Sicherheit bei E-Mail-Anhängen: So beurteilst du eine Datei, bevor du sie öffnest

Stell dir eine kleine Druckerei an einem Freitagabend um 18:40 Uhr vor. Eine E-Mail trifft ein, vom Papierlieferanten, den die Druckerei jeden Monat bezahlt, im selben Verlauf wie die Bestellung vom Vormonat. Sie lautet „Aktualisierte Rechnung im Anhang, bitte vor dem Wochenende bearbeiten“, und der Anhang heißt Invoice_4471.zip. Der Lieferant ist echt, und der Verlauf ist echt. Aber dieser Lieferant hat immer schlichte PDFs geschickt, niemand in der Druckerei hat eine Korrektur erwartet, und die Buchhaltung dieser Firma schreibt freitagabends normalerweise nicht mehr.

Richtig ist, die Datei geschlossen zu lassen, bis jemand beim Lieferanten sie unter einer Telefonnummer bestätigt, die die Druckerei schon hat. Als allgemeine Regel gilt: Ein Anhang ist einigermaßen sicher, wenn du ihn erwartet hast, der Absender stimmt und der Dateityp zur Geschichte passt. Echtes Misstrauen verdient er, sobald eines davon nicht zutrifft, und die Gefahr beginnt meist, wenn du etwas ausführst, entpackst oder „aktivierst“, nicht wenn du die Nachricht liest. Der größte Teil dieses Artikels zeigt, wie du diese drei Urteile schnell fällst und den Schaden begrenzt, wenn das nicht geht.

Die Freitagsrechnung durchgehen

Das Beispiel ist nützlich, weil der übliche Rat daran scheitert. „Öffne keine Dateien von Fremden“ hilft nicht, wenn der Absender jemand ist, den du bezahlst. Sieh also, was sich tatsächlich geändert hat. Das Format hat sich geändert, von PDF zu einem komprimierten Archiv. Der Zeitpunkt hat sich geändert. Die Nachricht drängt zum Handeln vor einem Wochenende, wenn niemand leicht nachfragen kann. Jedes davon könnte eine harmlose Erklärung haben, zusammen reichen sie aber, um anzuhalten und zu prüfen.

Als Nächstes kommt die Möglichkeit, an die der Inhaber vielleicht nicht denkt: Die Nachricht kann wirklich aus dem Postfach des Lieferanten stammen. Kriminelle, die in ein Konto eindringen, antworten oft mitten in bestehenden Unterhaltungen, denn ein alter Verlauf trägt Vertrauen, das eine Nachricht aus dem Nichts nicht hat. Das nennt man Thread-Hijacking. Es bedeutet, dass eine richtige Absenderadresse und eine vertraute Betreffzeile nichts entscheiden, und deshalb muss die letzte Prüfung außerhalb von E-Mail stattfinden.

Eine sinnvolle Abfolge für den Inhaber wäre:

1. Antworte nicht auf die Nachricht, um zu fragen, ob sie echt ist. Wenn das Postfach gekapert ist, geht die Antwort an die Person hinter dem Betrug.
2. Such die Nummer des Lieferanten auf einer alten Papierrechnung, im Vertrag oder in den Kontakten des Handys heraus. Nutze nicht die Nummer aus der E-Mail-Signatur.
3. Stell eine schlichte Frage: „Haben Sie heute Abend eine korrigierte Rechnung geschickt?“ Ist das Büro geschlossen, kann die Rechnung bis Montag warten. Ein echter Lieferant akzeptiert eine Zahlung am Montag viel eher als ein Krimineller.
4. Wenn der Lieferant ein Online-Portal hat, melde dich an, indem du die Adresse eintippst, und sieh nach, ob die Rechnung dort erscheint.
5. Lautet die Antwort Nein, warne den Lieferanten, dass sein Postfach womöglich gekapert ist, melde dann die Nachricht und lösche sie.

Dasselbe Beispiel hat eine leisere Variante, die kein Scanner erwischt. Der Anhang könnte ein sauberes, gewöhnliches PDF einer völlig echten Rechnung sein, mit einer veränderten Angabe: dem Bankkonto. Es ist keine Schadsoftware im Spiel, die Datei ist für deinen Computer harmlos, und trotzdem geht das Geld an die falsche Stelle. Jede Änderung von Zahlungsdaten verdient denselben Anruf, egal in welchem Dateiformat.

Was ein schädlicher Anhang erreichen will

Anhänge bleiben bei Angreifern aus einem einfachen Grund beliebt. Mail-Dienste können nicht jede Datei ablehnen, weil Menschen Rechnungen, Lebensläufe, Verträge und Fotos austauschen müssen, und der Empfänger öffnet die Datei freiwillig. Eine schädliche Datei zielt meist auf eines von vier Ergebnissen, und zu wissen, welches ein Format zulässt, ist der größte Teil der Fertigkeit.

• Sie führt Code direkt aus. Ein Programm oder Skript startet bei einem Doppelklick und hat dieselben Berechtigungen wie du.
• Sie bringt eine andere Anwendung dazu, Code auszuführen, mit Makros, eingebetteten Objekten oder einer Lücke in der Software.
• Sie schickt dich woandershin. Ein PDF oder Dokument enthält nur einen Button zu einer gefälschten Anmeldeseite, die Datei kann also sauber sein, während das Ziel der Angriff ist.
• Sie sammelt, was du tippst. Ein HTML-Anhang öffnet sich im Browser als lokale Seite, die einen Login-Bildschirm nachahmt und dein Passwort an jemand anderen schickt.

