Microsoft blockiert ab November MSIX-Anhänge in Outlook

Microsoft wird ab November 2026 MSIX-Anhänge in Outlook standardmäßig blockieren und damit neue Einschränkungen für Windows-Installationspakete einführen. Die Änderung betrifft Outlook im Web und das neue Outlook für Windows für Nutzer von Exchange Online.

Die Einführung soll Anfang November beginnen und bis Mitte des Monats allgemein verfügbar sein. Microsoft rechnet mit geringen Beeinträchtigungen, da die meisten Unternehmen diese Anhangsformate nur selten verwenden.

Zwei Windows-Installationsformate werden zur Sperrliste hinzugefügt

Das Update betrifft Dateien mit den Erweiterungen .msix und .msixbundle. Beide Formate unterstützen die Installation von Windows-Software, erfüllen jedoch leicht unterschiedliche Zwecke.

Eine .msix-Datei enthält ein Installationspaket für eine bestimmte Computerarchitektur oder Konfiguration. Eine .msixbundle-Datei kombiniert hingegen mehrere Pakete in einer einzigen Datei und ermöglicht so die Verteilung auf unterschiedliche Architekturen.

Microsoft wird beide Dateierweiterungen zur Einstellung BlockedFileTypes in den OWA-Mailboxrichtlinien hinzufügen. Dies umfasst sowohl die Standardrichtlinie als auch alle benutzerdefinierten Richtlinien innerhalb des Tenants einer Organisation.

Sobald die Änderung in Kraft tritt, können betroffene Nutzer diese Anhänge über die betreffenden Clients nicht mehr senden, empfangen, öffnen oder herunterladen.

Unternehmen können ihre Richtlinien für Anhänge überprüfen

Organisationen, die diese Installationspakete nicht austauschen, müssen keine administrativen Änderungen vornehmen. Die neuen Standardeinschränkungen werden durch die Richtlinienaktualisierung automatisch angewendet.

Unternehmen, die auf MSIX-Anhänge in Outlook angewiesen sind, sollten jedoch ihre Arbeitsabläufe zur Softwareverteilung vor November überprüfen.

Microsoft erklärt, dass Administratoren die Formate über die Eigenschaft AllowedFileTypes in den entsprechenden OwaMailboxPolicy-Objekten ausdrücklich zulassen können. Dadurch erhalten Organisationen, die diese Dateien aus berechtigten Gründen austauschen müssen, die Möglichkeit, eine Ausnahme einzurichten.

Die angekündigte Einführung betrifft ausdrücklich Outlook im Web und den neuen Windows-Client. Microsoft hat keine entsprechende Änderung für sämtliche Outlook-Anwendungen angekündigt.

Microsoft verschärft weiterhin die Sicherheit von E-Mail-Anhängen

Die bevorstehenden Einschränkungen sind Teil der umfassenderen Bemühungen von Microsoft, die Gefährdung durch Funktionen und Dateiformate zu reduzieren, die von Angreifern missbraucht werden.

Im Juni 2025 begann Outlook, Anhänge mit den Dateierweiterungen .library-ms und .search-ms zu blockieren. Angreifer hatten diese Formate seit mindestens Juni 2022 für Phishing- und Malware-Kampagnen verwendet, darunter auch Angriffe auf Regierungsorganisationen.

Später, im Oktober 2025, kündigte Microsoft Einschränkungen für eingebettete SVG-Bilder in Outlook im Web und im neuen Windows-Client an. Auch diese Bilder waren bereits bei Angriffen eingesetzt worden.

Durch die Aufnahme von Windows-Installationspaketen in die standardmäßige Sperrliste möchte Microsoft einen weiteren potenziellen Angriffsweg über unsichere E-Mail-Anhänge reduzieren.

Die Einführung im November lässt Zeit für Vorbereitungen

Für die meisten Organisationen dürfte das Update nur wenig Vorbereitung erfordern. Teams, die Installationsprogramme per E-Mail verteilen, sollten jedoch vor Beginn der Einführung mögliche betroffene Prozesse identifizieren.

Anschließend können Administratoren entscheiden, ob ihre Nutzer eine Ausnahme von der Richtlinie benötigen. Gleichzeitig kann eine frühzeitige Information der betroffenen Mitarbeiter dazu beitragen, Verwirrung zu vermeiden, wenn die Einschränkungen für Anhänge in Kraft treten.