Sicherheitslücke in Excel-Funktion PowerQuery

Excel Add-In PowerQuery kann Schadsoftware einschleusen

IT-Sicherheitsforscher haben eine potentielle Sicherheitslücke in Microsoft Excel entdeckt. Betroffen ist das Add-In PowerQuery. Anwender sollten Sicherheitshinweise von Microsoft umsetzen. Aber auch in Zeiten von Big Data beginen Attacken mit der Unachtsamkeit von Nutzern.

Das Excel Add-In PowerQuery kann zum Einschleusen von Schadcode ausgenutzt werden. Davor warnen Sicherheitsexperten des Cloudanbieters Mimecast in einem Blogeintrag des Unternehmens. Mit Power Query lassen sich Daten über das Protokoll Dynamic Data Exchange (DDE) aus externen Quellen in Excel-Dokumente laden. Dieser Prozess verläuft also dynamisch. Das bedeutet, dass die Daten bei jedem Öffnen des Dokumentes neu geladen werden. Die Forscher von Mimecast entdeckten, dass sich auf diesem Weg Schadcode aus externen Quellen in ein Excel Sheet laden lässt. Dieses Programm kann dann weitere Schadsoftware nachladen. Dies geschehe unbemerkt von Sicherheitssoftware, die darin nur eine harmlose Datei erkenne, schreiben die Forscher im Mimecast Blog.

Sicherheitstipps für Excel und Power Query


Im Microsoft Security Advisory 4053440 rät der Excel-Hersteller, das dynamische Nachladen von Daten zu unterbinden. Dies könne über die Registry von Windows geschehen. Allerdings können Eingriffe in die Registry dazu führen, dass Windows unbrauchbar wird und neu installiert werden muss. Ein Sicherheits-Update von Microsoft (ADV170021) soll in betroffenen Excel-Versionen eine Funktionalität einfügen, mit der Nutzer die DDE-Funktion in Excel abschalten können. In jedem Fall sollten Nutzer dann jedoch darauf achten, dass sie die Daten in ihren Excel Sheets manuell aktualisieren. Andernfalls kann es passieren, dass der Controller mit veralteten Daten arbeitet.

Die erfolgreiche Attacke auf das Big-Data-Tool von Excel begann übrigens mit einem sehr altmodischen ersten Schritt. Der Empfänger muss eine an ihn geschickte Excel-Datei öffnen. Unternehmen mit strengen Vorgaben für das Öffnen von Dateianhängen aus unbekannten Quellen können Angriffe unterbinden, bevor sie gezwungen sind, das dynamische Nachladen von Daten durch PowerQuery in Excel abschalten zu müssen.

Erstellt von (Name) W.V.R. am 03.07.2019
Geändert: 27.09.2019 08:25:33
Autor:  Wolff von Rechenberg
Quelle:  Mimecast Blog, exploit-using-microsoft-excel-power-query-for-remote-dde-execution-discovered, Microsoft Security Advisory 4053440
Bild:  panthermedia.net / adchariya chanpipat
Drucken RSS

Zum Schreiben eines Kommentars melden Sie sich bitte an. Kommentare werden vor Veröffentlichung redaktionell geprüft.

Nur registrierte Benutzer können Kommentare posten!

Anzeige

Premium-Mitgliedschaft

Erhalten Sie Zugriff auf Premium-Inhalte von Controlling-Portal.de und Rechnungswesen-Portal.de. Aktuelle und ständig erweiterte Fachbeiträge und sämtliche Ausgaben des Controlling-Journals. Das aktuelle Controlling-Journal erhalten Sie zudem als Print-Ausgabe. Verschaffen Sie sich hier einen Überblick über unsere Premium-Inhalte.

Mitgliedschaft für nur 39,- EUR inkl. MWSt. im Jahr! Weitere Informationen >>
Anzeige
Anzeige
Excel-Vorlage: RS Controlling System

Community

Community_Home.jpg






Nutzen Sie kostenfrei das Forum für Controller und und diskutieren ihre Fragen zu Controlling-Themen.
Anzeige

Neu - Controlling-Journal!