Ein JPEG-Foto in einem aktuellen Viewer kann nichts davon allein auslösen, schon gar nicht die ersten drei Punkte. Eine Windows-Verknüpfung kann eine Befehlszeile ausführen, während sie das Symbol eines Dokuments zeigt. Dieser Unterschied zwischen den Formaten erklärt die folgende Tabelle.

Dateitypen, nach ihren Möglichkeiten eingestuft

Die Einstufungen gehen davon aus, dass die Datei von einem unbekannten oder unerwarteten Absender kam. Sie sind eine Einschätzung dessen, was jedes Format kann, und der Kontext kann eine Datei nach oben oder unten verschieben. Eine .xlsm-Tabelle von deiner Steuerberaterin in der Steuersaison ist normal. Dieselbe Datei von einer unbekannten Adresse über eine verpasste Lieferung ist es nicht.

Endungen	Was es ist	Risiko	Warum
.exe, .msi, .scr, .com, .pif	Windows-Programme und Installer	Sehr hoch	Sie führen Code mit deinen Berechtigungen aus. Ein .scr-„Bildschirmschoner“ ist ein gewöhnliches Programm.
.js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd	Skripte	Sehr hoch	Windows hat dafür eingebaute Interpreter. Ein Fremder hat fast nie einen guten Grund, eines zu schicken.
.lnk	Windows-Verknüpfung	Sehr hoch	Kann hinter einem harmlos aussehenden Symbol einen Befehl mit Argumenten starten.
.iso, .img, .vhd, .vhdx	Datenträgerabbilder	Hoch	Ein Doppelklick bindet sie wie ein Laufwerk ein, und sie wurden schon genutzt, um Programme und Verknüpfungen zu verpacken.
.docm, .xlsm, .pptm, .xlam	Office-Dateien mit Makros	Hoch	Das „m“ bedeutet, dass die Datei VBA-Makros enthalten kann. Legitime Nutzung gibt es, sie ist von Fremden aber selten.
.doc, .xls	Ältere Office-Formate	Mittel bis hoch	Können Makros enthalten, ohne dass der Name darauf hinweist, und haben eine lange Missbrauchsgeschichte.
.zip, .rar, .7z, .gz, .tar	Archive	Hängt vom Inhalt ab	Können alles aus dieser Tabelle enthalten. Verschlüsselte lassen sich nicht scannen.
.html, .htm, .svg	Webseiten und Vektorbilder	Mittel bis hoch	Öffnen sich im Browser und können gefälschte Login-Formulare zeigen, Skripte ausführen oder auf der Stelle eine Datei zusammensetzen.
.one	OneNote-Notizbuch	Mittel bis hoch	Wurde genutzt, um Skripte hinter einem gefälschten „Zum Ansehen klicken“-Button zu verstecken.
.pdf	Portables Dokument	Gering bis mittel	Meist passiv, kann aber Links, eingebettete Dateien und Skripte enthalten.
.docx, .xlsx, .pptx	Moderne Office-Dateien	Gering bis mittel	Können keine VBA-Makros speichern, aber Links, externe Verweise und eingebettete Objekte enthalten.
.jpg, .png, .gif, .webp	Rasterbilder	Gering	Passive Daten. Das Risiko ist eine seltene Viewer-Lücke, die Updates beheben.
.txt, .csv	Text und Daten	Gering, mit einer Einschränkung	Text kann sich nicht selbst ausführen, aber eine CSV in einer Tabellenkalkulation kann Formeln enthalten, lehne also Aufforderungen ab, externe Inhalte zu aktivieren.

Mail-Anbieter übernehmen einen Teil dieser Sortierung für dich. Gmail etwa lehnt eine Liste von Dateitypen ab, die .exe, .js, .lnk und .iso umfasst, und schaut, wenn möglich, auch in Archive. Auch Outlook blockiert viele Programm- und Skripttypen. Deshalb bevorzugen Kriminelle Formate, die die Filter durchlassen müssen, und deshalb verrät ein ungewöhnlicher Behälter oft mehr als ein offensichtlich gefährlicher Name.

Wie der wahre Typ einer Datei verborgen wird

Windows blendet bekannte Endungen standardmäßig aus, wodurch der älteste Trick weiter funktioniert. Eine Datei namens invoice.pdf.exe erscheint als invoice.pdf. Schalte das einmal ab, dann bleibt es aus. In Windows 11 öffnest du den Datei-Explorer und wählst Anzeigen, Einblenden, Dateinamenerweiterungen. In Windows 10 ist es ein Kontrollkästchen auf der Registerkarte Ansicht. Auf einem Mac gehst du auf Finder, Einstellungen, Erweitert und setzt das Häkchen bei Alle Dateinamensuffixe anzeigen.

Andere Tarnungen verlangen mehr Aufmerksamkeit. Lange Namen mit aufgefüllten Leerzeichen, etwa statement.pdf .js, schieben die wahre Endung aus einer schmalen Spalte. Ein Unicode-Steuerzeichen, die Rechts-nach-links-Überschreibung (U+202E), kann umkehren, wie das Ende eines Namens angezeigt wird, sodass eine Datei, die wirklich auf .exe endet, scheinbar auf .pdf endet. Programme und Verknüpfungen können außerdem jedes beliebige Symbol tragen, auch ein PDF- oder Word-Symbol, ein Symbol beweist also nichts.

