Microsoft Exchange: Auflisten von Mitgliedern einer statischen Verteilergruppe verhindern

In einigen Situationen möchten Unter­nehmen, beispielsweise aus Gründen des Datenschutzes, ihren Benutzern diesen Einblick in eine Gruppe jedoch nicht gewähren. Dies lässt sich über mehrere Wege erreichen.

Dynamische anstelle von statischer Gruppe

Zum einen kann man alternativ mit einer dynamischen Gruppe arbeiten und dort den Attributfilter so anpassen, damit man dieses Ergebnis erzielt.

Meistens gelingt dies allerdings nicht, da die Mitglieder von statischen Verteiler­gruppen so individuell zusammen­gewürfelt werden, dass sich dafür kein passender Filter finden lässt.

Wenn Gruppen­mitglieder dazukommen oder wegfallen, dann kann zudem die Anpassung eines Filters recht aufwändig sein.

AD-Attribut anpassen

Eine bessere Variante besteht darin, das in jeder Verteilergruppe vorhandene Attribut hideDLMembership zu verwenden.

Den Wert dieses Attributes setzt man auf True bzw. Wahr, um zu verhindern, dass Benutzer in die Mitgliederliste einsehen können.

Anstelle der GUI von Active Directory-Benutzer und -Computer kann man das Attribut auch mit PowerShell ändern. Dies erfolgt nach diesem Muster:

Get-ADGroup -Identity "Meine Gruppe RE-1-340512325" -Properties * |
Set-ADGroup -Add @{hideDLMembership= $true}

Die Änderung ist nach ein paar Minuten für die User bereits spürbar.

Gruppe aus dem Adressbuch nehmen

Für Exchange Online gibt es diese Option mit AD-Attribut nicht. Hier bliebe nur die dritte und letzte Möglichkeit, nämlich die Gruppe aus dem Adressbuch auszublenden. Sie funktioniert natürlich auch on-prem.

Alternativ zur GUI kann man auch hier zur PowerShell greifen:

Set-DistributionGroup -Identity 'Meine-Gruppe-RE' `
-HiddenFromAddressListsEnabled:$true

Für Exchange Online verwendet man für diesen Zweck das Cmdlet Set-UnifiedGroup mit dem Parameter HiddenFromAddressListsEnabled.

Zusätzlich sollte man noch die OutofOffice/NDR-Nachrichten der Gruppe deaktivieren, weil hierüber zumindest ein Teil der Gruppe identifiziert werden kann. Dies geht über folgenden PowerShell-Befehl:

Set-DistributionGroup "Meine-Gruppe-RE" -SendOofMessageToOriginatorEnabled $false

Hinweis zum Schluss: Wer AAD Connect einsetzt und damit Verteiler­gruppen synchronisiert, könnte unter Umständen Probleme bekommen, wenn das Attribut ggf. nicht synchronisiert wird.