Planen von Sicherheitseinstellungen für ActiveX-Steuerelemente, Add-Ins und Makros 2007 Office System

Deaktivieren von ActiveX-Steuerelementen in allen Dokumenten

Wenn Ihre Sicherheitsarchitektur sehr restriktiv ist und Sie das potenzielle Risiko durch ActiveX-Steuerelemente minimieren möchten, können Sie ActiveX-Steuerelemente deaktivieren. Das Deaktivieren von ActiveX-Steuerelementen verhindert, dass sämtliche ActiveX-Steuerelemente in einer Datei beim Öffnen der Datei initialisiert (geladen) werden. In einigen Fällen wird ein deaktiviertes Steuerelement u. U. in einer Datei als rotes X oder als anderes Symbol angezeigt. Das Steuerelement ist aber deaktiviert, und es erfolgt keine Aktion, wenn ein Benutzer auf das Symbol klickt. Wenn Sie ActiveX-Steuerelemente deaktivieren, werden Benutzer nicht benachrichtigt, dass ActiveX-Steuerelemente deaktiviert sind.

Zum Deaktivieren von ActiveX-Steuerelementen konfigurieren Sie eine der Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Hinweis:
ActiveX-Steuerelemente in Dateien, die an vertrauenswürdigen Speicherorten gespeichert sind, können nicht deaktiviert werden. Wenn eine Datei von einem vertrauenswürdigen Speicherort geöffnet wird, werden alle aktiven Inhalte in der Datei initialisiert und dürfen ohne Benachrichtigung ausgeführt werden, selbst wenn Sie ActiveX-Steuerelemente deaktivieren.

Achten Sie auf Folgendes, wenn Sie ActiveX-Steuerelemente deaktivieren:

• Benachrichtigen Sie Benutzer, dass ActiveX-Steuerelemente deaktiviert sind und beim Öffnen von Dateien mit deaktivierten ActiveX-Steuerelementen keine Benachrichtigung angezeigt wird.

• Testen Sie die möglichen Auswirkungen, die das Deaktivieren von ActiveX-Steuerelementen auf Ihre Organisation haben kann. Da viele Office-Lösungen mit ActiveX-Steuerelementen erstellt werden, kann das Deaktivieren von ActiveX-Steuerelementen zu unerwartetem Verhalten führen und die ordnungsgemäße Funktion von Anwendungen beeinträchtigen.

• Notieren Sie die Einstellungen in den Sicherheitsplanungs- und Sicherheitsvorgangsdokumenten.

Zulassen, dass alle ActiveX-Steuerelemente initialisiert und ohne Benachrichtigung ausgeführt werden

Sie können 2007 Office System so konfigurieren, dass alle ActiveX-Steuerelemente initialisiert und ohne Benachrichtigung ausgeführt werden. Dies kann in einigen Test- und Entwicklungsumgebungen und auch in isolierten Umgebungen nützlich sein, in denen durch zusätzliche Sicherheitsmechanismen wie Firewalls, Viruserkennungsprogramme und Angriffserkennungsprogramme sichergestellt wird, dass Dateien keine schädlichen Inhalte enthalten.

Wichtig:
Für Produktionsumgebungen wird nicht empfohlen, das Initialisieren und Ausführen von ActiveX-Steuerelementen ohne Warnung zuzulassen. Die Möglichkeit zum Initialisieren und Ausführen von ActiveX-Steuerelementen ohne Warnung könnte das Risiko von Angriffen erheblich erhöhen und die Sicherheit Ihrer Organisation potenziell beeinträchtigen.

Wenn Sie zulassen möchten, dass ActiveX-Steuerelemente initialisiert und ohne Benachrichtigung ausgeführt werden, konfigurieren Sie eine der Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Wenn Sie die Einstellung ändern, werden SFI- und UFI-Steuerelemente mit minimalen Einschränkungen (d. h. mit permanenten Werten) initialisiert. Wenn keine permanenten Werte verfügbar sind, werden die Steuerelemente unter Verwendung der InitNew-Methode mit Standardwerten initialisiert. SFI-Steuerelemente werden im abgesicherten Modus initialisiert, und Benutzer werden nicht benachrichtigt, dass ActiveX-Steuerelemente aktiviert sind. Diese Einstellung kann nur mithilfe der administrativen Vorlagen (ADM-Dateien) für 2007 Office System konfiguriert werden. Diese Einstellung gilt für 2007 Office System und frühere Versionen von Office.

