Makro-Malware macht sich zunutze, dass ein Makro als Folge von Befehlen eine Software bestimmte Aktionen automatisiert ausf\u00fchren l\u00e4sst. Die eigentliche Infektion erfolgt normalerweise nicht schon beim \u00d6ffnen des Dokuments, sondern erfordert das Ausf\u00fchren der Makros durch den Anwender. Nach der Erstinstallation von Microsoft Office ist die Ausf\u00fchrung von Makros deaktiviert und muss manuell aktiviert werden<\/strong>. Ein Makrovirus ist ein Computervirus, der nicht als eigenst\u00e4ndiger Code, sondern als Makro in einem Dokument vorliegt.<\/p>\n
Pr\u00e4parierte Dokumente werden etwa per Phishing-E-Mail zugestellt<\/strong> und fordern den Empf\u00e4nger auf, Makros zu aktivieren; der Angreifer bringt den Empf\u00e4nger dazu, den Anhang zu \u00f6ffnen. Laut BSI l\u00e4uft Gefahr, sein System zu infizieren, wer auf einen solchen Anhang klickt und zum Beispiel Makros aktiviert. Aktiviert ein Mitarbeiter eines Versicherers Makros in einem pr\u00e4parierten Office-Dokument, kann Makro-Malware sch\u00e4dliche Funktionen ausf\u00fchren, sich in andere Dokumente einnisten oder einen Downloader f\u00fcr weitere Schadsoftware starten. Die Wirkung reicht je nach Makro vom Ver\u00e4ndern von Texten in Word-Dateien \u00fcber das L\u00f6schen von Dateien bis zum Nachladen weiterer Schadsoftware.<\/p>\n
Wie funktioniert Makro-Malware?<\/h2>\n
Ein b\u00f6sartiges Makro f\u00fchrt nach dem Aktivieren etwa einen base64-kodierten PowerShell-Code aus, der eine Datei in %UserProfile% oder %Temp% herunterl\u00e4dt. Die Emotet-Autoren nutzten die Makro-Befehle, um Schadsoftware aus dem Internet nachzuladen<\/strong> und zu installieren. Ein Makrovirus ist so programmiert, dass er sich selbst in andere Dokumente einnistet und sch\u00e4dliche Funktionen aufruft, beispielsweise indem er Texte in Word-Dateien ver\u00e4ndert oder beliebige Dateien auf der Festplatte l\u00f6scht.<\/p>\n
Beim Makrovirus Concept speicherte WinWord beim Beenden den globalen Makrobereich in der Standarddokumentenvorlage (in der Regel Normal.dot), wodurch sich Concept das \u00dcberleben bis zum n\u00e4chsten Programmstart sicherte. Die Standardvorlage wird bei jedem Programmstart automatisch geladen, sodass ein dort eingenistetes Virus automatisch mit aktiv wird. Virus:WM\/Concept.A galt als erster weithin bekannter Word-Makrovirus f\u00fcr Word 6; er breitete sich aus, indem er Dokumente und Vorlagen infizierte, darunter die Normal-Vorlage. In betroffenen Office-Versionen unter Windows werden VBA-Makros in Dateien mit Mark of the Web standardm\u00e4\u00dfig blockiert<\/strong>; vertrauensw\u00fcrdige Speicherorte, Publisher und Richtlinien k\u00f6nnen die Behandlung beeinflussen. Das Entfernen des Herkunftsvermerks kann Makros wieder zulassen, sofern weder eine Richtlinie noch eine Trust-Center-Einstellung die Ausf\u00fchrung weiter blockiert. Die Sperre setzt einen Herkunftsvermerk der Datei voraus; ein Haken bei \u201eZulassen\u201c in den Dateieigenschaften entfernt ihn und damit die Makro-Sperre.<\/p>\n
Makro-Malware im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
Makro-Malware<\/th>\n
Virus<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Einordnung<\/td>\n
Schadsoftware, die Makros in Office-Dokumenten missbraucht, um sch\u00e4dliche Funktionen auszuf\u00fchren oder weitere Schadsoftware zu verbreiten<\/td>\n
Ein Makrovirus ist ein Computervirus, der sich selbst in andere Dokumente einnistet.<\/td>\n<\/tr>\n
\n
Form des Codes<\/td>\n
Der Schadcode liegt als Makro in einem Dokument vor<\/td>\n
Ein Computervirus kann als eigenst\u00e4ndiger, kompilierter Code vorliegen; ein Makrovirus liegt stattdessen als Makro vor<\/td>\n<\/tr>\n
\n
Befallene Dateien<\/td>\n
Office-Dokumente wie Word- oder Excel-Dateien<\/td>\n
Ein Computervirus kann ausf\u00fchrbare Dateien oder Bootsektoren befallen; der Makrovirus Concept infizierte stattdessen Word-Dokumente<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Woran erkenne ich Makro-Malware?<\/h2>\n
\n\n
\n
Signal<\/th>\n
Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Dokument aus einer E-Mail fordert zum Aktivieren von Makros auf<\/td>\n
Eine Datei aus einer Mail, die das Aktivieren von Makros einfordert, kann auf einen Trojaner hindeuten.<\/td>\n<\/tr>\n
