„Das macht bei uns alles Microsoft Defender.“ Dieser Satz fällt häufig, wenn nach der Sicherheit von Office-Makros gefragt wird. Er klingt beruhigend, vermischt aber mehrere Aufgaben. Microsoft Defender schützt E-Mails, Endgeräte und Laufzeitverhalten. Er erkennt Angriffe, blockiert schädliche Aktivitäten und unterstützt Reaktionen. Die fachliche Prüfung, Freigabe und Signatur interner VBA-Makros ist jedoch ein eigener Prozess.
Defender ist nicht nur ein Produkt
Unter dem Namen Microsoft Defender stehen verschiedene Dienste. Defender for Office 365 schützt Nachrichten, Links und Anlagen. Defender Antivirus erkennt Schadsoftware auf Endgeräten. Defender for Endpoint liefert Attack-Surface-Reduction, Telemetrie, EDR und Reaktionsmöglichkeiten. Defender XDR verbindet Signale zu Vorfällen.
Die erste Rückfrage sollte daher lauten: Welcher Defender-Dienst übernimmt welche Aufgabe? Eine aktivierte Antivirus-Komponente ist nicht automatisch dasselbe wie Safe Attachments, EDR oder eine vollständig ausgerollte ASR-Richtlinie.
Was Defender tatsächlich für Makros leistet
Safe Attachments kann per E-Mail empfangene Office-Dateien in einer isolierten Umgebung untersuchen. AMSI ermöglicht eine tiefere Analyse unterstützter VBA- und XLM-Inhalte. ASR-Regeln können riskante Verhaltensweisen blockieren, darunter Child Processes, ausführbare Inhalte oder Win32-API-Aufrufe aus Office-Makros. EDR macht Angriffe sichtbar und unterstützt die Reaktion.
Diese Kontrollen sind stark und sollten nicht abgeschaltet werden. Sie beantworten vor allem die Frage, ob eine Datei oder ihr Verhalten Anzeichen eines Angriffs zeigt.
Welche Fragen offenbleiben
Wer ist Eigentümer des Makros? Welchen Geschäftsprozess automatisiert es? Welche konkrete Version wurde geprüft? Darf der Code Daten exportieren? Ist der Dateisystemzugriff erforderlich? Wer hat einen gelben Befund genehmigt? Wie lange gilt eine Ausnahme? Wurde exakt die freigegebene Datei signiert?
Das sind keine typischen Antimalwarefragen. Sie gehören zur Governance produktiver Automatisierungen. Eine Datei kann frei von erkennbarer Malware sein und trotzdem fachlich falsch, zu weitreichend oder nicht freigegeben sein.
Warum „kein Alarm“ keine Freigabe ist
Jede Erkennung hat Grenzen. Angriffe verändern sich, legitime und schädliche Aktivitäten können sich ähneln und interne Richtlinien sind nicht automatisch Bestandteil eines Malwaremodells. Kein Defender-Alarm bedeutet daher nicht, dass jede Codezeile geprüft wurde.
Microsoft beschreibt Defender for Endpoint außerdem nicht als Auditlösung, die jede Operation vollständig protokolliert. Für Revision und Informationssicherheit braucht eine Makrofreigabe einen gezielten Nachweis.
Warum die Signatur separat bleibt
VBA-Makro-Prüfung & Signatur – unsere Softwarelösung
Wir haben eine tolle Software, die VBA-Makros im Self Service auf Schadcode prüft und signiert.
Die Prüfung erfolgt je nach Umfang entweder über ein selbstentwickeltes Scan-Script oder – bei größeren Makro- und Skriptmengen – über ein eigenes trainiertes KI-Modell, das self-hosted betrieben wird und sich am BSI-Standard orientiert.
Hier geht es zur Online-Demo. Melden Sie sich gern bei uns für eine individuelle Vorführung.
Zusätzlich helfen wir Ihnen bei der Ablösung von Makros – von der Bestandsaufnahme bis zur sicheren Migration. Nehmen Sie gerne Kontakt auf!
Eine digitale VBA-Signatur schützt die Integrität der freigegebenen Version und ordnet sie einem Herausgeberzertifikat zu. Defender signiert das interne Fachmakro nicht automatisch nach einer dokumentierten Freigabe mit der Unternehmens-PKI. Das Trust Center wertet die Signatur anschließend aus.
Auch hier gilt: Signiert ist nicht automatisch sicher. Zuerst muss der Code geprüft und die konkrete Version freigegeben werden. Danach darf die geschützte Signaturumgebung die Datei signieren.
Was das Makro-VBA-Tool zusätzlich macht
Das Makro-VBA-Tool von Dr. Dominic Lindner bildet den vollständigen Makroprozess ab: hochladen, prüfen, entscheiden, immer automatisch signieren, bereitstellen und protokollieren. Transparente Regeln zeigen kritische Codezeilen. Grün wird direkt verarbeitet, Gelb benötigt eine menschliche Entscheidung und Rot führt zur Ablehnung oder einer dokumentierten Ausnahme.
Die selbst betriebene KI erklärt Zweck, Risiken und mögliche Programmieralternativen, ersetzt aber keine Freigabe. Exact Match und Smart Match erkennen bereits genehmigten Code wieder. SHA-256 verknüpft Datei, Vorgang, Benutzer und Entscheidung. Häufig können auch passwortgeschützte ältere Bestandsmakros geprüft werden.
Kein Entweder-oder
Das Makro-VBA-Tool ersetzt Microsoft Defender nicht. Defender bleibt für Malwareabwehr, Laufzeitschutz und Reaktion zuständig. Das Tool ergänzt die fehlende Prozessschicht für legitime Unternehmensmakros. Office-Richtlinien und Trust Center bilden die Ausführungsschicht, die PKI den Vertrauensanker.
Ein belastbarer Zielprozess lautet: Unbekannte Dateien werden durch E-Mail- und Endpunktschutz abgefangen. Benötigte Makros werden zentral eingereicht und geprüft. Auffälligkeiten werden verantwortlich entschieden. Die freigegebene Version wird automatisch signiert. Endgeräte führen nur erlaubte, vertrauenswürdige Makros aus. Defender überwacht den Betrieb weiterhin.
Fazit
„Defender macht alles“ ist als Sicherheitsstrategie zu ungenau. Microsoft Defender macht sehr viel – aber nicht die fachliche und revisionsfähige Makrofreigabe. Wer produktive VBA-Automatisierungen sicher betreiben will, braucht beide Ebenen: Defender für Erkennung und Reaktion sowie das Makro-VBA-Tool für Codeprüfung, Entscheidung, Signatur und Nachweis.
Quellen: Microsoft Learn: Defender for Endpoint EDR, Microsoft Defender for Office 365, Microsoft Learn: ASR-Regeln und Makro-VBA-Tool.
Image: OpenAI
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
