Gefährliche E-Mail-Anhänge blockieren: Was die MSIX-Sperre in Outlook für KMU bedeutet

Die meisten Schadprogramme kommen nicht über eine exotische Sicherheitslücke ins Unternehmen, sondern als Anhang einer E-Mail, den jemand öffnet. Welche Dateitypen dabei durchgelassen werden, ist in vielen Betrieben nie bewusst entschieden worden – es gilt, was der Anbieter voreingestellt hat. Eine angekündigte Änderung bei Microsoft ist ein guter Anlass, gefährliche E-Mail-Anhänge systematisch zu blockieren, statt auf die nächste Standardeinstellung zu warten.

Anlass: Microsoft sperrt MSIX-Dateien in Outlook

Laut heise online blockiert Microsoft ab Anfang bis Mitte November 2026 standardmäßig Anhänge mit den Endungen .msix und .msixbundle. Betroffen sind dem Bericht zufolge Outlook im Web und das neue Outlook für Windows. Microsoft begründet den Schritt mit dem Schutz vor potenziell unsicheren Anhängen und erwartet geringe Auswirkungen, weil diese Dateitypen selten per E-Mail verschickt werden. Angekündigt wurde die Änderung im Microsoft-365-Nachrichtencenter unter der ID MC1488841.

Technisch werden die beiden Endungen in die Liste BlockedFileTypes der standardmäßigen OwaMailboxPolicy aufgenommen – und laut Bericht auch in alle benutzerdefinierten Richtlinien eines Mandanten. Wer MSIX-Dateien tatsächlich per E-Mail austauschen muss, kann die Endungen vor der Umstellung in AllowedFileTypes der jeweiligen Richtlinie eintragen.

Warum ausgerechnet MSIX?

MSIX ist Microsofts Paketformat für Windows-Anwendungen. Eine solche Datei ist also kein Dokument, sondern ein Installationspaket. Dass das Format missbraucht wird, ist nicht neu: Heise verweist darauf, dass Microsoft bereits Ende 2023 die Installation über das URL-Schema ms-appinstaller deaktiviert hat, nachdem Angreifer diesen Mechanismus ausgenutzt hatten.

Das Muster dahinter: Angreifer wechseln das Dateiformat

Die MSIX-Sperre ist ein weiterer Schritt in einem Ablauf, der sich seit Jahren wiederholt. Sobald ein Einfallstor geschlossen wird, weichen Angreifer auf das nächste Format aus:

• Ausführbare Dateien wie .exe, .bat oder .vbs blockiert das klassische Outlook seit Langem.
• Danach wurden Office-Dokumente mit Makros zum Standardwerkzeug – bis Microsoft Makros in Dateien aus dem Internet standardmäßig sperrte.
• Es folgten Datenträgerabbilder (.iso, .img), Verknüpfungen (.lnk), OneNote-Dateien mit eingebetteten Skripten und HTML-Anhänge, die im Browser eine gefälschte Anmeldeseite oder einen Download erzeugen.
• Installationspakete wie MSIX sind die jüngste Station.

Die Konsequenz für die eigene Absicherung: Eine Sperrliste, die nur auf das reagiert, was zuletzt in den Nachrichten war, läuft immer hinterher. Sinnvoller ist die umgekehrte Frage – welche Dateitypen braucht der Betrieb im E-Mail-Verkehr wirklich?

Wo sich E-Mail-Anhänge blockieren lassen

Die Filterung nach Dateityp findet an mehreren Stellen statt, die unabhängig voneinander konfiguriert werden. Das führt regelmäßig zu Missverständnissen.

Am Mail-Gateway oder im Cloud-Dienst

Hier wird die E-Mail geprüft, bevor sie im Postfach landet. In Microsoft 365 übernimmt das die Anti-Malware-Richtlinie von Exchange Online Protection mit dem Filter für gängige Anhangstypen; zusätzlich lassen sich Transportregeln anlegen. Bei eigenen Mailservern erledigen das Komponenten wie Rspamd oder ein vorgeschaltetes E-Mail-Security-Gateway. Das ist die wichtigste Ebene, weil sie für alle Empfänger und alle Mailprogramme gilt.

Im Mailprogramm

Das klassische Outlook für Windows sperrt eine feste Liste riskanter Endungen, Outlook im Web und das neue Outlook richten sich nach der OwaMailboxPolicy. Genau hier setzt die aktuelle Änderung an. Sie greift also nicht für Smartphones mit anderer Mail-App und nicht für Thunderbird – der Anhang ist in diesen Fällen weiterhin im Postfach erreichbar.

Auf dem Endgerät

Wenn ein Anhang doch durchkommt, entscheidet der Rechner. Dazu gehören ein aktueller Virenschutz oder besser eine EDR-Lösung, die Sperre von Makros aus dem Internet und Regeln, die Skript-Interpreter für normale Benutzer einschränken.

Gefährliche E-Mail-Anhänge blockieren in sechs Schritten

1. Ist-Zustand feststellen

Lassen Sie sich zeigen, welche Dateitypen aktuell gefiltert werden – am Gateway, in der Anti-Malware-Richtlinie und in den Outlook-Richtlinien. In Exchange Online liefert Get-OwaMailboxPolicy die Listen BlockedFileTypes und AllowedFileTypes. Häufiges Ergebnis: Die Voreinstellung wurde seit der Einrichtung des Mandanten nie angefasst.

