Was ist eine DOCM-Datei?

DOCM ist ein Behälter: eine Hülle für Ströme, die etwas anderes kodiert hat. Eingesetzt wird es für die Bearbeitung.

Die Endung lautet .docm, der volle Name Word Macro-Enabled Document. Beides sagt weniger aus als das, was die Datei halten kann — und davon handelt der Rest dieser Seite.

Microsoft hat es 2007 veröffentlicht. Die Spezifikation ist ECMA-376.

Das Alter ist aus einem praktischen Grund interessant: je älter ein Format, desto mehr Programme hatten Zeit, es zu lernen.

Sie ist vollständig veröffentlicht, das Format lässt sich also aus dem Dokument umsetzen statt durch Nachsehen. Deshalb taucht es in so vielen Programmen auf, und deshalb gehen Dateien von vor zwanzig Jahren heute noch auf. Veröffentlicht heißt allerdings nicht lizenzfrei: Wo ein Format einen Codec einpackt, ist die Patentfrage eine eigene, die der Standard nicht mitbeantwortet.

Eine DOCM-Datei ist nicht auf eine Seite beschränkt. Beim Umwandeln in etwas, das es ist, zählt das: Eine Umwandlung ergibt eine Datei mit genau einer Seite — der ersten, sofern sich die Seite nicht auswählen lässt.

DOCM darf ausführbaren Code mitführen, und meist ist genau das der Grund, aus dem jemand dieser Endung überhaupt begegnet: Ein Mailserver oder ein Portal hat sie abgewiesen. Der übliche Weg daran vorbei ist die Umwandlung in ein Format ohne Makros — und ja, die Makros sind danach weg.

DOCM enthält ein Textdokument: Absätze, die sich auf die jeweilige Seite umbrechen.

Daraus folgt, wie es sich umwandeln lässt: Der Text bricht neu um, Seitenzahlen sind also eine Eigenschaft des Ergebnisses und nicht der Datei.

Microsoft Word liest es, und die meisten Programme derselben Art ebenfalls.

Wenn eine Datei nicht aufgeht, liegt es selten am Format — häufiger daran, dass das Programm älter ist als das Format. Die Umwandlung in etwas Älteres ist der verlässliche Weg daran vorbei, und dafür gibt es den Rest dieser Website.

Kein Browser liest es.

Das ist der häufigste Grund, es umzuwandeln: nicht dass das Format schlecht wäre, sondern dass die Stelle, an der die Datei erscheinen soll, es nicht lesen kann.

DOCM ist zum Öffnen und Ändern gedacht. Behalte die Datei in diesem Format, solange die Arbeit läuft, und exportiere daraus, wann immer eine fertige Fassung gebraucht wird.

DOCM und DOCX sind dasselbe Format — ein ZIP-Paket aus XML mit Text, Formatvorlagen und Bildern — bis auf einen Unterschied: Eine DOCM darf ein VBA-Projekt enthalten, eine DOCX nicht. Die eigene Endung existiert genau dafür, damit das sichtbar ist, bevor die Datei überhaupt geöffnet wird.

Wo sich das von Tabellen unterscheidet: wie selten es gerechtfertigt ist. Eine makrogesteuerte Arbeitsmappe ist gewöhnliche Büroautomatisierung; ein makrogesteuertes Dokument ist deutlich seltener sinnvoll. Vorlagen, die Felder ausfüllen, einen Brief erzeugen oder eine Hausvorlage erzwingen, sind die legitimen Fälle, und sie machen nur einen kleinen Teil der DOCM-Dateien aus, die tatsächlich im Umlauf sind.

Das lässt sich klar sagen. Über Jahre war die makrobestückte Word-Datei der wirksamste Verbreitungsweg für Schadsoftware überhaupt, und deutsche Postfächer waren dabei kein Randfall: Das BSI warnte während der Emotet-Welle wiederholt genau vor diesem Muster — eine angebliche Rechnung, eine Mahnung, eine Bewerbung, ein Dokument, das behauptet, Makros zu brauchen, um lesbar zu sein.

Der Satz „Inhalt aktivieren, um dieses Dokument anzuzeigen" ist das Erkennungsmerkmal. Ein echtes Dokument braucht keine Makros, um lesbar zu sein — der Text steht im XML, und Word zeigt ihn unabhängig davon an, ob Code läuft. Eine Datei, die etwas anderes behauptet, beschreibt nicht, wie Dokumente funktionieren, sondern was sie von der Leserin will.

