Microsoft zieht bei ausführbaren E-Mail-Anhängen eine weitere Sicherheitsgrenze ein. Ab November sollen Outlook im Web und das neue Outlook für Windows Dateien im MSIX- und MSIXBundle-Format standardmäßig nicht mehr zum Öffnen oder Herunterladen freigeben. Die Entscheidung zeigt, wie konsequent E-Mail-Plattformen inzwischen auch legitime Softwareformate als potenzielle Angriffswege behandeln.

Microsoft verschärft den Umgang mit Anwendungsdateien, die per E-Mail verbreitet werden. Ab November 2026 sollen die Dateiendungen .msix und .msixbundle in die standardmäßige Sperrliste der OWA-Mailbox-Richtlinien aufgenommen werden. Betroffen sind insbesondere Outlook im Web, das neue Outlook für Windows und Umgebungen mit Exchange Online.

Für die meisten Unternehmen dürfte sich dadurch im Arbeitsalltag wenig ändern. MSIX-Dateien werden vergleichsweise selten per E-Mail ausgetauscht. Sicherheitstechnisch ist die Maßnahme dennoch bemerkenswert: Microsoft sperrt damit ein von dem Unternehmen selbst entwickeltes modernes Installationsformat an einer besonders exponierten Schnittstelle.

Die Logik dahinter ist einfach. Eine Installationsdatei kann vollkommen legitim sein – und zugleich ein geeignetes Transportmittel für unerwünschte Software.

Ein modernes Installationsformat mit Sicherheitsmechanismen

Microsoft hatte MSIX als modernes Paketformat für Windows-Anwendungen entwickelt. Es verbindet Funktionen älterer Installations- und Paketierungsmodelle und soll insbesondere Installation, Aktualisierung und Entfernung von Anwendungen besser kontrollierbar machen.

MSIX verfügt dabei über mehrere Sicherheitsmerkmale. Pakete besitzen eine definierte Identität und enthalten kryptografische Informationen, mit denen Windows die Integrität ihrer Bestandteile überprüfen kann. Für regulär bereitgestellte MSIX-Pakete spielt zudem die Codesignierung eine zentrale Rolle. Microsoft beschreibt die Signatur als wesentlichen Mechanismus, um Herkunft und Integrität eines Pakets überprüfen zu können.

Auch die Ausführung kann stärker abgeschottet werden als bei klassischen Installationsprogrammen. MSIX unterstützt Virtualisierung für Dateisystem und Registry sowie App-Container-Modelle, die Zugriffe beschränken können.

Allerdings sollte daraus nicht der Schluss gezogen werden, MSIX-Dateien seien grundsätzlich ungefährlich.

Die Signatur bestätigt zunächst, dass ein Paket nach der Signierung nicht unbemerkt verändert wurde und welchem Herausgeberzertifikat es zugeordnet ist. Sie garantiert nicht, dass die darin enthaltene Anwendung keinen schädlichen Zweck verfolgt.

Zudem ist die Isolation abhängig vom jeweiligen Paket und dessen Vertrauensmodell. Microsoft weist selbst darauf hin, dass sogenannte Full-Trust-Anwendungen innerhalb eines MSIX-Pakets weitreichendere Rechte besitzen können und sich hinsichtlich ihrer Berechtigungen stärker einer klassischen Desktop-Anwendung annähern.

Gerade deshalb bleibt der Verbreitungsweg sicherheitsrelevant.

E-Mail bleibt ein bevorzugter Angriffsvektor

Aus Sicht der E-Mail-Sicherheit ist weniger entscheidend, wie modern ein Dateiformat technisch aufgebaut ist. Entscheidend ist, was nach einem Klick des Empfängers geschehen kann.

Installierbare Pakete unterscheiden sich damit grundsätzlich von gewöhnlichen Dokumenten oder Bilddateien. Sie dienen ausdrücklich dazu, Software auf einem Endgerät bereitzustellen. Wird ein Benutzer durch Social Engineering dazu gebracht, einem manipulierten oder unerwünschten Paket zu vertrauen, kann der eigentliche Sicherheitsmechanismus des Formats den Missbrauch des Installationsprozesses nicht automatisch verhindern.

Microsoft verfolgt deshalb seit Langem einen restriktiven Ansatz bei potenziell ausführbaren E-Mail-Anhängen. Outlook blockiert zahlreiche Dateitypen, die für die Verbreitung von Schadsoftware geeignet sind. Microsoft empfiehlt bei legitimen Dateien, die nicht als regulärer E-Mail-Anhang übertragen werden können, alternative Freigabewege wie OneDrive.

Auch Microsoft Defender for Office 365 behandelt ausführbare oder installierbare Formate gesondert. Sein Filter für häufig problematische Anhänge kann Nachrichten mit bestimmten Dateitypen ablehnen oder in Quarantäne verschieben. MSIX gehört bereits zu den Dateiformaten, die in diesem Kontext berücksichtigt werden.

