Wenn Word plötzlich „Nein“ sagt: Warum Microsoft Office den Zugriff auf Nextcloud blockiert

Neulich erreichte uns eine Kundenanfrage, die wir inzwischen fast auswendig kennen. Ein Nutzer arbeitet unter Windows 11 mit Office Home & Business, hat sein Nextcloud-Laufwerk per WebDAV im Explorer eingebunden und will eine Excel-Datei öffnen. Statt der Tabelle erscheint diese Meldung: „Microsoft Office hat den Zugriff auf … blockiert, da die Quelle eine Anmeldemethode verwendet, die möglicherweise unsicher ist. Es wird empfohlen, sich an Ihren IT-Support zu wenden.“

Der Kunde hat genau das getan und sich an uns gewandt. Wir haben das Thema gemeinsam mit unseren Systemadmins aufgearbeitet. Die Ursache liegt weder bei Nextcloud noch bei unserem Managed Nextcloud. Microsoft hat Office umgestellt, und das trifft viele Anbieter, nicht nur uns.

Was genau passiert

Microsoft hat das Verhalten seiner Office-Anwendungen bewusst geändert und das offiziell dokumentiert. Laut Microsoft können sich Apps wie Word und Excel per Basic Authentication mit Webservern verbinden und schicken dabei Benutzername und Passwort bei jeder Anfrage mit. Diese Zugangsdaten werden oft auf den Servern gespeichert, was es Angreifern erleichtert, sie abzugreifen und anderswo zu missbrauchen. Microsoft bezeichnet Basic Auth als veralteten Standard ohne moderne Schutzmechanismen wie Multifaktor-Authentifizierung. Öffnest Du eine Datei auf einem Server, der nur Basic Auth anbietet, siehst Du deshalb gar keine Anmeldeaufforderung mehr, sondern direkt die Blockiermeldung.

Die Umstellung kam in zwei Stufen. Zuerst erschien nur eine Warnung, nach einer Übergangszeit blockierte Office das Öffnen der Dateien.

Office 2024 nennt die Dokumentation nicht ausdrücklich, unsere Kundenfälle zeigen aber dasselbe Verhalten. Die Einschränkung betrifft nur Geräte mit Windows, und zwar Access, Excel, OneNote, Outlook, PowerPoint, Project, Publisher, Visio und Word.

Weiter funktionieren Dateifreigaben auf Windows-Servern, weil dort NTLM zum Einsatz kommt. SharePoint Online, OneDrive und korrekt konfigurierte SharePoint-Server sind ebenfalls nicht betroffen.

Die offizielle Quelle: Microsoft dokumentiert die Änderung auf Microsoft Learn unter dem Titel „Basic authentication sign-in prompts are blocked by default in Microsoft 365 Apps“. Dort finden Administratoren den Zeitplan für die verschiedenen Update-Kanäle, die Liste der betroffenen Anwendungen und die beiden Gruppenrichtlinien, mit denen sich einzelne Server vorübergehend wieder freigeben lassen. Die Seite verweist außerdem auf die Message-Center-Beiträge MC454810, MC499030 und MC649046 im Microsoft 365 Admin Center.

Kein Einzelfall: Viele Anbieter haben dasselbe Problem

Bei der Recherche sind wir auf die Meldung überall gestoßen, wo Office auf WebDAV-Speicher außerhalb der Microsoft-Welt trifft.

Synology: Besonders gut dokumentiert ist der Fall beim NAS-Hersteller Synology. Am 15. Dezember 2023, also direkt nach der Umstellung, veröffentlichte Synology in seiner englischsprachigen Community einen Hinweis mit dem Titel „WebDAV Connection Issue with Microsoft Office Files“. Als betroffen nennt Synology Microsoft Office 365 sowie Office 2016, 2019 und 2021. Neben der bekannten Blockiermeldung zeigt der Beitrag ein zweites Fehlerbild, einen „Access Denied“-Dialog, der ausgerechnet anbietet, Zugriff über SharePoint anzufordern. Als Ursache nennt Synology klar Microsofts Einschränkung von Webserver-Verbindungen mit Basic Auth und verlinkt die Microsoft-Dokumentation.