Auch die E-Mail selbst kann lügen. Jeder Anhang kommt mit einem deklarierten Inhaltstyp wie application/pdf, doch diese Bezeichnung wählt der Absender. Was auf deinem Gerät geschieht, hängt vom wirklichen Format und der Endung der Datei ab. Sieh also unter Windows in die Spalte Typ oder in die Eigenschaften der Datei, auf einem Mac in Informationen und auf dem Handy in die Detailansicht des Dateimanagers.

Office-Dokumente und die zwei farbigen Leisten

Office-Dateien verdienen einen eigenen Abschnitt, weil sie überall sind und seit Jahrzehnten missbraucht werden. Ein Makro ist ein kleines Programm in Visual Basic for Applications, das in einem Dokument gespeichert ist und nützliche Arbeit automatisieren oder etwas anderes herunterladen und starten kann. Das Dateiformat gibt einen Teilhinweis: .docx und .xlsx können keine VBA-Makros speichern, .docm und .xlsm dagegen schon, und ältere .doc- und .xls-Dateien können es ebenfalls, ohne es zu sagen.

Wenn du in Office für Windows eine Datei aus dem Internet oder einer E-Mail öffnest, begegnet dir meist eine von zwei Leisten. Die gelbe gehört zur Geschützten Ansicht, die das Dokument schreibgeschützt in einem eingeschränkten Modus öffnet und Bearbeitung aktivieren anbietet. Solange du in der Geschützten Ansicht bleibst, kann die Datei viel weniger. Du kannst sie lesen, und bei einem Dokument, das du nur lesen musst, gibt es keinen Grund, sie zu verlassen.

Die rote ist ein Sicherheitshinweis. Microsoft hat Office für Windows geändert, die Einführung begann 2022, sodass VBA-Makros in Dateien aus dem Internet in Word, Excel, PowerPoint, Access, Project, Publisher und Visio standardmäßig blockiert werden. Der Hinweis sagt, Makros wurden blockiert, weil die Quelle der Datei nicht vertrauenswürdig ist. Laut Microsofts Dokumentation gilt diese Änderung nicht für Office auf einem Mac, auf Android oder iOS oder im Web, geh also nicht überall vom selben Verhalten aus.

Die Sperre hängt vom Mark of the Web ab, einer Markierung, die Windows an Dateien anhängt, die von einem nicht vertrauenswürdigen Ort kamen, etwa aus einem Browser-Download oder als E-Mail-Anhang. Ein Mensch kann die Markierung entfernen, indem er in den Eigenschaften der Datei Zulassen ankreuzt, und das ist ein deutliches Warnzeichen. Wenn dir ein Dokument oder eine hilfsbereite E-Mail sagt, du sollst die Datei mit der rechten Maustaste anklicken, „Zulassen“ ankreuzen und sie erneut öffnen, wirst du am Schutz vorbeigeführt. Schließe sie.

Die Angreifer haben mit Überredung geantwortet. Ein typisches Köder-Dokument zeigt eine verschwommene Seite und eine Zeile wie „Dieses Dokument wurde in einer neueren Version erstellt. Aktiviere Bearbeitung und Inhalt, um es anzusehen.“ Kein echtes Dokument braucht Makros, nur um gelesen zu werden. Wenn die Datei von jemandem kam, den du nicht prüfen kannst, nimm diese Meldung als Antwort auf deine Frage, ob sie sicher ist.

Das Katz-und-Maus-Spiel erklärt einige der seltsamen Formate in der Tabelle. Datenträgerabbilder wurden zum Teil deshalb beliebt, weil Dateien in einer ISO keinen Mark of the Web bekamen, bis Microsoft das im November 2022 behob (CVE-2022-41091). Danach nahm der Missbrauch von OneNote-Dateien zu, mit eingebetteten Skripten und Verknüpfungen hinter falschen Buttons, und 2023 kündigte Microsoft an, dass OneNote für Microsoft 365 und Office im Einzelhandel eingebettete Dateien mit gefährlichen Endungen blockieren würde. Jede Korrektur treibt die Angreifer zum nächsten Behälter, ein unbekanntes Format von einem Fremden ist also Grund genug, innezuhalten.

PDFs, Webseiten und Bilder

Die große Mehrheit der PDFs ist harmlos, und das realistische Risiko ist selten ein raffinierter Exploit. Weit häufiger ist es ein einseitiges PDF mit Logo und einem großen Button „Sicheres Dokument ansehen“, der zu einer gefälschten Anmeldeseite führt. Ein PDF kann auch eigene eingebettete Dateien tragen, die ein Viewer zu öffnen anbietet, und es kann JavaScript enthalten. PDF-Reader hatten über die Jahre Sicherheitslücken, halte deinen also aktuell. Ein unerwartetes PDF im eingebauten Viewer eines aktuellen Browsers zu öffnen ist eine vernünftige Voreinstellung, und wenn du Adobe Acrobat Reader nutzt und Skripte selten brauchst, kannst du unter Bearbeiten, Voreinstellungen, JavaScript das Häkchen bei Acrobat-JavaScript aktivieren entfernen. Ein PDF, das nur sagt „dein Dokument ist bereit, hier klicken“, ist eine Tür, kein Dokument.

HTML-Anhänge sind schlimmer, als sie aussehen. Einer öffnet sich im Browser als lokale Seite und kann eine perfekte Kopie eines Login-Bildschirms zeigen, in dem deine E-Mail-Adresse schon eingetragen ist. Weil nie eine verdächtige Webadresse in der Nachricht stand, sehen Link-Scanner deines Mail-Dienstes womöglich nie eine. Eine HTML-Datei kann auch aus codierten Daten im Browser eine Datei bauen und als Download anbieten, eine Technik namens HTML Smuggling, die Filter umgehen kann, die nur Anhänge prüfen. Keine echte Firma braucht, dass du dich über eine an eine E-Mail angehängte Datei anmeldest. Behandle jede solche Seite als Phishing und rufe den Dienst auf, indem du seine Adresse eintippst.

