Die nächste verdächtige Datei in Ihrem Posteingang sieht möglicherweise überhaupt nicht verdächtig aus – und Microsoft setzt darauf, dass eine vollständige Sperre sicherer ist, als von den Nutzern zu verlangen, sie selbst einzuschätzen.
Microsoft bereitet laut einem von BleepingComputer zitierten Update im Microsoft-365-Nachrichtencenter vor, .msix- und .msixbundle-Anhänge für Exchange-Online-Nutzer von Outlook im Web und dem neuen Outlook für Windows standardmäßig zu blockieren.
MSIX ist ein legitimes Paketformat für Windows-Anwendungen, doch Angreifer haben es missbraucht, um Schadsoftware als normale Anwendungsinstallationsprogramme zu tarnen. Anders als ein Patch für eine Outlook-Sicherheitslücke, verschärft dieses Update die Beschränkungen für Anhänge in Bezug auf Installationsformate, die Angreifer bereits missbraucht haben.
Die Richtlinie bietet Unternehmen eine weitere Schutzschicht gegen die softwarebasierte Zustellung per E-Mail. Administratoren, die tatsächlich auf MSIX-Anhänge angewiesen sind, können sie per Richtlinie weiterhin zulassen.
Details zu Microsofts neuer Maßnahme
MSIX ist Microsofts Format für Anwendungen. Es bündelt eine App und die benötigten Dateien in einem einzigen Paket, das Windows installieren und verwalten kann. Dadurch erhalten Entwickler eine einfachere Möglichkeit, Anwendungen zu verteilen, während Nutzer von einer einheitlicheren Installation profitieren.
Die .msixbundle-Pakete fassen mehrere MSIX-Dateien zusammen. Statt separate Pakete zu verteilen, können Entwickler ein einziges Bundle bereitstellen und Windows die für das Gerät des Nutzers geeignete Version installieren lassen.
Angreifer haben MSIX-Pakete missbraucht, um Schadsoftware zu verbreiten. Anders gesagt: Die Datei selbst ist kein Synonym für „Malware“, doch ein bösartig präpariertes MSIX-Paket kann einen legitimen Softwareinstallationsprozess in einen Verbreitungsweg für Schadcode verwandeln.
Microsoft will diesen Verbreitungsweg nun über eines seiner beliebtesten Einfallstore versperren – Outlook.
Laut BleepingComputer beginnt die Einführung Anfang November 2026 und soll bis Mitte November abgeschlossen sein. Microsoft wird sowohl die standardmäßigen als auch benutzerdefinierten OWA-Postfachrichtlinien aktualisieren. Dadurch können betroffene Nutzer diese Anhänge nicht öffnen oder herunterladen, sofern Administratoren dies nicht ausdrücklich erlauben.
Warum ergreift Microsoft diese Maßnahme?
Die Änderung folgt auf Microsofts umfassendere Bemühungen, für die Verbreitung von Malware missbrauchte Funktionen einzuschränken. Dazu gehören frühere Maßnahmen, um internetbezogene VBA-Makros zu blockieren und das ms-appinstaller-Protokoll zu deaktivieren.
Microsoft erklärt, diese Einschränkungen seien „Teil unserer laufenden Bemühungen, die Sicherheit zu erhöhen und Unternehmen vor potenziell unsicheren Dateianhängen zu schützen“.
Microsoft Threat Intelligence dokumentierte bereits zuvor, wie Angreifer bösartige MSIX-Pakete als legitime Software tarnten und sie über schädliche Werbung sowie Phishing in Microsoft Teams verbreiteten. Die Änderung in Outlook schränkt einen Verbreitungsweg ein, hindert bösartige Installationsprogramme jedoch nicht daran, Nutzer über Websites oder andere Messaging-Plattformen zu erreichen.
Das können Sie jetzt tun
Microsofts Änderung ist kein dauerhaftes Verbot von .msix- und .msixbundle-Dateien. Sie ändert die Standardrichtlinie für Anhänge. Das bedeutet, dass die beiden Formate standardmäßig blockiert werden – und nur standardmäßig.
Für Unternehmen stellt sich vor allem die Frage, ob derzeit ein legitimer Geschäftsprozess davon abhängt, MSIX-Pakete über Outlook zu versenden. Wenn Teams interne Anwendungen, Testversionen oder Softwarepakete per E-Mail verteilen, können autorisierte Exchange-Online-Administratoren .msix und .msixbundle vor der Einführung zur Eigenschaft AllowedFileTypes der relevanten OWA-Postfachrichtlinien hinzufügen.
Das bedeutet, dass Administratoren die neue Standardeinstellung nicht dauerhaft übernehmen müssen. Bei berechtigtem Bedarf können sie den Zugriff über ihre Exchange-Online-Postfachrichtlinien wiederherstellen. Das Zulassen standardmäßig blockierter Dateitypen kann jedoch die Gefährdung durch Sicherheitsbedrohungen erhöhen.
Das bedeutet: Sobald die Richtlinienänderung ausgerollt wird, müssen Unternehmen, die diese Formate weiterhin verwenden wollen, sie ausdrücklich in ihren Sicherheitsrichtlinien berücksichtigen.
Für Unternehmen, die keine .msix- oder .msixbundle-Anhänge verwenden, besteht kein konkreter Änderungsbedarf. Falls sie dies tun, sollten sie zunächst die Nutzer und Arbeitsabläufe ermitteln, die auf diese Formate angewiesen sind, prüfen, ob E-Mail weiterhin der geeignete Weg zur Verteilung von Anwendungspaketen ist, und vor dem Beginn der Einführung Anfang November 2026 alle erforderlichen Richtlinienänderungen vornehmen.
Mehr lesen: Beschränkungen für Anhänge sind eine Schutzschicht der E-Mail-Sicherheit – erfahren Sie, wie Angreifer außerdem vertrauenswürdige Microsoft-Dienste und Phishing-Links missbrauchen, um Sitzungstoken zu stehlen und Malware einzuschleusen.