Eine installierte Erweiterung kann eine kleine Komfortfunktion sein oder einen vollständigen Geschäftsprozess tragen. Trotzdem werden Office-Add-ins bei der Bestandsaufnahme häufig nur als zusätzliche Software betrachtet. Das greift zu kurz. Für eine Sicherheitsentscheidung müssen Sie verstehen, welche Technik eingesetzt wird, wer die Erweiterung braucht und welche Daten sie verarbeitet. Ich empfehle ein eigenes, schlankes Add-in-Verzeichnis. Es soll keine zweite große CMDB werden. Es soll die Fragen beantworten, die bei Freigabe, Störung und Ablösung tatsächlich relevant sind.
Add-in ist kein einheitlicher technischer Begriff
COM- und VSTO-Erweiterungen gehören zu den älteren Integrationsmodellen für Office unter Windows. Webbasierte Office-Add-ins verwenden dagegen Webtechnologien und werden über ein Manifest eingebunden. Microsoft unterscheidet diese Modelle ausdrücklich. Ein Eintrag mit dem Namen eines Herstellers sagt deshalb noch nicht, welche Verwaltung und welche Sicherheitsprüfung erforderlich sind.
Für Sie heißt das: Erfassen Sie zuerst die technische Kategorie und die betroffene Anwendung. Ein Word-Add-in für Dokumentenvorlagen ist etwas anderes als eine Outlook-Integration oder eine Excel-Erweiterung zur Datenanalyse. Dieselbe Produktfamilie kann mehrere Komponenten enthalten. Diese sollten getrennt beschrieben werden, wenn sie unterschiedliche Funktionen oder Berechtigungen besitzen.
Technischen Bestand mit Fachwissen verbinden
Softwareverteilung und Gerätemanagement liefern wichtige Hinweise auf Installationen. Sie erklären jedoch nicht automatisch den fachlichen Nutzen. Ein installiertes Add-in kann seit Jahren ungenutzt sein. Umgekehrt kann eine kleine, selten gestartete Komponente genau für den Jahresabschluss benötigt werden. Der technische Bestand muss deshalb mit einer fachlichen Rückmeldung ergänzt werden.
Ich würde zu jeder Erweiterung mindestens Zweck, Eigentümer, Nutzerkreis und Nutzungshäufigkeit erfassen. Fragen Sie nicht nur „Brauchen Sie das?“, sondern „Welche konkrete Aufgabe funktioniert ohne diese Erweiterung nicht?“ Diese Frage macht Unterschiede sichtbar. Ein unbestimmtes Sicherheitsgefühl ersetzt keine Prozessbeschreibung und ist auch kein tragfähiger Grund für eine dauerhafte Freigabe.
Identitäten statt nur Anzeigenamen erfassen
Ein freundlicher Anzeigename ist für Menschen hilfreich, für eine technische Steuerung aber häufig nicht eindeutig genug. Bei klassischen Erweiterungen können beispielsweise ProgID, Hersteller, Version und Installationskontext relevant sein. Bei Web-Add-ins gehören Manifestinformationen und zugehörige Dienste in die Betrachtung. Welche Felder benötigt werden, hängt vom Integrationsmodell ab.
Mein Tipp: Nehmen Sie nur Identifikatoren auf, die später tatsächlich für Prüfung oder Verwaltung verwendet werden. Ein Verzeichnis mit dreißig unzuverlässigen Spalten ist schlechter als eine kurze, gepflegte Liste. Dokumentieren Sie auch die Herkunft der Angaben. Ein vom Hersteller bestätigter Wert ist anders zu bewerten als eine Vermutung aus einer alten Installationsanleitung.
Datenzugriffe gehören in dasselbe Verzeichnis
Bei Erweiterungen ist nicht allein entscheidend, ob sie starten. Ebenso wichtig ist, was sie lesen, verändern oder übertragen. Eine Integration kann Dokumentinhalte bearbeiten, Informationen aus einem Fachsystem abrufen oder Daten an einen externen Dienst senden. Diese Unterschiede verändern die Anforderungen an Freigabe und Betrieb deutlich.
Unterstützung bei AI Governance, KI-Code-Prüfung und sicherer Automatisierung
Ich unterstütze Unternehmen bei der sicheren Einführung von ChatGPT, Copilot, KI-Agenten und moderner Enterprise-Automatisierung. Mein Fokus liegt auf AI Governance, Compliance, sicherer KI-Nutzung und der strukturierten Kontrolle von KI-generiertem Code.