Die Workarounds, die Synology anbietet, sind ernüchternd: Dateien herunterladen, lokal bearbeiten und wieder auf das NAS hochladen, oder statt WebDAV den Synology-Drive-Client beziehungsweise SMB über eine VPN-Verbindung nutzen. Außerdem bittet Synology die Nutzer, Microsoft Feedback zu geben, weil auch andere WebDAV-Server betroffen sein könnten. Der Beitrag wurde über 5700 Mal aufgerufen.

In den Antworten rechnet ein Unternehmen vor, dass jeder dieser Wege Geld kostet: VPN als zusätzliche Ausgabe, die Umstellung auf einen Sync-Client als Ausfallzeit, das Herunter- und Hochladen als verlorene Arbeitszeit, und gemeinsames Arbeiten an Dateien sei so kaum möglich. Es beklagt, dass Synology und Microsoft die Verantwortung jeweils beim anderen sehen. Ein weiterer Nutzer schreibt, er habe ein Ticket bei Microsoft eröffnet und nur unbrauchbare Antworten erhalten. Parallel meldete ein IT-Dienstleister das Problem im Dezember 2023 in der Microsoft-Community. Er zitiert eine Antwort des Synology-Supports, wonach die Synology-Zentrale bestätigt habe, dass der WebDAV-Zugang Basic Auth nutzt und sich das derzeit nicht ändern lässt. Auch im deutschsprachigen Synology-Forum finden sich entsprechende Berichte, dort nahm Synology einen Feature Request auf.

Telekom MagentaCLOUD: Im Forum „Telekom hilft“ berichtet ein Nutzer, dass er seine MagentaCLOUD unter Windows 11 als WebDAV-Netzlaufwerk eingebunden hat und Office-Dateien nicht mehr speichern kann. Die Telekom kann nach eigener Aussage nichts daran ändern. Die Fachabteilung empfahl stattdessen, auf die Netzwerkverbindung im Explorer zu verzichten und mit der MagentaCLOUD-Software zu synchronisieren.

STRATO HiDrive und WEB.DE: In der Microsoft-Community beschreibt ein Nutzer, dass Excel 2311 Tabellen aus HiDrive blockiert, während Version 2310 auf seinem zweiten PC sie noch öffnet. Ein anderer Teilnehmer meldet dasselbe Problem mit WEB.DE SmartDrive.

Nextcloud selbst: Auf GitHub wurde der Fall schon Ende 2023 als Bug gemeldet. PowerPoint warnte unter Windows 11 beim Speichern auf eine Nextcloud-WebDAV-Freigabe vor einer unsicheren Anmeldemethode.

Fachanwendungen: Ein Entwickler berichtet im Forum der CUBA Platform, dass Word aus Office 365 Dokumente über das WebDAV-Addon seiner Anwendung nicht mehr öffnen kann.

Telekom, Synology, STRATO, WEB.DE, Nextcloud und Softwarefirmen stehen also vor demselben Problem, und keiner von ihnen kann es auf seiner Seite lösen.

Der technische Hintergrund

Wer ein Nextcloud-Laufwerk als Netzlaufwerk einbindet, nutzt den WebDAV-Client, der seit vielen Jahren in Windows steckt. Mit Cloud-Speichern im Internet spricht dieser Client in der Praxis fast immer per Basic Authentication über HTTPS. Schon Microsofts eigene Dokumentation aus der Vista-Zeit weist darauf hin, dass Basic Auth über WebDAV aus Sicherheitsgründen standardmäßig nur über SSL-Verbindungen erlaubt ist. Moderne Verfahren wie OAuth, mit denen sich Nextcloud sicherer anbinden ließe, hat Microsoft dem Client nie beigebracht.

Microsoft investiert auch nicht mehr in diesen Client. Im November 2023 hat das Unternehmen den WebClient-Dienst offiziell als „deprecated“ eingestuft. Er wird also nicht mehr weiterentwickelt und dürfte irgendwann aus Windows verschwinden.

Damit steckst Du in einer Zwickmühle. Office blockiert Basic Auth, Windows bietet für WebDAV-Laufwerke im Internet keine moderne Alternative an, und Microsoft arbeitet auch nicht daran, eine zu schaffen.

Sicherheit oder Strategie?

An dieser Stelle schreibe ich als Marketingleiter und nicht als Techniker. Die Frage liegt nahe, und unsere Kunden stellen sie uns auch.

