Kryptografie und Verschlüsselung in Office 2016

  • Artikel

Office 2016 bietet Verschlüsselungseinstellungen, um die Datensicherheit zu verbessern. Diese Einstellungen sind in verschiedenen Anwendungen verfügbar, einschließlich Access 2016, Excel 2016, OneNote 2016, PowerPoint 2016, Project 2016 und Word 2016.

In diesem Artikel werden Kryptografie und Verschlüsselung in Office 2016 behandelt. Sie enthält Die Einstellungen für die Datenverschlüsselung und bietet Details zur Kompatibilität mit früheren Versionen von Office.

Berücksichtigen Sie beim Planen Der Verschlüsselungseinstellungen die folgenden Empfehlungen:

  • Vermeiden Sie das Ändern der Standardverschlüsselungseinstellungen, es sei denn, das Sicherheitsmodell Ihres organization erfordert andere Einstellungen.

  • Es empfiehlt sich, die Kennwortlänge und -komplexität zu erzwingen, damit beim Verschlüsseln von Daten sichere Kennwörter verwendet werden.

  • Es wird empfohlen, die RC4-Verschlüsselung nicht zu verwenden. Weitere Informationen finden Sie unter Kompatibilität mit früheren Office-Versionen weiter unten in diesem Artikel.

  • Es gibt keine Verwaltungseinstellung, die Benutzer zum Verschlüsseln von Dokumenten zwingt. Es gibt jedoch eine administrative Einstellung, die verhindert, dass Benutzer Kennwörter zu Dokumenten hinzufügen und daher verhindern, dass Dokumente verschlüsselt werden. Weitere Informationen finden Sie unter Kryptografie- und Verschlüsselungseinstellungen weiter unten in diesem Artikel.

  • Das Speichern von Dokumenten an vertrauenswürdigen Speicherorten hat keinen Einfluss auf die Verschlüsselungseinstellungen. Wenn ein Dokument verschlüsselt und an einem vertrauenswürdigen Speicherort gespeichert wird, muss ein Benutzer dennoch ein Kennwort angeben, um das Dokument zu öffnen.

  • Wenn Sie Benutzern erlauben, Dokumente mit einem Kennwort zu schützen, besteht die Möglichkeit, dass sie das Kennwort vergessen oder verlieren. In solchen Fällen können Sie das DocRecrypt-Tool verwenden, um das Kennwort zurückzusetzen oder zu entfernen. Weitere Informationen finden Sie unter Entfernen oder Zurücksetzen von Dateikennwörtern in Office 2016.

Informationen zu Kryptografie und Verschlüsselung in Office 2016

Die Verschlüsselungsalgorithmen, die Ihnen für die Verwendung mit Office zur Verfügung stehen, richten sich nach den Algorithmen, auf die über die Anwendungsprogrammierschnittstellen (Application Programming Interfaces, APIs) des Betriebssystems Windows zugegriffen werden kann. Office 2016 unterstützt nicht nur die Kryptografie-API (CryptoAPI), sondern auch CNG (CryptoAPI: Next Generation), die erstmals in 2007 Microsoft Office System mit Service Pack 2 (SP2) zur Verfügung gestellt wurde.

CNG erlaubt nicht nur eine agilere Verschlüsselung, bei der auf dem Hostcomputer unterstützte Verschlüsselungs- und Hashalgorithmen für die Verwendung während des Dokumentverschlüsselungsprozesses angegeben werden können. CNG ermöglicht auch eine bessere Erweiterungsverschlüsselung, bei der Verschlüsselungsmodule von Drittanbietern verwendet werden können.

