Makros sicher auszuführen bedeutet mehr, als in Excel oder Word auf „Inhalt aktivieren“ zu klicken. In Unternehmen entsteht Sicherheit erst durch eine kontrollierte Kette: Datei und Verantwortlichen kennen, VBA-Code prüfen, Risiken bewerten, eine konkrete Version freigeben, diese Version signieren und nur über einen vorgesehenen Weg bereitstellen. Fehlt ein Glied, wird aus technischer Bequemlichkeit schnell ein unübersichtlicher Ausnahmebetrieb.
Mit dem Bestand beginnen
Viele Organisationen kennen ihren tatsächlichen Makrobestand nicht. Dateien liegen in persönlichen Ordnern, E-Mail-Archiven, Teams-Ablagen oder Netzlaufwerken. Einige werden täglich genutzt, andere nur zum Jahresabschluss. Der erste Schritt ist deshalb keine pauschale Freigabe, sondern eine Inventur: Dateiname, Speicherort, fachlicher Zweck, Eigentümer, Office-Anwendung, Nutzerkreis und Kritikalität.
Eine solche Liste beantwortet noch keine Sicherheitsfrage, schafft aber Verantwortung. Ohne Eigentümer gibt es niemanden, der das erwartete Verhalten bestätigt. Ohne Nutzerkreis lässt sich keine zielgerichtete Richtlinie bauen. Und ohne Kritikalität werden eine harmlose Formatierungshilfe und ein Makro mit Zahlungsdaten gleich behandelt.
Code transparent prüfen
Die Prüfung sollte typische Risikokategorien sichtbar machen: Start externer Prozesse, Zugriffe auf das Dateisystem, COM-Objekte, dynamische Aufrufe, Netzwerkverbindungen oder sicherheitskritische VBA-Funktionen. Ein Fund ist dabei nicht automatisch Schadcode. Ein Exportmakro muss beispielsweise Dateien schreiben dürfen. Entscheidend ist, ob Ziel, Umfang und Auslöser zum dokumentierten Zweck passen.
Deshalb sollte ein Prüfer nicht nur eine Ampelfarbe sehen, sondern konkrete Fundstellen und verständliche Gründe. Grün kann direkte Weiterverarbeitung bedeuten. Gelb kennzeichnet einen Sachverhalt, der Kontext benötigt. Rot steht für einen kritischen Fund oder eine klare Ablehnungsregel. Bei Gelb und Rot bleibt eine begründete menschliche Entscheidung erforderlich.
Freigabe an eine konkrete Version binden
„Dieses Makro ist freigegeben“ ist ohne Versionsbezug wertlos. Eine Datei kann gleich heißen und trotzdem anderen Code enthalten. Ein kryptografischer Hash wie SHA-256 verbindet Upload, Prüfergebnis, Bearbeiter, Zeitstempel und bereitgestellte Datei. Ändert sich der Inhalt, entsteht ein anderer Hash und der Vorgang muss neu bewertet werden.
Der Fachbereich bestätigt die Funktion, die Sicherheitsprüfung bewertet den Code und die IT verantwortet Richtlinien, Plattform und Verteilung. Diese Rollen können organisatorisch unterschiedlich zugeschnitten sein. Wichtig ist nur, dass Entwicklung, Prüfung und Freigabe nicht versehentlich in einer intransparenten Einzelentscheidung zusammenfallen.
Nach der Entscheidung automatisch signieren
VBA-Makro-Prüfung & Signatur – unsere Softwarelösung
Wir haben eine tolle Software, die VBA-Makros im Self Service auf Schadcode prüft und signiert.
Die Prüfung erfolgt je nach Umfang entweder über ein selbstentwickeltes Scan-Script oder – bei größeren Makro- und Skriptmengen – über ein eigenes trainiertes KI-Modell, das self-hosted betrieben wird und sich am BSI-Standard orientiert.
Hier geht es zur Online-Demo. Melden Sie sich gern bei uns für eine individuelle Vorführung.
Zusätzlich helfen wir Ihnen bei der Ablösung von Makros – von der Bestandsaufnahme bis zur sicheren Migration. Nehmen Sie gerne Kontakt auf!
Die digitale Signatur sollte am Ende des Freigabeprozesses stehen. Sie schützt die Verbindung zwischen geprüfter Version und bereitgestellter Datei. Microsoft weist darauf hin, dass VBA-Projekte erst nach Test und Fertigstellung signiert werden sollten; eine Codeänderung entfernt die Signatur. Das ist kein Nachteil, sondern ein wichtiges Signal: Geänderter Code benötigt eine neue Entscheidung.
Der private Schlüssel gehört in eine geschützte Signaturumgebung und nicht auf beliebige Entwicklerrechner oder in eine Weboberfläche. Auf den Endgeräten wird das öffentliche Zertifikat des vertrauenswürdigen Herausgebers kontrolliert verteilt. Office-Richtlinien können dann erlauben, nur passend signierte Makros auszuführen.
Wo das Makro-VBA-Tool unterstützt
Das Makro-VBA-Tool von Dr. Dominic Lindner bildet den durchgängigen Ablauf technisch ab: hochladen, prüfen, entscheiden, immer automatisch signieren, bereitstellen und protokollieren. Es zeigt Fundstellen, unterstützt Grün-Gelb-Rot-Entscheidungen, dokumentiert Ausnahmen und kann nach manueller Freigabe Fingerprints für Exact Match und Smart Match verwenden. Häufig lassen sich auch passwortgeschützte ältere Bestandsmakros untersuchen.
Eine selbst trainierte und selbst betriebene KI erläutert Zweck, kritische Codezeilen und Risiken und kann sichere Programmieralternativen vorschlagen. Sie bleibt Entscheidungshilfe. Die verbindliche Freigabe liegt bei einer berechtigten Person. Optional kann ein Vier-Augen-Prinzip eingerichtet werden; es ist keine generelle Pflicht für jeden Prozess.
Grenzen und ergänzende Kontrollen
Kein Tool kann fachliche Richtigkeit garantieren. Ein korrekt signiertes Makro kann falsche Berechnungen enthalten. Eine Regelprüfung erkennt nur die definierten Muster und Kontexte. Auch Schwachstellen in Office, Betriebssystem oder angebundenen Diensten liegen außerhalb einer reinen VBA-Prüfung. Deshalb bleiben Patchmanagement, Endpoint-Schutz, Least Privilege, Backups, Protokollüberwachung und Benutzerschulung notwendig.
Ebenso muss die Organisation festlegen, was bei nicht eindeutig prüfbaren Dateien geschieht. Eine Ausnahme braucht Zweck, Risiko, Gültigkeitsdauer, Entscheider und Widerrufsmöglichkeit. Kritische Originaldateien sollten nicht ungeprüft in die Signaturumgebung gelangen.
Fazit
Makros sicher auszuführen ist ein Betriebsprozess, keine einzelne Office-Option. Wer Inventar, transparente Analyse, menschliche Verantwortung, automatische Signatur und nachvollziehbare Nachweise verbindet, kann nützliche VBA-Automatisierungen erhalten, ohne pauschal alle aktiven Inhalte freizugeben. Das Ergebnis ist kein risikofreier Zustand, aber ein kontrollierbarer und revisionsfähiger Umgang mit Makros.
Quellen: Microsoft Learn: Makros aus dem Internet blockieren, Microsoft Support: VBA-Projekte digital signieren und Makro-VBA-Tool.
Image: OpenAI
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
