Mail i karantæne i Microsoft 365 – sådan frigiver du den

En kunde ringer og siger, at de sendte en faktura i går. Du har kigget i indbakken, i Uønsket mail og i søgningen, men mailen er der ikke. Afsenderen har heller ikke fået nogen returmail.

Så er der en god chance for, at mailen ligger i karantæne i Microsoft 365. Den er hverken leveret eller afvist – den er parkeret hos Microsoft, indtil nogen tager stilling til den.

Hvorfor havner en mail i karantæne?

Exchange Online Protection og Microsoft Defender scanner alle indgående mails. Vurderer filtrene, at en mail er spam, phishing, malware eller bulk, eller rammer den en mailflowregel, kan den blive sendt i karantæne i stedet for til postkassen.

Det sker også med helt legitime mails, fx:

• En ny leverandør, hvis domæne mangler SPF, DKIM eller DMARC
• Fakturaer med vedhæftede filer, der ligner noget mistænkeligt
• Nyhedsbreve og masseudsendelser, som bliver vurderet som bulk
• Mails med links, der er omskrevet eller forkortet

Vigtigt: Mails i karantæne bliver ikke liggende for evigt. For spam, bulk og phishing er standarden 15 dage (op til 30 dage, afhængigt af jeres anti-spam-politik). Malware og mailflowregler giver 30 dage. Derefter slettes mailen permanent og kan ikke gendannes.

Hvem kan frigive mailen?

Det afhænger af, hvorfor den er stoppet:

• Spam og bulk: Afhængigt af jeres karantænepolitik kan brugeren ofte selv se og frigive mailen.
• Phishing: Brugeren kan typisk kun anmode om frigivelse.
• Højrisiko-phishing (High confidence phishing) og malware: Brugeren kan aldrig selv frigive mailen. Det skal en administrator gøre.

For at frigive mails for andre brugere skal du være medlem af rollegruppen Quarantine Administrator, Security Administrator eller Organization Management i Defender-portalen, eller have Entra-rollen Security Administrator eller Global Administrator.

Frigiv mailen i Microsoft Defender

1. Gå til Microsoft Defender-portalen på https://security.microsoft.com/quarantine. Du finder siden også under Email & collaboration > Review > Quarantine.
2. Vælg fanen Email.
3. Klik Filter og indsnævr søgningen, fx med Sender address, Recipient address eller Subject. Bemærk, at Time received som standard kun viser de sidste 7 dage – vælg Last 30 days, hvis mailen er ældre.
4. Kig i kolonnen Quarantine reason for at se, hvorfor mailen blev stoppet. Er den markeret som Malware eller High confidence phishing, så vær ekstra forsigtig, og bekræft med afsenderen over telefonen, før du frigiver.
5. Klik på mailen og vælg Preview message, hvis du vil se indholdet først.
6. Klik Release.
7. I panelet Release email to recipient inboxes kan du:
   • Vælge Send a copy of this message to other recipients, hvis en kollega også skal have den.
   • Vælge Submit the message to Microsoft to improve detection (false positive) for at fortælle Microsoft, at det var en fejl.
   • Under det sidste punkt vælge Allow this message, så afsenderen bliver tilføjet til Tenant Allow/Block List, og lignende mails ikke stoppes igen.
8. Klik Release message.

Mailen leveres nu til modtagerens indbakke. Du kan frigive op til 100 mails ad gangen i portalen.

Frigiv mailen med PowerShell

Skal du finde mange mails eller arbejde hurtigt, er Exchange Online PowerShell nemmere. Har du ikke forbindelsen sat op, så se Sådan forbinder du sikkert til Exchange Online PowerShell.

Connect-ExchangeOnline

# Find mails i karantæne til en bestemt modtager
Get-QuarantineMessage -RecipientAddress anna@firma.dk |
    Format-Table ReceivedTime,SenderAddress,Subject,QuarantineTypes,Identity

# Eller fra en bestemt afsender
Get-QuarantineMessage -SenderAddress faktura@leverandoer.dk |
    Format-Table ReceivedTime,RecipientAddress,Subject,QuarantineTypes

Uden datoer viser Get-QuarantineMessage de sidste 16 dage. Du kan gå op til 30 dage tilbage med -StartReceivedDate, og du kan filtrere på type med fx -QuarantineTypes Spam,Phish.

Når du har fundet mailen, frigiver du den til alle de oprindelige modtagere:

Get-QuarantineMessage -SenderAddress faktura@leverandoer.dk |
    Release-QuarantineMessage -ReleaseToAll

Eller kun til én bestemt modtager:

Release-QuarantineMessage -Identity "c14401cf-aa9a-465b-cfd5-08d0f0ca37c5\4c2ca98e-94ea-db3a-7eb8-3b63657d4db7" -User anna@firma.dk

Erstat Identity med værdien fra Get-QuarantineMessage. Tilføj -AllowSender, hvis fremtidige mails fra afsenderen ikke skal i karantæne, og -ReportFalsePositive for at melde en fejlvurderet spam-mail til Microsoft. Bemærk, at -ReleaseToAll og -User ikke kan bruges i samme kommando.

Problemer?

• Mailen er ikke i karantænen: Tjek, om den er ældre end opbevaringsperioden, eller om den overhovedet er nået frem. En meddelelsessporing (Message trace) i Exchange Admin Center viser, hvad der skete med mailen.
• Knappen Release er grå: Du mangler de rette rettigheder, eller mailen er allerede frigivet. En mail kan ikke frigives to gange til samme modtager.
• Rettigheder via Privileged Identity Management (PIM): Roller tildelt via PIM understøttes ikke i karantænen. Tildel rollen direkte.
• Mails fra samme afsender bliver ved med at havne i karantæne: Bed afsenderen om at få styr på SPF, DKIM og DMARC – se Sådan opsætter du SPF, DKIM og DMARC korrekt. Brug Allow this message som midlertidig løsning.
• Frigivelsen fejler: Prøv igen med -Force på Release-QuarantineMessage. Det kan dog betyde, at mailen bliver leveret flere gange.

Kort sagt

Når en mail forsvinder sporløst, så kig i karantænen på https://security.microsoft.com/quarantine, før du beder afsenderen sende igen. Frigiv den med Release eller med Release-QuarantineMessage, og frigiv aldrig malware eller højrisiko-phishing uden at have talt med afsenderen først.

Har I mange legitime mails, der ender i karantæne, hjælper Todo-IT gerne med at justere jeres politikker i Defender.