Eine Liste aller Konfigurationen finden Sie im 2007 Microsoft Office-Sicherheitshandbuch – Bedrohungen und Gegenmaßnahmen: Sicherheitseinstellungen in 2007 Office System (in englischer Sprache) (https://technet.microsoft.com/de-de/library/cc500475.aspx) (in englischer Sprache).

Achten Sie auf Folgendes, wenn Sie zulassen, dass alle ActiveX-Steuerelemente initialisiert und ohne Benachrichtigung ausgeführt werden:

• Benachrichtigen Sie Benutzer, dass ActiveX-Steuerelemente aktiviert sind und beim Öffnen von Dateien mit ActiveX-Steuerelementen keine Benachrichtigung angezeigt wird.

• Notieren Sie die Einstellungen in den Sicherheitsplanungs- und Sicherheitsvorgangsdokumenten.

Ändern der Initialisierungsmethode für ActiveX-Steuerelemente auf Grundlage des SFI- und des UFI-Parameters

2007 Office System bietet verschiedene Einstellungen, mit denen Sie auf Grundlage des SFI-Parameters, des UFI-Parameters und des Parameters für den abgesicherten Modus steuern können, wie ActiveX-Steuerelemente initialisiert werden. SFI, UFI und abgesicherter Modus sind Parameter, die Entwickler beim Erstellen von ActiveX-Steuerelementen konfigurieren können. ActiveX-Steuerelemente, die als SFI gekennzeichnet sind, verwenden zum Initialisieren sichere Datenquellen . Eine sichere Datenquelle ist eine vertrauenswürdige und bekannte Datenquelle, die keine Sicherheitsverletzung verursacht. Steuerelemente, die nicht als SFI gekennzeichnet sind, gelten als UFI.

Der abgesicherte Modus ist ein weiterer Sicherheitsmechanismus, mit dem Entwickler die Sicherheit von ActiveX-Steuerelementen sicherstellen können. Wenn ein Entwickler ein ActiveX-Steuerelement mit einer Implementierung des abgesicherten Modus erstellt, kann das Steuerelement auf zwei Arten initialisiert werden: im abgesicherten Modus und im unsicheren Modus. Wenn ein ActiveX-Steuerelement im abgesicherten Modus initialisiert wird, gelten bestimmte Einschränkungen für die Funktionalität des Steuerelements. Wenn ein ActiveX-Steuerelement hingegen im unsicheren Modus initialisiert wird, bestehen keine Einschränkungen für seine Funktionalität. Beispielsweise könnte ein ActiveX-Steuerelement zum Lesen und Schreiben von Dateien bei der Initialisierung im abgesicherten Modus möglicherweise nur Dateien lesen, während es bei der Initialisierung im unsicheren Modus Dateien lesen und schreiben könnte. Nur ActiveX-Steuerelemente, die als SFI gekennzeichnet sind, können im abgesicherten Modus initialisiert werden. ActiveX-Steuerelemente, die als UFI gekennzeichnet sind, werden immer im unsicheren Modus initialisiert.

Standardmäßig werden ActiveX-Steuerelemente in 2007 Office System wie folgt initialisiert:

• Wenn eine Datei ein VBA-Projekt enthält, werden Benutzer aufgefordert, die ActiveX-Steuerelemente in der Datei zu aktivieren oder zu deaktivieren. Wenn Benutzer die ActiveX-Steuerelemente aktivieren, werden alle SFI- und UFI-Steuerelemente mit minimalen Einschränkungen initialisiert (d. h. mit permanenten Werten). Wenn keine permanenten Werte verfügbar sind, werden die Steuerelemente unter Verwendung der InitNew-Methode mit Standardwerten initialisiert. SFI-Steuerelemente werden im abgesicherten Modus initialisiert.

