Microsoft deaktiviert die Anzeige von Inline-SVG für Outlook-Nutzer im Web und unter Windows
Microsoft hat eine wichtige Sicherheitsverbesserung für Outlook angekündigt und die Unterstützung von Inline-SVG-Bildern in Outlook für das Web und den neuen Outlook-Plattformen für Windows eingestellt.
Diese Änderung ist eine proaktive Maßnahme zur Stärkung der E-Mail-Sicherheitsinfrastruktur und zum Schutz der Nutzer vor potenziellen Cybersicherheitsbedrohungen.
Der Zeitplan für die Einführung wurde strategisch so gestaltet, dass eine umfassende Abdeckung aller Microsoft 365-Umgebungen gewährleistet ist.
Die weltweite Bereitstellung begann Anfang September 2025 und wurde Mitte September 2025 abgeschlossen, wobei Standard-Geschäftskunden betroffen waren.
Deaktivieren der Anzeige von SVG-Bildern in Outlook
Für Behörden und spezielle Umgebungen, darunter GCC-, GCC-H-, DoD- und Gallatin-Bereitstellungen, begann die Umsetzung Mitte September 2025 und soll Mitte Oktober 2025 abgeschlossen sein.
Dieser schrittweise Ansatz ermöglicht es Microsoft, die Auswirkungen der Implementierung zu überwachen und gleichzeitig den Organisationen ausreichend Zeit zu geben, ihre E-Mail-Kommunikationsstrategien anzupassen.
Die Änderung zielt speziell auf die Inline-SVG-Darstellung ab, bei der direkt in E-Mail-Inhalte eingebettete SVG-Bilder nicht mehr angezeigt werden und stattdessen als Leerzeichen erscheinen.
Die Einstellung der Inline-SVG-Unterstützung behebt kritische Sicherheitslücken, insbesondere Cross-Site-Scripting-Angriffe (XSS), die die XML-basierte Struktur von SVG ausnutzen können.
SVG-Dateien können gefährlichen JavaScript-Code enthalten, wodurch sie zu potenziellen Vektoren für komplexe Cyberangriffe werden, wenn sie inline in E-Mail-Clients dargestellt werden.
Daten von Microsoft zeigen, dass diese Änderung weniger als 0,1 % aller in Outlook verwendeten Bilder betrifft, wodurch Betriebsunterbrechungen minimiert und gleichzeitig die Sicherheitsvorteile maximiert werden.
Die Entscheidung bringt das Verhalten von Outlook in Einklang mit den branchenüblichen Praktiken von E-Mail-Clients, die die Inline-SVG-Rendering-Funktionen bereits einschränken.
Wichtig ist, dass SVG-Anhänge weiterhin vollständig unterstützt werden, sodass Benutzer SVG-Dateien weiterhin über herkömmliche Anhangsmethoden austauschen können.
Empfänger können diese Dateien weiterhin anzeigen, indem sie sie aus dem Anhang herunterladen, wodurch die Funktionalität erhalten bleibt und gleichzeitig die Risiken der Inline-Rendering beseitigt werden.
Unternehmen müssen keine sofortigen Maßnahmen von Administratoren oder Endbenutzern ergreifen, Microsoft empfiehlt jedoch, die interne Dokumentation zu aktualisieren und Benutzer zu informieren, die häufig Inline-SVGs in der E-Mail-Kommunikation verwenden.