VBA-Sicherheit im Unternehmen –
Internet-Makros (MOTW), Schatten-IT & stabile Betriebsmodelle

Kurzfassung: Die meisten Ausfälle entstehen nicht durch „böse“ Internet-Makros, sondern durch intern gewachsene Excel-Lösungen ohne klare Regeln. Microsofts Mark of the Web (MOTW) hilft bei Downloads – ersetzt aber keine Governance für interne Dateien. Dieser Beitrag zeigt, wie Unternehmen mit schlanken Prozessen, Signatur und Härtung wieder zu reproduzierbaren, auditfähigen Releases kommen – und wie ein praxiserprobtes Betriebsmodell aussieht, das interne Zeit spart.

Wo das eigentliche Risiko liegt

VBA automatisiert Berichte, Datenaufbereitung und Freigaben – oft über Jahre hinweg. Risiken entstehen, wenn

• Makros ohne zentrale Regeln betrieben werden,
• Warnmeldungen „weggeklickt“ werden,
• Dateien ungeprüft in Trusted Locations landen,
• Rollen & Verantwortlichkeiten fehlen.

MOTW (Markierung von Internet-Dateien) ist sinnvoll, adressiert aber primär externe Quellen. Interne, historisch gewachsene Tools bleiben das größere Risiko – fachlich wichtig, aber technisch und organisatorisch unzureichend abgesichert.

Schatten-IT verstehen: Ursachen & Auswirkungen

Was ist Schatten-IT?
Fachbereiche bauen, ändern und verteilen Tools (z.B. .xlsm) ohne Einbindung der IT.

Typische Ursachen:
Zeitdruck, fehlende Kapazitäten in der IT, „kleine“ Anforderungen, die trotzdem kritisch werden.

Konkrete Auswirkungen:

• Betrieb: Versionswildwuchs, unerklärliche Pop-ups, Ausfälle im Monatsreport.
• Sicherheit: ungeprüfte Quellen, fehlende Signatur, Abhängigkeiten (z.B. Pfade, Add-Ins) ohne Nachweis.
• Compliance: keine Nachvollziehbarkeit, fehlende Freigaben/Changelogs, Audit-Risiken.
• Know-how-Risiko: „Bus-Faktor“ – Wissen hängt an einzelnen Personen.

Zielbild:
Fachbereiche bleiben schnell, aber Governance, Signatur und Bereitstellung laufen nach einem klaren, leichten Prozess.

Die fünf Säulen eines belastbaren Makro-Betriebs

Ein professionell entwickeltes VBA-Tool ist sicher. Sicherheit ist hier jedoch kein Zufall, sondern das Ergebnis eines bewussten Prozesses, der auf fünf Säulen ruht:

1. Zentrale Verwaltung der Sicherheitseinstellungen

Die Entscheidung, ob ein Makro ausgeführt wird, darf nicht beim einzelnen Mitarbeiter liegen. Unternehmens-Administratoren müssen über Gruppenrichtlinien (GPOs) zentral festlegen, welche Makros erlaubt sind. Die empfohlene, sicherste Einstellung lautet: Alle Makros deaktivieren, mit Ausnahme von digital signierten Makros.

2. Digitale Signaturen als Vertrauenssiegel

Die digitale Signierung eines VBA-Projekts ist die effektivste Methode, um dessen Sicherheit zu gewährleisten. Eine Signatur bestätigt zwei entscheidende Dinge: Authentizität (der Code stammt nachweislich von einer vertrauenswürdigen Quelle) und Integrität (der Code wurde seit der Signierung nicht verändert). Signierter Code kann als vertrauenswürdig eingestuft und ohne störende Sicherheitswarnungen ausgeführt werden.

3. Gezielter Einsatz vertrauenswürdiger Speicherorte

Administratoren können bestimmte Netzwerkordner als "vertrauenswürdige Speicherorte" definieren. Makros in Dateien, die dort abgelegt sind, werden ohne Warnungen ausgeführt. Diese Methode erfordert jedoch ein strenges Berechtigungsmanagement für diese Ordner, da sie sonst selbst zu einem Sicherheitsrisiko werden können.

