Liebe Leserinnen und Leser,
ein bewährtes und gern genutztes Einfallstor, um Ransomware zu platzieren, ist und bleibt die Übermittlung von Microsoft Office Dokumenten mit passend präparierten Makros an nichtsahnende Anwender.
Dass die Einbettung von Programmen, die in einer leistungsfähigen Programmiersprache formuliert werden können, in Dokumente – ob Text oder Tabellenkalkulation – aus Sicht der Sicherheit eine verheerend schlechte Idee ist, ist seit Jahrzehnten bekannt. Nachdem Microsoft das Problem so lange ignoriert hatte, war die Fachwelt hoch erfreut, als das Unternehmen im März 2022 ankündigte, in der professionellen Microsoft 365 Umgebung Dokumente mit Makros aus dem Internet zu blockieren. Da Microsoft für sehr viele Unternehmen mit Microsoft 365 die Standardanwendungen und mit Sharepoint und vor allem Exchange in der Azure Cloud die wesentlichen Komponenten für den Umgang mit diesen Dokumenten bereitstellt, ist die Azure Cloud die einzig passende Umgebung für Steuerung und Umsetzung solcher Sicherheitsmechanismen. Entsprechend schien diese Ankündigung einen deutlichen Gewinn an Sicherheit und eine positive Überraschung darzustellen.
Auf den Boden der Tatsachen wurden die freudig erregten Anwender und Experten dann aber schon Anfang Juli von einer Verlautbarung des Hauses Microsoft zurückgeholt. Auf Grund von Anwenderfeedback sei die „Änderung“ der Makro-Behandlung wieder zurückgenommen worden.
Offen und in der Fachpresse noch in Diskussion ist, ob dieser rigorose Schutz vor Ausführung bösartiger Makros zwischen März und Juni dieses Jahres je funktioniert hat. Einig ist man sich dagegen bereits jetzt, dass die Informationspolitik und die Zuverlässigkeit des Änderungsmanagements von Microsoft, dem die Cloud-Anwender auf Gedeih und Verderb ausgesetzt sind, sehr zu wünschen übriglässt. Wiederum offen ist, warum Microsoft diese Änderung zurückgenommen hat. Nach Meinung des Sicherheits-Berater werden nicht etwa technische, sondern eher juristische Gründe die Ursache für die Kehrtwende sein.
Seit Jahren haben Microsoft und Verbündete darauf hingearbeitet, dass die Anwender das eigentliche Sicherheitsproblem sind. Sie lesen keine Hinweise, klicken unbedarft auf Buttons und lösen existenzgefährdende IT-Krisen aus. Der Weg aus diesem Notstand führt über Aufklärung, Schulung und Awarenesskampagnen, die viel Geld und Arbeitszeit kosten.
Wenn nun Microsoft verspricht, einen Teil dieser sehr realen und durch Ransomware für die Kunden teuren Sicherheitsprobleme zu lösen, dann könnten pfiffige Anwälte die Idee entwickeln, den Hersteller, Anbieter und Betreiber dieser „geschützten Software“ in Anspruch zu nehmen, wenn der Schutz einmal versagen sollte. Ein Vermögens-schaden eines anwaltlich gut vertretenen Kunden durch eine „Makro-verursachte Ransomware“ könnte bei amerikanischen Rechtsgepflogenheiten auch für Microsoft teuer werden. Da ist es für Microsoft doch die bessere und sichere Lösung, das Risiko beim Kunden und dessen leichtsinnigen Anwendern zu lassen.
