Exchange 2013 - Regel (Nachrichtenfluss) Anlagenblockade greift, Ausnahme der Regel clientseitig nicht

Hallo zusammen,

mein erster Beitrag nach der Anmeldung hier und gleich eine Frage - ich hoffe, ich kann mich später revanchieren.

Wir setzen im Unternehmen einen Exchange 2013 Standard ein, dazu Office 2013 HaB und seit kurzem auch 2016 und 2019. Bisher habe ich für das Blockieren von pot. schädlichen Anhängen ADMX-Files für Office 2013 verwendet, was auch hervorragend funktioniert hat. Ich war mir aber unsicher, ob ich mehrere ADMX-Files für die verschiedenen Office-Versionen einsetzen kann/soll, daher habe ich mich für die Erstellung einer Regel im Exchange Admin Center entschieden (Nachrichtenfluss -> Regel). Ich weiß aufgrund eines Microsoft-Artikels, dass Office 2016 und 2019 intern beide als v16.0 registriert sind und daher die ADMX-Files für Office 2019 auch für die 2016er gelten sollen - aber ich konnte nicht herausfinden, ob es eine gute Idee ist (oder überhaupt funktioniert), mehrere ADMX-Vorlagen parallel einzusetzen.

Ich habe definiert, dass Mails, die Anhänge mit bestimmten Extensionen (z. B. Office-Dateien, exe, zip, etc.) enthalten, geblockt werden und der Absender eine Rückmeldung mit Hinweistext erhält. Ich werde per Mail über solche geblockten Nachrichten informiert und kann ggf. die Absender-Domäne als vertrauenswürdig hinzufügen. Es funktioniert an sich auch wie es soll - aber: Nachrichten von Absender-Domains, die als Ausnahme der Regel unter "vertrauenswürdige Domains" hinterlegt sind, können nun zwar die Nachricht erfolgreich dem Empfänger zustellen, Outlook blockiert den Anhang dennoch.

Als nächstes habe ich daher versucht, gem. Microsoft-Anleitung im Regeditor meines Clients (Win 10 Prof v1909) unter Computer\HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Outlook\Security den REG_SZ Eintrag "Level1Remove" zu hinterlegen und habe dort testweise zip eingetragen (jeweils einmal mit und ohne vorangestellten Punkt). Hilft aber nicht, Outlook blockiert weiterhin den Anhang, auch nach Neustart meines Clients.

Dann habe ich alternativ auf dem Domain Controller versucht, eine bestehende Gruppenrichtlinie hierfür zu erweitern: Benutzerkonfiguration\Einstellungen\Windows-Einstellungen\Registrierung - Neues Registrierungselement "Level1Remove" Erstellen für Current User mit den Wertdaten zip. Die Gruppenrichtlinie greift für bestimmte Benutzer und war für den Test ok. gpresult zeigt mir an, dass die Richtlinie bei mir auch angewendet wird. Auch nach einem lokalen gpupdate, reboot und auch nach Wartezeit blockiert Outlook bei mir weiterhin den zip-Anhang von Absendern einer vertrauenswürdigen Domain - allerdings kommt die Nachricht nun immerhin an (wird also nicht mehr direkt abgewiesen).

An der Stelle endet mein Wissen und mir fällt nichts mehr ein, woran es noch liegen kann. Ich tippe darauf, dass mein Outlook eben doch noch eine Einstellung hat, welche sich über die anderen Einstellungen hinwegsetzt. Im Trust Center steht bei Anlagenbehandlung, dass der Sicherheitsmodus durch eine Administratorrichtlinie gesteuert wird. Also bekommt Outlook das ja immerhin mit.

Meine Frage wäre daher, ob jemand noch einen Tip für mich hat.

In diesem Sinne, allen einen schönen Arbeitstag...

VG Jochen