\n
Angebliche Rechnung oder Mahnung als Office-Anhang<\/td>\n
Fingierte Mahnungen oder Rechnungen mit infizierten Office-Dateien im Anhang gelten als bekannte Masche.<\/td>\n<\/tr>\n
\n
PowerShell-Aufruf nach dem Aktivieren eines Makros<\/td>\n
Ein Makro kann einen base64-kodierten PowerShell-Code ausf\u00fchren, der eine Datei in %UserProfile% oder %Temp% herunterl\u00e4dt.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Makros aus dem Internet standardm\u00e4\u00dfig blockieren.<\/li>\n
Die Makro-Sicherheitsfunktion in Word und Excel aktiviert lassen und Makros in Dokumenten aus E-Mail-Anh\u00e4ngen und aus dem Internet nicht aktivieren.<\/li>\n
Unerwartete Anh\u00e4nge und Links auch bei bekannten Absendern nicht \u00f6ffnen.<\/li>\n<\/ul>\n
Was tun im Ernstfall<\/h3>\n
\n
Das betroffene Ger\u00e4t vom Netzwerk trennen.<\/li>\n
Den Vorfall der IT-Sicherheit melden; bei Zweifeln an einer E-Mail, die zum \u00d6ffnen eines Word- oder Excel-Dokuments auffordert, den Inhalt an die IT weiterleiten.<\/li>\n
Alle auf dem Ger\u00e4t verwendeten Zugangsdaten sofort von einem nicht betroffenen Ger\u00e4t aus \u00e4ndern; das Ger\u00e4t durch die IT-Sicherheit analysieren und neu aufsetzen lassen.<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33726","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Makro-Malware: Schadcode in Makros von Word- und Excel-Dokumenten, der nach dem Aktivieren der Makros wirksam werden kann.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Makro-Malware ist Schadsoftware, die als Makro in Office-Dokumenten vorliegt, etwa als Makrovirus, und Makrosprachen wie VBA (Visual Basic for Applications) missbraucht, um sch\u00e4dliche Funktionen auszuf\u00fchren oder weitere Schadsoftware zu verbreiten.","at_a_glance":[{"bullet":"Nutzt Makrosprachen wie VBA in Office-Dokumenten f\u00fcr Schadfunktionen"},{"bullet":"Die Infektion erfordert normalerweise das Ausf\u00fchren der Makros durch den Anwender"},{"bullet":"Kann weitere Schadsoftware nachladen, etwa \u00fcber einen Downloader"}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Concept wurde 1995 als erste Makro-Malware im freien Umlauf (\u201ein the wild\u201c) entdeckt."},{"example":"W97M\/Melissa befiel Word-97- und Word-2000-Dokumente und nutzte Outlook, um sich per E-Mail an weitere Anwender zu verschicken; es kam zu vereinzelten Ausf\u00e4llen von Mailservern."},{"example":"Emotet nutzte Office-Dokumente, etwa angebliche Rechnungen im .doc-Format von Microsoft Word; die enthaltenen Befehle luden Schadsoftware aus dem Internet nach."},{"example":"\u00d6ffnet ein Mitarbeiter eines Versicherers ein pr\u00e4pariertes Office-Dokument und aktiviert Makros, kann Makro-Malware sch\u00e4dliche Funktionen ausf\u00fchren oder einen Downloader starten."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"B\u00f6sartiges Makro","inline_description":"B\u00f6sartiges Makro ist ein Makro in einem Office-Dokument, das sch\u00e4dliche Befehle ausf\u00fchrt.","description":"Das Makro startet meist erst, wenn die Makrofunktion aktiviert wird, und l\u00e4dt dann Schadsoftware nach oder ver\u00e4ndert Dateien. Als K\u00f6der dienen h\u00e4ufig pr\u00e4parierte Dokumente, die per E-Mail verschickt werden.","source":"","key":""},{"title":"Excel-Makro-Virus","inline_description":"Excel-Makro-Virus ist ein Makrovirus, das in Makros von Excel-Arbeitsmappen eingebettet ist.","description":"Er wird ausgef\u00fchrt, sobald eine infizierte Arbeitsmappe ge\u00f6ffnet und die Makroausf\u00fchrung zugelassen wird. Anschlie\u00dfend kann er weitere Arbeitsmappen oder Vorlagen befallen und so seine Verbreitung sichern.","source":"","key":""},{"title":"Makro-Blockierung","inline_description":"Makro-Blockierung bezeichnet die Sperre der Makroausf\u00fchrung in Office-Dokumenten aus unsicheren Quellen.","description":"Es handelt sich um eine Schutzeinstellung, nicht um eine Malware-Art: Sie verhindert, dass Makros aus Dokumenten, die aus dem Internet oder per E-Mail stammen, automatisch laufen, und schr\u00e4nkt damit den Angriffsweg ein.","source":"","key":""},{"title":"Office-Makro-Malware","inline_description":"Office-Makro-Malware ist Makro-Malware, die sich in Dokumenten von Office-Anwendungen befindet.","description":"Die Bezeichnung