Sophos-Quarantäne markiert legitime Mails als Spam – so behebst du es

Landen vertrauenswürdige E-Mails in der Sophos-Quarantäne, gibst du sie nicht nur einmalig frei, sondern erlaubst den Absender dauerhaft: In Sophos Central öffnest du die Nachricht und wählst „Release and Allow“. Das stellt die Mail zu und trägt den Absender auf die Inbound-Allow/Block-Liste ein. Bleibt das Problem, prüfst du die Email-Security-Policy und die Absender-Authentifizierung (SPF, DKIM, DMARC).

Ist das wirklich mein Problem? Quarantäne richtig deuten

Sophos Central Email hält eine Nachricht zurück, wenn die Inbound-Schutzregeln sie als Spam, Bulk-Mail, verdächtig oder schädlich einstufen. Wichtig ist die Unterscheidung, denn nicht jede Quarantäne ist ein Fehlalarm:

• Spam / Bulk: Newsletter, Rechnungs- oder Systemmails von echten Absendern – das sind die typischen Fehlklassifikationen, die du selbst korrigierst.
• High Confidence Phish, Malware, DLP: Diese Treffer kann ein Endnutzer bewusst nicht selbst freigeben. Hier prüft ein Administrator den Fall, bevor irgendetwas zugestellt wird.

Den Grund für die Quarantäne findest du in Sophos Central in der Nachrichtensuche (Message-History): Dort steht je Mail, welche Regel gegriffen hat und ob SPF/DKIM/DMARC bestanden wurden. Genau dieser Eintrag entscheidet, ob du eine Allowlist brauchst oder ein Authentifizierungsproblem beim Absender vorliegt.

Schritt für Schritt: Mail freigeben und Absender erlauben

Erstelle vor Policy-Änderungen eine Notiz oder einen Screenshot der aktuellen Einstellungen, damit du jeden Eingriff zurücknehmen kannst.

1. In Sophos Central anmelden und zum Bereich Email wechseln. Sichere den Zugang mit Multi-Faktor-Authentifizierung ab – das Admin-Konto steuert den gesamten Mailfluss.
2. Quarantäne öffnen und die betroffene Nachricht suchen (nach Absender, Empfänger oder Betreff filtern).
3. „Release and Allow“ wählen. Die Mail wird vor der Zustellung erneut gescannt und der Absender landet auf der Inbound-Allow/Block-Liste. Reines „Release“ stellt nur diese eine Nachricht zu, ohne künftige zu erlauben.
4. Allow/Block-Liste prüfen. Trage bei wiederkehrenden Partnern gleich die ganze Domain ein. Sophos gleicht den Eintrag sowohl gegen den SMTP-Envelope-Absender als auch gegen die sichtbare „From“-Adresse ab – beide sollten zur erwarteten Domain passen.
5. Quarantäne-Zusammenfassung aktivieren. Mit dem regelmäßigen Quarantäne-Report und den Smart-Bannern sehen Nutzer selbst, was zurückgehalten wurde, und können vertrauenswürdige Absender über „Allow Sender“ freigeben.
6. Fehlklassifikation melden. Über die Aktion „Report“ im Smart-Banner meldest du eine fälschlich als Spam markierte Mail an SophosLabs zurück – das verbessert die Erkennung für künftige Nachrichten.
7. Zustellung testen. Lass den Absender eine neue Mail schicken und kontrolliere in der Nachrichtensuche, dass sie jetzt sauber durchläuft.

Wenn die Freigabe nicht reicht

Kommt derselbe Absender trotz Allowlist wieder in der Quarantäne an, liegt die Ursache meist nicht bei Sophos, sondern beim sendenden System:

• SPF/DKIM/DMARC scheitern: Wenn die Authentifizierung des Absenders fehlschlägt, stuft der Filter die Mail trotz Allowlist als riskant ein. Bitte den Absender, seine DNS-Einträge zu korrigieren – das ist die nachhaltige Lösung.
• New Sender Protection greift: Mails von erstmaligen oder ungewöhnlichen Absendern werden zur Vorsicht zurückgehalten. Bei bekannten Partnern hilft hier der Allowlist-Eintrag.
• Falsche Policy-Zuordnung: Prüfe, ob für die betroffene Empfängergruppe die richtige Email-Security-Policy gilt und die Spam-Aktion wie gewünscht auf „Quarantäne“ statt „Löschen“ steht.
• Anhang- oder URL-Regel: Wird die Mail wegen eines Anhangs oder Links gehalten, ist das eine andere Regel als der Spamfilter – passe gezielt die Anhang-/URL-Schutzregel an, statt den Spamfilter aufzuweichen.

Hintergrund: Warum hält Sophos legitime Mails zurück?

Spamfilter arbeiten mit Wahrscheinlichkeiten. Sophos bewertet Reputation des Absenders, Authentifizierung (SPF/DKIM/DMARC), Inhalt und Anhänge und vergibt daraus ein Risiko-Urteil. Geschäftsmails mit Vorlagen, Schlüsselwörtern wie „Invoice“ oder „Payment“, automatisierte System- und Ticket-Benachrichtigungen oder Massenversand ähneln statistisch echtem Spam – deshalb landen sie im Graubereich. Eine Allowlist sagt dem Filter im Klartext, welchen Absendern er trauen soll, ohne den Schutz für alle anderen zu senken. Genau deshalb ist gezieltes Erlauben besser als das Aufweichen der gesamten Spam-Erkennung.

Quarantänierte Nachrichten bleiben übrigens 30 Tage abrufbar, mit einer Sophos-Email-Plus-Lizenz 90 Tage. Danach werden sie automatisch gelöscht – wer eine wichtige Mail vermisst, sollte also nicht zu lange warten.

Häufige Fragen

Wie lange bleiben Mails in der Sophos-Quarantäne?

Quarantänierte Nachrichten bleiben 30 Tage abrufbar, mit einer Sophos-Email-Plus-Lizenz 90 Tage. Danach werden sie automatisch gelöscht.

Wie gebe ich eine Mail frei und erlaube den Absender dauerhaft?

Wähle in der Quarantäne „Release and Allow“. Das stellt die Nachricht zu und trägt den Absender automatisch auf die Inbound-Allow/Block-Liste ein.

Warum landen legitime E-Mails als Spam in der Quarantäne?

Meist wegen fehlgeschlagener SPF/DKIM/DMARC-Prüfung, Bulk-Merkmalen oder der New-Sender-Protection. Der Filter stuft die Mail dann als riskant ein.

Können Endnutzer ihre Quarantäne selbst verwalten?

Ja, über das Self-Service-Portal, die Quarantäne-Zusammenfassung und Smart-Banner – außer bei High Confidence Phish, Malware oder DLP-Treffern.

Wie melde ich eine Fehlklassifikation an Sophos?

Über die Aktion „Report“ im Smart-Banner meldest du eine fälschlich als Spam markierte Mail an SophosLabs zurück und verbesserst so die Erkennung.