Sicherheitseinstellungen für COM-Objekte in Office

COM-Killbit für Office

Das COM-Killbit für Office wurde im Sicherheitsupdate MS10-036 eingeführt, um die Ausführung bestimmter COM-Objekte zu verhindern, wenn sie über Office-Dokumente eingebettet oder verknüpft sind.

Die Funktion „COM-Killbit“ wurde in KB3178703 aktualisiert, um durch Office die Aktivierung von COM-Objekten im Prozess vollständig zu blockieren. Dieses Update ist ein Übersatz des ursprünglichen Verhaltens, bei dem nicht nur in Office-Dokumente eingebettete oder verknüpfte COM-Objekte blockiert werden, sondern auch alle Instanzen von COM-Objekten, die im Office-Prozess geladen werden, mit anderen Mitteln wie Add-Ins blockiert werden.

Diese spezifischen COM-Objekte umfassen ActiveX-Steuerelemente und OLE-Objekte. Über die Registrierung können Sie unabhängig steuern, welche COM-Objekte bei der Verwendung von Office blockiert werden.

Hinweis: Es wird nicht empfohlen, das für ein COM-Objekt festgelegte Killbit zu entfernen. Wenn Sie dies tun, können Sie Sicherheitsrisiken verursachen. Das Killbit wird in der Regel aus einem möglicherweise kritischen Grund festgelegt. Daher müssen Sie äußerst vorsichtig sein, wenn Sie das Killen eines ActiveX-Steuerelements aufheben.  
 
Sie können eine AlternateCLSID (auch als „Phoenix-Bit“ bezeichnet) hinzufügen, wenn Sie die CLSID eines neuen ActiveX-Steuerelements (und dieses ActiveX-Steuerelement wurde geändert, um die Sicherheitsbedrohung zu verringern) mit der CLSID des ActiveX-Steuerelements in Beziehung setzen müssen, auf das das Office COM-Killbit angewendet wurde. Office unterstützt die AlternateCLSID nur, wenn COM-Objekte für ActiveX-Steuerelemente verwendet werden.  
 
Hinweis: Die Killbit-Liste für Office hat Vorrang vor der Killbit-Liste für Internet Explorer. So können beispielsweise das COM-Killbit für Office und das ActiveX-Kill-Bit für Internet Explorer für das gleiche ActiveX-Steuerelement festgelegt werden. Die AlternativeCLSID ist jedoch nur für die Liste für Internet Explorer festgelegt. In diesem Szenario besteht ein Konflikt zwischen den beiden Einstellungen. In solchen Fällen haben die COM-Killbiteinstellungen für Office Vorrang, sodass das Steuerelement nicht geladen wird.

Festlegen des COM-Killbits für Office

Der Pfad zum Festlegen des COM-Killbits für Office in der Registrierung lautet wie folgt:

Für Office 2013 und Office 2010:

• Für die 64-Bit-Version von Office unter einer 64-Bit-Version von Windows (oder für die 32-Bit-Version von Office unter einer 32-Bit-Version von Windows).

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\Common\COM Compatibility\{CLSID}

Für die 32-Bit-Version von Office unter einer 64-Bit-Version von Windows:

HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\Common\COM Compatibility\{CLSID}

Für Office 2016:

• Für die 64-Bit-Version von Office unter einer 64-Bit-Version von Windows (oder für die 32-Bit-Version von Office unter einer 32-Bit-Version von Windows):

  HKEY_LOCAL_MACHINE\Software\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

• Für die 32-Bit-Version von Office unter einer 64-Bit-Version von Windows:

  HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Office\16.0\Common\COM Compatibility\{CLSID}

In diesem Fall ist „CLSID“ der Klassenbezeichner des COM-Objekts.

Führen Sie die folgenden Schritte aus, um das COM-Killbit für Office zu aktivieren:

1. Fügen Sie den Registrierungsunterschlüssel gemeinsam mit der CLSID des ActiveX-Steuerelements oder OLE-Objekts, das blockiert werden soll, hinzu.

2. Fügen Sie einen REG_DWORD-Eintrag mit der Bezeichnung Compatibility Flags zu diesem Unterschlüssel hinzu, und legen Sie als Wert 0x00000400 fest.

Um beispielsweise das COM-Killbit für Office für ein Objekt mit der CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} in Office 2016 festzulegen, gehen Sie folgendermaßen vor:

1. Suchen Sie den folgenden Registrierungsunterschlüssel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Fügen Sie einen Unterschlüssel mit dem Wert {77061A9C-2F18-4f38-B294-F6BCC8443D24} hinzu. In diesem Fall lautet der resultierende Pfad wie folgt:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Fügen Sie einen REG_DWORD-Eintrag mit der Bezeichnung Compatibility Flags zu diesem Unterschlüssel hinzu, und legen Sie als Wert 0x00000400 fest.

Das COM-Killbit für Office ist nun so konfiguriert, dass die Aktivierung dieses Objekts in Office blockiert wird.

Blockieren von COM-Objekten nur für verknüpfte und eingebettete COM-Objekte

Wie bereits erwähnt, wurde die COM-Killbitfunktionalität aktualisiert, um jegliche Aktivierung von angegebenen COM-Objekten in Office zu blockieren.

Gehen Sie wie folgt vor, um nur COM-Objekte zu blockieren, die in Office-Dokumenten eingebettet oder verknüpft sind:

1. Fügen Sie die CLSID gemäß den Anweisungen unter „Festlegen des Office-Killbits“ zum COM-Killbit hinzu (soweit noch nicht in der Liste vorhanden).

2. Fügen Sie unter dem Unterschlüssel für die blockierte CLSID einen REG_DWORD-Wert mit dem Namen ActivationFilterOverride hinzu, und legen Sie als Wert 0x00000001 fest.

Um beispielsweise das COM-Killbit so zu konfigurieren, dass es nur in Verknüpfungs- und Einbettungsszenarien für ein Objekt mit der CLSID {77061A9C-2F18-4f38-B294-F6BCC8443D24} unter Office 2016 blockiert wird, gehen Sie folgendermaßen vor:

1. Suchen Sie den folgenden Registrierungsunterschlüssel:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility

2. Fügen Sie einen Unterschlüssel mit dem Wert {77061A9C-2F18-4f38-B294-F6BCC8443D24} hinzu. In diesem Fall lautet der resultierende Pfad wie folgt:
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\16.0\Common\COM Compatibility\{77061A9C-2F18-4f38-B294-F6BCC8443D24}

3. Fügen Sie einen REG_DWORD-Eintrag mit der Bezeichnung Compatibility Flags zu diesem Unterschlüssel hinzu, und legen Sie als Wert 0x00000400 fest.

4. Fügen Sie zu diesem Unterschlüssel einen REG_DWORD-Eintrag mit der Bezeichnung ActivationFilterOverride hinzu, und legen Sie als Wert 0x00000001 fest.

Das COM-Killbit für Office ist nun so konfiguriert, dass dieses COM-Objekt nur dann blockiert wird, wenn es in Office-Dokumente eingebettet oder verknüpft ist.