CJ_Muster_titel-190px.jpg
Kurzweiliger Mix aus Fachinformationen, Karriere- und Arbeitsmarkt-News, Büroalltag und Softwarevorstellungen.

Probieren Sie jetzt das Print-Magazin Controlling-Journal >>
Anzeige

Neueste Stellenangebote

Sie möchten über neu eingehende Stellenangebote automatisch informiert werden? Dann können Sie unseren kostenfreien Jobletter abonnieren. Mit diesem erhalten Sie alle 14 Tage die aktuellsten Stellenanzeigen und weitere Arbeitsmarkt-News. Jobletter jetzt abonnieren >>
Anzeige

Wie zufrieden sind Sie mit uns?

rotstift_adpic_190px.jpg 
Über Ihre Meinung und auch ihre Anregungen für Veränderungen oder Erweiterungen würden wir uns sehr freuen. Nur 5 kurze Fragen, die in 5 Minuten beantwortet sind!  zur Umfrage >>
Anzeige

Fachbeitrag veröffentlichen?

Autorin.jpg Sie sind Autor von Fachbeiträgen mit Controlling-Thema? Gerne veröffentlichen oder vermarkten wir ihren Fachbeitrag im Themenbereich Controlling. Eine kurze Autorenvorstellung oder Unternehmensdarstellung am Ende des Artikels ist möglich. jetzt Mitmachen >>
Anzeige

RS Toolpaket - Controlling

Excel-Tool_152x89px.jpgWir setzen für Sie den Rotstift an, sparen Sie mit unsrem RS Toolpaket - Controlling über 30% im Vergleich zum Einzelkauf. Die wichtigsten Controlling-Vorlagen in einem Paket (Planung, Bilanzanalyse, Investitionsrechnung, ...). Das Controllingpaket umfasst 6 Excel-Tools für Ihre Arbeit! mehr Infos >>
Anzeige
Anzeige

Mitarbeiter (w/m/d) für den Bereich Medizincontrolling

Klinikum_rechts.png
Das Klinikum rechts der Isar der Technischen Universität München widmet sich mit 1.161 Betten und rund 5.500 Mitarbeitern der Krankenversorgung, der Forschung und der Lehre. Jährlich profitieren rund 60.000 Patienten von der stationären und rund 250.000 Patienten von der ambulanten Betreuung. Die Abteilung Finanzen / Controlling (Leitung: Dr. Christian Meinl) des Klinikums rechts der Isar der Technischen Universität München sucht zum nächstmöglichen Zeit­punkt einen Mitarbeiter (w/m/d) für den Bereich Medizincontrolling.
Zum Stellenangebot >>

Anzeige

Excel-Vorlagen

 Investitionsrechnung Excel.jpg
Berechnen Sie die Rentabilität, Kapitalwert oder Armortisationszeit Ihrer Investitionen mit
Excel-Vorlagen für Investitionsrechnung
. Eine Auswahl finden Sie hier >>
Anzeige
Anzeige

CJ_Muster_titel-190px.jpg

Kurzweiliger Mix aus Fachinformationen, Karriere- und Arbeitsmarkt-News, Büroalltag und Softwarevorstellungen - Probieren Sie jetzt die aktuelle Ausgabe des Controlling-Journal >>
Anzeige

Software

BusinessPlanner
BusinessPlanner - Professionelles Finanzcontrolling Der BusinessPlanner besticht seit Jahren durch seine schnelle und professionelle Umsetzung einer integrierten Unternehmensplanung. Ein besonderer Fokus liegt auf der Integration von Planbilanz und Finanzplan / Cashflow – inklusive transpar... Mehr Infos >>

elKomSolutions
Mit dem Kernfokus "3 Lösungen, 1 Konzept" bieten wir die voll integrierte und modulare Softwareplattform für die Anwendungsbereiche: Business Intelligence (Reporting & Analyse) Integrierte Unternehmensplanung Legale Konzernkonsolidierung Das Modulkonzept ermöglicht sowohl ... Mehr Infos >>

adata Kostenrechnung / adata MIS
Die 'adata Kostenrechnung' ist ein mandantenfähiges und branchenneutrales Controlling-Instrument zur Optimierung Ihres Rechnungswesens. Wesentliche Leistungsmerkmale sind bedarfsgerechte und benutzerdefinierte Gestaltungsmöglichkeiten von BABs, Plankosten-, Deckungsbeitragsrechnungen für Kostenar... Mehr Infos >>