SVG-Dateien sehen aus wie Bilder und sind in XML definiert, was bedeutet, dass sie Skripte und Links enthalten können. In einem Bildbetrachter verhalten sie sich wie ein Bild, in einem Browser können sie sich wie eine Webseite verhalten. Ein unerwartetes SVG von einem Fremden verdient denselben Zweifel wie eine HTML-Datei.

Gewöhnliche JPEG-, PNG-, GIF- und WebP-Dateien sind passive Daten, und das theoretische Risiko einer Viewer-Lücke beheben Systemupdates. Das praktische Risiko ist ein anderes: Ein Bild kann einfach ein Köder sein, etwa ein „Screenshot“ einer Rechnung, der dich auffordert, eine Telefonnummer anzurufen. Die Datei ist sicher, die Anweisungen darin sind es nicht.

Archive: Beurteile den Inhalt, nicht die Verpackung

Eine ZIP-Datei ist weder sicher noch gefährlich. Sie ist genau so sicher wie das, was darin steckt. Archive passen Angreifern, weil die Nachricht nur „documents.zip“ zeigt, während der wahre Dateityp verborgen bleibt, und weil ein Archiv in einem Archiv oder ein weniger gängiges Format manche Scanner verwirren kann.

Verschlüsselung fügt ein weiteres Problem hinzu. Mail-Sicherheitswerkzeuge können nicht in ein passwortgeschütztes Archiv schauen, weshalb eine Nachricht, die ein verschlüsseltes Archiv und gleich das Passwort enthält, ein klassisches Muster ist. Überleg, was diese Anordnung bewirkt: Sie bietet keine Geheimhaltung, denn wer die E-Mail hat, hat das Passwort, und das Einzige, was sie verlässlich tut, ist den Scanner zu blenden. Ein echter Absender, der eine Datei verschlüsselt, teilt das Passwort normalerweise auf anderem Weg mit, etwa am Telefon oder in einem separaten Chat.

Wenn du geprüft hast, dass das Archiv existieren sollte, und trotzdem hineinsehen willst:

1. Öffne das Archiv, um die Dateiliste zu sehen, ohne etwas zu entpacken. Der Datei-Explorer unter Windows und Archivprogramme wie 7-Zip können die Liste anzeigen. Ein Mac entpackt bei einem Doppelklick meist von selbst, nimm dort also ein Archivwerkzeug.
2. Lies jeden Namen und jede Endung. Eine einzige .lnk, .js, .exe oder .iso in etwas, das als Papierkram beschrieben wurde, erledigt die Sache, lösche also das Archiv.
3. Prüfe, ob der Inhalt zur Geschichte passt. Ein „PDF-Leitfaden“ sollte ein PDF sein, kein Ordner mit einer Verknüpfung.
4. Entpacke nur die eine Datei, die du brauchst, und wende dieselben Prüfungen auf diese Datei an.

Den Absender prüfen, kurz gefasst

Die Datei ist die eine Hälfte des Angriffs, die glaubwürdige Geschichte darum die andere. Unser Ratgeber zum Erkennen von Phishing-Mails geht das im Detail durch, hier also die Prüfungen, die bei Anhängen am wichtigsten sind.

Beginne mit der echten Adresse, denn der Anzeigename kann von jedem auf alles gesetzt werden. „Buchhaltung“ könnte billing@example-pay.example sein. Am Computer fährst du mit der Maus über den Namen oder klickst ihn an, am Handy tippst du auf die Absenderzeile. Achte auf Domains mit zusätzlichen Wörtern, Bindestrichen oder vertauschten Buchstaben („rn“, das sich als „m“ ausgibt), auf Gratis-Webmail-Adressen, die sich als Rechnungs- oder Rechtsabteilung einer Firma ausgeben, und auf eine Domain, die nicht zur Website passt, die du schon kennst.

Sieh dann, wohin eine Antwort gehen würde. Eine Nachricht kann von einer Adresse kommen und Antworten an eine andere schicken. Mailinglisten und Ticketsysteme sowie Newsletter, die du abonniert hast, tun das manchmal aus gewöhnlichen Gründen, eine persönlich wirkende Notiz über eine dringende Zahlung sollte es aber nicht tun.

Die technische Prüfung dauert eine Minute. In Gmail öffnest du das Drei-Punkte-Menü und wählst Original anzeigen. In Outlook im Web nimmst du Ansicht, Nachrichtenquelle anzeigen. Suche nach spf=pass, dkim=pass und dmarc=pass. SPF listet auf, welche Server für eine Domain senden dürfen, DKIM ist eine kryptografische Signatur, die zeigt, dass die Domain die Nachricht autorisiert hat und sie nicht verändert wurde, und DMARC verknüpft diese Ergebnisse mit der sichtbaren Absender-Domain und sagt Empfängern, was bei einem Fehlschlag zu tun ist. Lies die Ergebnisse nur in eine Richtung. Ein Fehlschlag bei einer Nachricht, die angeblich von deiner Bank kommt, ist eine starke Warnung. Ein Bestehen macht eine Nachricht nicht sicher, weil Kriminelle eine ähnlich aussehende Domain registrieren und richtig authentifizieren können und ein gekapertes Postfach jede Prüfung besteht.

