Office Makro & GPO

[Emmermacher 15]

Hallo.

 

Um unsre Rechner ein wenig sicherer zu machen, haben wir bei uns für Office die GPOs des BSI implementiert.

Bei uns ITlern läuft das seit Monaten im Test ohne Probleme

Nun haben wir das Step by Step im gesamten AD eingerichtet.

 

Wir haben jetzt eine Anwendung gefunden, die mit exzessiv mit Word-Makros arbeitet. Das Ganze haben wir soweit analysiert das wir jetzt wissen, woran es liegt.

Der Hersteller ruft aus Seiner .dot Datei Makros aus anderen Datei auf.

Word dankt es dann mint der Meldung "Makros sind diesem Projekt nicht zulässig".

 

Testweise habe ich Makros wieder ohne Überprüfung zugelassen. 

Die vertrauenswürdigen Speicherorte sind auch korrekt eingestellt.

Von den Einstellungen des BSI hatte ich auch weitere Einstellungen verändert, die Makros zu tun haben könnten - leider ohne Ergebnis.

 

Gibt es eine Richtlinie, die verhindert, das Makros aus anderen Dateien aufgerufen werden können?

Vom Hersteller hat sich das auch schon ein Kollege angeschaut. Leider hat der auch keine Ideen mehr...

 

Vielen Dank im Voraus für Eure Antworten

 

Viele Grüße

 

Dirk Emmermacher

[BOfH_666 568]

vor 7 Stunden schrieb Emmermacher:

Der Hersteller ruft aus Seiner .dot Datei Makros aus anderen Datei auf.

 

Ohne auch nur ansatzweise Ahnung von Office-Makros zu haben  ...  die Erweiterung ".dot" klingt irgendwie nicht nach aktueller Version - sollte das nicht .dotx oder so sein? Wie wär's wenn der Hersteller das 1. aktualisiert und 2. nicht in externe Dateien auslagert, sondern in die entsprechende Vorlage integriert?

[Sunny61 773]

DOTX ist aktuell für eine Vorlage OHNE Makros, mit Makros ist es ein DOTM. So ein DOTx wird beim Start von Word mit aufgerufen, und erst im Bedarfsfall die DOTM, so kenn ich das. Aber nicht von diesem Hersteller. ;)

 

@Emmermacher

Wie wär es mit dem Signieren von DOTM-Dateien? Ein Zertifikat aus der, falls vorhanden, eigenen CA für CodeSignierung würde schon reichen, dann kannst Du auch Office Dateien mit Makros im Netz haben. Per GPO gibst Du vor dass nur Dateien mit Makros ausgeführt werden dürfen, die signiert sind.

[BOfH_666 568]

vor 47 Minuten schrieb Sunny61:

DOTX ist aktuell für eine Vorlage OHNE Makros, mit Makros ist es ein DOTM.

 

Ich schrub doch extra, dass ich keine Ahnung habe.    ... der Unterschied war mir tatsächlich nicht bewusst. Danke. 

[Emmermacher 15]

vor 9 Stunden schrieb BOfH_666:

 

Ohne auch nur ansatzweise Ahnung von Office-Makros zu haben  ...  die Erweiterung ".dot" klingt irgendwie nicht nach aktueller Version - sollte das nicht .dotx oder so sein? Wie wär's wenn der Hersteller das 1. aktualisiert und 2. nicht in externe Dateien auslagert, sondern in die entsprechende Vorlage integriert?

Moin @BOfH_666 .

Dotm würde ich auch für sinnvoller halten. Leider habe ich da keinen Einfluss drauf.

Von meiner Seite aus würde ich mir wünschen, das ohne Makros zu realisieren. Das bin ich wohl schon wieder auf dem Ponyhof...

 

LG

 

Dirk

vor 8 Stunden schrieb Sunny61:

DOTX ist aktuell für eine Vorlage OHNE Makros, mit Makros ist es ein DOTM. So ein DOTx wird beim Start von Word mit aufgerufen, und erst im Bedarfsfall die DOTM, so kenn ich das. Aber nicht von diesem Hersteller. ;)

 

@Emmermacher

Wie wär es mit dem Signieren von DOTM-Dateien? Ein Zertifikat aus der, falls vorhanden, eigenen CA für CodeSignierung würde schon reichen, dann kannst Du auch Office Dateien mit Makros im Netz haben. Per GPO gibst Du vor dass nur Dateien mit Makros ausgeführt werden dürfen, die signiert sind.

Hallo @Sunny61 .

Angeblich sollen die Makros signiert sein. Zertifikate hierfür habe ich bei uns bislang nicht entdecken können. Da frage ich mal nach.

 

LG

 

Dirk

[testperson 1.527]

Hi,

 

ob die Makros signiert sind, solltest du mit dieser GPO und der Einstellung "Alle Makros außer digital signierten Makros deaktivieren" testen können: GPS: Einstellungen für VBA-Makrobenachrichtigungen (gpsearch.azurewebsites.net)

 

Gruß

Jan

[Emmermacher 15]

vor 2 Stunden schrieb testperson:

Hi,

 

ob die Makros signiert sind, solltest du mit dieser GPO und der Einstellung "Alle Makros außer digital signierten Makros deaktivieren" testen können: GPS: Einstellungen für VBA-Makrobenachrichtigungen (gpsearch.azurewebsites.net)

 

Gruß

Jan

Hallo Jan.

Das hatte ich ursprünglich so eingestellt. 

Ich gehe mal davon aus, dass das Zertifikat irgendwo hinterlegt sein muss, damit diese Einstellung funktioniert. Dazu konnte ich bislang nichts finden :( .

Der Support hatte die betroffenen Makros direkt aus der Datei gestartet, in der es vorhanden ist. Da funktioniert es.

Hier scheint nur der Aufruf über eine andere Datei fehlzuschlagen. Auch wenn Makroprogrammierung nicht mein Thema ist, sah das alles soweit in Ordnung aus.

 

 

Gruß

 

Dirk

 

[Emmermacher 15]

Hallo.

 

Den Fehler in den Einstellungen konnte ich mittlerweile finden.

Im Bereich MS Office 2016 gibt es unter den Sicherheitseinstellungen einen Schalter "Automatisierungssicherheit". Das BSI hat diesen auf deaktiviert gesetzt.

Nach einer kleinen Anpassung läuft das Programm wieder.

 

Vielen Dank an alle, die hier geantwortet haben  .

 

Schönen Feierabend!

 

Dirk