Zusätzlich verfüge ich über eigene Softwarelösungen zur automatisierten Analyse von Code, Skripten und KI-generierten Automatisierungen, um Risiken, unsichere Muster und Governance-Themen frühzeitig sichtbar zu machen.
Gerne tausche ich mich mit Ihnen in einem unverbindlichen virtuellen Kaffee über AI Governance, sichere KI-Einführung und Governance-Strategien im Enterprise-Umfeld aus.
Virtuellen Kaffee vereinbarenBeschreiben Sie den Datenfluss in verständlichen Sätzen. Welche Daten verlassen die Office-Anwendung? Welcher Dienst empfängt sie? Wie wird die Anmeldung abgewickelt? Wer verwaltet die Berechtigungen? Nicht jede Frage lässt sich aus einer Installationsliste beantworten. Gerade deshalb sollte der fachliche Eigentümer die notwendigen Informationen gemeinsam mit Hersteller und IT zusammentragen.
Aus dem Inventar Entscheidungen ableiten
Eine Bestandsaufnahme ist erst nützlich, wenn daraus ein Handlungsstatus entsteht. Ich empfehle wenige verständliche Zustände: freigegeben, in Prüfung, befristete Ausnahme und zur Ablösung vorgesehen. Ergänzen Sie den nächsten Schritt und den Verantwortlichen. „Unbekannt“ ist ein zulässiger Startzustand, aber kein Ziel für eine geschäftlich genutzte Erweiterung.
Ein Beispiel: Für eine alte Berichtssoftware fehlen Herstellerunterstützung und aktueller Ansprechpartner. Dann reicht ein grüner Installationsstatus nicht aus. Der nächste Schritt kann eine technische Prüfung oder ein Ablöseplan sein. Gleichzeitig muss der Fachbereich erklären, welche Berichte benötigt werden. So entsteht eine gemeinsame Entscheidung statt eines einseitigen Verbots.
Die Pflege an vorhandene Abläufe hängen
Ein einmaliges Excel-Verzeichnis veraltet schnell. Verknüpfen Sie die Aktualisierung daher mit Beschaffung, Softwarepaketierung, Versionswechsel und Außerbetriebnahme. Wird ein Add-in neu bestellt, muss sein Eintrag vor der breiten Bereitstellung entstehen. Ändert sich der Hersteller oder die technische Architektur, gehört die Bewertung erneut auf den Tisch.
Für die laufende Kontrolle genügt häufig ein risikobasierter Rhythmus. Eine wenig kritische, unveränderte Erweiterung braucht eine andere Prüftiefe als eine Integration mit weitreichendem Datenzugriff. Wichtig ist, dass die Regeln vorher feststehen. Sonst werden die dringendsten Fragen immer erst dann gestellt, wenn bereits eine Störung oder ein Sicherheitsproblem vorliegt.
Praktisch hilfreich ist ein kurzer Abgleich mit dem Service Desk: Welche Erweiterungen erzeugen wiederkehrende Tickets, obwohl sie im offiziellen Bestand kaum auftauchen? Diese Hinweise können fehlende Eigentümer oder unvollständige Installationsangaben sichtbar machen. Sie ersetzen keine technische Erfassung, ergänzen sie aber um die Alltagsperspektive. Gerade seltene Fachprozesse werden sonst leicht übersehen. Halten Sie neue Erkenntnisse direkt im bestehenden Eintrag fest, statt eine parallele Liste anzulegen.
Fazit: Ein Inventar muss Entscheidungen ermöglichen
Ein gutes Add-in-Verzeichnis verbindet Technik, Geschäftsprozess und Zuständigkeit. Es beantwortet, was eingesetzt wird, warum es gebraucht wird und wer über seine Zukunft entscheidet. Ich würde mit den wichtigsten Anwendungen beginnen und die Felder konsequent schlank halten. Vollständigkeit um jeden Preis bringt wenig. Verlässliche Angaben für konkrete Freigaben, sichere Änderungen und eine geordnete Ablösung sind das eigentliche Ziel.
Quelle: Microsoft: Die verschiedenen Office-Integrationsmodelle.
Image: OpenAI
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