Wenn Office CryptoAPI verwendet, hängen die Verschlüsselungsalgorithmen von den spezifischen Algorithmen ab, die in einem Crypto Service Provider (CSP) verfügbar sind, der Teil des Windows-Betriebssystems ist. Der folgende Registrierungsschlüssel enthält eine Liste der CSPs, die auf einem Computer installiert sind:

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Cryptography/Defaults/Provider

Die folgenden CNG-Verschlüsselungsalgorithmen oder jede andere auf dem System installierte CNG-Verschlüsselungserweiterung kann mit 2007 Office System SP2, Office 2010, Office 2013 oder Office 2016 verwendet werden:

AES, DES, DESX, 3DES, 3DES_112 und RC2

Die folgenden CNG-Hashalgorithmen oder jede andere auf dem System installierte CNG-Verschlüsselungserweiterung kann mit 2007 Office System SP2, Office 2010, Office 2013 oder Office 2016verwendet werden:

MD2, MD4, MD5, RIPEMD-128, RIPEMD-160, SHA-1, SHA256, SHA384 und SHA512

In Office 2016 gibt es zwar Einstellungen zum Ändern von Verschlüsselungsmethoden, aber das Verschlüsseln von Open XML-Formatdateien (.docx, .xslx, .pptx usw.) mit den Standardwerten – AES (Advanced Encryption Standard) mit einer 256-Bit-Schlüssellänge, SHA-2 und CBC (Cipher Block Chaining) – bietet eine robuste Verschlüsselung, die für die meisten Organisationen geeignet ist. Die National Security Agency (NSA) wählte die AES-Verschlüsselung als stärksten Branchenstandardalgorithmus für den Standard der USA Regierung. Die AES-Verschlüsselung ist mit verschiedenen Windows-Betriebssystemen kompatibel, einschließlich Windows Vista, Windows 7, Windows 8 und Windows 10. Außerdem werden mehrere Windows Server-Versionen unterstützt: Windows Server 2003, Windows Server 2003 R2, Windows Server 2008, Windows Server 2008 R2 und Windows Server 2012.

Kryptografie- und Verschlüsselungseinstellungen

Die folgende Tabelle enthält die Einstellungen für Verschlüsselungsalgorithmen, die Sie in Verbindung mit Office-Versionen verwenden können, die auf die CryptoAPI zugreifen. Diese Liste enthält Office-Versionen bis einschließlich Office 2016.

Verschlüsselungseinstellungen für die Verwendung mit CryptoAPI

Einstellung Beschreibung
Verschlüsselungstyp für kennwortgeschützte Office Open XML-Dateien
Sie können einen Verschlüsselungstyp für Open XML-Dateien mithilfe der verfügbaren Kryptografiedienstanbieter (CSP) mit dieser Einstellung angeben. Wenn Sie ein benutzerdefiniertes COM-Verschlüsselungs-Add-In verwenden, müssen Sie diese Einstellung anwenden. Darüber hinaus ist diese Einstellung in zwei Szenarien unerlässlich. Erstens, wenn Sie mit 2007 Office System SP1 arbeiten und den Verschlüsselungsalgorithmus von der Standardeinstellung ändern möchten. Zweitens, wenn Sie eine Version des Compatibility Packs verwenden, die älter als das Microsoft Office Compatibility Pack für Word-, Excel- und PowerPoint-Dateiformate ist und den Verschlüsselungsalgorithmus ändern möchten.
Verschlüsselungstyp für kennwortgeschützte Office 97-2003-Dateien
Mit dieser Einstellung können Sie einen Verschlüsselungstyp für Office 97-2003-Dateien (Binärdateien) von den verfügbaren Kryptografiedienstanbietern (CSP) angeben. Der einzige unterstützte Verschlüsselungsalgorithmus mit dieser Einstellung ist RC4. Dies wird nicht empfohlen.

Wenn Sie in Office 2016 die Einstellung Verschlüsselungstyp für kennwortgeschützte Office Open XML-Dateien ändern müssen, aktivieren Sie zunächst die Einstellung Verschlüsselungskompatibilität angeben, und wählen Sie dann die Option Format aus Vorversion verwenden aus. Die Einstellung Verschlüsselungskompatibilität angeben ist für Access 2016, Excel 2016, PowerPoint 2016 und Word 2016 verfügbar.