Die Erweiterung der Outlook-Richtlinie folgt damit einer übergeordneten Sicherheitsstrategie: Wo ein Dateityp nur selten als E-Mail-Anhang benötigt wird, gleichzeitig aber die Installation von Software ermöglichen kann, wird der legitime Komfort gegen das potenzielle Missbrauchsrisiko abgewogen.

Kein Verbot von MSIX

Die Änderung bedeutet ausdrücklich nicht, dass Microsoft das MSIX-Format selbst infrage stellt.

MSIX bleibt ein reguläres Windows-Paketformat und wird weiterhin für die Softwarebereitstellung genutzt. Microsoft dokumentiert das Format als aktuelle Technologie für paketierte Windows-Anwendungen und unterstützt unter anderem die Verteilung über den Microsoft Store, Intune und andere Enterprise-Mechanismen.

Beschränkt wird lediglich ein bestimmter Transportweg: der direkte Austausch als Outlook-Anhang.

Damit folgt Microsoft einem Prinzip, das sich in modernen Zero-Trust-Architekturen zunehmend durchsetzt. Ein technisch legitimes Objekt wird nicht allein aufgrund seines Dateiformats oder einer vorhandenen Signatur als vertrauenswürdig behandelt. Entscheidend sind zusätzlich Herkunft, Kontext, Verteilungsweg und Berechtigungen.

Für Unternehmensumgebungen ist das besonders relevant. Software sollte dort ohnehin möglichst über kontrollierte Deployment-Systeme verteilt werden, statt Installationspakete zwischen Mitarbeitern per E-Mail weiterzugeben.

Administratoren können Ausnahmen definieren

Organisationen, die MSIX- oder MSIXBundle-Dateien tatsächlich als Mailanhänge benötigen, bleiben handlungsfähig.

Exchange beziehungsweise Outlook im Web erlaubt Administratoren, Richtlinien für zulässige und blockierte Dateitypen anzupassen. Über die OWA-Mailbox-Policy können Dateierweiterungen gezielt in die Listen für blockierte oder erlaubte Anhänge aufgenommen werden. Die Allow-Liste hat dabei Vorrang vor der Block-Liste.

Microsoft weist allerdings ausdrücklich darauf hin, dass eine Lockerung solcher Standardeinstellungen die Angriffsfläche erhöhen kann. Administratoren sollten Ausnahmen deshalb nicht pauschal setzen, sondern nur dort, wo ein belastbarer betrieblicher Grund besteht.

Für Security-Verantwortliche ergibt sich daraus eine einfache Prüfung: Werden MSIX-Dateien tatsächlich über E-Mail benötigt – oder hat sich lediglich ein historischer Prozess etabliert, der längst durch kontrollierte Softwareverteilung ersetzt werden könnte?

Signierte Software ist nicht automatisch vertrauenswürdige Software

Die Outlook-Änderung verweist damit auf ein grundlegenderes Problem der modernen Software-Sicherheit.

Digitale Signaturen, Paketintegrität und Containerisierung sind wichtige Schutzmechanismen. Sie beantworten jedoch unterschiedliche Fragen.

Eine Signatur kann belegen, wer ein Paket signiert hat und ob es anschließend verändert wurde. Integritätsprüfungen können Manipulationen erkennen. Isolation kann Zugriffsrechte begrenzen. Keine dieser Funktionen beantwortet für sich genommen die entscheidende Frage, ob die Installation in der jeweiligen Situation erwünscht und sicher ist.

Genau hier setzt die zusätzliche Kontrolle des Verteilungswegs an.

Microsoft behandelt einen direkt per E-Mail zugestellten Installer künftig nicht deshalb als riskant, weil MSIX ein unsicheres Format wäre, sondern weil ausführbare Inhalte in einem Kommunikationskanal auftauchen, der weiterhin intensiv für Phishing und Social Engineering genutzt wird.

Für Unternehmen ist das eine sinnvolle Erinnerung daran, Sicherheit nicht nur an einzelnen Dateien festzumachen. Entscheidend ist die gesamte Vertrauenskette: Wer stellt die Anwendung bereit? Über welchen Kanal wird sie verteilt? Wer darf sie installieren? Welche Rechte erhält sie anschließend – und lässt sich dieser Vorgang zentral überwachen?

Mit der Sperre für MSIX- und MSIXBundle-Anhänge schließt Microsoft deshalb weniger eine technische Schwachstelle als einen vermeidbaren Verbreitungsweg.

Und genau darin liegt die eigentliche sicherheitspolitische Aussage der Änderung: Softwareinstallation und E-Mail-Kommunikation sollen in professionellen Umgebungen möglichst nicht über denselben Vertrauenspfad laufen.