Bleibt die Frage, die kein Header beantwortet: Passt das zu einer echten Unterhaltung? Du solltest sagen können, dass du diese Datei von dieser Person zu diesem Thema erwartet hast und dass sie Angaben enthält, die du in deinem Konto prüfen kannst. Druck wirkt dem entgegen. Zeitdruck, Geheimhaltung und Angst („rechtliche Schritte“, „sag es niemandem“, „Konto heute gesperrt“) zusammen mit einer Datei sind das übliche Muster. Im Zweifel kontaktiere den Absender über Angaben, die du schon vor dieser Nachricht hattest. Wenn die Rechnung echt ist, steht sie auch in deinem Konto.

Wenn du eine Datei von jemand Neuem öffnen musst

Manchmal ist die Datei der ganze Zweck: der Lebenslauf einer Bewerberin, das erste Angebot eines Lieferanten, eine Antwort auf etwas, das du zum Verkauf eingestellt hast. Dann geht es darum, den Inhalt zu sehen und der Datei dabei so wenig Macht wie möglich zu geben. Diese Optionen reichen vom geringsten bis zum größten Aufwand, und die meisten hören nach der zweiten oder dritten auf.

Frag dich, ob du sie überhaupt öffnen musst. Ist die Datei unerwartet und die Geschichte allgemein, kostet Löschen wenig, denn echte Absender haken nach.

Nutze die Vorschau deines Mail-Dienstes. Webmail-Dienste stellen PDFs, Bilder und Office-Dokumente oft auf ihren eigenen Servern dar, die Datei wird also angezeigt, statt auf deinem Gerät ausgeführt zu werden. Schau erst in die Vorschau und lade nur herunter, wenn es sein muss. Das ist die nützlichste einzelne Gewohnheit für alle, die beruflich Dateien von Fremden bekommen.

Öffne Dokumente schreibgeschützt. In der Geschützten Ansicht zu bleiben oder die Datei in einer webbasierten Office-Suite zu öffnen, begrenzt, was sie kann. Lass Bearbeitung aktivieren und Inhalt aktivieren in Ruhe.

Scanne sie. Unter Windows kannst du eine gespeicherte Datei mit der rechten Maustaste anklicken und mit Microsoft Defender scannen, und andere Sicherheitsprodukte bieten dasselbe. Für eine Datei ohne Privates gibt ein Online-Scanner mit mehreren Engines wie VirusTotal eine zweite Meinung. Uploads bei solchen Diensten werden womöglich mit Sicherheitsfirmen und Forschern geteilt, lade also nie Verträge, Ausweise, Rechnungen oder irgendetwas Vertrauliches hoch. Ein sauberes Ergebnis ist auch keine Garantie, weil eine neue oder angepasste Datei vielleicht noch von nichts erkannt wird.

Bitte um ein anderes Format. Eine echte Bewerberin kann den Lebenslauf als normales PDF erneut schicken. Ein Kunde kann Text in den E-Mail-Text einfügen. Fragen kostet nichts, und wer eine bestimmte Datei zustellen will, wehrt sich meist.

Nutze für alles Ungewöhnliche eine isolierte Umgebung. Windows Sandbox gibt es in den Editionen Pro, Enterprise und Education von Windows, sie wird über Windows-Features aktivieren oder deaktivieren eingeschaltet und setzt voraus, dass Virtualisierung aktiviert ist. Sie gibt dir einen Wegwerf-Desktop, und alles darin wird beim Schließen verworfen. Sie hat standardmäßig weiterhin Netzwerkzugriff, solange du das nicht in einer Konfigurationsdatei abschaltest, eine Datei darin kann also das Internet erreichen, und du solltest dich von dort aus nirgends anmelden. Eine virtuelle Maschine oder ein Ersatzgerät erfüllt denselben Zweck.

Ein Schnelltest vor dem Doppelklick

Geh das durch, wenn sich etwas falsch anfühlt. Zwei oder mehr beunruhigende Antworten reichen als Grund, die Nachricht zu löschen oder zuerst zu prüfen.

• Kenne ich diesen Absender, und habe ich diese Datei gerade erwartet?
• Passen die echte Adresse und Domain zu dem, wer er zu sein behauptet?
• Ist das der Dateityp, den ich zu diesem Thema erwarten würde?
• Steckt die Datei in einem Behälter, besonders in einem passwortgeschützten?
• Drängt die Nachricht auf Zeitdruck, Geheimhaltung, Zahlung oder Anmeldung?
• Verlangt das Dokument, Bearbeitung, Inhalt oder Makros zu aktivieren?
• Kann ich das zuerst über einen getrennten Kanal bestätigen?

Handys und Macs sind anders, nicht immun

Windows-Programme und -Skripte laufen auf iOS oder Android schlicht nicht, und mobile Systeme sperren Apps strenger ein als klassische Desktop-Systeme. Das beseitigt eine große Klasse von Bedrohungen. Aber Handys haben eigene Schwächen, und Phishing funktioniert auf einem kleinen Bildschirm mindestens genauso gut, wo vollständige Adressen verborgen sind und ein gefälschter Login-Button aussieht wie jeder andere.

Auf Android ist das wichtigste Dateirisiko die APK, ein als Anhang geschicktes App-Paket. Sie lässt sich nur installieren, wenn du der App, die sie geöffnet hat, erlaubt hast, unbekannte Apps zu installieren. Prüfe das unter Einstellungen, Apps, Spezieller App-Zugriff, Unbekannte Apps installieren, wobei der genaue Pfad je nach Hersteller abweicht. Lass es für deine Mail-App und deinen Browser ausgeschaltet und installiere Apps nur aus offiziellen Stores. Achte auf iPhone und iPad auf Konfigurationsprofile, die Einstellungen wie VPN und vertrauenswürdige Zertifikate ändern können. Installierte Profile erscheinen unter Einstellungen, Allgemein, VPN & Geräteverwaltung. Installiere keines, nur weil eine E-Mail dich darum bat.

