Planen von Sicherheitseinstellungen für ActiveX-Steuerelemente für Office 2010

Informationen zum Planen von Einstellungen für ActiveX-Steuerelemente

Office 2010 bietet verschiedene Sicherheitseinstellungen, mit denen Sie das Verhalten von ActiveX-Steuerelementen und die Art und Weise, wie Benutzer über potenziell unsichere ActiveX-Steuerelemente informiert werden, ändern können. Diese Einstellungen werden normalerweise für Folgendes verwendet:

• Deaktivieren von ActiveX-Steuerelementen

• Ändern der Initialisierungsmethode für ActiveX-Steuerelemente auf der Grundlage des Parameters für den abgesicherten Modus, des SFI-Parameters (Safe for Initialization, sicher für Initialisierung) und des UFI-Parameters (Unsafe for Initialization, unsicher für Initialisierung)

Weitere Informationen zum Konfigurieren von Sicherheitseinstellungen im Office-Anpassungstool (OAT) und mithilfe von administrativen Vorlagen für Office 2010 finden Sie unter Konfigurieren der Sicherheit für Office 2010.

Standardmäßig werden vertrauenswürdige ActiveX-Steuerelemente im abgesicherten Modus mit beständigen Werten geladen, und die Benutzer werden nicht darüber benachrichtigt, dass ActiveX-Steuerelemente geladen wurden. Ein vertrauenswürdiges ActiveX-Steuerelement ist ein beliebiges ActiveX-Steuerelement, das von einem vertrauenswürdigen Herausgeber signiert oder in einem Dokument enthalten ist, das von einem vertrauenswürdigen Speicherort geöffnet wird oder als vertrauenswürdiges Dokument betrachtet wird. Nicht vertrauenswürdige ActiveX-Steuerelemente werden auf unterschiedliche Weise geladen. Dies hängt davon ab, wie das ActiveX-Steuerelement markiert ist und ob in der Datei ein VBA-Projekt zusammen mit dem ActiveX-Steuerelement vorhanden ist. Das Standardverhalten von nicht vertrauenswürdigen ActiveX-Steuerelementen sieht folgendermaßen aus:

• Wenn ein ActiveX-Steuerelement als sicher zur Initialisierung (Safe for Initialization, SFI) gekennzeichnet und in einem Dokument enthalten ist, das kein VBA-Projekt enthält, wird das ActiveX-Steuerelement mit beständigen Werten im sicheren Modus geladen. Die Statusleiste wird nicht angezeigt, und Benutzer werden nicht über das Vorhandensein des ActiveX-Steuerelements benachrichtigt. Alle ActiveX-Steuerelemente im Dokument müssen als SFI gekennzeichnet sein, damit dieses Verhalten auftritt.

• Wenn ein ActiveX-Steuerelement als nicht sicher zur Initialisierung (Unsafe For Initialization, UFI) gekennzeichnet und in einem Dokument enthalten ist, das kein VBA-Projekt enthält, werden Benutzer auf der Statusleiste benachrichtigt, dass ActiveX-Steuerelemente deaktiviert sind. Die Benutzer können jedoch auf die Statusleiste klicken, um ActiveX-Steuerelemente zu aktivieren. Wenn ein Benutzer ActiveX-Steuerelemente aktiviert, werden alle ActiveX-Steuerelemente (die als UFI gekennzeichneten und die als SFI gekennzeichneten) mit beständigen Werten im sicheren Modus geladen.

• Wenn ein ActiveX-Steuerelement als UFI oder SFI gekennzeichnet und in einem Dokument enthalten ist, das außerdem ein VBA-Projekt enthält, werden Benutzer auf der Statusleiste benachrichtigt, dass ActiveX-Steuerelemente deaktiviert sind. Die Benutzer können jedoch auf die Statusleiste klicken, um ActiveX-Steuerelemente zu aktivieren. Wenn ein Benutzer ActiveX-Steuerelemente aktiviert, werden alle ActiveX-Steuerelemente (die als UFI gekennzeichneten und die als SFI gekennzeichneten) mit beständigen Werten im sicheren Modus geladen.

Deaktivieren von ActiveX-Steuerelementen

Office 2010 enthält eine Einstellung, mit der ActiveX-Steuerelemente deaktiviert werden können. Das Deaktivieren von ActiveX-Steuerelementen verhindert, dass sämtliche ActiveX-Steuerelemente in einer Datei beim Öffnen der Datei initialisiert (d. h. geladen) werden. Außerdem können Benutzer einem Dokument keine ActiveX-Steuerelemente hinzufügen. In einigen Fällen wird ein deaktiviertes Steuerelement u. U. in einer Datei als rotes X oder als anderes Symbol angezeigt. Das Steuerelement ist aber deaktiviert, und es erfolgt keine Aktion, wenn ein Benutzer auf das Symbol klickt. Wenn Sie ActiveX-Steuerelemente deaktivieren, werden Benutzer nicht benachrichtigt, dass ActiveX-Steuerelemente deaktiviert sind.

