Sicherheitsrisiko von Office-Makros im Privaten- vs. Unternehmensumfeld
Die Sicherheit von Makros ist vor allem im Unternehmensumfeld stark umstritten bzw. das Risiko hinter der Nutzung eindeutig und klar. Trotz der unterschiedlichen Methoden wie Passwörter oder Signaturen verzichten viele Unternehmen komplett auf Makros und sperren diese komplett, z.B. via Policies.
Persönlich ist Office bzw. Makros einfach zu bequem und vorteilhaft: Office ist ein weit verbreitetes Tool, zukunftssicherer Support, keine zusätzliche Installation von Software etc. ... Da bösartige Makros oft bereits den Schadcode enthalten und im Rahmen von Phishing oder aus dem Internet in Unternehmen gelangen und Schaden anrichten, frage ich mich wie es mit der Sicherheit dem Einsatz im persönlichen Gebrauch aussieht.
Meiner Meinung nach sind Makros hauptsächlich im Unternehmensumfeld sicherheitskritisch und auch meistens nur dann, wenn diese von nicht-vertrauenswürdigen Quellen (z.B. dem Internet) stammen. Im persönlichen Gebrauch (inkl. Absicherungen wie Passwörter und Signaturen) sehe ich kein großes Sicherheitsproblem die Makros wegen allgemeinen Umstrittenheit komplett zu meiden. Wie seht ihr das?
Zu folgenden Fragen (im privaten Gebrauch) bin ich Froh um eure Meinungen und Input:
- Kann ich mich mit einem Makro-Passwort gut absichern oder sind diese mittlerweile zu leicht zu knacken?
- Reicht eine Signatur von Markos aus?
- Welche weiteren Einstellungen kann ich vornehmen, wenn ich Makros sicher einsetzen möchte?
- Sehr komplexes und fortgeschrittenes Szenario: Gibt es die Gefahr, dass ich mir Schadsoftware herunterlade welche bereits vorhandene (gutartige) Makros auf meinem PC erkennt und diese dann so manipuliert dass diese Schadcode ausführen können? Ist das realistisch?
2 Antworten
Meiner Meinung nach sind Makros hauptsächlich im Unternehmensumfeld sicherheitskritisch [...] Im persönlichen Gebrauch (inkl. Absicherungen wie Passwörter und Signaturen) sehe ich kein großes Sicherheitsproblem
Schadcode ist es fürchterlich egal, ob er nun im Unternehmensumfeld oder privat aktiv wird. Er tut, wofür er vorgesehen ist - und das häufig ohne das Wissen oder Zutun des Anwenders.
Wenn du also nicht weisst, was genau der Schadcode tut oder dass dieser überhaupt existiert, wie willst du dann sagen, dass im Unternehmensumfeld das ganze kritisch zu betrachten ist, privat aber kein Sicherheitsproblem vorliegt?
Im Unternehmensumfeld ist ein solcher Schädling sicherlich ein größeres Problem, da er nicht erst in das Netzwerk eindringen muss - ein infizierter Rechner reicht aus, um sich im gesamten Unternehmensnetzwerk zu verbreiten und somit die potentiellen Risiken stark zu erhöhen.
Was, wenn der Schaden gar nicht auf DEINEM Gerät durch den Code verursacht wird, sondern Angriffe auf fremde Systeme ausgeführt werden? Ist es dann nicht absolut unerheblich, ob es sich dabei um einen Rechner eines Unternehmens oder einen Privatrechner handelt?
Sehr komplexes und fortgeschrittenes Szenario: Gibt es die Gefahr, dass ich mir Schadsoftware herunterlade welche bereits vorhandene (gutartige) Makros auf meinem PC erkennt und diese dann so manipuliert dass diese Schadcode ausführen können?
Gar nicht komplex oder fortgeschritten, sondern simple Logik, welcher Schadcode häufig folgt! Sich selbst vervielfachen und verbreiten, damit eine möglichst große Verbreitung erreicht wird (und darüber dann ggfs. ein möglichst großer Schaden* erzielt werden kann).