Office blockiert Makros in Dokumenten, die aus dem Internet oder einem E-Mail-Anhang stammen, inzwischen von vornherein, statt eine Schaltfläche zum Aktivieren anzubieten. Windows markiert solche Dateien mit einem Zonen-Flag, und Word verweigert den Code mit einem roten Balken und einem erklärenden Link.

Die Wirkung war messbar, ebenso die Reaktion der Angreifer: Sie wichen auf andere Dateitypen aus. Für legitime Dokumente ist die Lösung, die Datei in den Eigenschaften zu entsperren oder sie in einem als vertrauenswürdig eingerichteten Ordner abzulegen — beides bewusste Handlungen von jemandem, der weiß, woher die Datei stammt, und genau das ist der Sinn der Änderung.

Firmenvorlagen, die einen Briefkopf einfügen, Felder aus einer Datenbank füllen, eine Nummerierung erzwingen oder aus einem Formular ein Dokument erzeugen. Kanzleien und die Finanzbranche haben in diese Vorlagen investiert, und sie funktionieren zuverlässig.

Zu beachten: Eine Vorlage ist meist DOTM statt DOCM — das makrofähige Vorlagenformat —, weil der Zweck ist, neue Dokumente daraus zu starten, nicht sie weiterzugeben. Ein fertiges Dokument, das Makros trägt, ist ein etwas ungewöhnliches Objekt, und danach zu fragen, wozu es sie braucht, ist eine vernünftige Frage, keine übertriebene Vorsicht.

In Word selbst als DOCX zu speichern verwirft das VBA-Projekt und behält Text, Formatvorlagen, Bilder, Tabellen, Kopf- und Fußzeilen — alles Übrige. Word warnt vorher, und der Schritt dauert eine Sekunde. Diese Seite bietet genau diese Umwandlung nicht an; wer die Datei nur lesen muss, ohne Word überhaupt zu öffnen, wandelt hier stattdessen direkt nach PDF um.

Diese Umwandlung nach PDF ist deshalb die Antwort, die es hier tatsächlich gibt, und für alles Endgültige ohnehin die bessere: Ein PDF kann keinerlei Code ausführen, es legt das Layout fest, und es ist das, was die meisten Empfänger lieber bekommen hätten. Der Schritt läuft serverseitig über LibreOffice — die Datei geht dafür verschlüsselt an api.quinvert.com und wird danach gelöscht —, und dabei geht kein Makro mit hindurch: Es gibt in einem PDF nichts, worin ein VBA-Projekt Platz hätte.

In .zip umbenennen und das Archiv öffnen. Text und Formatierung liegen als lesbares XML vor, sodass man sieht, was das Dokument tatsächlich sagt, ohne dass Word jemals etwas ausführt. Das VBA-Projekt selbst ist ein binärer Datenstrom und dort nicht lesbar — was für sich genommen bereits Auskunft gibt: Ist der Makro-Block groß, steckt darin vermutlich etwas Umfangreiches.

Um den Code selbst zu lesen, öffnet der VBA-Editor in Word oder LibreOffice ihn, ohne ihn auszuführen. Bei einer unbekannten Datei von einer unbekannten Absenderin lautet der ehrlichere Rat: gar nicht erst öffnen, sondern nachfragen, wofür sie gedacht ist.

Zunächst fragen, ob die Empfängerin die Automatisierung überhaupt braucht. Reicht ihr der Inhalt, erledigt sich die ganze Frage mit DOCX oder PDF — und das E-Mail-Gateway auf der Gegenseite hält die Nachricht deutlich seltener zurück, was viele inzwischen bei makrofähigen Anhängen automatisch tun.

Ist die Automatisierung der eigentliche Zweck, gehört die Datei auf einen Weg, auf dem sie nicht als aus dem Internet stammend markiert wird: ein gemeinsames Laufwerk, eine interne Dokumentbibliothek, ein von der IT verteiltes Paket. Eine DOCM per Mail zu verschicken und danach zu erklären, wie man sie entsperrt, trainiert genau die Gewohnheit, die die Änderung von 2022 eigentlich abschaffen sollte.