Bestimmen Sie anhand der folgenden Richtlinien, ob ActiveX-Steuerelemente deaktiviert werden sollen.

Name der Einstellung: Alle ActiveX-Steuerelemente deaktivieren

• 
  Beschreibung: Mit dieser Einstellung wird gesteuert, ob ActiveX-Steuerelemente in Office 2010 deaktiviert werden. Dies ist eine globale Einstellung, die nicht pro Anwendung konfiguriert werden kann.

• 
  Auswirkungen: Wenn Sie diese Einstellung aktivieren, werden ActiveX-Steuerelemente nicht initialisiert, und Benutzer werden nicht benachrichtigt, dass die ActiveX-Steuerelemente deaktiviert sind. Außerdem können die Benutzer keine ActiveX-Steuerelemente in Dokumente einfügen. ActiveX-Steuerelemente können zusätzliche Funktionen in Dokumenten bereitstellen. Aus diesem Grund kann das Deaktivieren von ActiveX-Steuerelementen die Funktionalität für Benutzer verringern. Sie sollten sicherstellen, dass den Benutzern bewusst ist, dass diese Einstellung aktiviert ist, da sie nicht von der Anwendung benachrichtigt werden, dass ActiveX-Steuerelemente deaktiviert wurden. Außerdem ist es wichtig zu bestimmen, ob ActiveX-Steuerelemente zum Bereitstellen unternehmenswichtiger Funktionen verwendet werden, bevor Sie diese Einstellung aktivieren.

• 
  Richtlinien: Diese Einstellung wird in Organisationen mit einer sehr strengen Sicherheitsumgebung in der Regel aktiviert.

Sie können auch das in Office 2010 eingeführte Office-COM-Killbit verwenden, um zu verhindern, dass bestimmte COM-Objekte, u. a. ActiveX-Steuerelemente, in Office 2010-Anwendungen ausgeführt werden. Diese Funktion war in 2007 Office System verfügbar, hing jedoch von der Einstellung für das ActiveX-Killbit von Internet Explorer ab. In Office 2010 können Sie jetzt unabhängig über die Registrierung steuern, welche COM-Objekte bei Verwendung von Office 2010 nicht ausgeführt werden können. Wenn das Killbit beispielsweise sowohl in Office als auch in Internet Explorer für dasselbe ActiveX-Steuerelement festgelegt ist und es einen Konflikt zwischen den beiden Einstellungen gibt, hat das Office-COM-Killbit Vorrang. Das Office-COM-Killbit wird häufig festgelegt, wenn ein in einem Microsoft-Sicherheitsbulletin enthaltenes Update angewendet wird, um ein bestimmtes Office 2010-Sicherheitsproblem zu beheben.

Es ist möglich, eine AlternateCLSID (auch als "Phoenix-Bit" bezeichnet) hinzuzufügen, wenn Sie die CLSID eines neuen ActiveX-Steuerelements, das zur Verringerung des Sicherheitsrisikos geändert wurde, mit der CLSID des ActiveX-Steuerelements in Beziehung setzen müssen, auf das das Office-COM-Killbit angewendet wurde. Office 2010 unterstützt die Verwendung der AlternateCLSID nur für ActiveX-Steuerelement-COM-Objekte. Weitere Informationen zum Verhalten von Killbits und zur AlternateCLSID finden Sie unter So verhindern Sie die Ausführung von ActiveX-Steuerelementen in Internet Explorer (https://go.microsoft.com/fwlink/?linkid=183124\&clcid=0x407).

Das folgende Verfahren ist technisch äußerst anspruchsvoll. Fahren Sie also nur fort, wenn Sie mit entsprechenden Verfahren vertraut sind.

Der Ort zum Festlegen des Office-COM-Killbits in der Registrierung lautet HKLM/Software/Microsoft/Office/Common/COM Compatibility/{CLSID}, wobei CLSID der Klassenbezeichner des COM-Objekts ist. Um das Office-COM-Killbit zu aktivieren, müssen Sie den Registrierungsschlüssel einschließlich der CLSID des ActiveX-Steuerelements hinzufügen und dem REG_DWORD Compatibility Flags den Wert 0x00000400 hinzufügen.

