Technische Einordnung

Microsoft Defender for Office 365 nutzt Anti-Malware-Richtlinien, die standardmäßig ausführbare Dateitypen wie .msix blockieren. MSIX ist bereits in der Default-Liste der blockierten Dateitypen enthalten learn.microsoft.com.

Outlook im Web und der neue Outlook-Client setzen Postfachrichtlinien (OwaMailboxPolicy) ein, um Dateitypen zu blockieren oder zu erlauben. MSIX lässt sich über BlockedFileTypes bzw. AllowedFileTypes steuern learn.microsoft.com.

Typisches Praxisszenario

Ein mittelständisches Unternehmen erhält zunehmend MSIX-Dateien per E-Mail, etwa für interne Tools oder Updates. Ab November 2026 werden diese Anhänge automatisch blockiert, was zu Störungen im Arbeitsablauf führen kann.

Die IT-Abteilung muss entscheiden, ob MSIX-Dateien weiterhin zugelassen werden sollen – etwa für vertrauenswürdige interne Quellen – oder ob sie generell blockiert bleiben, um das Risiko ausführbarer Dateien zu minimieren.

Technische Umsetzungsschritte

  1. Überprüfen Sie in Microsoft Defender for Office 365 die Anti-Malware-Policy und identifizieren Sie, ob .msix bereits in der Default-Blockliste enthalten ist.
  2. Falls MSIX-Anhänge benötigt werden, erstellen Sie eine angepasste Anti-Malware-Policy, in der .msix aus der Blockliste entfernt oder in eine Allow-Liste aufgenommen wird.
  3. In Exchange Online: Passen Sie die OwaMailboxPolicy an, indem Sie mit Set-OwaMailboxPolicy -BlockedFileTypes @{Remove = ".msix"} und ggf. -AllowedFileTypes @{Add = ".msix"} arbeiten.
  4. Nutzen Sie Conditional Access mit App enforced restrictions, um den Zugriff auf MSIX-Anhänge auf verwaltete Geräte zu beschränken.
  5. Testen Sie die Änderungen zunächst in einer Pilotgruppe, um sicherzustellen, dass MSIX-Anhänge wie gewünscht zugestellt und geöffnet werden können.
  6. Dokumentieren Sie die Änderungen an Anti-Malware- und Postfachrichtlinien und kommunizieren Sie die Anpassungen an die Fachbereiche.
  7. Überwachen Sie nach der Einführung die Protokolle in Defender und Exchange, um unerwünschte Zustellversuche oder Sicherheitsvorfälle zu erkennen.

Was im Microsoft-365-Tenant geprüft werden sollte

  • Ist .msix in der Default-Blockliste der Anti-Malware-Policy enthalten?
  • Existiert eine angepasste Anti-Malware-Policy, die .msix explizit erlaubt oder blockiert?
  • Wird die OwaMailboxPolicy angepasst, um .msix zu erlauben oder zu blockieren?
  • Sind Conditional Access-Richtlinien vorhanden, die den Zugriff auf Anhänge auf verwaltete Geräte beschränken?
  • Gibt es Pilotgruppen, in denen die Änderungen getestet wurden?
  • Werden Protokolle auf Zustellversuche oder Blockierungen von .msix-Anhängen überwacht?

Typische Fehler und Anti-Patterns

  • MSIX-Anhänge pauschal erlauben, ohne Einschränkung auf verwaltete Geräte – erhöht das Risiko ausführbarer Dateien.
  • Änderungen an Anti-Malware- oder OwaMailboxPolicy ohne Pilotierung in der gesamten Organisation ausrollen.
  • Fehlende Dokumentation der Richtlinienänderungen – erschwert Nachvollziehbarkeit und Audits.
  • Keine Überwachung nach Einführung – blockierte oder zugelassene MSIX-Anhänge bleiben unbemerkt.
  • Conditional Access nicht nutzen – MSIX-Anhänge könnten auch auf unmanaged Geräten zugestellt werden.
  • Vertrauen auf Default-Policies ohne regelmäßige Überprüfung – Änderungen seitens Microsoft bleiben unentdeckt.