Mail-Apps auf Handys verbergen außerdem oft die vollständige Absenderadresse und die Dateiendung, du musst sie also antippen, um sie zu sehen. Wenn eine Datei wichtig aussieht und du ihre Details nicht bequem lesen kannst, warte, bis du an einem größeren Bildschirm sitzt. Sehr wenige ehrliche Anhänge können nicht eine Stunde warten.

Macs haben ihren eigenen Schutz, Gatekeeper, der heruntergeladene Apps vor dem ersten Start prüft und vor Software warnt, die nicht von einem identifizierten Entwickler stammt. Betrugsanleitungen sagen manchmal, du sollst diese Warnung umgehen, indem du die Datei anders öffnest oder einen Befehl ins Terminal einfügst. Behandle diese Anweisungen genau wie „Inhalt aktivieren“ in einem Word-Dokument. Achte auf .dmg-, .pkg-, .app- und .command-Dateien von Fremden, die Mac-Gegenstücke der ersten Zeilen der Tabelle.

Einstellungen, die die Chancen verändern

Dafür braucht es keine Spezialwerkzeuge. Diese Liste einmal durchzugehen dauert etwa so lang wie eine Kaffeepause, und das meiste muss nie wiederholt werden.

Einstellung	Wo	Wobei sie hilft
Dateinamenerweiterungen anzeigen	Ansicht-Menü des Datei-Explorers; Finder-Einstellungen, Erweitert	Doppelte Endungen und getarnte Dateien
Automatische Updates	System- und App-Store-Einstellungen	Bekannte Lücken in Viewern, Browsern und Office
Sicherheitssoftware eingeschaltet	Windows-Sicherheit oder das Produkt deiner Wahl	Bekannte Schadsoftware beim Speichern oder Öffnen von Dateien
Geschützte Ansicht und Makro-Blockierung	Office: Datei, Optionen, Trust Center, Einstellungen für das Trust Center (normalerweise an)	Dokumente, die ohne deine Entscheidung Code ausführen
Installation unbekannter Apps blockieren	Android: Spezieller App-Zugriff	Per E-Mail erhaltene APK-Dateien
Normales Konto ohne Administratorrechte für den Alltag	Konto-Einstellungen des Systems	Schadsoftware, die leicht systemweite Rechte bekommt
Mehrstufige Anmeldung bei wichtigen Konten	Sicherheitsseite jedes Kontos	Kontoübernahme nach einem gestohlenen Passwort
Eine eigene Adresse für Registrierungen	Eine zweite Adresse, ein Alias oder ein temporäres Postfach	Dein Haupt-Postfach als Angriffsziel

Häufige Anhänge und wie sie meist schiefgehen

Die folgenden Situationen sind Beispiele für Muster, die oft vorkommen. Wichtig ist jeweils der Unterschied zwischen dem, wie die echte Sache normalerweise ankommt, und dem, was du vor dir hast.

Die Behauptung	Wie die echte Sache aussieht	Was dich stoppen sollte	Was zu tun ist
Rechnung von einer Firma, die du nicht nutzt	Du hättest ein Konto oder eine Bestellung	Keine Beziehung, und oft ein Archiv, eine HTML-Datei oder ein Makro-Dokument	Löschen
Rechnung von einer Firma, die du nutzt	In deinem Konto sichtbar, im gewohnten Format	Neues Format, neue Bankdaten, seltsamer Zeitpunkt	Direkt anmelden oder eine bekannte Nummer anrufen
„Vorschau“ eines geteilten Dokuments	Ein Link des Freigabe-Dienstes, der sich dort öffnet, wo du schon angemeldet bist	Eine angehängte HTML-Datei mit einer Login-Seite	Den Dienst selbst aufrufen und nach der Freigabe suchen
Lebenslauf oder Portfolio	Ein normales PDF oder Dokument	Ein Archiv, ein Makro-Dokument oder ein Link zu einer seltsamen Download-Seite	Vorschau ansehen und um ein normales Format bitten
Mailbox- oder Fax-Benachrichtigung	Viele Telefonsysteme schicken eine Audiodatei wie WAV oder MP3	HTML, ein Archiv oder ein Programm	Das Portal deines Telefonsystems prüfen
Dringende Datei von deinem „Vorgesetzten“	Übliche Kanäle und üblicher Ton	Geheimhaltung, Eile, eine Bitte um Zahlung	Per Telefon oder persönlich bestätigen
Neuer Anhang in einem alten Verlauf	In der Sprache der Person geschrieben und zum Thema passend	Allgemeines „siehe Anhang“, ein Dateityp, den sie nie schickt	Die Person vor dem Öffnen separat kontaktieren

Die Zeile mit der Bewerberin verdient für alle, die einstellen, ein Wort. Beim Einstellen sollen unbekannte Menschen dir Dateien schicken, und genau deshalb ahmen Angreifer es nach. Eine veröffentlichte Regel „nur PDF, keine Archive oder Links“ kostet echte Bewerber nichts und beseitigt den größten Teil des Risikos, bevor etwas ankommt.

