Was ist eine XLSM-Datei?

XLSM ist ein Behälter: eine Hülle für Ströme, die etwas anderes kodiert hat. Eingesetzt wird es für die Bearbeitung.

Die Endung lautet .xlsm, der volle Name Excel Macro-Enabled Workbook. Beides sagt weniger aus als das, was die Datei halten kann — und davon handelt der Rest dieser Seite.

Microsoft hat es 2007 veröffentlicht. Die Spezifikation ist ECMA-376.

Das Alter ist aus einem praktischen Grund interessant: je älter ein Format, desto mehr Programme hatten Zeit, es zu lernen.

Sie ist vollständig veröffentlicht, das Format lässt sich also aus dem Dokument umsetzen statt durch Nachsehen. Deshalb taucht es in so vielen Programmen auf, und deshalb gehen Dateien von vor zwanzig Jahren heute noch auf. Veröffentlicht heißt allerdings nicht lizenzfrei: Wo ein Format einen Codec einpackt, ist die Patentfrage eine eigene, die der Standard nicht mitbeantwortet.

Eine XLSM-Datei ist nicht auf eine Seite beschränkt. Beim Umwandeln in etwas, das es ist, zählt das: Eine Umwandlung ergibt eine Datei mit genau einer Seite — der ersten, sofern sich die Seite nicht auswählen lässt.

XLSM darf ausführbaren Code mitführen, und meist ist genau das der Grund, aus dem jemand dieser Endung überhaupt begegnet: Ein Mailserver oder ein Portal hat sie abgewiesen. Der übliche Weg daran vorbei ist die Umwandlung in ein Format ohne Makros — und ja, die Makros sind danach weg.

XLSM enthält eine Tabelle: Zellen, Formeln und die Blätter darum herum.

Daraus folgt, wie es sich umwandeln lässt: Aus einer Tabelle wird ein Druckbereich, und wo die Spalten umbrechen, muss jemand entscheiden.

Microsoft Excel liest es, und die meisten Programme derselben Art ebenfalls.

Wenn eine Datei nicht aufgeht, liegt es selten am Format — häufiger daran, dass das Programm älter ist als das Format. Die Umwandlung in etwas Älteres ist der verlässliche Weg daran vorbei, und dafür gibt es den Rest dieser Website.

Kein Browser liest es.

Das ist der häufigste Grund, es umzuwandeln: nicht dass das Format schlecht wäre, sondern dass die Stelle, an der die Datei erscheinen soll, es nicht lesen kann.

XLSM ist zum Öffnen und Ändern gedacht. Behalte die Datei in diesem Format, solange die Arbeit läuft, und exportiere daraus, wann immer eine fertige Fassung gebraucht wird.

XLSM und XLSX sind dasselbe Format. Beide sind ZIP-Pakete aus XML, beide tragen dieselben Tabellenblätter, Formeln und Formatierungen, und der einzige Unterschied ist, dass eine XLSM ein VBA-Projekt enthalten darf und eine XLSX nicht.

Genau das war der Sinn der Trennung. Vor 2007 konnte eine Arbeitsmappe Makros tragen, ohne dass die Endung das anzeigte, und Tabellen gehörten zu den wirksamsten Verbreitungswegen für Schadsoftware, die je verwendet wurden. Getrennte Endungen bedeuten, dass eine Empfängerin schon vor dem Öffnen sieht, ob eine Datei behauptet, ein VBA-Projekt zu enthalten. Das ist enger gefasst als „sicher" — auch eine gewöhnliche XLSX kann DDE-Formeln oder eingebettete OLE-Objekte tragen —, aber es ist die Garantie, auf der jede Poststelle ihre Filterregel aufbaut.

VBA ist eine vollständige Programmiersprache mit Zugriff auf das Dateisystem, das Netzwerk und andere Anwendungen. Ein Makro kann Dateien lesen und schreiben, überall dort, wo die Nutzerin es auch könnte, Daten nach außen senden, Programme starten und andere Dokumente verändern. Es ist keine auf das Blatt begrenzte Formelsprache.

Das ist der ehrliche Grund für die Vorsicht. Die weit überwiegende Mehrheit der Makros ist die Berichtsautomatisierung einer Kollegin, die genau das tut, was sie behauptet. Die Minderheit, die es nicht ist, hat dieselben Fähigkeiten, und die Datei bietet keine Möglichkeit, die beiden zu unterscheiden, außer den Code zu lesen.