Die folgende Tabelle enthält die Einstellungen, die zum Ändern der Verschlüsselungsalgorithmen verfügbar sind, wenn Sie Office 2016 verwenden. Diese Einstellungen gelten für Access 2016, Excel 2016, OneNote 2016, PowerPoint 2016, Project 2016 und Word 2016.

Einstellungen, die den Verschlüsselungsalgorithmus ändern

Einstellung Beschreibung
CNG-Chiffrieralgorithmus festlegen
Hiermit können Sie den verwendeten CNG-Chiffrieralgorithmus konfigurieren. Der Standardwert ist AES.
CNG-Chiffreverkettungsmodus konfigurieren
Hiermit können Sie den verwendeten Chiffreverkettungsmodus konfigurieren. Die Standardeinstellung ist CBC (Blockchiffreverkettung, Cipher Block Chaining).
Länge des CNG-Chiffrierschlüssels festlegen
Hiermit können Sie die Anzahl der Bits festlegen, die beim Erstellen des Chiffrierschlüssels verwendet werden soll. Der Standardwert ist 256 Bit.
Verschlüsselungskompatibilität angeben
Hiermit können Sie das Kompatibilitätsformat festlegen. Die Standardeinstellung ist Format der nächsten Generation verwenden.
Parameter für CNG-Kontext festlegen
Hiermit können Sie die Verschlüsselungsparameter angeben, die für den CNG-Kontext verwendet werden sollen. Um diese Einstellung verwenden zu können, muss zunächst ein CNG-Kontext mit CryptoAPI: Next Generation (CNG) erstellt werden. Weitere Informationen finden Sie unter CNG Cryptographic Configuration Functions (Funktionen für die CNG-Kryptografiekonfiguration).
CNG-Hashalgorithmus angeben
Hiermit können Sie den verwendeten Hashalgorithmus angeben. Der Standardwert ist SHA1.
Anzahl für CNG-Kennwortwechsel festlegen
Hiermit können Sie angeben, wie oft der Kennwortverifizierer gewechselt (neu gehasht) werden soll. Der Standardwert ist 100000.
Algorithmus für CNG-Zufallszahlen-Generator angeben
Hiermit können Sie den CNG-Zufallszahlen-Generator angeben, der verwendet werden soll. Der Standardwert ist RNG (Random Number Generator, Zufallszahlen-Generator).
Länge für CNG-Salt angeben
Hiermit können Sie die Anzahl der Salt-Bytes angeben, die verwendet werden soll. Salt ist eine zusätzliche Eingabe für das Kennwort und den Hash. Der Standardwert ist 16.

In der folgenden Tabelle sind weitere CNG-Einstellungen aufgeführt, die für Excel 2016, PowerPoint 2016 und Word 2016 konfiguriert werden können.

Excel 2016-, PowerPoint 2016- und Word 2016-spezifische CHG-Einstellung

Einstellung Beschreibung
Bei Kennwortänderung neuen Schlüssel verwenden
Hiermit können Sie angeben, ob ein neuer Verschlüsselungsschlüssel verwendet werden soll, wenn das Kennwort geändert wird. Standardmäßig wird bei Kennwortänderungen kein neuer Schlüssel verwendet.

Sie können mit der in der folgenden Tabelle aufgeführten Einstellung verhindern, dass Benutzer Dokumente durch ein Kennwort schützen. Diese Einstellung verhindert, dass Benutzer Dokumente verschlüsseln.

Einstellung, um Benutzer daran zu hindern, ein Dokument durch ein Kennwort zu schützen

Einstellung Beschreibung
Kennwort zum Öffnen der Benutzeroberfläche deaktivieren
Mit dieser Einstellung wird gesteuert, ob Office 2016-Benutzer Dokumente durch ein Kennwort schützen können. Standardmäßig können Benutzer Kennwörter hinzufügen.