Folgende Steuerelemente können Sie auf die Office-Ablehnungsliste setzen:

• 
  Microsoft HTA Document 6.0 - 3050F5C8-98B5-11CF-BB82-00AA00BDCE0B

• 
  htmlfile - 25336920-03F9-11CF-8FD0-00AA00686F13

• 
  htmlfile_FullWindowEmbed - 25336921-03F9-11CF-8FD0-00AA00686F13

• 
  mhtmlfile - 3050F3D9-98B5-11CF-BB82-00AA00BDCE0B

• 
  Webbrowser-Steuerelement - 8856F961-340A-11D0-A96B-00C04FD705A2

• 
  DHTMLEdit - 2D360200-FFF5-11d1-8d03-00a0c959bc0a

Ändern der Initialisierungsmethode für ActiveX-Steuerelemente

Office 2010 enthält eine Einstellung, mit der Sie auf Grundlage des SFI-Parameters, des UFI-Parameters und des Parameters für den abgesicherten Modus steuern können, wie ActiveX-Steuerelemente initialisiert werden. SFI, UFI und abgesicherter Modus sind Parameter, die Entwickler beim Erstellen von ActiveX-Steuerelementen konfigurieren können. ActiveX-Steuerelemente, die als SFI gekennzeichnet sind, verwenden zum Initialisieren sichere Datenquellen. Eine sichere Datenquelle ist eine vertrauenswürdige und bekannte Datenquelle, die keine Sicherheitsverletzung verursacht. Steuerelemente, die nicht als SFI gekennzeichnet sind, gelten als UFI.

Der abgesicherte Modus ist ein weiterer Sicherheitsmechanismus, mit dem Entwickler die Sicherheit von ActiveX-Steuerelementen sicherstellen können. Wenn ein Entwickler ein ActiveX-Steuerelement mit einer Implementierung des abgesicherten Modus erstellt, kann das Steuerelement auf zwei Arten initialisiert werden: im abgesicherten Modus und im unsicheren Modus. Wenn ein ActiveX-Steuerelement im abgesicherten Modus initialisiert wird, gelten bestimmte Einschränkungen für die Funktionalität des Steuerelements. Wenn ein ActiveX-Steuerelement hingegen im unsicheren Modus initialisiert wird, bestehen keine Einschränkungen für seine Funktionalität. Beispielsweise könnte ein ActiveX-Steuerelement zum Lesen und Schreiben von Dateien bei der Initialisierung im abgesicherten Modus möglicherweise nur Dateien lesen, während es bei der Initialisierung im unsicheren Modus Dateien lesen und schreiben könnte. Nur ActiveX-Steuerelemente, die als SFI gekennzeichnet sind, können im abgesicherten Modus initialisiert werden. ActiveX-Steuerelemente, die als UFI gekennzeichnet sind, werden immer im unsicheren Modus initialisiert.

Wenn die standardmäßige Initialisierung für ActiveX-Steuerelemente für Ihre Organisation nicht ausreicht, Sie aber ActiveX-Steuerelemente nicht deaktivieren möchten, verwenden Sie die folgenden Richtlinien, um zu bestimmen, wie Sie die Initialisierungsmethode für ActiveX-Steuerelemente ändern können.

Name der Einstellung: ActiveX-Steuerelementinitialisierung

• 
  Beschreibung: Diese Einstellung gibt an, wie ActiveX-Steuerelemente für alle Office 2010-Anwendungen initialisiert werden. Dies ist eine globale Einstellung, die nicht pro Anwendung konfiguriert werden kann. Für diese Einstellung können Sie eine von sechs möglichen Sicherheitsstufen für die Initialisierung auswählen:

• • Sicherheitsstufe 1: Das Steuerelement wird unabhängig von der Kennzeichnung geladen, und es werden beständige Werte verwendet (sofern vorhanden). Diese Einstellung verhindert, dass Meldungen für Benutzer angezeigt werden.

  • Sicherheitsstufe 2: Wenn das Steuerelement als SFI gekennzeichnet ist, wird es im abgesicherten Modus geladen, und es werden beständige Werte verwendet (sofern vorhanden). Ist das Steuerelement nicht als SFI gekennzeichnet, wird es im nicht sicheren Modus mit beständigen Werten geladen (sofern vorhanden), oder es werden die Standardeinstellungen (Erstinitialisierung) verwendet. Diese Stufe ähnelt der Standardkonfiguration, verhindert im Gegensatz dazu aber, dass Benutzer benachrichtigt werden.

