Eine Excel-Datei funktioniert auf dem Rechner des Erstellers, wird nach dem Versand per E-Mail aber mit blockierten Makros geöffnet. Häufig steckt dahinter die Mark of the Web, kurz MOTW. Windows kennzeichnet damit Dateien, die aus einer nicht vertrauenswürdigen Quelle wie dem Internet oder einer E-Mail-Anlage stammen. Office nutzt diese Herkunftsinformation, um aktive Inhalte strenger zu behandeln. Das Verhalten ist kein zufälliger Fehler, sondern eine bewusst eingebaute Schutzschicht gegen Schadsoftware und Ransomware.
Wie die Mark of the Web entsteht
Beim Herunterladen kann Windows der Datei eine zusätzliche Zoneninformation zuordnen. Die Zone zeigt, ob die Quelle als lokaler Computer, Intranet, vertrauenswürdige Site, Internet oder eingeschränkter Bereich gilt. Microsoft beschreibt, dass Mark of the Web auf NTFS-Dateisystemen als zusätzliche Information gespeichert wird. Wird eine Datei kopiert, entpackt oder über einen anderen Weg übertragen, kann sich das Verhalten je nach Werkzeug und Zielsystem unterscheiden.
Für Supportfälle ist deshalb nicht nur der Dateiname interessant. Entscheidend sind Downloadweg, Browser oder Mailclient, Speicherort, Dateisystem und Office-Richtlinie. Zwei äußerlich identische Dateien können unterschiedliche Herkunftskennzeichnungen besitzen.
Warum Office Makros konsequent blockiert
VBA kann legitime Geschäftsprozesse automatisieren, aber auch Programme starten, Dateien verändern oder Daten übertragen. Angreifer haben Makros über Jahre als Einstiegspunkt genutzt. Microsoft blockiert Makros aus dem Internet deshalb standardmäßig und empfiehlt die entsprechende Richtlinie als Bestandteil der Security Baseline für Microsoft 365 Apps.
Die Blockade unterscheidet sich von der klassischen gelben Warnleiste. Bei einer als riskant eingestuften Internetdatei steht nicht einfach ein bequemer Schalter „Inhalt aktivieren“ bereit. Das soll verhindern, dass Benutzer durch eine täuschend formulierte Datei zu einer spontanen Freigabe bewegt werden.
Warum pauschales Entsperren keine Strategie ist
Windows bietet Möglichkeiten, die Herkunftsmarkierung für einzelne vertrauenswürdige Dateien zu entfernen. Diese Funktion kann im Einzelfall sinnvoll sein, ist aber kein Ersatz für Prüfung und Verteilung. Wer Anwender anweist, jede Datei über die Eigenschaften zu entsperren, trainiert genau das Verhalten, das die Schutzfunktion verhindern soll.
Auch eine Aufnahme großer Ablagen in vertrauenswürdige Zonen oder Speicherorte ist riskant. Microsoft betont, dass Dateien in Trusted Locations Schutzmechanismen umgehen und aktive Inhalte ohne übliche Prüfungen ausführen können. Ein Ordner, in den viele Personen schreiben dürfen, darf daher nicht allein aufgrund seiner internen Adresse als sicher gelten.
Der bessere Weg für benötigte Makros
VBA-Makro-Prüfung & Signatur – unsere Softwarelösung
Wir haben eine tolle Software, die VBA-Makros im Self Service auf Schadcode prüft und signiert.
Die Prüfung erfolgt je nach Umfang entweder über ein selbstentwickeltes Scan-Script oder – bei größeren Makro- und Skriptmengen – über ein eigenes trainiertes KI-Modell, das self-hosted betrieben wird und sich am BSI-Standard orientiert.
Hier geht es zur Online-Demo. Melden Sie sich gern bei uns für eine individuelle Vorführung.
Zusätzlich helfen wir Ihnen bei der Ablösung von Makros – von der Bestandsaufnahme bis zur sicheren Migration. Nehmen Sie gerne Kontakt auf!
Unternehmen sollten zwischen unbekannten Dateien und einem kontrollierten internen Makrobestand unterscheiden. Unbekannte Internetdateien bleiben blockiert. Geschäftlich erforderliche Makros werden einer verantwortlichen Person zugeordnet, geprüft und als konkrete Version freigegeben. Anschließend wird die Datei mit einem geschützten Code-Signing-Zertifikat signiert und über einen definierten Kanal verteilt.
Das öffentliche Zertifikat des Herausgebers kann zentral an die vorgesehenen Geräte verteilt werden. Richtlinien können festlegen, dass nur digital signierte Makros eines vertrauenswürdigen Herausgebers laufen. Ausnahmen sollten klein, begründet, befristet und widerrufbar sein. So wird Vertrauen nicht aus dem Speicherort, sondern aus einem nachvollziehbaren Prozess abgeleitet.
Wo das Makro-VBA-Tool hilft
Das Makro-VBA-Tool von Dr. Dominic Lindner unterstützt den Weg von der unbekannten Datei zur kontrolliert bereitgestellten Version. Es prüft Office-Makros regelbasiert, zeigt konkrete Fundstellen und ordnet Ergebnisse in Grün, Gelb oder Rot ein. Bei unklaren oder kritischen Befunden entscheidet eine berechtigte Person. Nach bestandener Prüfung oder genehmigter Freigabe wird die Datei immer automatisch signiert.
Uploads, Entscheidungen, KI-Gutachten, Ausnahmen und Signaturen werden nachvollziehbar protokolliert. Häufig lassen sich auch ältere passwortgeschützte VBA-Projekte prüfen. Eine Code-Wiedererkennung kann identische oder technisch nur unwesentlich veränderte Fassungen einem bereits freigegebenen Referenzstand zuordnen.
Was das Tool nicht ändern kann
Das Tool entfernt nicht automatisch die Mark of the Web auf beliebigen Endgeräten und setzt keine Office-Richtlinie außer Kraft. Es ersetzt auch nicht die zentrale Verteilung des Herausgeberzertifikats. Wenn eine Unternehmensrichtlinie bestimmte Dateien vollständig blockiert, muss die IT den vorgesehenen Zielprozess korrekt konfigurieren. Ebenso bleibt die Entscheidung über vertrauenswürdige Sites, Intranet-Zonen und lokale Speicherorte Teil der Client- und Netzwerkarchitektur.
Die Prüfung ist außerdem kein Beweis fachlicher Fehlerfreiheit. Ein freigegebenes Makro kann falsche Zahlen verarbeiten, wenn Eingaben oder Geschäftslogik nicht getestet wurden. Der Fachbereich muss deshalb den vorgesehenen Zweck und die Ergebnisse bestätigen.
Fazit
Mark of the Web ist keine lästige Hürde, sondern eine Herkunftswarnung. Die richtige Antwort lautet nicht, Schutzmechanismen pauschal abzuschalten. Unternehmen brauchen einen kontrollierten Pfad für benötigte Makros: identifizieren, prüfen, entscheiden, signieren und gezielt verteilen. So bleiben unbekannte Downloads blockiert, während freigegebene Automatisierungen weiterhin nutzbar sind.
Quellen: Microsoft Learn: Makros aus dem Internet werden blockiert, Microsoft Learn: Trusted Locations und Makro-VBA-Tool.
Image: OpenAI
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
