Kurzlinks werden in Slack und Microsoft Teams blockiert, weil eine geteilte Shortener-Domain eine Sicherheitsprüfung nicht besteht, nicht weil Kurzlinks von Natur aus unsicher wären. Der übliche Übeltäter ist Microsoft Defender Safe Links, ein Unternehmens-Content-Filter oder Slacks eigene Link-Reputationsprüfung. Alle drei stellen dieselbe Frage: Was wissen wir über diese Domain, und können wir sehen, wohin sie führt? Ein geteilter Shortener wie bit.ly beantwortet beides schlecht, sodass der Link zu einer Warnung umgeschrieben, um seine Vorschau gebracht oder blockiert wird. Setzen Sie denselben Link auf eine Branded Domain, die Ihnen gehört, und die Blockaden hören auf.
Es ist dieselbe Ruf-Geschichte, die entscheidet, ob ein Kurzlink der E-Mail-Zustellbarkeit schadet, nur angewandt auf Team-Chat statt auf den Posteingang. Es gehört zum Gesamtbild von Link-Management: Die Domain, auf der Ihre Links leben, ist ein Sicherheitssignal, und Sie entscheiden, ob dieses Signal einem Fremden gehört oder Ihnen selbst.
Was den Link tatsächlich blockiert
Drei Mechanismen erklären fast jeden blockierten Kurzlink im Team-Chat, und es lohnt sich, sie auseinanderzuhalten, denn die Lösung ist dieselbe, aber das Symptom unterscheidet sich.
Microsoft Defender Safe Links. In Organisationen mit Microsoft 365 prüfen Teams (und Outlook) URLs mit Safe Links, einer Kontrolle zum Zeitpunkt des Klicks, die das Ziel in dem Moment, in dem jemand klickt, gegen Microsofts Bedrohungsdaten abgleicht. Misstraut sie einer URL, leitet sie den Klick auf eine Warnseite statt zum Ziel um. Eine Shortener-Domain mit gemischtem Ruf ist ein natürliches Ziel dafür.
URL-Reputation in Slack. Slack versucht, einen Link zu einer Vorschau mit Titel und Bild zu entfalten, und dazu gehört auch eine Prüfung der URL. Ein Link auf einer Domain mit schlechtem Gesamtruf kann seine Vorschau verlieren oder markiert werden, was für Empfänger wie „dieser Link ist unseriös" wirkt.
Unternehmens-Netzwerkfilter. Viele Unternehmen betreiben einen Web-Filter oder ein Secure Gateway, das bekannte öffentliche Shortener-Domains pauschal blockiert, sodass die Nachricht zwar ankommt, der Link sich in diesem Netzwerk aber schlicht nicht öffnen lässt.
Warum geteilte Shortener-Domains die Prüfung auslösen
Jede dieser Prüfungen bewertet im Kern die Domain, und ein geteilter Shortener ist die denkbar ungünstigste Domain, an der man gemessen werden kann.
- Gepoolter Ruf. Millionen Absender nutzen dieselbe Shortener-Domain, sodass ihr Sicherheits-Score ein Durchschnitt ist, der Malware-Betreiber und Phishing-Kampagnen einschließt. Sie erben diesen Durchschnitt, und ein sauberer Absender auf einer Domain mit schlechtem Gesamt-Score wird trotzdem erwischt.
- Ein verborgenes Ziel. Ein Shortener verdeckt die tatsächliche URL hinter einem Redirect. Genau diese Technik nutzen Angreifer, um bösartige Links zu tarnen, sodass ein Sicherheitsfilter einen intransparenten Redirect auf einer unbekannten Domain als eigenständiges Risiko behandelt.
Beachten Sie, was nicht das Problem ist: die Länge des Links oder die Tatsache, dass Sie Klicks tracken. Ein kurzer, getrackter Link auf einer sauberen Domain kommt problemlos durch. Der Ärger entsteht speziell durch die geteilte, intransparente Variante, dieselbe Unterscheidung, die auch erklärt, warum gekürzte Links andernorts als Spam markiert werden.
Die Lösung: eine Branded Domain, die Sie kontrollieren
Das ganze Problem besteht darin, dass die Domain nicht Ihnen gehört. Also machen Sie sie zu Ihrer eigenen. Ein Branded-Kurzlink läuft auf einer Domain, die nur Sie nutzen, etwa go.yourbrand.com, was bedeutet, dass ihr Ruf ausschließlich Ihr Verhalten widerspiegelt. Eine Safe-Links-Prüfung, eine Slack-Vorschau und ein Unternehmensfilter bewerten go.yourbrand.com allesamt anhand seiner eigenen Historie, nicht anhand des gepoolten Scores eines öffentlichen Shorteners. Ist Ihre Nutzung sauber, besteht der Link die Prüfung, und Empfänger sehen eine Domain, die sichtbar Ihnen gehört, statt eines anonymen Redirects.
