MSIX-Anhänge in Outlook: Microsoft sperrt ab November 2026

MSIX-Anhänge in Outlook blockiert Microsoft ab Anfang November 2026 standardmäßig. Betroffen sind nach der Ankündigung im Microsoft 365 Message Center (MC1488841) Outlook im Web, das neue Outlook für Windows und Exchange Online: Anhänge dieser Formate lassen sich dort weder öffnen noch herunterladen. Ein CVE gibt es nicht, einen Patch ebenso wenig — es handelt sich um eine Härtungsmaßnahme, nicht um die Reaktion auf einen dokumentierten Angriff. Handlungsdruck entsteht für Admins trotzdem, denn die Sperre gilt weltweit, sobald die Richtlinie greift.

MSIX-Anhänge in Outlook: Was Microsoft konkret sperrt

Die Message-ID MC1488841 wurde am 5. Oktober 2026 veröffentlicht und trägt die Kennzeichnung „Major change / Feature update" mit Auswirkungen für Nutzer und Administratoren. Technisch läuft die Änderung in der OwaMailboxPolicy: Microsoft nimmt .msix und .msixbundle in die BlockedFileTypes-Liste der Standardrichtlinie und aller benutzerdefinierten Richtlinien auf.

Der Rollout startet im Rahmen der General Availability Anfang November 2026 und soll bis Mitte November 2026 abgeschlossen sein — ausdrücklich inklusive Worldwide, GCC, GCC High und DoD. BornCity grenzt das Fenster auf den 1. bis 15. November 2026 ein. Ein exakter Stichtag lässt sich aus keiner Quelle belegen; wer sich auf ein bestimmtes Datum verlässt, arbeitet mit einer Annahme, die die Ankündigung nicht deckt. WinFuture bestätigt den Zeitraum als „ab Anfang November 2026" und nennt als Begründung das Risiko von Malware-Infektionen.

AllowedFileTypes: Der einzige Ausweg für betroffene Organisationen

Wer MSIX-Pakete intern oder mit Partnern über Exchange Online austauscht, muss vor dem Rollout aktiv werden. Microsofts Empfehlung lautet, die beiden Endungen vorab in AllowedFileTypes der OwaMailboxPolicy aufzunehmen. Ohne diesen Eintrag greift die Sperre in allen Umgebungen — die Ausnahme gilt also nur dort, wo sie explizit gesetzt wurde. Neowin hebt entsprechend hervor, dass Admins handeln müssen.

Wer die Formate nicht nutzt, muss nichts tun. Diese Unterscheidung ist wichtig, weil die Maßnahme in der Praxis nur einen kleinen Kreis trifft: MSIX ist ein Nischenformat für die Verteilung von Windows-Anwendungen, nicht für den alltäglichen Dokumentenaustausch.

Umbenennen genügt: Die Sperre ist umgehbar

Die Blockade filtert Dateiendungen, nicht Inhalte. Wie BornCity anmerkt, lässt sie sich durch bloßes Umbenennen des Anhangs oder durch das Teilen über externe Download-Links umgehen. Das Risiko der Datei selbst wird damit nicht beseitigt — wer den Anhang haben will, bekommt ihn. Als Schutz gegen gezielte Angriffe taugt die Maßnahme deshalb nur begrenzt; sie reduziert die Angriffsfläche im Massengeschäft, nicht im gezielten Einzelfall.

BornCity ordnet die Sperre zudem in die Deaktivierung des ms-appinstaller-Protokollhandlers ein, der im Dezember 2023 nach Missbrauchsfällen standardmäßig abgeschaltet wurde. Diese Verbindung ist eine journalistische Einordnung — in MC1488841 findet sie sich nicht. Ein kausaler Zusammenhang ist damit nicht belegt.

Klassisches Outlook: Nicht erwähnt, nicht ausgeschlossen

Das klassische Desktop-Outlook taucht in der Ankündigung nicht auf. Dr. Windows schreibt, dort bleibe „vorerst alles wie gehabt". Das ist eine wichtige Einschränkung: Die Quellen belegen nur, dass das klassische Outlook nicht genannt wird — nicht, dass es dauerhaft verschont bleibt. Organisationen, die auf beiden Clients arbeiten, sollten diese Lücke bei der Planung einkalkulieren und die weiteren Message-Center-Einträge im Blick behalten.

Ein signiertes Format — trotzdem auf der Blockliste

Bemerkenswert ist der technische Hintergrund. MSIX existiert seit 2018 und war als Nachfolger für .msi, .exe und .appx gedacht. MSIX-Pakete müssen immer eine gültige digitale Signatur besitzen und laufen in einem virtualisierten Container ohne direkten Zugriff auf Systemdateien und Registry. Dr. Windows beschreibt das Format deshalb als vergleichsweise sicher und nennt es „ein wenig verwunderlich", dass die Endungen nicht schon früher gesperrt wurden.

Microsoft liefert dazu keine Zahlen: keine Opferzahlen, keine Vorfallbeschreibungen. Die Begründung bleibt pauschal — Installationsdateien dieser Art würden selten legitim als Anhang versendet. Auch welcher konkrete Missbrauchsvektor die Sperre auslöst, geht aus der Ankündigung nicht hervor. BornCity nennt außerdem, dass die Blockliste von 133 auf 135 Dateiformate wächst; Dr. Windows spricht allgemein von „über 130" Einträgen. Unabhängig gegengeprüft ist die Zahl 135 nicht.

Fazit

Die Sperre ist kein Notfall, aber ein Termin im Kalender. Admins sollten rechtzeitig vor Anfang November prüfen, ob .msix oder .msixbundle in ihren Postfächern überhaupt eine Rolle spielen, und die Endungen gegebenenfalls in AllowedFileTypes aufnehmen — nach dem Rollout ist eine Freigabe zwar weiterhin möglich, der Zeitpunkt des Eingreifens aber nicht mehr frei wählbar. Wer glaubt, mit der Blockade sei das MSIX-Risiko erledigt, irrt: Gegen umbenannte Anhänge und externe Download-Links hilft sie nicht.

Quellen