Und dazu ist es absolut nicht neu, dass dieser Schadcode in anderen Dateien eingeschleust wird. Da muss man die vorhandenen Makros gar nicht verändern, sondern einfach nur neue Makros einfügen, die auf vordefinierte Auslöser für die Aktivierung warten.
* Mit Schaden ist in dem Zusammenhang nicht nur gemeint, dass auf Systemen irgendwelche Daten zerstört oder geklaut werden. Selbst das Nachladen und Ausführen von Software auf den Systemen, kann dazu gehören, wenn durch diese Software Rechenleistungen dazu genutzt werden, dass sich Fremde damit einen Vorteil verschaffen. (Es gab schon diverse Schädlinge, die auf den infizierten Systemen angefangen haben, Rechenleistung für das Schürfen von Kryptowährungen zu stehlen.)
Da gebe ich dir Recht, dem Schadcode ist es herzlich egal wo er ausgeführt wird, allerdings denke ich schon das es einen erheblichen Unterschied macht, ob ich Schadcode auf meinen persönlichen Laptop oder Arbeitslaptop habe. Der angerichtete Schaden im Unternehmen hinsichtlich des Umfangs und der Summe weitaus größer als der Befall eines einzelnen privaten Notebooks.
Wie gesagt gelangt der Schadcode meistens übers Internet auf das System, und wenn ich mir lokal eine Excel inkl. Makro erstelle ist der einzige Weg das auszunutzen wie in dem von mir beschriebenen Szenario. Ich verstehe deinen Punkt das man ebenfalls unbemerkt Teil eines Botnets oder das Makro mit Schadcode manipuliert werden kann, allerdings ist das ja eine Frage der Wahrscheinlichkeit das so etwas auch Eintritt.
So wie du es argumentierst könnte dann auch jede Software auf meinen PC zum Opfer von Schadcode werden. Was unterscheidet dann mehrere 100-Zeilen VBA Code von der anderen C, Java, Python basierten Software mit mehreren tausend Zeilen Code (meistens nicht einmal Open Source) auf meinem PC?
Und diese sonstige Software die man sich herunterlädt prüft doch auch niemand selber auf Schadcode. Der ließe sich in einem Makro meistens sogar besser erkennen bezüglich des Code Umfangs, oder ist es in VBA leichter den Code zu manipulieren?
Ich verstehe ehrlich gesagt den Grund nicht ganz, wieso Makros aus IT-Sicherheits-Sicht oft negativ betrachtet werden und wieso das nicht für die ganze restliche Software auf meinen PC gilt. Die ist doch in dem beschriebenen Szenario genauso anfällig oder nicht?
Kann ich mich mit einem Makro-Passwort gut absichern oder sind diese mittlerweile zu leicht zu knacken?
für den Geübten ist das eine Sache von <2min, entweder die xlsm öffnen (ist ja nur ein Archiv und die aus der Makro Datei in dem Zip das Passwort entfernen), oder inzwischen gibt es im Internet auch Makros zum entfernen von VBA Passwörtern.
- Reicht eine Signatur von Markos aus?
hier bin ich nicht richtig im Thema, ich würde aber vermuten ja, damit deutlich mehr Kontrolle hat.
- Sehr komplexes und fortgeschrittenes Szenario: Gibt es die Gefahr, dass ich mir Schadsoftware herunterlade welche bereits vorhandene (gutartige) Makros auf meinem PC erkennt und diese dann so manipuliert dass diese Schadcode ausführen können? Ist das realistisch?
Dies halte ich für ein wie du schon sagst sehr theoretisches Szenario, ich meine eine Mappe mit Makros zu erkennen ist nicht schwer am xlsm Ende. Ob es theoretisch aber möglich ist müssten hier mal Security Experten sagen, Excel selber ist ja nicht unbedingt für seine hohe Datensicherheit bekannt. Wie man an obigem Beispiel sieht. Aber davor lässt es sich ja prima schützen indem man die Ausführung dennoch immer erlauben muss.