Microsoft Defender Antivirus kann über die Antimalware Scan Interface, kurz AMSI, Skriptinhalte tiefer prüfen. Bei Microsoft 365 Apps unterstützt AMSI laut Microsoft auch JavaScript, VBA und XLM. Diese Integration erschwert es Schadcode, sich nur durch Verschleierung oder dynamische Ausführung zu verstecken. Für einen vollständigen Freigabeprozess interner Makros reicht die Laufzeitanalyse trotzdem nicht aus.
Was AMSI grundsätzlich macht
AMSI stellt eine Schnittstelle zwischen Anwendungen und Antimalware-Produkten bereit. Ein unterstützter Host kann Skriptinhalte zur Analyse übergeben. Dadurch erhält Defender nicht nur die statische Datei, sondern kann Inhalte in einem aussagekräftigeren Ausführungskontext untersuchen.
Voraussetzung ist eine passende Konfiguration, insbesondere aktiviertes Script Scanning. Unterstützte Betriebssysteme, Office-Versionen und Richtlinien müssen berücksichtigt werden. AMSI ist daher eine technische Schutzfunktion, die geplant und überwacht werden muss.
Stärke: Erkennung zur Laufzeit
Schadcode versucht häufig, seinen eigentlichen Zweck zu verschleiern oder erst während der Ausführung zusammenzusetzen. AMSI kann solche Inhalte näher am tatsächlichen Laufzeitverhalten prüfen. Zusammen mit Cloudschutz, Verhaltensanalyse und Defender for Endpoint entsteht eine starke Erkennungsschicht.
Für Angriffe ist das besonders relevant: Ein Makro, das nach dem Öffnen weiteren Code lädt oder verdächtige Befehle aufbaut, kann erkannt und blockiert werden.
Grenze: Fachliche Absicht ist keine Malware-Signatur
Viele Governance-Verstöße sind keine klassische Malware. Ein Makro kann unverschlüsselte Daten exportieren, eine falsche Freigabe verwenden oder einen veralteten Geschäftsprozess automatisieren. Es kann fachlich fehlerhafte Berechnungen durchführen und trotzdem keinen Antimalwarealarm auslösen.
Defender kennt außerdem nicht automatisch den Eigentümer, den erlaubten Nutzerkreis oder die genehmigte Version. Eine unauffällige Laufzeitanalyse beantwortet nicht, wer den Code geprüft und freigegeben hat.
Warum Quellcodefundstellen wichtig bleiben
Für eine menschliche Entscheidung müssen kritische Stellen verständlich sichtbar sein. Reviewer benötigen die konkrete Codezeile, die ausgelöste Regel und den fachlichen Zusammenhang. Nur so lässt sich entscheiden, ob ein Dateizugriff erforderlich, ein externer Prozess vermeidbar oder ein COM-Objekt zulässig ist.
VBA-Makro-Prüfung & Signatur – unsere Softwarelösung
Wir haben eine tolle Software, die VBA-Makros im Self Service auf Schadcode prüft und signiert.
Die Prüfung erfolgt je nach Umfang entweder über ein selbstentwickeltes Scan-Script oder – bei größeren Makro- und Skriptmengen – über ein eigenes trainiertes KI-Modell, das self-hosted betrieben wird und sich am BSI-Standard orientiert.
Hier geht es zur Online-Demo. Melden Sie sich gern bei uns für eine individuelle Vorführung.
Zusätzlich helfen wir Ihnen bei der Ablösung von Makros – von der Bestandsaufnahme bis zur sicheren Migration. Nehmen Sie gerne Kontakt auf!
Diese Analyse sollte vor der Signatur erfolgen. Wird der Code danach verändert, muss die Datei erneut geprüft werden. Ein SHA-256-Hash stellt sicher, dass sich Freigabe und Signatur auf dieselbe Fassung beziehen.
Wie das Makro-VBA-Tool ergänzt
Das Makro-VBA-Tool von Dr. Dominic Lindner verbindet regelbasierte Quellcodeprüfung, Ampellogik, menschliche Entscheidung und automatische Signatur. Gelbe und rote Funde zeigen betroffene Codezeilen und Gründe. Die selbst trainierte und selbst betriebene KI erklärt Makrozweck und Risiken und kann sichere Alternativen vorschlagen. Sie erteilt keine verbindliche Freigabe.
Nach bestandener Prüfung oder genehmigter Ausnahme wird die Datei immer automatisch signiert. Upload, Ergebnis, Bearbeiter, Entscheidung, Hash und Bereitstellung bleiben protokolliert. Häufig lassen sich auch passwortgeschützte ältere Bestandsmakros prüfen.
AMSI und Makro-Governance kombinieren
Das Makro-VBA-Tool kontrolliert den Weg in die produktive Nutzung. Microsoft Defender Antivirus und AMSI überwachen zusätzlich die Datei und das Laufzeitverhalten auf dem Endgerät. ASR-Regeln begrenzen besonders riskante Aktionen. Das Trust Center erlaubt nur passend signierte Makros vertrauenswürdiger Herausgeber.
Keine einzelne Schicht ist für alle Aufgaben zuständig. Selbst ein freigegebenes Makro sollte weiterhin vom Endpoint-Schutz überwacht werden. Und selbst eine von Defender nicht beanstandete Datei sollte ohne dokumentierte Prüfung nicht automatisch zum Unternehmensstandard werden.
Fazit
AMSI erweitert die technische Erkennung von Skript- und Makroangriffen erheblich. Seine Stärke liegt in der Antimalwareanalyse, besonders nahe an der Ausführung. Quellcodeprüfung, fachliche Freigabe, Ausnahmen, Signatur und Revisionsnachweise bleiben separate Aufgaben. Microsoft Defender und das Makro-VBA-Tool ergänzen sich deshalb, statt sich gegenseitig zu ersetzen.
Quellen: Microsoft Learn: AMSI mit Defender Antivirus, Microsoft Learn: Antimalware Scan Interface und Makro-VBA-Tool.
Image: OpenAI
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