• Wenn die Datei kein VBA-Projekt und ausschließlich SFI-Steuerelemente enthält, werden die SFI-Steuerelemente mit minimalen Einschränkungen initialisiert (d. h. mit permanenten Werten). Wenn keine permanenten Werte verfügbar sind, werden die Steuerelemente unter Verwendung der InitNew-Methode mit Standardwerten initialisiert. SFI-Steuerelemente werden im abgesicherten Modus initialisiert.

• Wenn die Datei kein VBA-Projekt, aber sowohl SFI- als auch UFI-Steuerelemente enthält, werden Benutzer aufgefordert, die ActiveX-Steuerelemente in der Datei zu aktivieren oder zu deaktivieren. Wenn Benutzer die ActiveX-Steuerelemente aktivieren, werden SFI-Steuerelemente mit minimalen Einschränkungen initialisiert (d. h. mit permanenten Werten), und UFI-Steuerelemente werden unter Verwendung der InitNew-Methode mit Standardwerten initialisiert. SFI-Steuerelemente werden im abgesicherten Modus initialisiert.

Wenn dieses Standardverhalten für Ihre Organisation nicht angemessen ist, Sie aber ActiveX-Steuerelemente nicht deaktivieren möchten, können Sie die Initialisierungsmethode für ActiveX-Steuerelemente verstärken, indem Sie erzwingen, dass UFI-Steuerelemente in einer Datei mit einem VBA-Projekt mit Standardwerten anstelle von minimalen Einschränkungen initialisiert werden. Konfigurieren Sie dazu eine der folgenden Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Sie können beim Konfigurieren der ActiveX-Steuerelementeinstellungen zahlreiche weitere Sicherheitsszenarios berücksichtigen. Weitere Informationen zu den Einstellungen für ActiveX-Steuerelemente in 2007 Office System sowie Beschreibungen aller Einstellungen und eine Gegenüberstellung der Einstellungen im OAT, in den Gruppenrichtlinien und im Vertrauensstellungscenter finden Sie unter Einstellungen für ActiveX-Steuerelemente. Weitere Informationen zum Konfigurieren der Einstellungen für ActiveX-Steuerelemente finden Sie unter Konfigurieren von Sicherheitseinstellungen für ActiveX-Steuerelemente, Add-Ins und Makros 2007 Office System.

Deaktivieren von Add-Ins pro Anwendung

Wenn Ihre Sicherheitsarchitektur sehr restriktiv ist und Sie das potenzielle Risiko von Add-Ins minimieren möchten, können Sie Add-Ins deaktivieren. Wenn Sie Add-Ins deaktivieren, verhindern Sie die Ausführung von Add-Ins, und Benutzer werden nicht benachrichtigt, dass Add-Ins deaktiviert sind.

Add-Ins können nicht global deaktiviert werden. Sie können Add-Ins nur für die folgenden Anwendungen einzeln deaktivieren:

• Microsoft Office Access 2007

• Microsoft Office Excel 2007

• Microsoft Office PowerPoint 2007

• Microsoft Office Publisher 2007

• Microsoft Office Visio 2007

• Microsoft Office Word 2007

Zum Deaktivieren von Add-Ins konfigurieren Sie eine der Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Achten Sie auf Folgendes, wenn Sie Add-Ins deaktivieren:

• Benachrichtigen Sie Benutzer, dass Add-Ins deaktiviert sind.

• Notieren Sie die Einstellungen in den Sicherheitsplanungs- und Sicherheitsvorgangsdokumenten.

Festlegen, dass Add-Ins von einem vertrauenswürdigen Herausgeber signiert sein müssen

Wenn Sie Add-Ins nicht deaktivieren, aber dennoch die Sicherheit von Add-Ins erhöhen möchten, können Sie festlegen, dass Add-Ins von einem vertrauenswürdigen Herausgeber signiert sein müssen. Wenn Sie dies tun, tritt das folgende Verhalten auf:

• Vertrauenswürdige Add-Ins werden ohne Benachrichtigung ausgeführt. Ein vertrauenswürdiges Add-In ist ein Add-In, das an einem vertrauenswürdigen Speicherort gespeichert ist oder von einem Herausgeber in der Liste vertrauenswürdiger Herausgeber signiert wurde.