Zum Controlling-Software-Verzeichnis >>
Anzeige

Ihre Werbung

Werbung Controlling-Portal.jpg
Hier könnte Ihre Werbung stehen! 
Werben Sie zielgruppenorientiert – werben Sie auf www.Controlling-Portal.de! Nährere Informationen erhalten Sie hier >>

Anzeige

Excel-Tools

Tool zur internen Leistungsverrechnung
Interne Leistungsverrechnung nach mathematischen Gleichungsverfahren. Bitte beachten Sie, dass die Tools für MS Office unter Windows entwickelt wurden und unter Umständen nicht auf MAC Systemen (z.B. mit MS Office 2008) und auf OpenOffice funktionieren! Mehr Infos >>

Darlehensbetrag einfach berechnen mit Excel
Mithilfe dieses Excel-Tools wird anhand des Darlehensbetrags, des Zinssatz und der Laufzeit die monatliche Annuität, die Zinsen, die Restschuld zum Monatsanfang/-ende und Tilgung berechnet. Mehr Infos >>

Skontorechner
Mithilfe dieses Tools können Sie von Ihren Rechnungen den Skontobetrag errechnen. Zusätzlich bietet der Skontorechner die Möglichkeit Lieferantenkredite mit Kontokorrentkrediten zu vergleichen um die günstigste Alternative zu ermitteln. Bitte beachten Sie, dass die Tools für MS Office ... Mehr Infos >>

Zum Excel-Vorlagen-Verzeichnis >>
Anzeige

Webtipp

 Forum Lohnabrechnung 
Sie haben eine Frage zum Thema Lohnabrechnung oder wollen über Ihre Erfahrungen zu einer Lohn-Software diskutieren? Das Forum von Lohn1x1.de ist Treffpunkt von Lohnbuchhaltern und bietet Ihnen die Möglichkeit zur Diskussion ihrer Fragen.
Anzeige

PLC Preiskalkulations- Tool 

laptop_rechner__pm_AndreyPopov_290px.jpg
Sie wollen ihr Produkt zum besten Preis verkaufen und sich dabei sicher sein, die eigenen Kosten mit einzuplanen?

Das PLC Preiskalkulations-Tool hilft Ihnen dabei. Es bietet umfangreiche Eingabemöglichkeiten und Zuschlagssätze um die bestehenden Kosten Ihres Unternehmens, sowie die Herstellungskosten für das Produkt direkt mit einzubeziehen.  Zum Shop >>
Anzeige

Seminar-Tipps

Management-Forum Starnberg GmbH, Mit Diplomatie zum Erfolg, Starnberg, 02.07.2020 2 Tage
Mehr Infos >>

Haufe Akademie GmbH & Co. KG, Predictive Analytics für Controller mit Open Source-Tools, Hamburg, 23.01.2020 2 Tage
Mehr Infos >>

CA controller akademie®, Controlling für Nicht-Controller, Controlling-Competence-Center, Hamburg, 05.05.2020 2 Tage
Mehr Infos >>

Confex Training GmbH, Excel im Reporting, Frankfurt, 23.04.2020 2 Tage
Mehr Infos >>

CA controller akademie®, Stufe IV - Planungsanwendungen & Umsetzung, Hotel Residence Starnberger See, Feldafing, 27.07.2020 5 Tage
Mehr Infos >>

Zur Seminar-Datenbank >>
Anzeige

Excel-Haushaltsbuch Premium 

Haushaltsbuch_Premium_03.jpg
Kostenkontrolle durch Planung und Erfassung aller privaten Ausgaben und Einnahmen.
Monatsende und schon wieder fragen Sie sich „Wo ist das ganze Geld geblieben?“
Die Excel-Vorlage Haushaltsbuch Premium bringt Aufschluss. Auf den ersten Blick erscheint es zwar mühsam, jedoch bringt die Erfassung aller monatlichen Einnahmen und Ausgaben in einem Haushaltsbuch viele Vorteile mit sich:. Zum Shop >>
Anzeige