4. Passwortschutz und Sperrung des Quellcodes

Jedes professionelle VBA-Projekt muss für Unbefugte unzugänglich sein. Dies wird durch zwei Maßnahmen erreicht: Passwortschutz für den VBA-Editor und die Funktion "Projekt für die Anzeige sperren". Dies schützt Ihr geistiges Eigentum und verhindert Manipulationen.

5. Robuste und saubere Programmierung

Sicherheit beginnt beim Schreiben des Codes. Ein sauber strukturierter und gut dokumentierter Programmierstil ist essenziell, um Fehler zu vermeiden und die Wartbarkeit zu gewährleisten. Eine umfassende Fehlerbehandlung (Error Handling) ist unverzichtbar. Sie fängt unerwartete Probleme ab, verhindert Abstürze und sorgt dafür, dass die Anwendung niemals in einem unsicheren oder undefinierten Zustand verbleibt.

Praxis:
Review – Härtung – Signatur & Nachweise aus einer Hand

In vielen KMU fehlt die Zeit, Makros sicher zu betreiben und sauber zu dokumentieren. Genau hier setzt unser Modell an: Wir übernehmen den kompletten Sicherheits- und Nachweisprozess – von der Prüfung über die Code-Härtung bis zur digitalen Signatur mit Zeitstempel und der regelkonformen Bereitstellung (z.B. in Trusted Locations).

Ablauf in vier Schritten (bewährtes Betriebsmodell):

• Intake & Risiko-Screening: Quelle/MOTW, Berechtigungen, Abhängigkeiten, Kritikalität.
• Härtung ohne Fachlogik-Eingriff: stabile Fehlerpfade, Eingaben, Logging; Alt-/Debugcode bereinigen.
• Freigabe & Signatur: kurze Freigabenotiz, Hash-Nachweis, Signatur mit Zeitstempel.
• Bereitstellung & Kurz-Doku: Ablage in definiert berechtigter Umgebung (Least-Privilege), Übergabeprotokoll.

Ihr Vorteil:
Fachbereiche liefern lediglich die Arbeitsdatei und eine Ansprechperson; zusätzliche interne Stunden für Freigaben, Dokumentation oder Signaturprozesse entfallen. Betrieb wird stabil, reproduzierbar, auditfähig – ohne das Tagesgeschäft auszubremsen.

FAQ – kurz & konkret

Reicht eine Trusted Location?
Nein. Ohne Signatur/Governance steigt das Risiko; TLs sind kontrollierte Betriebsorte, kein Freifahrtschein.

Blockiert MOTW nicht ohnehin Internet-Makros?
Ja – für Downloads. Interne, gewachsene Tools bleiben unberührt und brauchen eigene Regeln.

Verlangsamt Signieren?
Der manuelle Aufwand liegt bei der ersten Einrichtung. Danach ist der Prozess schlank – oder wird von uns übernommen.

Müssen wir unseren Code ändern?
Nein, die Härtung zielt auf Stabilität/Nachvollziehbarkeit. Die Fachlogik bleibt.

Fazit:
VBA-Sicherheit ist eine Frage der Professionalität

Für echten Schutz ist ein professioneller Ansatz unerlässlich, der bei der Entwicklung Ihrer internen Tools beginnt.

Unternehmen, die auf maßgeschneiderte VBA-Lösungen setzen, müssen sicherstellen, dass diese nach professionellen Standards entwickelt und gewartet werden. Nur so lässt sich das enorme Effizienzpotenzial von VBA voll ausschöpfen, ohne Cyberkriminellen die Tür zu öffnen.

Investieren Sie in die Sicherheit Ihrer VBA-Anwendungen – für den Schutz Ihrer Daten, Ihrer Mitarbeiter und Ihres gesamten Unternehmens.

Dieser Beitrag wurde veröffentlich am 26.10.2025.