ActiveX-Steuerelementinitialisierung
Dieser benutzerbezogene Richtlinienwert legt anwendungsübergreifend fest, wie Office ActiveX-Steuerelemente initialisiert.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKCU\software\policies\microsoft\office\common\security\uficontrols
Dieser benutzerbezogene Richtlinienwert legt anwendungsübergreifend fest, wie Office ActiveX-Steuerelemente initialisiert. Entscheidend sind die Kennzeichnung des Steuerelements als „Safe for Initialization“ (SFI) oder „Unsafe for Initialization“ (UFI), die Verwendung des abgesicherten Initialisierungsmodus und die Behandlung permanenter, im Dokument gespeicherter Werte.
Der Wert ist vom Typ REG_DWORD. Die möglichen Wertdaten haben folgende Bedeutung:
1: Das Steuerelement wird unabhängig von seiner SFI-Kennzeichnung geladen. Vorhandene permanente Werte werden verwendet. Es erfolgt keine Benutzeraufforderung.2: SFI-Steuerelemente werden im abgesicherten Modus mit vorhandenen permanenten Werten geladen. Nicht als SFI gekennzeichnete Steuerelemente werden ohne Aufforderung im nicht abgesicherten Modus mit permanenten Werten oder, falls solche fehlen, mit den Standardwerten für die erstmalige Initialisierung geladen.3: SFI-Steuerelemente werden im nicht abgesicherten Modus mit permanenten Werten geladen. Bei UFI-Steuerelementen wird der Benutzer gewarnt; nach Zustimmung wird das Steuerelement mit den Standardwerten für die erstmalige Initialisierung geladen.4: SFI-Steuerelemente werden im abgesicherten Modus mit permanenten Werten geladen. Bei UFI-Steuerelementen wird der Benutzer gewarnt; nach Zustimmung wird das Steuerelement mit den Standardwerten für die erstmalige Initialisierung geladen.5: SFI-Steuerelemente werden im nicht abgesicherten Modus mit permanenten Werten geladen. Bei UFI-Steuerelementen wird der Benutzer gewarnt; nach Zustimmung wird das Steuerelement mit den im Dokument gespeicherten permanenten Werten geladen.6: SFI-Steuerelemente werden im abgesicherten Modus mit permanenten Werten geladen. Bei UFI-Steuerelementen wird der Benutzer gewarnt; nach Zustimmung wird das Steuerelement mit den im Dokument gespeicherten permanenten Werten geladen.
„Abgesicherter Modus“ bezeichnet hier einen vom ActiveX-Steuerelement unterstützten eingeschränkten Initialisierungsmodus und nicht den abgesicherten Startmodus einer Office-Anwendung.
Hinweise
Sicherheit
ActiveX-Steuerelemente sind ausführbarer aktiver Inhalt und können abhängig von ihrer Implementierung unter anderem auf Dateien oder Registrierungseinträge zugreifen. Die Werte 1 und 2 lassen auch UFI-Steuerelemente ohne vorherige Benutzerentscheidung im nicht abgesicherten Modus laden. Dadurch können manipulierte Dokumente oder unsichere Steuerelemente unmittelbar Code mit den Rechten des angemeldeten Benutzers ausführen.
Die Werte 3 bis 6 verlangen vor dem Laden eines UFI-Steuerelements eine Benutzerentscheidung. Die Werte 4 und 6 initialisieren SFI-Steuerelemente zusätzlich im abgesicherten Modus. Bei UFI-Steuerelementen sind 3 und 4 restriktiver als 5 und 6, weil nach einer Zustimmung keine im Dokument gespeicherten Zustandsdaten übernommen werden.
Die SFI-Kennzeichnung wird vom Entwickler des Steuerelements festgelegt. Sie ist keine Garantie dafür, dass ein Steuerelement fehlerfrei oder frei von ausnutzbaren Schwachstellen ist. Ein für ein ActiveX-Steuerelement gesetztes Killbit verhindert dessen Ausführung unabhängig von dieser Einstellung.
Mögliche Nebenwirkungen
Der abgesicherte Initialisierungsmodus kann Funktionen einschränken, die ein Steuerelement im nicht abgesicherten Modus bereitstellt. Dokumente oder Formulare, die solche Funktionen voraussetzen, können deshalb unvollständig arbeiten.
Werden UFI-Steuerelemente mit Standardwerten statt mit ihren permanenten Werten initialisiert, kann ihr zuvor gespeicherter Zustand fehlen. Das kann Darstellung, Berechnungen oder andere dokumentabhängige Funktionen verändern. Benutzeraufforderungen können außerdem automatisierte oder unbeaufsichtigte Abläufe unterbrechen.
Hinweise
Die Einstellung gilt gemeinsam für die unterstützten Office-Desktopanwendungen und ist nicht auf eine einzelne Anwendung beschränkt. Andere Schutzmechanismen, darunter das vollständige Deaktivieren von ActiveX-Steuerelementen, Killbits, vertrauenswürdige Dokumente oder Speicherorte und anwendungsspezifische Sicherheitsprüfungen, können das tatsächliche Verhalten zusätzlich bestimmen.
Nicht jedes ActiveX-Steuerelement setzt den angeforderten abgesicherten Modus korrekt um. Microsoft weist darauf hin, dass einzelne Steuerelemente trotz einer entsprechenden Vorgabe permanente Daten laden können.
Für Microsoft 365 und Office 2024 hat Microsoft ActiveX-Steuerelemente standardmäßig deaktiviert. Diese neuere Standardvorgabe darf nicht mit der Wertsemantik dieser Office-16-Richtlinie gleichgesetzt werden.
Microsoft-Dokumentation
Microsoft Learn: 2007 Microsoft Office – Sicherheitseinstellungen für Benutzerrichtlinien
Microsoft Support: Aktivieren oder Deaktivieren von ActiveX-Einstellungen in Office-Dateien