Microsoft hat eine Schwachstelle beim Signieren von Office Visual Basic for Applications(VBA)-Makroprojekten entdeckt. Diese Schwachstelle kann es einem böswilligen Benutzer ermöglichen, ein signiertes VBA-Projekt zu manipulieren, ohne dass dessen digitale Signatur ungültig wird. Daher wird empfohlen, dass Benutzer die Sicherheitsupdates ausführen, die unter Microsoft CVE-2020-0760 aufgeführt sind.
Um die Sicherheit der Signierung des Office-VBA-Makroprojekts zu erhöhen, bietet Microsoft eine sicherere Version des VBA-Projektsignaturschemas: V3-Signatur. Die V3-Signatur ist in den folgenden Produkten verfügbar:
-
Microsoft 365, Version 2102 (Build 16.0.13801.20266) und höher Versionen des aktuellen Kanals
-
Volumenlizenzversionen von Office 2019, Version 1808 (Build 10372.20060) und höher
-
Einzelhandelsversionen von Office 2016 Klick-und-Los-Editionen und Office 2019, Version 2102 (Build 16.0.13801.20266) und höher
-
Microsoft Installer(MSI)-basierte Editionen von Office 2016, die über die folgenden Updates oder neuere Versionen der Updates verfügen:
Es wird empfohlen, dass Organisationen die V3-Signatur auf alle Makros anwenden, um das Risiko von Manipulationen zu vermeiden.
Um die Abwärtskompatibilität sicherzustellen, funktionieren VBA-Dateien mit vorhandenen Signaturen standardmäßig weiterhin, und Dateien, die mit der V3-Signatur signiert sind, können in früheren Versionen von Office oder in nicht aktualisierten Office-Clients geöffnet und ausgeführt werden. Es wird jedoch empfohlen, dass Administratoren die vorhandenen VBA-Signaturen so schnell wie möglich auf die V3-Signatur aktualisieren, nachdem sie Office auf die aufgelisteten Versionen aktualisiert haben. Nachdem Administratoren überprüft haben, dass es keinen Kompatibilitätsverlust für die Organisation gibt, können sie die alten VBA-Signaturen deaktivieren, indem sie die Richtlinieneinstellung Nur VBA-Makros vertrauen, die V3-Signaturen verwenden aktivieren. Weitere Informationen zu dieser Richtlinieneinstellung finden Sie im Abschnitt „Richtlinieneinstellung aktivieren: Nur VBA-Makros vertrauen, die V3-Signaturen verwenden“.
Upgrade signierter VBA-Dateien auf die V3-Signatur
Administratoren können die folgenden Themen verwenden, um vorhandene VBA-Signaturendateien auf die V3-Signatur zu aktualisieren.
Erstellen eines Bestands der signierten VBA-Dateien
Wenn Sie bereits über eine Bestandsaufnahme aller vorhandenen signierten VBA-Dateien verfügen, können Sie diesen Abschnitt überspringen. Andernfalls verwenden Sie das Readiness Toolkit für Office-Add-Ins und VBA, um eine Bestandsaufnahme der vorhandenen signierten VBA-Dateien zu erstellen, die aktualisiert werden müssen. Das Tool generiert einen Bericht, in dem Dateien, die aktualisiert werden müssen, zusammen mit ihren Dateispeicherorten aufgeführt werden. Weitere Informationen zum Readiness Toolkit finden Sie unter Verwenden des Readiness Toolkits zum Bewerten der Anwendungskompatibilität für Microsoft 365 Apps.
-
Laden Sie das Readiness Toolkit für Office-Add-Ins und VBA herunter.
-
Führen Sie PowerShell aus, oder öffnen Sie ein Eingabeaufforderungsfenster als Administrator, und navigieren Sie dann zum Installationsordner des Readiness Toolkits:
C:\Programme (x86)\Microsoft Readiness Toolkit for Office -
Führen Sie den folgenden Befehl aus, um einen Ordner zu durchsuchen, in dem sich Ihre VBA-Dateien befinden (z. B. C:\Test_ToolKit):
ReadinessReportCreator.exe -sigscan -p C:\Test_ToolKit -r -output C:\output
Nach der Überprüfung wird eine JSON-Ergebnisdatei im Ordner „C:\output“ erstellt.
-
Führen Sie im Installationsordner des Readiness Toolkit die Datei „ReadinessReportCreator.exe“ aus, um die Ergebnisdatei zu öffnen.
Suchen Sie in der Ergebnisdatei nach allen unsicheren Makrodateien, die Sie auf die V3-Signatur aktualisieren müssen.
Erneutes Signieren von VBA-Dateien mithilfe des VBA-Editors
Wenn Sie über private Zertifikate verfügen, verwenden Sie den Visual Basic for Applications(VBA)-Editor, der in einer Office-Anwendung bereitgestellt wird, um die VBA-Dateien erneut zu signieren.
-
Um eine VBA-Datei erneut zu signieren, drücken Sie bei geöffneter Datei ALT+F11, um den VBA-Editor zu öffnen.