  • Sicherheitsstufe 3: Wenn das Steuerelement als SFI gekennzeichnet ist, wird es im nicht sicheren Modus geladen, und es werden beständige Werte verwendet (sofern vorhanden). Ist das Steuerelement nicht als SFI gekennzeichnet, wird der Benutzer in einer Meldung darauf hingewiesen, dass es als nicht sicher gekennzeichnet ist. Wenn der Benutzer in der Meldung auf Nein klickt, wird das Steuerelement nicht geladen. Andernfalls wird es mit den Standardeinstellungen (Erstinitialisierung) geladen.

  • Sicherheitsstufe 4: Wenn das Steuerelement als SFI gekennzeichnet ist, wird es im nicht sicheren Modus geladen, und es werden beständige Werte verwendet (sofern vorhanden). Ist das Steuerelement nicht als SFI gekennzeichnet, wird der Benutzer in einer Meldung darauf hingewiesen, dass es als nicht sicher gekennzeichnet ist. Wenn der Benutzer in der Meldung auf Nein klickt, wird das Steuerelement nicht geladen. Andernfalls wird es mit den Standardeinstellungen (Erstinitialisierung) geladen.

  • Sicherheitsstufe 5: Wenn das Steuerelement als SFI gekennzeichnet ist, wird es im nicht sicheren Modus geladen, und es werden beständige Werte verwendet (sofern vorhanden). Ist das Steuerelement nicht als SFI gekennzeichnet, wird der Benutzer in einer Meldung darauf hingewiesen, dass es als nicht sicher gekennzeichnet ist. Wenn der Benutzer in der Meldung auf Nein klickt, wird das Steuerelement nicht geladen. Andernfalls wird es mit beständigen Werten geladen.

  • Sicherheitsstufe 6: Wenn das Steuerelement als SFI gekennzeichnet ist, wird es im sicheren Modus geladen, und es werden beständige Werte verwendet (sofern vorhanden). Ist das Steuerelement nicht als SFI gekennzeichnet, wird der Benutzer in einer Meldung darauf hingewiesen, dass es als nicht sicher gekennzeichnet ist. Wenn der Benutzer in der Meldung auf Nein klickt, wird das Steuerelement nicht geladen. Andernfalls wird es mit beständigen Werten geladen.

• 
  Auswirkungen: Wenn ein Steuerelement nicht als SFI gekennzeichnet ist, kann es sich negativ auf einen Computer auswirken. Es kann aber auch bedeuten, dass die Entwickler das Steuerelement nicht in allen Situationen getestet haben und nicht sicher sind, ob es in Zukunft gefährdet sein könnte. Außerdem beachten einige ActiveX-Steuerelemente die Registrierungseinstellung für den sicheren Modus nicht und laden daher u. U. auch dann beständige Daten, wenn Sie diese Einstellung so konfiguriert haben, dass ActiveX-Steuerelemente im abgesicherten Modus initialisiert werden. Durch Aktivieren dieser Einstellung und Auswählen von Sicherheitsstufe 2, 4 oder 6 wird die Sicherheit nur für die ActiveX-Steuerelemente erhöht, die korrekt als SFI gekennzeichnet sind. Falls bösartiger oder mangelhaft entworfener Code vorliegt, kann ein ActiveX-Steuerelement möglicherweise falsch als SFI gekennzeichnet werden.

• 
  Richtlinien: In den meisten Organisationen wird diese Einstellung aktiviert und Sicherheitsstufe 2 ausgewählt, bei der die gleichen Initialisierungskriterien wie bei der Standardkonfiguration verwendet werden, jedoch ohne Benachrichtigung der Benutzer auf der Statusleiste. Diese Einstellung wird von Organisationen mit einer sehr strengen Sicherheitsumgebung in der Regel deaktiviert. Dies ist die Standardkonfiguration.

Verwandte Einstellungen für ActiveX-Steuerelemente

Das Verhalten von ActiveX-Steuerelementen in Office 2010-Anwendungen wird von verschiedenen weiteren Einstellungen beeinflusst. Wenn Sie die Einstellungen für ActiveX-Steuerelemente aufgrund einer besonderen Sicherheitsumgebung verändern, sind die folgenden Einstellungen für Sie möglicherweise relevant:

• 
  Steuerelemente in Forms3 laden: Diese Einstellung bestimmt, wie ActiveX-Steuerelemente in UserForms initialisiert werden.

• 
  Alle Benachrichtigungen für Vertrauensstellungsleiste aus Sicherheitsgründen deaktivieren: Diese Einstellung verhindert, dass Benutzern Warnungen auf der Meldungsleiste angezeigt werden. Dies schließt Warnungen über nicht sichere ActiveX-Steuerelemente ein.

See Also

Concepts

Sicherheit für Office 2010 (Übersicht)
Konfigurieren der Sicherheit für Office 2010

Other Resources

Office 2010-Sicherheitsressourcencenter auf TechNet