Application Guard voor Office verdwijnt: bereid de overgang naar Protected View voor

Microsoft heeft aangekondigd dat Microsoft Defender Application Guard voor Office uit Office wordt verwijderd. Volgens Message Center-bericht MC1182696, gedateerd 4 november 2025, gebeurt dat uiterlijk in december 2027. De functie was al in april 2024 buiten gebruik gesteld; de komende wijziging neemt de resterende Office-onderdelen weg.

Dit is vooral relevant voor organisaties die Application Guard voor Office bewust hebben ingezet voor niet-vertrouwde Word-, Excel- en PowerPoint-bestanden. Die documenten worden niet langer in de Application Guard-container geopend, maar vallen terug op Protected View. Dat is een andere beveiligingsroute: Protected View houdt een bestand in beginsel alleen-lezen en beperkt bewerken, terwijl Application Guard een geïsoleerde omgeving gebruikte. Behandel de overgang daarom niet als een naamwijziging of als een één-op-éénvervanging.

Wat verandert er voor Office-bestanden?

Application Guard voor Office gebruikte een gevirtualiseerde container om niet-vertrouwde documenten van bedrijfsbronnen te scheiden. Microsoft beschrijft bijvoorbeeld dat een document in die container geen vrije toegang krijgt tot een intranet, de gebruikersidentiteit of willekeurige lokale bestanden. De functie was beschikbaar voor Word, Excel en PowerPoint in Microsoft 365 Apps op ondersteunde Windows-edities.

Na de verwijdering opent een bestand dat voorheen in Application Guard zou worden behandeld in Protected View. In die modus zijn de meeste bewerkingsfuncties uitgeschakeld totdat de gebruiker het bestand bewust verlaat of bewerken inschakelt. Dat beschermt nog steeds tegen een groot aantal onbetrouwbare bestandsbronnen, maar het is geen identieke technische isolatiecontainer. De gebruikerservaring, de beschikbare functies en het risicoprofiel kunnen dus veranderen.

Voor wie heeft dit impact?

Begin met apparaten en gebruikers waarvoor Application Guard voor Office ooit is geconfigureerd. Dat kan zichtbaar zijn in een Intune-profiel, een Group Policy Object, een Office-cloudbeleid of in de Windows-featureconfiguratie. Kijk ook naar serviceteams die specifieke werkstromen ondersteunen, zoals ontvangen facturen, dossiers uit een extranet, bestanden van externe leveranciers of documenten die via e-mail worden geopend.

Ook wanneer de functie niet bewust als project is uitgerold, is een controle verstandig. Een lokaal ingestelde policy, een historisch endpoint-baseline of een uitzondering in een ouder image kan ertoe leiden dat een deel van de beheerde Windows-apparaten ander gedrag vertoont dan de rest. Inventariseer daarom niet alleen de centrale configuratie, maar toets die ook op een representatieve set beheerde Windows-clients.

De praktische impact: beveiliging én gebruikerservaring

De directe systeemwijziging vereist volgens de Message Center-aankondiging geen beheeractie. Toch is er beheerwerk nodig. Een gebruiker die een internetbestand of een mogelijk onveilige bijlage opent, kan voortaan een Protected View-melding zien waar eerder Application Guard startte. Instructies voor medewerkers, servicedesk-scripts en acceptatiecriteria die uitgaan van de oude container moeten daarom worden aangepast.

Vermijd daarbij twee uitersten. Ga er niet van uit dat Protected View alle eigenschappen van Application Guard overneemt, maar schakel Protected View ook niet organisatiebreed uit om een incidenteel werkproces te versnellen. Bestanden uit internetlocaties, van onveilige locaties en bepaalde Outlook-bijlagen kunnen juist bewust in deze alleen-lezenmodus terechtkomen. Onderzoek per scenario waarom iemand moet kunnen bewerken en zorg voor een gecontroleerde, aantoonbaar betrouwbare route.

