Risiko-Beurteilung Office Kaufversionen

Dass Microsoft die Strategie „Cloud only“ forciert, weiß man seit längerem. Da die Entwicklung und Absicherung primär für die Onlinedienste und Miet-Anwendungen stattfindet, sind Kaufversionen in der #Risiko Einstufung mit einem deutlich höheren Risiko behaftet:

• Microsoft #Office365 erhält alle 14 Tage ein Sicherheitsupdate, alle 14 Tage ein kombiniertes Funktions- und Sicherheitsupdates UND Notfall – Patches außer der Reihe. Wenn Admins die Updates für Office auf den monthly channel gesetzt haben, verteilen sich diese Updates bei Verbindung zum Internet oder zur Installationsquelle im Netzwerk sehr zeitnah
• Es gibt nur hierfür Gruppenrichtlinien, die den Betrieb und die Funktionalität zentral steuerbar machen. So lassen sich Makros und die generelle Ausführung von unsignierten Quellen und Codes abschalten
• Die Kaufversionen 2013, 2016, 2019, 2022 erhalten Sicherheitsupdates nur noch für 5 Jahre, danach müssen diese Versionen neu erworben werden (Ausnahme: Volumenlizenzen mit Software-Assurance)

Aktuell gibt es in allen #Windows Versionen eine Sicherheitslücke im Microsoft Windows Support Diagnostic Tool (MSDT) (CVE-2022-30190, CVSS 7.8, Risiko hoch). Öffnen Mitarbeitende eine Word-Datei mit einer der Kauf-Versionen, lässt sich diese Schwachstelle nutzen, um im schlimmsten Fall Bereiche des Firmennetzwerks, die im Schreibzugriff liegen, zu verschlüsseln.

Wie auch schon bei #Hafnium sind die aktuellen Miet-Versionen von Microsoft 365, aka. Office 365 durch die Richtlinie geschützt. Verschärft man die Richtlinie und entzieht den Benutzenden die Möglichkeit, die Warnung zu deaktivieren (in dem Fall ist die Meldungszeile rot hinterlegt), hat der Angriff mit dem „Trittbrett“ Word keine Chance.

Fazit

Im Rahmen einer Risiko-Einschätzung sind die Miet-Versionen von Office bzw. die Onlinedienste von Microsoft signifikant sicherer, da die Kaufversionen weder über wirksame Gruppenrichtlinien verfügen, noch zeitnah aktualisiert werden können. Auch wenn ein Office 2021 Home & Business auf den ersten Blick sehr günstig erscheint, zahlt man mit hohem Risiko einer Schadprogramm-Infektion. Verbunden mit all den enthaltenen (Online-Diensten) und Sicherheits- und Compliance Funktionen ist die Mietvariante immer zukunftsweisender. Dabei hebt sich insbesondere vom Preis-Leistungsverhältnis der Microsoft 365 Business Premium Plan hervor:
https://m365maps.com/Microsoft%20365%20Business%20Premium.htm

Office 365 wird zu Microsoft 365 umbenannt

Microsoft hat sich entschieden, #Office365 zu #Microsoft365 umzubenennen. Damit ändern sich die Bezeichnungen vorhandener Office 365 Pläne. Preise und Leistungen der Pakete bleiben laut Microsoft gleich.

Hier die Gegenüberstellung der alten und neuen Produktbezeichnungen bzw. Abonnements:

Office 365 Business Essentials heißt jetzt Microsoft 365 Business Basic
Office 365 Business Premium heißt jetzt Microsoft 365 Business Standard
Microsoft 365 Business heißt jetzt Microsoft 365 Business Premium
Office 365 Business heißt jetzt Microsoft 365 Apps for Business
Office 365 ProPlus heißt jetzt Microsoft 365 Apps for Enterprise

Die meisten von Ihnen setzen Office 365 ProPlus ein, das auch den Einsatz in RDP (Terminal-) Umgebungen und die lokale Installation der Apps erlaubt. Wer seinen Exchange-Server von Microsoft betreiben lässt und nur ein Postfach mit Online-Zugriff (Browser oder Handy) für einzelne Mitarbeiter benötigt, für den heißt dieses Modul zunächst weiterhin „Exchange online“.
Die Änderungen werden sukzessive auch in Ihrem Office Admin Portal zu sehen sein.

Nähere Details und was sich administrativ und technisch ändert, auf dieser Microsoft Seite.

https://docs.microsoft.com/de-de/deployoffice/about-microsoft-365-apps

Supportende Office 2019 identisch mit Office 2016

#Microsoft möchte die Mietprodukte wie #Office365 in den Vordergrund stellen. Mit Erscheinen des Kaufprodukts „Office 2019“ – dies betrifft alle Editionen sind die erweiterten Support-Zeiten nicht verlängert worden.
Bisher war dieser Zeitraum, der gleichzeitig das Ende der #Sicherheitsupdates, auch als „Patch“ bezeichnet, für ein Produkt einläutet, immer 10 Jahr lang. Jahreszahl der Version + 10 Jahre war das Produkt sicher.

Bei Office 2019 ist Oktober 2025! – also bereits 6 statt 10 Jahre nach Erscheinen des Produkts Ende #endoflife mit den Sicherheitsupdates .

Wir sind gespannt, ob es 2022 überhaupt noch einmal eine weitere Kauf-Version von Office geben wird 🙁

Office 365 Support für Server 2012R2 endet

Ab 1. Januar 2020 unterstützt Microsoft #Office365 Proplus nicht mehr auf der Plattform „Windows Server 2012 R2“. Wer Office 365 auf dieser Plattform einsetzt und automatische Updates im Release-Kanal (monatlich) bezieht, wird also in 13 Monaten das Office auf einer nicht mehr unterstützten Plattform einsetzen. So die offizielle Veröffentlichung von Microsoft.

Für Office 2019 Proplus (Kaufversion im Volumen_Lizenzvertrag) gilt: Es wird nicht unter Server 2016 unterstützt.

Möglichkeiten:
Office 365 Proplus: Ab Januar 2020 das Updatemodell von monatlich auf halbjährlich stellen. So bleibt das Office 6 Monate auf dem Stand von Januar 2020 und der Betrieb dürfte nicht durch nicht unterstütze neue Features Probleme geben.
Alternativ kann das Server-Betriebssystem auf Windows Server 2016 umgestellt werden (vorausgesetzt die Lizenz ist vorhanden). Nicht Server 2019 nehmen.
Office 2019 Proplus: Diese Volumenlizenzen verfügen über ein Downgraderecht. Somit kann Office 2016 auf allen Server-Plattformen eingesetzt werden.

Fazit ab Januar 2020:
Mietversion: Office 365 Proplus – NICHT Server 2012 R2 – nicht Server 2019
Kaufversion: Office 2019Proplus (Volumenlizenz) – NICHT Server 2016