, Malware oder DLP bleiben Administratoren vorbehalten.

Wie melde ich eine fälschlich als Spam eingestufte Mail an Sophos?

Über „Report“ im Smart-Banner der Nachricht. Das Verdikt von SophosLabs erscheint im SophosLabs-Analysis-Report, in der Regel nach drei bis fünf Werktagen.