• Nicht signierte Add-Ins werden deaktiviert, aber Benutzer werden zum Aktivieren oder Deaktivieren der Add-Ins aufgefordert.

• Add-Ins, die von einem Herausgeber signiert sind, der nicht in der Liste vertrauenswürdiger Herausgeber aufgeführt ist, werden deaktiviert, aber Benutzer werden zum Aktivieren oder Deaktivieren der Add-Ins aufgefordert.

Es gibt keine globale Einstellung, um festzulegen, dass Add-Ins von einem vertrauenswürdigen Herausgeber signiert sein müssen. Sie müssen diese Einstellung pro Anwendung konfigurieren und können sie nur für die folgenden Anwendungen konfigurieren:

• Office Access 2007

• Office Excel 2007

• Office PowerPoint 2007

• Office Publisher 2007

• Office Visio 2007

• Office Word 2007

Wenn Sie festlegen möchten, dass Add-Ins von einem vertrauenswürdigen Herausgeber signiert sein müssen, konfigurieren Sie eine der Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Notieren Sie diese Einstellungen unbedingt in den Sicherheitsplanungs- und Sicherheitsvorgangsdokumenten.

Deaktivieren von Benachrichtigungen für nicht signierte Add-Ins

Selbst wenn Sie festlegen, dass Add-Ins von einem vertrauenswürdigen Herausgeber signiert sein müssen, können Benutzer nicht signierte Add-Ins über die Meldungsleiste aktivieren. Wenn Sie verhindern möchten, dass Benutzer nicht signierte Add-Ins aktivieren, können Sie Benachrichtigungen für nicht signierte Add-Ins deaktivieren. Dies ist nur pro Anwendung möglich, und Sie können die Einstellung nur für die folgenden Anwendungen konfigurieren:

• Office Access 2007

• Office Excel 2007

• Office PowerPoint 2007

• Office Publisher 2007

• Office Visio 2007

• Office Word 2007

Konfigurieren Sie dazu eine der Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Achten Sie auf Folgendes, wenn Sie Benachrichtigungen für nicht signierte Add-Ins deaktivieren:

• Benachrichtigen Sie Benutzer, dass nicht signierte Add-Ins ohne Benachrichtigung deaktiviert werden.

• Notieren Sie die Einstellungen in den Sicherheitsplanungs- und Sicherheitsvorgangsdokumenten.

Weitere Informationen zu den Einstellungen für Add-Ins in 2007 Office System sowie Beschreibungen der Einstellungen und eine Gegenüberstellung der Einstellungen im OAT, in den Gruppenrichtlinien und im Vertrauensstellungscenter finden Sie unter Einstellungen für Add-Ins. Weitere Informationen zum Konfigurieren der Einstellungen für Add-Ins finden Sie unter Konfigurieren von Sicherheitseinstellungen für ActiveX-Steuerelemente, Add-Ins und Makros 2007 Office System.

Ändern der Standardsicherheitseinstellungen für Makros

2007 Office System enthält verschiedene Einstellungen, mit denen Sie das Standardverhalten von Makros ändern können. Standardmäßig dürfen vertrauenswürdige Makros ohne Benachrichtigung ausgeführt werden. Dies gilt für Makros in Dokumenten, die an einem vertrauenswürdigen Speicherort gespeichert sind, und Makros, die die folgenden Kriterien erfüllen:

• Das Makro wurde vom Entwickler mit einer digitalen Signatur signiert.

• Die digitale Signatur ist gültig.

• Diese digitale Signatur ist aktuell (nicht abgelaufen).

• Das der digitalen Signatur zugeordnete Zertifikat wurde von einer anerkannten Zertifizierungsstelle (ZS) ausgestellt.

• Der Entwickler, von dem das Makro signiert wurde, ist ein vertrauenswürdiger Herausgeber.