Praxis-Checkliste für Entscheider

  1. Ermitteln Sie, ob MSIX-Anhänge geschäftlich notwendig sind oder vermieden werden können.
  2. Bewerten Sie das Risiko ausführbarer Anhänge im Vergleich zum Nutzen interner MSIX-Verteilung.
  3. Entscheiden Sie, ob MSIX-Anhänge nur auf verwalteten Geräten zugelassen werden sollen.
  4. Legen Sie fest, ob eine angepasste Anti-Malware-Policy erforderlich ist.
  5. Planen Sie Pilotierung, Rollout und Monitoring der Änderungen.
  6. Stellen Sie sicher, dass Dokumentation und Kommunikation an alle Stakeholder erfolgt.
  7. Implementieren Sie Conditional Access zur Absicherung des Zugriffs auf Anhänge.

Rollen und Verantwortlichkeiten

Die IT-Leitung entscheidet über die grundsätzliche Strategie: MSIX-Anhänge erlauben oder blockieren. Sie verantwortet Risikoabschätzung und Freigabe der Richtlinienänderung.

Die Administratoren setzen die technischen Anpassungen um: Anti-Malware-Policy, OwaMailboxPolicy, Conditional Access. Sie führen Tests durch, dokumentieren Änderungen und überwachen die Umsetzung.

Business-Nutzen

Durch gezielte Freigabe von MSIX-Anhängen für vertrauenswürdige Quellen bleibt der interne Software-Verteilungsprozess stabil, ohne auf unsichere Workarounds wie ZIP-Container ausweichen zu müssen.

Die Anpassung der Sicherheitsrichtlinien gewährleistet weiterhin Schutz vor ausführbaren Anhängen, während legitime Geschäftsprozesse nicht unterbrochen werden – ein ausgewogenes Verhältnis von Sicherheit und Produktivität.

Betriebsmodell nach der Einführung

Nach Einführung werden Anti-Malware- und OwaMailboxPolicy regelmäßig überprüft und angepasst, etwa bei Änderungen der Softwareverteilung oder neuen Bedrohungslagen.

Monitoring und Reporting etablieren sich als fester Bestandteil des Betriebsmodells: Zustellversuche, Blockierungen und Zugriffe auf MSIX-Anhänge werden kontinuierlich ausgewertet.

Messbare Signale für Fortschritt

Reduzierte Anzahl blockierter legitimer MSIX-Anhänge in den Defender- und Exchange-Protokollen zeigt, dass die Freigabe funktioniert.

Keine Sicherheitsvorfälle durch MSIX-Anhänge – etwa Malware-Infektionen – belegen, dass die Balance zwischen Sicherheit und Funktionalität gewahrt ist.

Priorisierung: Was zuerst?

Zuerst prüfen Sie, ob MSIX-Anhänge überhaupt benötigt werden – ggf. ist Blockierung ohne Ausnahme möglich.

Anschließend priorisieren Sie die Anpassung der Anti-Malware-Policy, da sie zentral wirkt und schnell umgesetzt ist.

Danach folgt die Anpassung der OwaMailboxPolicy, um Outlook-spezifisch das Verhalten zu steuern.

Abschließend implementieren Sie Conditional Access, um den Zugriff auf Anhänge auf verwaltete Geräte zu beschränken.

Einordnung durch Azuric

Im Azuric-Assessment prüfen wir, ob MSIX-Anhänge im Tenant aktuell blockiert sind und ob Anti-Malware-Policies angepasst wurden.

Wir bewerten, ob OwaMailboxPolicy und Conditional Access korrekt konfiguriert sind, um MSIX-Anhänge sicher zuzulassen oder zu blockieren.

Quellen

Dieser Beitrag ist eine eigene Azuric-Einordnung. Die folgenden Quellen wurden zur fachlichen Grundlage herangezogen.