Outlook-Warnung „Ein Programm versucht, auf E-Mail-Adressinformationen zuzugreifen“ abschalten – und was man dabei riskiert

Ein externes Programm – bei mir Greenshot, genauso aber Skripte, CRM-Anbindungen oder Scan-Software – legt über das Outlook-Objektmodell eine Mail an. Outlook unterbricht das mit einem Dialog, sinngemäß: Ein Programm versucht, auf E-Mail-Adressinformationen zuzugreifen, die in Outlook gespeichert sind. Der Benutzer muss den Zugriff jedes Mal zeitlich begrenzt erlauben. Das nervt, und Benutzer gewöhnen sich an, solche Dialoge blind wegzuklicken – was den Schutz ohnehin aushebelt.

Das Problem

Der sogenannte Objektmodell-Schutz (Object Model Guard) soll verhindern, dass Schadsoftware über Outlook unbemerkt Adressen ausliest oder Mails verschickt. In der Standardeinstellung warnt Outlook nur dann, wenn es keinen aktiven, aktuellen Virenschutz erkennt. Den Status fragt Outlook beim Windows-Sicherheitscenter ab.

Genau da liegt der Haken: Auf einem Windows Server (etwa einem Terminalserver) gibt es dieses Sicherheitscenter nicht. Outlook kann dort keinen Virenschutz erkennen – auch wenn einer installiert ist – und warnt deshalb bei jedem Zugriff. Auf Clients passiert dasselbe, wenn der Virenscanner sich nicht beim Sicherheitscenter meldet.

Bevor du abschaltest: die Sicherheitsabwägung

Vertretbar ist das, wenn die übrigen Schutzschichten stimmen. Meine Faustregeln:

• Erst prüfen, ob sich die Ursache beheben lässt. Auf Clients ist die bessere Lösung meist, dafür zu sorgen, dass der Virenscanner sich korrekt beim Sicherheitscenter meldet. Dann bleibt der Schutz aktiv und die Warnung verschwindet von selbst.
• Nur so wenig freigeben wie nötig. Für das Anlegen einer Mail mit Anhang reichen in der Regel Adressinformationen, Adressbuch und Senden. Die übrigen Kategorien (Speichern unter, Formeln, Besprechungsanfragen, benutzerdefinierte Aktionen) bleiben auf „Benutzer fragen“.
• Die Richtlinie eng zuschneiden – per Sicherheitsfilter auf die Benutzergruppe oder die Server, die es wirklich brauchen, nicht domänenweit.
• Andere Schutzschichten müssen stehen: aktueller Virenscanner, Anwendungssteuerung (zum Beispiel AppLocker), damit nicht beliebige Programme starten können, und auf dem Mailserver Versandlimits bzw. Auffälligkeitsüberwachung für ausgehende Mails.
• Die Entscheidung dokumentieren – wer die Warnung warum abgeschaltet hat und für welchen Bereich.

Die Lösung: Objektmodell-Warnungen per Gruppenrichtlinie steuern

Benötigt werden die administrativen Vorlagen (ADMX) für Office. Die Einstellungen liegen in der Benutzerkonfiguration unter Microsoft Outlook 2016 → Sicherheit → Sicherheitsformulareinstellungen → Programmgesteuerte Sicherheit. Die Vorlagen heißen auch für neuere Versionen (2019, 2021, 2024, Microsoft 365) „Outlook 2016“, da alle intern Version 16.0 sind. Die genauen Bezeichnungen der Einstellungen weichen je nach Vorlagenstand leicht ab.

1. Outlook-Sicherheitsmodus auf „Gruppenrichtlinie für Outlook-Sicherheit verwenden“ setzen. Ohne diese Einstellung ignoriert Outlook alle folgenden.
2. Die Warnungen des Objektmodells für die benötigten Kategorien auf „Automatisch genehmigen“ setzen – typischerweise beim Lesen von Adressinformationen, beim Zugriff auf das Adressbuch und beim Senden von Mails.
3. Richtlinie per Sicherheitsfilter auf die betroffenen Benutzer bzw. Server beschränken, gpupdate ausführen, Outlook neu starten.

In der Registry landen die Einstellungen unter HKCU\Software\Policies\Microsoft\Office\16.0\Outlook\Security. Zum schnellen Ausprobieren in einer Sitzung lassen sie sich auch direkt setzen:

reg add "HKCU\Software\Policies\Microsoft\Office\16.0\Outlook\Security" /v AdminSecurityMode /t REG_DWORD /d 3 /f
reg add "HKCU\Software\Policies\Microsoft\Office\16.0\Outlook\Security" /v PromptOOMAddressInformationAccess /t REG_DWORD /d 2 /f
reg add "HKCU\Software\Policies\Microsoft\Office\16.0\Outlook\Security" /v PromptOOMAddressBookAccess /t REG_DWORD /d 2 /f
reg add "HKCU\Software\Policies\Microsoft\Office\16.0\Outlook\Security" /v PromptOOMSend /t REG_DWORD /d 2 /f

Die Werte bedeuten: AdminSecurityMode = 3 heißt „Gruppenrichtlinie für Outlook-Sicherheit verwenden“. Bei den PromptOOM…-Werten steht 0 für „Benutzer fragen“, 1 für „automatisch ablehnen“ und 2 für „automatisch genehmigen“.

Warum das funktioniert

Mit AdminSecurityMode = 3 verlässt sich Outlook nicht mehr auf den Virenschutz-Status aus dem Sicherheitscenter, sondern liest die Entscheidung für jede Zugriffskategorie aus der Richtlinie. Was dort auf „automatisch genehmigen“ steht, läuft ohne Dialog durch; alles andere verhält sich wie vorgegeben.

Stolperfallen

• Einzelne Werte ohne AdminSecurityMode wirken nicht – Outlook ignoriert sie dann stillschweigend.
• Vertrauenswürdige Add-ins im Trust Center helfen hier nicht: Die Liste gilt nur für COM-Add-ins innerhalb von Outlook, nicht für externe Programme wie Greenshot.
• Die Trust-Center-Option „Nie warnen“ (nur mit Administratorrechten änderbar) hat dieselbe Wirkung wie die Richtlinie, aber für alle Benutzer des Rechners und ohne zentrale Steuerung – auf Mehrbenutzersystemen die schlechtere Wahl.

Wenn Greenshot beim Ziel „Outlook“ gar nichts tut und nur das Menü erneut anzeigt, ist das ein anderes Problem – siehe Greenshot: Export nach Outlook zeigt nur wieder das Menü.