Makros, die nicht vertrauenswürdig sind, dürfen nicht ausgeführt werden, bis ein Benutzer auf die Meldungsleiste klickt und das Makro aktiviert. (In einigen Anwendungen gibt es keine Meldungsleiste; in diesen Fällen werden die Benachrichtigungen in Dialogfeldern angezeigt.)

Hinweis:
In Microsoft Office Outlook 2007 gilt eine andere Standardsicherheitseinstellung für Makros. Weitere Informationen finden Sie in der Sicherheitsdokumentation für Office Outlook 2007.

Wenn die Standardsicherheitseinstellungen für Makros den Anforderungen Ihrer Organisation nicht genügen, haben Sie die folgenden Möglichkeiten:

• Deaktivieren von nicht vertrauenswürdigen Makros ohne Benachrichtigung

• Deaktivieren von Benachrichtigungen für nicht signierte Makros, aber Zulassen von Benachrichtigungen für signierte Makros

Steuern des Verhaltens von VBA

2007 Office System enthält zwei Einstellungen, mit denen Sie das Verhalten von VBA steuern können. Wenn VBA installiert ist, ist die Anwendung standardmäßig aktiviert, und Automatisierungsclients haben keinen programmgesteuerten Zugriff auf VBA-Projekte. Sie können dieses Verhalten wie folgt ändern:

• Bereitstellen von programmgesteuertem Zugriff auf VBA-Projekte für Automatisierungsclients

• Deaktivieren von VBA

Zusätzlich zu diesen Sicherheitseinstellungen in 2007 Office System bietet Office Visio 2007 mehrere Einstellungen, mit denen Sie das Verhalten von VBA in Office Visio 2007 steuern können. Weitere Informationen finden Sie unter Einstellungen für VBA-Makros.

Bereitstellen von programmgesteuertem Zugriff auf VBA-Projekte für Automatisierungsclients

Wenn Sie Automatisierungsclients programmgesteuerten Zugriff auf VBA-Projekte bereitstellen, können Automatisierungsclients das VBA-Objektmodell verwenden.

Wenn Sie Automatisierungsclients programmgesteuerten Zugriff auf VBA-Projekte bereitstellen möchten, konfigurieren Sie die in der folgenden Tabelle beschriebene Einstellung. Diese Einstellung muss pro Anwendung konfiguriert werden und kann nur für die folgenden Anwendungen konfiguriert werden:

• Office Excel 2007

• Office PowerPoint 2007

• Office Word 2007

Name der Einstellung	Empfohlene Konfiguration	Beschreibung
Zugriff auf Visual Basic-Projekt vertrauen	Option: Deaktiviert	Standardmäßig können Automatisierungsclients nicht programmgesteuert auf VBA-Projekte zugreifen. Wenn Sie diese Option auswählen, können Automatisierungsclients programmgesteuert auf das VBA-Objektmodell zugreifen. Sie können diese Einstellung im OAT und mithilfe der administrativen Vorlagen (ADM-Dateien) für 2007 Office System konfigurieren.

Wichtig:
Wenn Sie Automatisierungsclients programmgesteuerten Zugriff auf VBA-Projekte bereitstellen, kann dies das Risiko eines Angriffs durch nicht autorisierte Programme erhöhen, die selbstreplizierenden Code erstellen.

Ändern des Verhaltens von Makros in Anwendungen, die programmgesteuert mittels Automatisierung gestartet werden

2007 Office System enthält genau eine Einstellung, mit der Sie das Verhalten von Makros in einer Anwendung steuern können, die programmgesteuert mittels Automatisierung gestartet wurde. Die Automatisierung ist ein Programmiertool, das Entwicklern den Zugriff auf die Funktionalität einer Anwendung aus einer anderen Anwendung heraus ermöglicht. Beispielsweise könnte ein Entwickler eine Projektmanagementanwendung erstellen, die die E-Mail- und Planungsfeatures von Office Outlook 2007 nutzt. Wenn eine Anwendung in 2007 Office System mittels Automatisierung gestartet wird, werden Makros standardmäßig aktiviert und dürfen ohne Sicherheitsüberprüfungen ausgeführt werden. Sie haben zwei Möglichkeiten, dieses Verhalten zu ändern:

• Sie können Makros in der Anwendung deaktivieren, die programmgesteuert gestartet wird. Wenn Sie dies tun, werden Benutzer nicht benachrichtigt, dass Makros deaktiviert sind, und sie werden auch nicht zum Aktivieren oder Deaktivieren von Makros aufgefordert. Diese Einstellung ist nützlich, wenn Ihre Organisation über ein eingeschränktes Sicherheitsmodell verfügt und Benutzer keine Makros ausführen sollen.

