Was ist passiert?
Das BSI Bürger-CERT hat gleich drei Warnungen zu Microsoft-Produkten veröffentlicht. Im Zentrum steht eine Schwachstelle in Excel 2016, Office 2019, 2021 und 2024 sowie den 365-Apps, die Angreifern die Ausführung von Schadcode ermöglicht. Parallel dazu warnt das BSI vor einer Lücke in Microsoft Edge für Android, über die Dateien offengelegt oder manipuliert werden können. Eine dritte Meldung betrifft Office 365 in Kombination mit dem Moodle-Plugin: Hier lassen sich Sicherheitsvorkehrungen umgehen.
Wer ist betroffen – und ist Deutschland betroffen?
Ja, die Warnungen gelten unmittelbar für Nutzer:innen in Deutschland. Betroffen sind alle, die eine der genannten Excel- oder Office-Versionen einsetzen – das dürfte einen Großteil der privaten und geschäftlichen Windows-Nutzer:innen betreffen. Zusätzlich betroffen: Android-Nutzer:innen mit installiertem Edge-Browser sowie Institutionen, die Office 365 zusammen mit dem Moodle-Plugin für E-Learning nutzen.
Woran erkennst du es?
Die Schwachstellen selbst sind für Nutzer:innen nicht sichtbar – es gibt keine Warnmeldung beim Öffnen einer Datei. Genau das macht sie gefährlich: Eine präparierte Excel-Datei oder ein manipuliertes Dokument kann im Hintergrund Code ausführen, ohne dass du etwas davon merkst. Bei Edge für Android könnten manipulierte Webseiten oder Downloads betroffene Dateien auslesen oder verändern.
Zeitlich fällt die Warnung mit dem aktuellen Microsoft-Patchday zusammen, an dem laut Berichten 421 Sicherheitslücken geschlossen wurden – darunter auch eine Outlook-Schwachstelle, die aktuell für Phishing-Angriffe missbraucht wird. Das zeigt: Kriminelle reagieren schnell auf frische Sicherheitslücken.
Was solltest du jetzt tun?
Installiere die verfügbaren Updates für Excel, Office und die 365-Apps umgehend. Öffne dazu eine beliebige Office-Anwendung und prüfe unter "Datei" > "Konto" > "Update-Optionen", ob dein Programm aktuell ist. Bei Edge für Android reicht in der Regel ein Update über den Google Play Store.
Falls du oder deine Organisation das Moodle-Plugin für Office 365 im Einsatz habt, wende dich an die zuständige IT-Abteilung – hier ist oft ein manuelles Einspielen des Patches nötig.
Sei zusätzlich vorsichtig bei E-Mails mit Office-Anhängen aus unbekannten Quellen, solange die Updates nicht installiert sind. Aktiviere, falls noch nicht geschehen, automatische Updates für alle Microsoft-Produkte, um solche Lücken künftig schneller geschlossen zu bekommen.