Sie behalten alles, was den Kurzlink nützlich gemacht hat, das Klick-Tracking, die Kampagnen-Tags und die Möglichkeit, einen Link nach dem Versand umzuleiten, und Sie hören lediglich auf, sich dafür den Ruf eines Fremden zu leihen. Richten Sie einmal eine Branded-Link-Domain ein, und jeder Link, den Sie danach in einen Channel setzen, trägt Ihren Namen durch den Filter.
Wenn Sie noch immer blockiert werden
Eine Branded Domain behebt die Ruf-Ursache, aber ein paar betriebliche Gewohnheiten halten sie sauber:
- Halten Sie den Redirect bei einem einzigen Hop zu einem ehrlichen Ziel. Ketten von Redirects wirken ausweichend und wecken denselben Verdacht erneut.
- Wärmen Sie eine Branded Domain auf und nutzen Sie sie wieder, statt Domains zu rotieren, damit sich ihr Ruf aufbauen kann.
- Blockiert ein bestimmtes Unternehmensnetzwerk den Link weiterhin, kann ein Admin Ihre Branded Domain zur Safe-Links-Allowlist der Organisation hinzufügen, und weil die Domain Ihnen gehört, lässt sich diese Anfrage leicht begründen und bleibt dauerhaft bestehen.
Wenn Sie viel in interne Channels versenden, kann der Slack-Link-Shortening-Bot Branded Links direkt inline erstellen, sodass das ganze Team bei der Domain bleibt, die die Prüfung besteht. Das Allowlisten eines geteilten Shorteners muss dagegen für jeden Workspace, den Sie berühren, neu erledigt werden und behebt niemals den zugrunde liegenden Score.
Die Grundlagenserie lesen
Dieser Beitrag gehört zum Engineering-Cluster. Die Grundlage ist Was ist Link-Management; der nächste verwandte Beitrag ist Schaden Kurzlinks der E-Mail-Zustellbarkeit?, derselbe Ruf-Mechanismus im Posteingang.
Verwandte Beiträge im Blog
Häufig gestellte Fragen
Warum werden meine bit.ly-Links in Microsoft Teams blockiert?
Meist Microsoft Defender Safe Links. Teams prüft URLs mit einer Sicherheitskontrolle zum Zeitpunkt des Klicks, und eine geteilte Shortener-Domain wie bit.ly trägt den gepoolten Ruf all jener, die sie nutzen, einschließlich Phisher. Hat diese Domain einen schlechten Score, oder misstraut die Richtlinie Ihrer Organisation Shortener-Domains generell, wird der Link zu einer Warnseite umgeschrieben oder rundweg blockiert. Ein Branded-Link auf Ihrer eigenen Domain wird stattdessen anhand seines eigenen Rufs geprüft.
Warum markiert Slack Kurzlinks als verdächtig?
Slack versucht, einen Link zu einer Vorschau zu entfalten, und prüft ihn gegen URL-Reputationsdaten. Ein geteilter Shortener verbirgt das tatsächliche Ziel hinter einem Redirect, genau das Muster, das bösartige Links nutzen, sodass Shortener auf Domains mit gemischtem Ruf markiert oder um ihre Vorschau gebracht werden. Manche Workspaces führen zudem ein eigenes Link-Scanning, das bekannte Shortener-Domains blockiert.
Wie verhindere ich, dass meine Kurzlinks blockiert werden?
Verschieben Sie sie auf eine Branded Domain, die Sie selbst kontrollieren. Liegt der Link auf go.yourbrand.com statt auf einem geteilten Shortener, gehört sein Ruf ausschließlich Ihnen, das Ziel wirkt legitim, und er besteht dieselben Safe-Links- und Filterprüfungen, die zuvor die geteilte Domain blockiert haben. Halten Sie den Redirect bei einem einzigen Hop zu einem ehrlichen Ziel.
Sind Kurzlinks ein Sicherheitsrisiko?
Geteilte können missbraucht werden, weshalb Filter ihnen misstrauen. Das Risiko ist nicht das Kürzen selbst, sondern die Kombination aus einer gepoolten Domain und einem verborgenen Ziel. Ein Branded-Kurzlink, der in einem Hop zu einem echten Ziel auflöst, ist kein Sicherheitssignal, und genau das setzen sicherheitsbewusste Teams anstelle roher geteilter Shortener ein.
Kann ich eine Shortener-Domain in Teams oder Slack auf die Allowlist setzen lassen?
Sie können einen Admin bitten, eine Domain auf die Allowlist zu setzen, aber das ist brüchig. Es behebt nur einen Workspace, muss für jede Organisation wiederholt werden, an die Sie schreiben, und ändert nichts am zugrunde liegenden Ruf der geteilten Domain. Eine Branded Domain löst das Problem überall auf einmal, weshalb sie die empfohlene Lösung ist statt der Jagd nach Allowlist-Einträgen.
Elido testen
URL einfügen, kurzer Link in Sekunden
Kein Konto nötig. Link bleibt 30 Tage aktiv. Konto erstellen, um ihn dauerhaft zu behalten.
Kostenlos, keine Anmeldung erforderlich · 2 pro Tag