• Sie können Makros gemäß den in der Anwendung konfigurierten Sicherheitseinstellungen ausführen, die programmgesteuert gestartet wird. In diesem Fall wird das Verhalten von Makros durch die Sicherheitseinstellungen in der Anwendung bestimmt, die programmgesteuert gestartet wird. Wenn Sie beispielsweise festlegen, dass in Office Excel 2007 alle Makros digital signiert sein müssen, und Office Excel 2007 von einer Anwendung mittels Automatisierung gestartet wird, werden Makros nur ausgeführt, wenn sie digital signiert sind. Diese Einstellung ist nützlich, wenn die Sicherheitseinstellungen Ihrer Organisation auch für Anwendungen gelten sollen, die mittels Automatisierung gestartet werden.

Verwenden Sie eine der in der folgenden Tabelle empfohlenen Einstellungen, um das Standardverhalten für Makros in Anwendungen zu ändern, die programmgesteuert mittels Automatisierung gestartet werden. Sie können diese Einstellungen im OAT und mithilfe der administrativen Vorlagen (ADM-Dateien) für 2007 Office System konfigurieren. Diese Einstellungen sind global und gelten für die folgenden Anwendungen:

• Office Excel 2007

• Office PowerPoint 2007

• Office Word 2007

Achten Sie auf Folgendes, wenn Sie die Automatisierungssicherheitseinstellungen ändern:

• Testen Sie alle Anwendungen gründlich, um sicher zu sein, dass die Änderung kein unvorhersehbares Verhalten und keine eingeschränkten Funktionen in einer Anwendung verursacht. Einige Anwendungen nutzen die Automatisierung, um Anwendungen in 2007 Office System ohne Benachrichtigung zu starten.

• Notieren Sie die Konfigurationseinstellungen in den Sicherheitsplanungs- und Sicherheitsvorgangsdokumenten.

Zusätzlich zu diesen Sicherheitseinstellungen in 2007 Office System bietet Office Publisher 2007 eine Einstellung, mit der Sie die Automatisierungssicherheit für Makros in Office Publisher 2007 konfigurieren können. Weitere Informationen finden Sie unter Einstellungen für VBA-Makros.

Verhindern der Virenprüfung bei verschlüsselten Makros

2007 Office System enthält verschiedene Einstellungen, mit denen Sie verhindern können, dass verschlüsselte Makros auf Viren überprüft werden. Dies ist nützlich, wenn Ihr Antivirenprogramm die Microsoft Antivirus-API (Application Programming Interface, Anwendungsprogrammierschnittstelle) nicht unterstützt.

Standardmäßig werden Makros verschlüsselt, wenn Sie eine Datei in einem der Office Open XML-Dateiformate verschlüsseln und speichern. Wenn Ihr Antivirenprogramm die Antivirus-API von Microsoft nicht unterstützt, kann es verschlüsselte Makros nicht überprüfen. Folglich werden verschlüsselte Makros deaktiviert. Wenn Sie verhindern möchten, dass Ihr Antivirenprogramm verschlüsselte Makros überprüft, konfigurieren Sie die Einstellungen entsprechend den Empfehlungen in der folgenden Tabelle.

Achten Sie auf Folgendes, wenn Sie die Standardeinstellungen für die Überprüfung verschlüsselter Makros ändern:

• Notieren Sie die Einstellungen in Ihren Sicherheitsplanungsdokumenten.

• Notieren Sie die Einstellungen in den Sicherheitsvorgangsdokumenten.