Um die Sicherheit in LibreOffice zu erhöhen, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) Verbesserungsmöglichkeiten für das Office-Paket identifiziert und jetzt in einem zweistufigen Projekt umgesetzt.

Das BSI hat für LibreOffice bereits im August 2022 eine Cyber-Sicherheits-Empfehlung mit Maßnahmen für den sicheren in verwalteten und nicht-verwalteten Umgebungen vorgestellt. Daran anknüpfend hat das BSI die Verbesserungsmöglichkeiten als Ziele für die Umsetzung im Rahmen eines Projektes formuliert.

Dazu zählten etwa Konfigurationsanpassungen zur Erhöhung der Sicherheit, indem unsichere Netzwerkprotokolle wie unverschlüsseltes HTTP, SMTP und FTP deaktiviert oder Funktionen mit aktiven Inhalten wie DDE-Befehle (Dynamic Data Exchange), Makros, LibreLogo-Skripte und OLE-Objekte (Object Linking and Embedding) schnell vollständig deaktiviert werden können.

Auch die durchgängige Umsetzung der vollautomatischen Installation von Updates – unter dem Betriebssystem Windows – waren ein Punkt sowie die Einführung Password Strength Meter zur Erhöhung der Passwort-Sicherheit. Zu erstellende Passwörter können damit anhand von Kriterien wie Länge, Zufälligkeit und Komplexität bewertet werden.

Weiterthin stand die Unterstützung einer sicheren Konfiguration über die Verbesserung der Experteneinstellungen für die Bearbeitung von Konfigurationswerten auf der Liste. Auch die    Implementierung einer performanten Dokumentenverschlüsselung auf Basis moderner Algorithmen zur Verschlüsselung und Schlüsselableitung war Teil des Projekts.

Das durch das BSI initiierte Projekt startete im September 2023 und wurde von zwei unabhängigen Dienstleistern bearbeitet. In einem ersten Schritt wurden die Entwicklungsarbeiten in LibreOffice laut BSI von der Firma allotropia software GmbH geleistet. Anschließend wurde ein Audit der Sicherheitseigenschaften von der OpenSource Security GmbH durchgeführt. Das Ergebnis des IT-Sicherheitsaudits ist in einem englischsprachigen Bericht: Security Assessment of LibreOffice dargestellt.

Die nun umgesetzten Entwicklungsarbeiten stehen laut BSI alle innerhalb der Version 24.8 von LibreOffice zur Verfügung, welche ab Ende August 2024 erscheinen soll.