Umfang der Makrolaufzeitüberprüfung
Der Wert legt fest, für welche makrofähigen Dateien Office die Laufzeitaktivitäten von VBA- und Excel-4.0-Makros (XLM) über die Antimalware Scan Interface (AMSI) prüfen lässt.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (1)
HKCU\software\policies\microsoft\office\16.0\common\security\macroruntimescanscope
Der Wert legt fest, für welche makrofähigen Dateien Office die Laufzeitaktivitäten von VBA- und Excel-4.0-Makros (XLM) über die Antimalware Scan Interface (AMSI) prüfen lässt. VBA wird von mehreren Office-Anwendungen unterstützt; XLM-Makros werden ausschließlich von Excel ausgeführt.
Der Wert hat den Datentyp REG_DWORD und unterstützt folgende Wertdaten:
0: Deaktiviert die Makrolaufzeitüberprüfung für alle Dateien.1: Überprüft Makros in Dateien mit niedriger Vertrauensstellung. Ausgenommen sind Dateien, die bei der Makroeinstellung „Alle Makros aktivieren“ geöffnet werden, aus einem vertrauenswürdigen Speicherort stammen, als vertrauenswürdige Dokumente gelten oder VBA-Code enthalten, der von einem vertrauenswürdigen Herausgeber digital signiert wurde.2: Überprüft Makros in allen makrofähigen Dateien; die bei1geltenden Vertrauensausnahmen werden nicht angewendet.
Bei aktivierter Überprüfung meldet die VBA- beziehungsweise XLM-Laufzeit bestimmte bevorstehende, sicherheitsrelevante Codeaktivitäten an den registrierten AMSI-Anbieter. Meldet dieser schädliches Verhalten, beendet die Office-Anwendung die betreffende Sitzung. Die Antimalwarelösung kann außerdem die Datei unter Quarantäne stellen. Wird das Verhalten nicht als schädlich eingestuft, wird das Makro weiter ausgeführt.
Hinweise
Sicherheit
Die Laufzeitüberprüfung ermöglicht es der Antimalwarelösung, das tatsächliche Verhalten eines Makros einschließlich zur Laufzeit aufgelöster Parameter zu untersuchen. Dadurch kann sie auch schädliche Aktivitäten erkennen, die durch verschleierten Makrocode bei einer rein statischen Prüfung schwer erkennbar wären.
Mit 0 entfällt diese zusätzliche AMSI-Prüfung für ausgeführte Makros. Mit 1 bleiben die genannten vertrauensbasierten Ausnahmen bestehen. 2 erweitert die Überprüfung auf diese Dateien und bietet daher die umfassendste Laufzeitabdeckung.
Diese Einstellung bestimmt nicht, ob Makros grundsätzlich ausgeführt werden dürfen. Sie ergänzt die Makrosicherheit von Office und kann nur dann eine Prüfung auslösen, wenn auf dem Gerät eine Antimalwarelösung als AMSI-Anbieter registriert ist.
Mögliche Nebenwirkungen
Die Laufzeitüberprüfung kann die Ausführung betroffener VBA-Projekte und XLM-Makroblätter verlangsamen. Der Umfang hängt vom Makroverhalten und von der verwendeten Antimalwarelösung ab.
Hinweise
Wenn die Richtlinie nicht konfiguriert ist, verwendet Office laut Microsoft die Überprüfung von Dateien mit niedriger Vertrauensstellung, entsprechend der Funktion von Wert 1.
Die Richtlinie gilt nach der Microsoft-Dokumentation nur für abonnementbasierte Office-Versionen, beispielsweise Microsoft 365 Apps for enterprise. Die Bezeichnung „Microsoft Office 2016“ im Kategoriepfad bezeichnet daher nicht automatisch die unbefristete Kaufversion von Office 2016.
Microsoft-Dokumentation
Microsoft Learn: Einstellungen der Microsoft 365 Apps for Enterprise-Sicherheitsbaseline
Microsoft Security Blog: XLM + AMSI – New runtime defense against Excel 4.0 macro malware