26.24 Versenden und Empfangen von Internet-E–Mails für bestimmte Benutzer unterbinden 

Zweifellos sollten alle Mitarbeiter einer Organisation ein Postfach auf dem Exchange Server erhalten, um intern Nachrichten austauschen und die öffentlichen Ordner des Exchange Server mitnutzen zu können, wenn diese z.B. als »schwarze Bretter« genutzt werden. Jeder Mitarbeiter sollte z.B. eine E–Mail-Nachricht an seinen Vorgesetzten, seinen Personalsachbearbeiter oder auch an den Betriebsrat senden können.

Dennoch kann es sinnvoll und erwünscht sein, dass nur diejenigen Mitarbeiter Nachrichten an externe Adressen schicken oder von diesen empfangen können, die die externe Kommunikation zur Erledigung ihres Aufgabenbereiches benötigen. Mitarbeiter, die z.B. in der Fertigung arbeiten, benötigen den Zugang zum Internet genauso wenig wie Fahrer oder das Küchenpersonal in der Kantine. Durch die Einschränkung des Nachrichtenaustausches dieser Mitarbeiter auf die nur interne Nutzung des Exchange Server kann das Gefahrenpotenzial, das der Zugriff auf das Internet birgt, erheblich reduziert werden. Gleichzeitig kann verhindert werden, dass diese Mitarbeiter den Zugang zum Internet für private Zwecke missbrauchen und einen Teil der Arbeitszeit damit verschwenden, im Internet zu surfen oder zu mailen. Jede private E–Mail inklusive Anhang, die so vermieden wird, landet auch nicht auf den Festplatten des Servers und auf dem Sicherungsband. Je weniger unproduktive E–Mails und Internet-Downloads stattfinden, desto weniger Plattenplatz geht verloren, umso schneller läuft die nächtliche Sicherung durch und umso schneller lässt sich eine defekte Exchange Server-Datenbank wiederherstellen.

Um bei bestimmten Anwendern zu unterbinden, dass sie E–Mails über den Exchange Server in das Internet senden können, muss ein SMTP-Connector erstellt werden. Diese Einschränkung kann nicht über den virtuellen SMTP-Server erreicht werden. Erstellen Sie zuerst eine Sicherheitsgruppe mit einem Namen, aus dem die Bedeutung dieser Gruppe hervorgeht, z.B. externe Nachrichten nicht zugelassen. Weisen Sie der Gruppe eine Exchange-E-Mail-Adresse zu.

Hier klicken, um das Bild zu Vergrößern

In diese Gruppe fügen Sie diejenigen Benutzer als Mitglieder ein, die keine externen Mails senden dürfen.

Als Nächstes muss ein SMTP-Connector erstellt werden. Im Exchange System-Manager klicken Sie den Container für Connectoren mit der rechten Maustaste an und wählen Neu · SMTP Connector. Im Fenster Eigenschaften geben Sie dem SMTP-Connector einen geeigneten Namen, z.B. den Namen Ihres Internet-Providers.

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern

Über die Schaltfläche Hinzufügen muss der SMTP-Connector nun mit dem virtuellen SMTP-Server verbunden werden.

Hier klicken, um das Bild zu Vergrößern

Danach weisen Sie dem SMTP-Connector einen Adressraum zu. Der Adressraum ist eine Liste von Adressen, an die der SMTP-Connector E–Mails versenden soll. In der Registerkarte Adressraum klicken Sie auf die Schaltfläche Hinzufügen und klicken im Fenster Adressraum hinzufügen auf SMTP.

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern

Nun erscheint ein Fenster Internet-Addressraumeigenschaften. Das Platzhalterzeichen * im Feld E–Mail-Domäne bedeutet, dass dieser SMTP-Connector E–Mails an alle SMTP-Domänen senden darf.

Danach werden die Beschränkungen für die Gruppe externe Nachrichten nicht zugelassen so gesetzt, dass Mitglieder dieser Gruppe keine Nachrichten über das Internet schicken können. Klicken Sie auf die Schaltfläche Empfangseinschränkungen und fügen Sie die Gruppe externe Nachrichten nicht zugelassen hinzu.

Hier klicken, um das Bild zu Vergrößern

Wie Sie den Auswahloptionen der Registerkarte Empfangseinschränkungen entnehmen, können Sie auch genau umgekehrt vorgehen: Sie erstellen eine Sicherheitsgruppe externe Nachrichten zulassen und fügen diese Gruppe unter der Rubrik Nachrichten annehmen von: ein. Sie aktivieren also die Option Standardmäßig werden Nachrichten von allen Absendern abgelehnt. Wenn die Mehrheit der Mitarbeiter nur intern Mails verschicken darf, ist dieser Weg weniger aufwändig, weil später nur selten Benutzer in die Gruppe externe Nachrichten zulassen eingepflegt werden müssen.

In meiner Testumgebung konnte übrigens der Gruppenname externe Nachrichten nicht zugelassen nicht aufgelöst werden, als ich ihn in der Registerkarte Empfangseinschränkungen hinzugefügt habe. Daraufhin habe ich im Snap-In Active Directory-Benutzer und –Computer eine Gruppe mit dem Namen Testgruppe eingerichtet. Diese Gruppe konnte ich problemlos hinzufügen, vielleicht, weil dieser Name kürzer war und keine Leerzeichen enthielt. Anschließend habe ich die Gruppe Testgruppe umbenannt in externe Nachrichten nicht zugelassen, habe deren Eigenschaften geöffnet, mich durch alle Registerkarten geklickt und sichergestellt, dass überall der Name Testgruppe durch externe Nachrichten nicht zugelassen ersetzt wurde. Als ich die Registerkarte Empfangseinschränkungen des SMTP-Connectors erneut öffnete, war auch dort der Eintrag Testgruppe durch externe Nachrichten nicht zugelassen ersetzt worden. Ich ging diesem merkwürdigen Phänomen nicht weiter nach.

Versucht nun ein Mitglied der Gruppe externe Nachrichten nicht zulassen, eine E–Mail über das Internet zu verschicken, so erhält es eine Fehlermeldung mit sinngemäß folgendem Inhalt:

»Your message did not reach some or all of the intended recipients.

The following recipient(s) could not be reached:

‘name@domainname.com’

You do not have permission to send to this recipient. For assistance, contact your system administrator.«