Office-Makros und USB-Speicher sind keine Randnotiz aus alten Schulungen. Eine präparierte Arbeitsmappe aus der Mail und ein Stick, der im Laufwerk landet, umgehen gerne genau den Schutz, der nur auf bekannte Dateien schaut. Einschränken heißt nicht, dass die Buchhaltung ihre legitime Mappe verliert oder die Werkstatt keine Fotos mehr ablegt. Es heißt, dass die Ausnahme an einem bestimmten Arbeitsplatz und für einen bestimmten Zweck hängt statt an allen Geräten.
Die Ausnahme, die zur Regel wird
Makros werden oft einmal erlaubt, weil eine Lieferung nur als makrofähige Mappe kommt, und bleiben dann für jedes Dokument aus dem Internet aktiv. USB-Speicher bleiben erlaubt, weil ein Etikettendrucker, eine Registrierkasse oder ein Fotoimport aus der Werkstatt einmal einen Stick gebraucht hat. Danach gilt die Erlaubnis für jedes Notebook, inklusive der Geräte, die das Haus verlassen. Der bequeme Weg wird zur allgemeinen Regel, weil niemand die ursprüngliche Ausnahme aufgeschrieben hat.
Vor dem Sperren gehört eine kurze Inventur. Welche Arbeitsplätze öffnen bewusst Makros, welcher Stick ist in Wahrheit ein Dongle oder ein Gerät, das sich als Speicher meldet. Diese Fälle bekommen eine enge Freigabe: ein Pfad, ein Gerät, ein Ablauf. Alle anderen Arbeitsplätze starten ohne Makros aus dem Internet und ohne frei beschreibbaren USB-Speicher. Laden und Datenübertragung lassen sich trennen, wo die Plattform das hergibt. Wer die Sperre mit privater Mail umgeht, braucht zusätzlich eine Regel am Postfach, nicht einen Vorwurf.
Zuerst inventarisieren, dann eng freigeben
- Inventur. Notieren Sie, welche Fachanwendung Makros oder einen USB-Speicher wirklich braucht, einschließlich Dongle und Kasse.
- Makros. Blockieren Sie Makros aus dem Internet und erlauben Sie nur benannte interne Vorlagen oder einen einzelnen geprüften Weg.
- USB. Unterbinden Sie frei verwendbare Speicher an normalen Arbeitsplätzen und nehmen Sie nur das nötige Gerät aus.
- Umgehung. Prüfen Sie, ob Dateien sonst über private Mail oder private Sticks zurück in den Betrieb wandern.
- Datum. Versehen Sie jede Ausnahme mit Zweck und einer Überprüfung, statt sie als dauerhaft für alle zu setzen.
Diese Einschränkung ist der praktische Partner des Virenschutzes, nicht ein Ersatz dafür. Was die Mail erst gar nicht ausführt und was ein Stick nicht auf jedes Notebook schreiben kann, muss der Agent nicht im Nachhinein erklären. Ausnahmen, die der Hersteller einer Branchensoftware verlangt, bleiben möglich, stehen aber nicht im Image für jedes neue Gerät.
Woran Projekte in der Praxis scheitern
- Makros für alle Dokumente erlauben, weil eine monatliche Lieferung sie braucht.
- USB an allen Notebooks freigeben, weil ein einziger Arbeitsplatz Fotos importiert.
- Die Sperre an einem Vormittag ohne Inventur der Kasse und der Dongles aktivieren.
- Ausnahmen ohne Datum setzen und sie beim nächsten Gerät automatisch mitkopieren.
Beispiel aus dem Betriebsalltag
Eine Buchhaltung erhielt monatlich eine makrofähige Mappe eines langjährigen Lieferanten, deshalb waren Makros überall aktiv. Parallel brachte die Werkstatt Fotos auf Sticks mit, die an jedem Büro-Notebook gelesen werden konnten. Wir haben Makros aus dem Internet allgemein abgeschaltet, den einen Lieferweg eng freigegeben und den Fotoimport auf einen Arbeitsplatz gelegt. Die übrigen Notebooks nehmen keine frei verwendbaren Speicher mehr an. Die monatliche Mappe läuft weiter, nur nicht mehr als Vorbild für jede Mail.
Kurze Entscheidungshilfe
- Dürfen Makros aus dem Internet noch an jedem Arbeitsplatz starten?
- Ist ein USB-Speicher an Notebooks erlaubt, die das Haus verlassen?
- Gibt es eine Liste der Ausnahmen mit Zweck, statt einer allgemeinen Freigabe?
- Wurde vor der Sperre geprüft, welche Geräte sich nur als USB-Speicher melden?
Wenn das Einschränken von Makros und USB-Speichern bei Ihnen ansteht, klären wir den Umfang unverbindlich: Schutz am Arbeitsplatz. Antivirus oder EDR Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.