Man muss fair sein: Microsofts Argument ist nicht aus der Luft gegriffen. Passwörter, die bei jeder Anfrage mitgeschickt werden, sind ein reales Risiko, gerade bei Phishing und wiederverwendeten Zugangsdaten. Microsoft verbannt Basic Auth seit Jahren schrittweise aus seinem gesamten Ökosystem. Außerdem gibt es einen offiziellen Weg für Administratoren, einzelne Server wieder freizugeben. In einer Diskussion auf Tom’s Hardware weist ein Teilnehmer darauf hin, dass Microsoft nur das Standardverhalten geändert hat und Anwender weiterhin eine Wahl haben.

Trotzdem bleibt ein schaler Beigeschmack. Microsoft stuft ein Verfahren als unsicher ein, ersetzt es aber im eigenen Windows-Client nicht durch etwas Sichereres. Eigene Dienste wie OneDrive und SharePoint Online funktionieren ohne Einschränkung weiter. Wenn Office eine blockierte Datei dann auch noch mit einem Dialog quittiert, der auf SharePoint verweist, wie im Synology-Beitrag zu sehen, entsteht für Kundinnen und Kunden der Eindruck, der bequemste Weg führe zufällig immer zu Microsoft. Wie wir Nextcloud und Microsoft beim Thema Sicherheit grundsätzlich einordnen, steht in unserem Beitrag Warum ist Nextcloud sicherer als Microsoft?

Dieser Eindruck ist nicht neu. Bereits im November 2021 hat Nextcloud gemeinsam mit einer Koalition europäischer Software- und Cloud-Firmen Beschwerde bei der EU-Kommission eingereicht, weil Microsoft OneDrive, Teams und weitere Dienste eng mit Windows bündele und so die Wahlfreiheit einschränke. Nextcloud wandte sich damals zusätzlich an das Bundeskartellamt. Die Office-Blockade gab es 2021 noch nicht. Sie zeigt aber, wie viel Einfluss ein Plattformbetreiber auf den Wettbewerb nehmen kann, wenn er über Standardeinstellungen entscheidet. Wie Nextcloud 2016 überhaupt entstanden ist, erzählen wir in unserem Rückblick auf 10 Jahre Nextcloud.

Ob Absicht dahintersteckt, können wir nicht beurteilen, und wir wollen es auch nicht unterstellen. Für europäische und selbstgehostete Cloud-Lösungen ist das Ergebnis trotzdem ein Nachteil.

Was Du jetzt tun kannst

Es gibt vier Auswege. Welcher passt, hängt von Deiner Umgebung ab.

Den Server gezielt freigeben. Microsoft sieht dafür selbst eine Richtlinie vor: „Allow specified hosts to show Basic Authentication prompts to Office apps“. Damit legen Administratoren fest, welche Server wieder nach Zugangsdaten fragen dürfen, mehrere Hosts werden durch Semikolon getrennt. Die Einstellung liegt in der Gruppenrichtlinienverwaltung unter Benutzerkonfiguration, Administrative Vorlagen, Microsoft Office 2016, Sicherheitseinstellungen. Voraussetzung sind die Administrative Templates für Microsoft 365 Apps ab Version 5359.1000.

Ohne Gruppenrichtlinien-Infrastruktur geht es per Registry-Eintrag basichostallowlist vom Typ REG_EXPAND_SZ unter HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\16.0\Common\Identity, mit dem Hostnamen ohne „https://“.

Die Erfahrungen damit sind allerdings gemischt. Im Synology-Thread bestätigen mehrere Nutzer, dass der Eintrag das Problem gelöst hat. Andere haben ihn auf vielen PCs erfolglos ausprobiert. Ein Nutzer hatte erst Erfolg, als er den Schlüssel ohne den Teil „Policies“ im Pfad anlegte, also unter HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity. Diese Variante ist nur ein Erfahrungsbericht und nicht von Microsoft dokumentiert. Ein weiterer Nutzer freute sich zunächst über den Erfolg, stieß wenige Tage später aber auf neue Fehler wie Schreibschutzmeldungen und stieg ganz auf Synology Drive um. In der Microsoft-Community berichtet zudem jemand, dass sich mit der Richtlinie pro Office-Programm nur ein Dokument gleichzeitig öffnen ließ.

Microsoft selbst rät ausdrücklich davon ab, Basic-Auth-Abfragen wieder zuzulassen, und empfiehlt die Richtlinien nur als Übergangslösung, bis Server auf sicherere Verfahren umgestellt sind.