Excel Tool

Anlagenverwaltung in Excel: Das Inventar ist nach Bilanzpositionen untergliedert, Abschreibungen und Rest- Buchwerte ihrer Anlagegüter werden automatisch berechnet. Eine AfA- Tabelle, mit der Sie die Nutzungsdauer ihrer Anlagegüter ermitteln können, ist integriert. mehr Informationen >>
Anzeige

Bilanzbuchhalter werden !

Bilanzbuchhalter/in IHK ist die beliebteste Aufstiegsfortbildung für kaufmännische Praktiker aus allen Branchen.  Werden Sie mit einem sgd-Fernstudium in 21 Monaten Bilanzbuchhalter mit IHK-Abschluss. Nutzen Sie jetzt Ihre Chance >>
Anzeige
Reifegradcockpit_Digipit.jpg

Steuerung von Digitalisierungsstatus und -entwicklung mit dem digitalen Reifegradcockpit "DigiPit": In Unternehmen werden bereits Management-Cockpits eingesetzt, die meist komplexe, finanzielle Zusammenhänge und Kennzahlen verständlich darstellen. Zur umfassenden und transparenten Steuerung der Digitalen Transformation bietet es sich an mithilfe eines Cockpits, des sogenannten DigiPits, die Aspekte und die Entwicklung im Einzelnen zu beleuchten. Daher wurde der „DigiGrad“ als Wert für die Bestimmung des Digitalen Reifegrades und das „DigiPit“ als Digitalisierungs-Steuerungscockpit entwickelt. Mehr dazu in diesem eBook >>

Anzeige

RS-Investitionsrechner

RS-Investitionsrechner.jpg
Der RS- Investitionsrechner ermittelt Ihnen den Kapitalwert oder internen Zinsfuß für Ihre Investitions- vorhaben. Zusätzlich können Sie die Rentabilität und die Amortisations- zeit Ihres Investitionsvorhabens berechnen lassen. Excel- Tool bestellen >>
Anzeige

Excel-Training und -Auftragsarbeiten

controlling_Dashboard_pm_ml12nan_290px.jpg

Sie möchten in Excel fit werden oder möchten ein individuelles Excel-Tool erstellt haben?
Wir bieten Ihnen:
  • individuelle Excel-Schulungen für Ihre Mitarbeiter (online ohne Reisekosten!)
  • lfd. Lösung von Excel-Problemfällen per Telefon/Online-Support
  • Anpassung bzw. komplette Neuerstellung von Excel-Tools
Weitere Informationen >>
Anzeige

RS Toolpaket - Controlling

Excel-Tool_152x89px.jpgWir setzen für Sie den Rotstift an, sparen Sie mit unsrem RS Toolpaket - Controlling über 30% im Vergleich zum Einzelkauf. Die wichtigsten Controlling-Vorlagen in einem Paket (Planung, Bilanzanalyse, Investitionsrechnung, ...). Das Controllingpaket umfasst 6 Excel-Tools für Ihre Arbeit! mehr Infos >>
Anzeige

RS-Plan

RS-Plan.jpgRS-Plan - Unternehmens- planung leicht gemacht:
Erstellen Sie mit RS-Plan Ihre Unternehmensplanung professionell. Automatische Plan-GuV, Plan-Bilanz, Plan- Kapitalflussrechnung und Kenn- zahlen. Preis: 119,- EUR Mehr Informationen >>
Anzeige

RS-Bilanzanalyse

RS-Bilanzanalyse.jpgBilanzanalyse- Tool (Kennzahlen- Berechnung): Umfangreiches Excel- Tool zur Berechnung der wichtigsten branchenunabhängigen Kennzahlen aus Bilanz und G+V. Es werden Berichte generiert, die die Liquiditäts-, Vermögens- und Ertragslage des Unternehmens im 5 Jahresvergleich darstellen.
Excel- Tool bestellen >>