Für kleine Teams

Wenn du dich um die E-Mail eines Teams kümmerst, verringern ein paar Kontrollen, wie viel an der Einschätzung einer einzelnen Person an einem hektischen Nachmittag hängt. Stelle den Mail-Dienst so ein, dass er Hochrisiko-Typen wie Programme und Skripte ganz blockiert und passwortgeschützte Archive von außen zur Prüfung zurückhält. Veröffentliche SPF, DKIM und DMARC für deine eigene Domain, damit dein Name schwerer zu fälschen ist, und lies die DMARC-Berichte, um zu sehen, wer in deinem Namen sendet. Ein sichtbares Banner auf Nachrichten von außerhalb der Organisation hilft, zu bemerken, wenn „der Chef“ von woanders schreibt.

Intern sind geteilte Links einer Plattform, der du vertraust, besser als Anhänge, denn dann fällt jeder Anhang von außen auf. Vereinbart eine schriftliche Regel, dass eine Änderung der Bankdaten immer telefonisch bestätigt wird, unter einer Nummer, die schon vorliegt, egal wer fragt und wie dringend es scheint. Und gib dem Personal einen Ein-Klick-Weg, Verdächtiges zu melden, und bedanke dich bei denen, die ihn nutzen, auch bei denen, die schon geklickt haben. Wer aus Verlegenheit schweigt, schenkt einem Eindringling Stunden zusätzlicher Zeit.

Wenn du sie schon geöffnet hast

Auch sorgfältige Menschen machen diesen Fehler, meist wenn sie müde oder beschäftigt sind. Die ersten Minuten zählen, und was du tust, hängt davon ab, was wirklich passiert ist.

Du hast ein Bild oder PDF in einem aktuellen Viewer geöffnet und nichts angeklickt. Das reale Risiko ist gering. Starte einen Scan und mach weiter, und achte auf Folgenachrichten.

Du hast etwas ausgeführt, entpackt oder Makros aktiviert. Geh diese Schritte der Reihe nach durch:

1. Schließe die Datei und beantworte ihre Aufforderungen nicht weiter. Gib keine Passwörter ein.
2. Schalte das WLAN aus oder zieh das Netzwerkkabel. Das kann verhindern, dass Schadsoftware weitere Komponenten nachlädt oder Daten nach draußen schickt.
3. Melde es auf einem Arbeitsgerät sofort von einem anderen Gerät aus und versuche nicht, es selbst zu bereinigen. Frühe Meldungen lassen IT oder Sicherheitspersonal das Problem eindämmen, bevor es sich ausbreitet.
4. Starte einen vollständigen Scan. In der Windows-Sicherheit gehst du auf Viren- & Bedrohungsschutz, Scanoptionen, wo ein Microsoft Defender Offline-Scan den Computer neu startet und scannt, bevor Windows lädt.
5. Ändere von einem anderen, sauberen Gerät aus deine wichtigen Passwörter, beginnend mit E-Mail, da sich über E-Mail alles andere zurücksetzen lässt. Dann Online-Banking und alles, wobei du dich zuletzt auf dem betroffenen Rechner angemeldet hast.
6. Sieh dir die letzten Anmeldungen, Weiterleitungsregeln, Filter und verbundenen Apps deines E-Mail-Kontos an. Angreifer legen manchmal eine versteckte Regel an, damit sie deine Post auch nach der Passwortänderung weiter erhalten.
7. Aktiviere die mehrstufige Anmeldung für die Konten, auf die es ankommt, oder bestätige, dass sie noch an ist.

Du hast ein Passwort auf einer Seite eingegeben, die der Anhang geöffnet hat. Behandle dieses Passwort als gestohlen. Ändere es auf der echten Seite, indem du die Adresse selbst eintippst, und ändere es überall, wo du es sonst benutzt hast.

Du hast Kartendaten eingegeben. Ruf deine Bank oder deinen Kartenanbieter unter der auf der Karte aufgedruckten Nummer an und bitte darum, sie zu sperren.

Das Gerät verhält sich weiterhin seltsam. Neue Programme, abgeschaltete Sicherheitswerkzeuge und Browser-Umleitungen sind Zeichen, dass ein Scan nicht gereicht hat. Das Zurückspielen eines bekannten guten Backups oder eine Neuinstallation des Systems ist die verlässliche Lösung, und deshalb gehört ein Offline- oder versioniertes Backup in der Praxis zur Anhang-Sicherheit.

Wo ein temporäres Postfach passt und wo nicht

Alles oben wirkt erst, nachdem dich eine riskante Nachricht erreicht hat. Der Schutz des Postfachs wirkt früher, indem er begrenzt, wer deine wichtige Adresse überhaupt erreichen kann. Jede Seite, die deine echte Adresse hat, kann sie verraten, verkaufen oder gehackt werden. Weniger Angriffsfläche heißt später weniger unbekannte Absender, und dadurch fällt auch die gelegentliche unerwartete Datei leichter auf. Unser Artikel zum Ordnen deiner privaten E-Mail erklärt, wie du Adressen nach Vertrauensstufe trennst.

Ein temporäres Postfach ist ein Werkzeug für die unterste Stufe. Wenn du eines für einen einmaligen Download oder eine einzelne Forenfrage nutzt, wo die Bedingungen der Seite es erlauben, erfährt dieser Absender deine Haupt-Adresse nie. Unser Ratgeber zur Registrierung ohne echte E-Mail-Adresse behandelt, wann das angemessen ist und wann eine dauerhafte Adresse die richtige Wahl ist. Entwickler nutzen temporäre Postfächer auch, um zu prüfen, ob ihre eigene Anwendung Anhänge richtig verschickt, ohne ein privates Postfach zu füllen.