-
Um eine vorhandene Signatur durch die V3-Signatur zu ersetzen, wählen Sie Extras > Digitale Signatur aus. Das Dialogfeld Digitale Signatur wird geöffnet.
Hinweis: Zum Signieren eines VBA-Projekts muss der private Schlüssel ordnungsgemäß installiert sein. Weitere Informationen finden Sie unter Digitales Signieren eines Makroprojekts.
-
Wählen Sie Auswählen aus, um den privaten Zertifikatschlüssel auszuwählen, der zum Signieren des VBA-Projekts verwendet werden soll, und wählen Sie dann OK aus.
-
Um die neuen Signaturen zu generieren, speichern Sie die Datei erneut. Die neuen digitalen Signaturen ersetzen die vorherigen Signaturen.
Erneutes Signieren von VBA-Dateien mithilfe von SignTool
Mithilfe von SignTool im Windows 10 SDK können Sie die VBA-Dateien über eine Befehlszeile erneut signieren. Für das erneute Signieren im Batchmodus der Bestandsliste, die im Abschnitt „Erstellen eines Bestands der signierten VBA-Dateien“ angegeben ist, können Sie SignTool in Ihre eigenen Administratortools integrieren.
Hinweis: Derzeit wird SignTool von Microsoft Access nicht unterstützt.
Führen Sie die folgenden Schritte aus, um VBA-Dateien mithilfe von SignTool erneut zu signieren:
-
Laden Sie das Windows 10 SDK herunter, und installieren Sie es.
-
Laden Sie Officesips.exe aus Microsoft Office Themenschnittstellenpakete zum digitalen Signieren von VBA-Projekten herunter.
-
Wenn Sie Dateien signieren und die Signaturen in Dateien überprüfen möchten, registrieren Sie „Msosip.dll“ und „Msosipx.dll“, und führen Sie dann „Offsign.bat“ aus. Die detaillierten Schritte finden Sie in der Infodatei „Readme.txt“ im Installationsordner von „Officesips.exe“.
Hinweis: Verwenden Sie die x86-Version von SignTool im Ordner „C:\Programme (x86)\Windows Kits\10\bin\10.0.18362.0\x86“, wenn Sie „Offsign.bat“ ausführen.
Richtlinieneinstellung aktivieren: „Nur VBA-Makros vertrauen, die V3-Signaturen verwenden“
Nachdem Sie das Upgrade auf die V3-Signaturen abgeschlossen haben, empfiehlt es sich, die Richtlinieneinstellung Nur VBA-Makros vertrauen, die V3-Signaturen verwenden zu aktivieren, um sicherzustellen, dass nur V3-signierte Dateien als vertrauenswürdig eingestuft werden.
Diese Richtlinieneinstellung ist in Gruppenrichtlinien oder im Office-Cloudrichtliniendienst verfügbar. Sie befindet sich unter Benutzerkonfiguration\Richtlinien\Administrative Vorlagen\Microsoft Office 2016\Sicherheitseinstellungen\Trust Center. Wenn diese Einstellung aktiviert ist, wird nur die V3-Signatur als gültig betrachtet, wenn Office die digitale Signatur in Dateien überprüft. Signaturen in früheren Formaten in VBA-Dateien werden ignoriert.
Analysieren der Auswirkungen der Anwendung der Richtlinieneinstellung mithilfe des Sicherheitsrichtlinienratgebers
Der Sicherheitsrichtlinienratgeber ist im Apps Admin Center in Microsoft 365 Version 2103 (Build 16.0.13824.10000) und höheren Versionen des aktuellen Kanals verfügbar und enthält Informationen zum Sicherheits- und Produktivitätseffekt der Anwendung der Richtlinieneinstellung Nur VBA-Makros vertrauen, die V3-Signaturen verwenden.
Um den Produktivitätseffekt zu analysieren, können Administratoren im Bereich Empfehlungsdetails feststellen, welche Benutzer geschützt sind, wenn diese Richtlinieneinstellung angewendet wird. Diese Erkenntnisse können Administratoren dabei helfen, auf Daten gestützte Entscheidungen zu treffen, indem sie die Vorteile und Kosten der Anwendung der Richtlinieneinstellung messen.
Darüber hinaus können Administratoren eine Bereitstellung mit nur einem Klick für diese Richtlinieneinstellung verwenden. Der Sicherheitsrichtlinienratgeber verwendet den Office-Cloudrichtliniendienst, um Office-Richtlinieneinstellungen für Microsoft 365 Apps fpr Enterprise direkt aus der Cloud zu erzwingen. Dies funktioniert sowohl für verwaltete als auch nicht verwaltete Geräte. Nachdem Sie die Richtlinieneinstellung mithilfe des Office-Cloudrichtliniendiensts bereitgestellt haben, können Administratoren den Bereich Empfehlungsdetails erneut anzeigen, um zu überwachen, wie sich die Richtlinieneinstellung auf die Benutzer auswirkt.
Weitere Informationen zum Aktivieren des Sicherheitsrichtlinienratgebers in Ihrer Umgebung finden Sie unter Übersicht über den Sicherheitsrichtlinienratgeber für Microsoft 365 Apps for Enterprise.
