Outlook verschärft den Anhangsschutz: Zwei weitere Dateiformate sind ab November tabu

Microsoft erweitert die Liste der Dateitypen, die Outlook aus Sicherheitsgründen blockiert. Ab November 2026 kommen mit .msix und .msixbundle zwei weitere Dateiendungen hinzu. Für die meisten privaten Nutzer dürfte die Änderung kaum spürbar sein. In Unternehmen, die Windows-Anwendungen über solche Pakete verteilen, kann sie dagegen Anpassungen erforderlich machen.

Diese Dateiformate sind neu betroffen

Die Änderung betrifft Outlook im Web und das neue Outlook für Windows, sofern die Postfächer über Exchange Online verwaltet werden. Der Rollout soll Anfang November beginnen und voraussichtlich bis Mitte des Monats abgeschlossen sein.

Microsoft nimmt die beiden Endungen in die standardmäßige Liste blockierter Dateitypen auf. Das gilt nicht nur für die Standardrichtlinie, sondern auch für vorhandene benutzerdefinierte OWA-Postfachrichtlinien.

Wer eine entsprechende Datei als E-Mail-Anhang erhält, kann sie über die betroffenen Outlook-Versionen künftig nicht mehr wie gewohnt öffnen oder herunterladen. Die Änderung soll verhindern, dass potenziell gefährliche Installationspakete auf diesem Weg verbreitet werden.

Was steckt hinter MSIX und MSIXBUNDLE?

Bei MSIX handelt es sich um ein von Microsoft entwickeltes Format zur Bereitstellung und Installation von Windows-Anwendungen. Es dient dazu, die für eine Installation benötigten Programmdateien und Informationen in einem Paket zusammenzufassen.

MSIXBUNDLE verfolgt einen ähnlichen Zweck, kann aber mehrere MSIX-Pakete bündeln. Das ist beispielsweise praktisch, wenn eine Anwendung für unterschiedliche Prozessorarchitekturen angeboten wird. Windows kann dann das passende Paket auswählen.

Die Formate sind also nicht grundsätzlich schädlich. Sie werden auch für legitime Software verwendet, etwa bei der Verteilung von Windows-Anwendungen. Allerdings können Installationspakete ebenso missbraucht werden, um Schadsoftware auf Rechner zu bringen.

Warum Microsoft E-Mail-Anhänge strenger behandelt

E-Mail-Anhänge gehören seit Langem zu den möglichen Einfallstoren für Schadsoftware. Angreifer versuchen beispielsweise, Nutzer dazu zu bringen, eine vermeintlich harmlose Datei zu öffnen oder ein Programm zu installieren. Gerade bei unerwarteten Nachrichten ist es nicht immer leicht, einen gefährlichen Anhang auf den ersten Blick zu erkennen.

Microsoft setzt deshalb auf eine Liste von Dateitypen, die Outlook standardmäßig blockiert. Dazu gehören bereits zahlreiche ausführbare Dateien, Skripte und Systemdateien. Beispiele sind .exe, .bat, .cmd, .ps1, .vbs, .js und .py. Auch verschiedene Installations-, Datenbank- und Konfigurationsformate stehen auf der Liste.

Mit MSIX und MSIXBUNDLE wird diese Liste nun erweitert. Microsoft begründet den Schritt mit dem Ziel, den Schutz vor potenziell unsicheren E-Mail-Anhängen weiter zu verbessern.

Die meisten Nutzer müssen nichts unternehmen

Microsoft geht davon aus, dass die Auswirkungen begrenzt bleiben. Die beiden Dateiformate werden per E-Mail vergleichsweise selten verwendet. Wer Outlook hauptsächlich für Nachrichten, Dokumente, Bilder oder gewöhnliche Office-Dateien nutzt, dürfte im Alltag kaum einen Unterschied bemerken.

Anders sieht es bei Unternehmen und IT-Abteilungen aus, die Anwendungen über MSIX- oder MSIXBUNDLE-Pakete verteilen. Wenn solche Dateien regelmäßig per E-Mail ausgetauscht werden, sollte die bisherige Vorgehensweise rechtzeitig überprüft werden.

Administratoren können die betroffenen Dateitypen in den Exchange-Online-Postfachrichtlinien ausdrücklich erlauben. Microsoft empfiehlt Organisationen, die auf diese Formate angewiesen sind, die entsprechenden Einstellungen vor Beginn der Umstellung anzupassen. Für Unternehmen ohne einen solchen Bedarf besteht dagegen kein Handlungsbedarf.

Wie lassen sich solche Dateien weiterhin verteilen?

Wer Installationspakete weitergeben muss, sollte dafür möglichst einen geeigneten Verteilungsweg nutzen, statt sie direkt an eine E-Mail anzuhängen. Je nach Einsatzbereich kommen beispielsweise ein internes Softwareportal, eine verwaltete Unternehmensplattform oder ein vertrauenswürdiger Downloadbereich infrage.

Auch Cloudspeicher mit kontrollierten Zugriffsrechten kann eine Alternative sein. Dabei wird nicht die Installationsdatei selbst an die Nachricht angehängt, sondern ein Link zum Speicherort verschickt. Entscheidend ist, dass Empfänger die Datei aus einer vertrauenswürdigen Quelle beziehen können.

Das Umbenennen einer Dateiendung ist dagegen keine empfehlenswerte Standardlösung. Es umgeht nicht die eigentlichen Sicherheitsrisiken und kann beim Empfänger zu Verwirrung führen. Auch komprimierte Dateien sind nicht automatisch sicher: Ob ein Archiv geöffnet werden kann, hängt unter anderem von den geltenden Richtlinien ab.

Nicht jede Outlook-Version ist gleichermaßen betroffen

Wichtig ist die genaue Einordnung der Ankündigung: Die neue Sperre bezieht sich auf Outlook im Web und das neue Outlook für Windows in Verbindung mit Exchange Online. Daraus lässt sich nicht ableiten, dass ab November jede Outlook-Version unter allen Umständen dieselben Einschränkungen erhält.

Microsoft verwaltet blockierte Dateitypen abhängig von der jeweiligen Outlook- und Exchange-Konfiguration. Unternehmen sollten deshalb prüfen, welche Richtlinien für ihre Umgebung gelten und ob die betroffenen Dateiendungen für bestimmte Arbeitsabläufe benötigt werden.

Ein kleiner Schritt mit klarem Sicherheitsziel

Für die meisten Outlook-Nutzer dürfte die Erweiterung der Sperrliste kaum Folgen haben. Wer allerdings Softwarepakete regelmäßig per E-Mail verschickt oder empfängt, sollte die Änderung im Blick behalten.

Die Botschaft dahinter ist eindeutig: Installationsdateien sollen nicht unkontrolliert über E-Mail verbreitet werden. Für den gelegentlichen Austausch von Dokumenten ist die neue Regelung kaum relevant. Bei der professionellen Softwareverteilung lohnt es sich dagegen, rechtzeitig auf geeignete Alternativen umzusteigen.

( via )