Kompatibilität mit früheren Office-Versionen

Wenn Sie Office-Dokumente verschlüsseln müssen, empfiehlt es sich, die Dokumente im Open XML-Format (.docx, .xlsx, .pptx usw.) und nicht im Office 97-2003-Format (.doc, .xls, .ppt usw.) zu speichern. Die für Binärdokumente (.doc, .xls, .ppt) verwendete Verschlüsselung verwendet RC4. Diese Verschlüsselung wird nicht empfohlen (siehe Abschnitte 4.3.2 und 4.3.3 unter „Überlegungen zur Sicherheit" der Spezifikation für die Office-Dokumentkryptografiestruktur). In älteren Office-Binärformaten gespeicherte Dokumente können nur mit RC4 verschlüsselt werden, damit sie weiterhin mit älteren Versionen von Office kompatibel sind. Der empfohlene Verschlüsselungsalgorithmus AES, der gleichzeitig der Standardverschlüsselungsalgorithmus ist, wird zum Verschlüsseln von Dateien im Open XML-Format verwendet.

In Office 2016, Office 2013, Office 2010 und 2007 Office System können Sie Dokumente im Open XML-Format speichern. Wenn Sie über Office 2003 verfügen, können Sie mit dem Compatibility Pack zudem Dokumente im Open XML-Format speichern.

Nur Office 2016, Office 2007 SP2 und Office 2003 mit dem Office 2007 SP2-Kompatibilitätspaket können Dokumente lesen, die als Open XML-Formatdateien gespeichert und mit Office 2016 verschlüsselt wurden. Um die Kompatibilität mit allen früheren Versionen von Office sicherzustellen, können Sie unter HKCU\Software\Microsoft\Office\16.0\<application>\Security\Crypto\ einen Registrierungsschlüssel mit dem Namen CompatMode erstellen und ihn deaktivieren, indem Sie ihn auf 0 festlegen. Die Werte, die Sie für <die Anwendung> eingeben können, stellen die spezifische Office-Anwendung dar, für die Sie diesen Registrierungsschlüssel konfigurieren. Sie können beispielsweise Access, Excel, PowerPoint oder Word eingeben. Wenn Sie CompatMode auf 0 festlegen, verwendet Office 2016 ein Office 2007-kompatibles Verschlüsselungsformat anstelle der erweiterten Sicherheit, die standardmäßig bereitgestellt wird, wenn Sie Office 2016 zum Verschlüsseln von Open XML-Formatdateien verwenden. Wenn Sie diese Einstellung aus Kompatibilitätsgründen konfigurieren, empfiehlt es sich, zudem ein Verschlüsselungsmodul eines Drittanbieters zu verwenden, das eine erhöhte Sicherheit erlaubt (z. B. AES-Verschlüsselung).

Wenn Ihre Organisation den Microsoft Office Compatibility Pack für Word-, Excel- und PowerPoint-Dateiformate verwendet, um Dateien im Open XML-Format zu verschlüsseln, sollten Sie die folgenden Informationen lesen:

  • Das Compatibility Pack verwendet unter den Betriebssystemen Windows Server 2003 und Windows Vista standardmäßig die Einstellungen Microsoft Enhanced RSA und AES Cryptographic Provider, AES 128,128 zum Verschlüsseln von Dateien im Open XML-Format:

  • Benutzer werden nicht darüber informiert, dass der Compatibility Pack diese Verschlüsselungseinstellungen verwendet.

  • Die grafische Benutzeroberfläche früherer Office-Versionen zeigt möglicherweise falsche Verschlüsselungseinstellungen für Dateien im Open XML-Format an, wenn das Compatibility Pack installiert ist.

  • Die grafische Benutzeroberfläche früherer Office-Versionen kann nicht verwendet werden, um die Verschlüsselungseinstellungen für Dateien im Open XML-Format zu ändern.

Entfernen oder Zurücksetzen von Dateikennwörtern in Office 2016

Spezifikation für die Office-Dokumentkryptografiestruktur