grenzt die Makrosch\u00e4dlinge auf Textverarbeitung, Tabellenkalkulation und Pr\u00e4sentation ein. Makros in anderen Umgebungen fallen damit nicht darunter, sodass der Begriff enger gefasst ist als Makro-Malware.","source":"","key":""},{"title":"Umgehung der Makrosicherheit","inline_description":"Umgehung der Makrosicherheit bezeichnet Techniken, mit denen Makroschutzfunktionen von Office umgangen werden.","description":"Angreifer \u00fcberlisten dabei Warnhinweise oder Sperren, etwa indem Anwender zum Aktivieren der Inhalte verleitet werden oder Dokumente so gestaltet sind, dass die Sperre nicht greift. So gelangt der Makrocode trotz Schutzma\u00dfnahme zur Ausf\u00fchrung.","source":"","key":""},{"title":"VBA-Makro-Virus","inline_description":"VBA-Makro-Virus ist ein Makrovirus, der in der Makrosprache VBA programmiert ist.","description":"Er nutzt die Programmierschnittstelle der Office-Anwendungen, um Dokumente zu ver\u00e4ndern, sich in Vorlagen einzutragen und weitere Dateien zu befallen. VBA bietet ihm daf\u00fcr weitreichenden Zugriff auf Dokument und System.","source":"","key":""},{"title":"Word-Makro-Virus","inline_description":"Word-Makro-Virus ist ein Makrovirus, der in Makros von Word-Dokumenten oder -Vorlagen steckt.","description":"Besonders wirksam ist die Infektion der globalen Dokumentvorlage, weil dann jedes neu angelegte Dokument den Virus weitertr\u00e4gt. Die Ausf\u00fchrung setzt voraus, dass das Makro beim \u00d6ffnen zugelassen wird.","source":"","key":""},{"title":"XLM-Makro-Malware","inline_description":"XLM-Makro-Malware ist Schadsoftware, die auf dem \u00e4lteren XLM-Makroformat von Excel beruht.","description":"Die Makros stehen als Formeln in Tabellenbl\u00e4ttern, nicht als VBA-Code, und werden dadurch von manchen Pr\u00fcfverfahren schlechter erkannt. Auch dieser Typ wird erst ausgef\u00fchrt, wenn Anwender die Inhalte aktivieren.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33711,33637,33713],"pillar_link":null,"sources":[{"publisher":"","name":"Dynamit-Phishing mit Emotet: So sch\u00fctzen Sie sich vor der Trojaner-Welle","url":"https:\/\/www.heise.de\/security\/artikel\/Dynamit-Phishing-mit-Emotet-So-schuetzen-Sie-sich-vor-der-Trojaner-Welle-4243695.html","doc_type":"2018","group":"used"},{"publisher":"","name":"Macro-enabled documents for downloading Malware","url":"https:\/\/success.trendmicro.com\/en-US\/solution\/KA-0011087","doc_type":"2025","group":"used"},{"publisher":"","name":"Infizierte Systeme bereinigen","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Cyber-Sicherheitsempfehlungen\/Infizierte-Systeme-bereinigen\/infizierte-systeme-bereinigen_node.html","doc_type":"2021","group":"used"},{"publisher":"","name":"Makro infiziert Winword","url":"https:\/\/heise.de\/ct\/artikel\/Makro-infiziert-Winword-284298.html","doc_type":"1995","group":"used"},{"publisher":"","name":"Macros from the internet are blocked by default in Office - Microsoft 365 Apps","url":"https:\/\/learn.microsoft.com\/en-us\/deployoffice\/security\/internet-macros-blocked","doc_type":"2026","group":"used"},{"publisher":"","name":"Virus:WM\/Concept.A threat description","url":"https:\/\/www.microsoft.com\/en-us\/wdsi\/threats\/malware-encyclopedia-description?Name=Virus:WM\/Concept.A","doc_type":"","group":"used"},{"publisher":"","name":"MS-Office: So funktioniert der neue Office-Makroschutz","url":"https:\/\/www.heise.de\/hintergrund\/MS-Office-So-funktioniert-der-neue-Office-Makroschutz-7164134.html","doc_type":"2022","group":"used"},{"publisher":"","name":"20 Years of Macro Malware: From Harmless Concept to Targeted Attacks","url":"https:\/\/www.trendmicro.com\/vinfo\/za-en\/security\/news\/cybercrime-and-digital-threats\/20-years-of-macro-malware-from-harmless-concept-to-targeted-attacks","doc_type":"2015","group":"used"},{"publisher":"","name":"Virus-Alarm: Melissa verbreitet sich wie ein Buschfeuer","url":"https:\/\/www.heise.de\/newsticker\/meldung\/Virus-Alarm-Melissa-verbreitet-sich-wie-ein-Buschfeuer-12913.html","doc_type":"1999","group":"used"},{"publisher":"","name":"Makrovirus","url":"https:\/\/de.wikipedia.org\/wiki\/Makrovirus","doc_type":"2024","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-07"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t