Den Nextcloud-Desktop-Client verwenden. Das ist aus unserer Sicht der sauberste Weg. Mit dem offiziellen Client im Modus „Virtuelle Dateien“ erscheinen die Daten im Explorer, ohne dass sie vorher komplett heruntergeladen werden müssen. Office greift dann auf eine lokale Datei zu, und die Blockade tritt nicht auf. Denselben Weg empfehlen im Kern auch die Telekom mit ihrer MagentaCLOUD-Software und Synology mit dem Drive-Client. Wie Du den Client installierst und mit Deiner Cloud verbindest, zeigen wir in unserer Anleitung zum Nextcloud-Client unter Windows.

Einen WebDAV-Client eines Drittanbieters nutzen. Im Synology-Forum berichten Anwender, dass Tools wie RaiDrive weiterhin ohne Warnung funktionieren. In der Nextcloud-Community wird zusätzlich Mountain Duck genannt. Im Synology-Thread merkt ein Unternehmen allerdings an, dass die werbefreien Versionen solcher Tools Geld kosten und irgendwann ebenfalls betroffen sein könnten.

Im Browser arbeiten. Betreibst Du Nextcloud mit einer integrierten Office-Lösung wie Collabora oder OnlyOffice, bearbeitest Du Dokumente direkt im Browser und umgehst die Desktop-Anwendungen komplett. So können auch mehrere Personen gleichzeitig an einem Dokument arbeiten, was bei der Notlösung „herunterladen und wieder hochladen“ auf der Strecke bleibt. Wenn Du Deine Cloud selbst aufsetzen willst, zeigen unsere Anleitungen, wie Du Nextcloud auf Ubuntu oder Nextcloud mit Docker installierst.

Fazit

Hinter der Meldung steckt eine bewusste und offiziell dokumentierte Entscheidung von Microsoft. Sie hat nachvollziehbare Sicherheitsgründe und trifft trotzdem vor allem Anbieter außerhalb des Microsoft-Ökosystems, von Nextcloud über Synology bis zur Telekom. Die Anbieter reagieren fast gleich: Sie bestätigen das Problem, verweisen auf Microsoft und empfehlen ihre eigenen Sync-Clients.

Für Dich als Nextcloud-Nutzer heißt das nicht, dass Du Deine Cloud aufgeben musst. Verabschiede Dich aber vom klassischen WebDAV-Netzlaufwerk und steig auf den Desktop-Client oder das Bearbeiten im Browser um. Beides ist ohnehin komfortabler und sicherer. Registry-Kniffe helfen höchstens kurzfristig.

Du hast dieselbe Meldung gesehen? Schreib uns, wir helfen Dir gerne bei der Umstellung.

Quellen

• Microsoft Learn: Basic authentication sign-in prompts are blocked by default in Microsoft 365 Apps
• Synology Community: WebDAV Connection Issue with Microsoft Office Files
• Microsoft Community: Synology NAS and WebDav No longer working with All Office 365 Apps
• Synology-Forum: MS-Office verweigert zukünftig den Zugriff auf Dateien im NAS via WebDav
• Telekom hilft: MS Office 365 blockiert Speichern auf WebDav als Netzlaufwerk MagentaCloud
• Microsoft Community: Microsoft Office hat das Öffnen einer Cloud (Excel) blockiert
• Microsoft Community: Office blockiert und verhindert WebDAV Zugriffe
• GitHub: Nextcloud Desktop Issue #6159
• CUBA Platform Forum: MS Office no longer support Basic Authentication in WebDAV
• Borns IT- und Windows-Blog: WebClient (WebDAV) als deprecated eingestuft
• IIS Blog: WebDAV Redirector Registry Settings
• Nextcloud-Pressemitteilung zur EU-Beschwerde (November 2021)
• Nextcloud Community: End of Microsoft support for its WebClient service
• Tom’s Hardware Forum: Synology NAS and WebDav No longer working with All Office 365 Apps

Artikel von

Frederick Schiwek

Hallo! Ich bin Freddy, Autor und Mitglied des Teams von hosting.de. Mit über 20 Jahren Erfahrung im Hosting-Business schreibe ich über Technologie, das Internet und die Zukunft der digitalen Infrastruktur. Ob Domains, Hosting oder Cloud-Dienste – ich bin hier, um Einblicke und Ideen zu teilen!