Beoordeel de aanvullende beveiligingslagen

Microsoft adviseert als transitiepad een combinatie van Protected View, Microsoft Defender for Endpoint Attack Surface Reduction-regels (ASR) en Windows Defender Application Control, tegenwoordig App Control for Business. Deze maatregelen vervullen verschillende rollen; samen zijn zij geen letterlijke vervanger voor de verdwenen container. Leg daarom per maatregel vast welk risico ermee wordt afgedekt en welke teams eigenaar zijn van de configuratie.

Protected View: houd de beleidsinstellingen voor bestanden van internet, onveilige locaties en Outlook-bijlagen in beeld. Controleer vooral uitzonderingen en trusted locations; die kunnen de feitelijke bescherming sterk beïnvloeden.
ASR-regels: beoordeel regels die riskant gedrag van Office-processen beperken, zoals ongewenste child processes of uitvoerbare inhoud. Microsoft adviseert voor veel regels eerst een gecontroleerde auditfase, zodat impact op bedrijfskritische toepassingen zichtbaar wordt voordat blokkeren wordt ingeschakeld.
App Control: gebruik een beleid voor toegestane applicaties en code alleen als dit past bij de endpointstrategie. App Control werkt op apparaatsniveau en vraagt daarom om een zorgvuldig ontwerp, beheer van uitzonderingen en een testgroep.

Schakel geen hele set ASR-regels blind in als reactie op deze aankondiging. De juiste regelset hangt af van de gebruikte Office-versies, beheermethode, bestaande Microsoft Defender-configuratie en bedrijfsapplicaties. Een audit-first-aanpak met duidelijke rapportage en uitzonderingen per regel is beter te toetsen dan een brede blokkade zonder meetpunt.

Een beheerplan dat u nu kunt uitvoeren

Breng het huidige gebruik in kaart. Zoek in Intune, Group Policy, Office Cloud Policy en endpoint-baselines naar Application Guard voor Office. Leg per policy het apparaatbereik, de eigenaar en de reden van de instelling vast.
Test herkenbare bestandsstromen. Gebruik een afgeschermde testgroep en beoordeel onder andere een gedownload document, een externe e-mailbijlage, een bestand uit een netwerklocatie en een OneDrive- of SharePoint-samenwerkingsbestand. Noteer welk gedrag gebruikers zien en welke functies zij nodig hebben.
Herijk Protected View. Controleer of de huidige instellingen aansluiten op het gewenste risiconiveau. Onderzoek trusted locations en uitzonderingen afzonderlijk; maak deze niet ruimer om een tijdelijk ongemak op te lossen.
Ontwerp ASR gefaseerd. Kies relevante regels, start waar nodig in auditmodus en beoordeel telemetrie met security- en applicatie-eigenaren. Plan pas daarna een wijziging naar blokkeren of waarschuwen via het normale changeproces.
Beoordeel App Control als aparte laag. Controleer of een bestaand App Control- of WDAC-beleid al aanwezig is. Is dat niet zo, behandel invoering als een eigen endpointproject met test-, uitzonderings- en herstelprocedure.
Werk communicatie en ondersteuning bij. Leg voor eindgebruikers en servicedesk uit waarom een bestand in Protected View opent, wanneer bewerken verantwoord is en hoe een verdacht bestand moet worden gemeld.

Tijdlijn en wat u moet bewaken

Message Center MC1182696 noemt december 2027 als uiterste moment waarop de Office-onderdelen worden verwijderd. De actuele openbare Microsoft-documentatie classificeert Application Guard voor Office als verouderd en niet langer bijgewerkt en verwijst naar ASR-regels, Protected View en App Control als aanbevolen route. Controleer de oorspronkelijke Message Center-melding in het Microsoft 365-beheercentrum voor eventuele tenant- of kanaalspecifieke vervolgdetails.

Wacht niet tot het laatste moment met de inventaris. De technische wijziging zelf mag automatisch verlopen, maar het beoordelen van documentstromen, policies, ASR-impact en helpdeskprocedures kost doorgaans meer tijd dan de feitelijke beleidswijziging. Met een testgroep en een vastgelegd besliskader blijft het verschil tussen een vertrouwd bestand, een uitzonderingsroute en een mogelijk schadelijke bijlage beheersbaar.