2. Bedarf klären statt raten

Fragen Sie in den Abteilungen ab, welche Dateitypen tatsächlich per E-Mail ein- und ausgehen. In den meisten Büros sind das PDF, Office-Dokumente ohne Makros, Bilder und gelegentlich ZIP-Archive. Konstruktionsbüros, Agenturen oder Softwarefirmen haben zusätzliche Formate – die gehören dokumentiert, nicht pauschal freigegeben.

3. Sperrliste am Gateway erweitern

Blockieren Sie am zentralen Filter alles, was ausführbar ist oder Code nachlädt und im Alltag nicht gebraucht wird. Typische Kandidaten:

• Programme und Installer: .exe, .msi, .msix, .msixbundle, .appx, .scr, .com
• Skripte: .js, .vbs, .ps1, .bat, .cmd, .hta, .wsf
• Container und Verknüpfungen: .iso, .img, .vhd, .lnk
• Office-Dateien mit Makros: .docm, .xlsm, .pptm
• je nach Betrieb: .html/.htm und .one

Ein guter Filter erkennt den Dateityp am Inhalt und nicht nur an der Endung – sonst genügt Umbenennen.

4. Archive und Passwortschutz regeln

Verschlüsselte ZIP-Dateien kann kein Scanner prüfen; das Passwort steht bei Angriffen praktischerweise gleich in der E-Mail. Legen Sie fest, ob passwortgeschützte Archive abgelehnt, in Quarantäne gestellt oder nur von bekannten Absendern angenommen werden.

5. Ausnahmen eng und begründet halten

Wenn ein Lieferant unbedingt Makro-Dateien schicken muss, gilt die Ausnahme für diesen Absender und diese Empfängergruppe – nicht für das ganze Unternehmen. Tragen Sie auch nicht vorsorglich .msix in AllowedFileTypes ein, „damit nichts kaputtgeht”. Jede Ausnahme bekommt einen Verantwortlichen und ein Prüfdatum.

6. Alternativen anbieten und Quarantäne betreuen

Wer große oder ungewöhnliche Dateien austauschen muss, braucht einen sauberen Weg: eine Nextcloud-Freigabe mit Ablaufdatum oder eine andere Lösung zur sicheren Dateiübertragung. Sonst weichen Mitarbeiter auf private Postfächer und Messenger aus. Ebenso wichtig: Jemand muss die Quarantäne regelmäßig sichten, damit ein blockiertes Angebot nicht tagelang liegen bleibt.

Was die Sperre nicht leistet

Dateityp-Filter stoppen Anhänge, keine Links. Ein großer Teil der Angriffe kommt heute ohne Anhang aus und führt auf eine Download-Seite oder eine gefälschte Anmeldemaske. Dagegen helfen geschulte Mitarbeiter, DNS- und Webfilter sowie eine saubere Absenderprüfung mit SPF, DKIM und DMARC. Die Sperrliste ist eine Schicht von mehreren – allerdings eine, die sich an einem Nachmittag deutlich verbessern lässt.

Was das für KMU in Sachsen bedeutet

Bei vielen Betrieben in Dresden und Sachsen wurde Microsoft 365 einmal eingerichtet und läuft seitdem mit den Standardwerten. Ostdeutsche KMU ohne eigene IT-Abteilung erfahren von Änderungen wie der MSIX-Sperre oft erst, wenn ein Anhang plötzlich fehlt. Wer die Ankündigungen im Nachrichtencenter nicht selbst verfolgt, sollte diese Aufgabe ausdrücklich vergeben – an eine interne Person oder an den IT-Dienstleister.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU dabei, gefährliche E-Mail-Anhänge zu blockieren, ohne den Arbeitsalltag auszubremsen: Prüfung der bestehenden Filter in Microsoft 365 oder auf dem eigenen Mailserver, eine auf Ihren Betrieb abgestimmte Sperrliste, geregelte Ausnahmen und ein sicherer Weg für den Dateiaustausch über Nextcloud – auf Wunsch als Teil eines IT-Sicherheitsaudits oder der laufenden IT-Betreuung. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Was ändert sich in Outlook genau?

Laut heise online sperrt Microsoft ab Anfang bis Mitte November 2026 Anhänge mit den Endungen .msix und .msixbundle in Outlook im Web und im neuen Outlook für Windows. Maßgeblich ist die Ankündigung MC1488841 im Microsoft-365-Nachrichtencenter.

Müssen wir als Unternehmen jetzt etwas tun?

Nur wenn Sie MSIX-Pakete tatsächlich per E-Mail austauschen – dann sollte die Ausnahme vor der Umstellung eingerichtet oder besser ein anderer Übertragungsweg gewählt werden. Für alle anderen ist die Änderung ein Anlass, die eigene Sperrliste insgesamt zu prüfen.

Reicht die Sperre in Outlook als Schutz aus?

Nein. Sie wirkt nur in den betroffenen Outlook-Varianten. Andere Mailprogramme und Smartphone-Apps zeigen den Anhang weiterhin an. Zuverlässig ist nur die Filterung am Gateway oder im Cloud-Dienst, bevor die E-Mail zugestellt wird.

Sollten wir ZIP-Dateien komplett verbieten?

Meist nicht, dafür sind sie im Geschäftsverkehr zu verbreitet. Sinnvoll ist, Archive zu entpacken und den Inhalt zu prüfen sowie passwortgeschützte Archive gesondert zu behandeln, etwa über Quarantäne mit Freigabe.

Was tun, wenn ein Geschäftspartner einen gesperrten Dateityp schicken muss?

Stellen Sie einen Upload-Link oder eine Freigabe bereit, statt die Sperre zu lockern. Ist eine Ausnahme unvermeidbar, sollte sie auf Absender und Empfänger begrenzt und regelmäßig überprüft werden.