Excel deaktiviert Makros standardmäßig und zeigt eine Leiste. Kommt die Datei aus dem Internet oder einem E-Mail-Anhang, markiert Windows sie zusätzlich mit einer Zonenkennzeichnung, und seit 2022 blockiert Excel Makros in solchen Dateien komplett — eine rote Leiste statt einer Schaltfläche zum Aktivieren.

Der vorgesehene Weg für eine vertrauenswürdige Datei ist, sie in den Dateieigenschaften zu entsperren oder in einen als vertrauenswürdig eingerichteten Ordner zu legen. Wovon man sich abgewöhnen sollte, ist das Durchklicken: Genau dieser eine Klick war bei der Emotet-Welle 2019/2020, die unter anderem das Berliner Kammergericht und die Humboldt-Universität lahmlegte, der letzte Schritt in einer sehr großen Zahl echter Vorfälle.

Das VBA-Projekt liegt im ZIP als binärer Strom — der einzige Teil eines Office-Open-XML-Pakets, der kein lesbares XML ist. Die Datei in .zip umbenannt und geöffnet, zeigt die Tabellenblätter als Klartext und das Makro als unlesbaren Datenklumpen.

Ein Makro zu prüfen bedeutet also, den VBA-Editor in Excel oder LibreOffice zu öffnen, was die meisten nicht tun und was der einzige verlässliche Weg ist, herauszufinden, was eine Arbeitsmappe tut. Es bedeutet auch, dass die Versionsverwaltung keinen sinnvollen Diff des Codes zeigen kann, weshalb ernsthafte Tabellenautomatisierung VBA irgendwann für etwas verlässt, das in Textdateien lebt.

Eine XLSM als XLSX zu speichern entfernt das VBA-Projekt und behält alles andere — Blätter, Formeln, Formatierung, Diagramme, benannte Bereiche. Excel warnt vorher, und diese Warnung ist der ganze Vorgang.

Genau das will man bei einer von außen erhaltenen Arbeitsmappe, aus der nur die Zahlen gelesen werden sollen, und genau das will man nicht bei einer Datei, deren Automatisierung ihr Zweck ist. Die Unterscheidung ist einfach: Tut die Arbeitsmappe etwas, sobald man eine Schaltfläche drückt, zerstört die Umwandlung das; hält sie nur Daten, macht die Umwandlung sie sicherer.

PDF für alles, was verschickt, abgelegt oder gedruckt wird. Das Ergebnis ist fixiert, trägt überhaupt keinen ausführbaren Inhalt, und beseitigt in einem Schritt sowohl die Layout- als auch die Makrofrage. Für die Verteilung eines Berichts aus einer makrogesteuerten Arbeitsmappe ist das fast immer die richtige Ausgabe.

CSV, wenn das Ziel eine Datenbank, ein Skript oder eine Analysepipeline ist. Es trägt ein Tabellenblatt aus Werten und sonst nichts — keine Formeln, keine Formatierung, keinen Code —, genau deshalb verlangen Importroutinen und sicherheitsbewusste Systeme es namentlich. Dafür in Excel oder LibreOffice als XLSX speichern und von dort als CSV exportieren; eine XLSM lässt sich nicht in einem Schritt in CSV umwandeln.

Ein VBA-Projekt, auf dem eine ganze Abteilung mittlerweile arbeitet, ist eine Last, die man beim Namen nennen sollte: Der Code ist der Versionsverwaltung undurchsichtig, er läuft nur, wo Excel läuft, er bricht, wenn ein Blatt umbenannt wird, und meist pflegt ihn eine einzelne Person, die inzwischen die Stelle gewechselt hat.

Microsofts eigene Richtung sind Office-Skripte und Power Automate für solche Aufgaben, und außerhalb der Microsoft-Welt erledigt ein kleines Skript in einer Sprache, die die Datei direkt liest, denselben Job in Dateien, die sich diffen lassen. Keines davon ist ein Grund, ein funktionierendes Makro neu zu schreiben. Beides lohnt sich zu kennen, bevor eines entsteht, von dem hundert Leute abhängig werden.