Sei dir der Grenzen bewusst. Eine temporäre Adresse schützt deine Adresse, nicht dein Gerät. Sobald du eine Datei herunterlädst, gilt jede Prüfung aus diesem Artikel in vollem Umfang. Temporäre Postfächer sind nichts für Verträge, Ausweise, medizinische oder finanzielle Unterlagen, und sie eignen sich nicht für Online-Banking, Behördendienste oder irgendein Konto, das du wiederherstellen musst. Jeder, der eine Adresse kennt oder errät, kann dieses Postfach öffnen, eine zufällige Adresse ist also die sicherere Wahl, und nichts Vertrauliches gehört dorthin.

Bei VookMail ist eine Adresse da, sobald die Seite lädt, ohne Registrierung. Anhänge funktionieren innerhalb der Größenbeschränkungen, und das Postfach zeigt die Nachricht an und listet die Dateien auf, ohne etwas auszuführen. Gängige Programmdateien wie .exe, .bat und .apk werden abgelehnt, und bei Archiven wie .zip erscheint ein Hinweis zur Vorsicht, ein nützlicher Anstoß, die obigen Archiv-Schritte anzuwenden. Unsere Domains empfangen Mail über einen Zustelldienst, der sie per HTTPS an uns weiterleitet. Nachrichten und Anhänge werden nach etwa einem Tag gelöscht, lade also zügig herunter, was du brauchst, und betrachte das Postfach nicht als Speicher. Die Datenschutzerklärung und die Methodik-Seite erklären den Umgang genauer.

Auch der QR-Button kann bei der Vorsicht mit Anhängen helfen. Er zeigt deine Adresse als Code, den du auf einem anderen Gerät scannen kannst, wo Neu und dieselbe Adresse samt Domain dieses Postfach öffnen. Wenn du eine zweifelhafte Datei also lieber auf einem Handy oder Ersatzgerät ansehen willst als auf deinem Hauptcomputer, kannst du das tun. Eine Datei, die du absichtlich heruntergeladen hast, sollte trotzdem dem entsprechen, was dir versprochen wurde. Wenn eine Seite einen PDF-Leitfaden angeboten hat und du ein ZIP mit einer Verknüpfung bekommen hast, lösche es.

Fehler, die man verlernen sollte

• Eine verdächtige Datei an einen Kollegen weiterleiten, „damit er sie prüft“. Das verbreitet das Risiko. Nutze stattdessen den Meldeweg deiner Organisation.
• Ein Archiv entpacken, um zu sehen, was drin ist, obwohl das Auflisten des Inhalts es gezeigt hätte.
• Ein Passwort verwenden, das in derselben E-Mail steht. Das gibt dem Angreifer, was er wollte: eine Datei, die dein Scanner nie gesehen hat.
• Aus Gewohnheit auf Bearbeitung aktivieren klicken. Bei einem Dokument, das du nur lesen musst, gibt es nichts zu gewinnen.
• Einen sauberen Scan als Beweis betrachten. Er heißt nur, dass heute kein Scanner die Datei erkannt hat.
• Vertrauliche Dateien bei öffentlichen Scannern hochladen, die private Daten an Dritte weitergeben können.
• Updates aufschieben. Viele Anhang-Exploits zielen auf Lücken, die in aktuellen Versionen von Office, PDF-Readern, Browsern und Betriebssystemen schon geschlossen sind.
• Nach einem Fehlklick schweigen. Auf einem Arbeitskonto hilft eine Stunde Schweigen niemandem außer dem Angreifer.

Fragen, die oft aufkommen

Kann man sich allein durch das Öffnen einer E-Mail einen Virus einfangen?

In einer aktuellen Mail-App ist es sehr unwahrscheinlich, dass das Öffnen und Lesen einer Nachricht ein Gerät infiziert. Die Gefahr beginnt meist, wenn du einen Anhang öffnest oder ausführst, Makros aktivierst oder auf einen Link klickst. Das Laden von Bildern kann dem Absender allerdings verraten, dass du die Nachricht geöffnet hast, was eher ein Datenschutzproblem als eine Infektion ist.

Schützt mich ein Virenscanner vor allen schädlichen Anhängen?

Nein. Virenscanner und Mail-Filter fangen einen großen Teil bekannter Bedrohungen ab, aber neue oder angepasste Dateien können durchrutschen, und eine gefälschte Anmeldeseite muss gar keine Schadsoftware enthalten. Scannen ist eine Schicht neben der Absenderprüfung, der Kenntnis von Dateitypen, blockierten Makros und Updates.

Sollte ich einem Anhang trauen, weil er von einem Freund kam?

Vertraue der Person und prüfe trotzdem die Nachricht. Konten werden gekapert, eine seltsame Datei von einem Freund mit ungewöhnlich knapper Notiz ist also eine kurze SMS wert, um zu fragen, ob er sie geschickt hat.

Ist es sicherer, eine verdächtige Datei auf meinem Handy zu öffnen?

Das kann es sein, bei Windows-Programmen, die dort nicht laufen. Gegen gefälschte Login-Seiten hilft es nichts, und die sind in einem PDF oder einer HTML-Datei die wahrscheinlichere Bedrohung. Ein Handy ist ein anderes Risiko, und ein Ersatzgerät oder eine Sandbox ist die bessere Wahl, wenn du echte Trennung willst.

Ist es sicher, Anhänge in einem temporären Postfach zu empfangen?

Der Empfang ist derselbe wie in jedem Postfach, denn der Dienst speichert und zeigt die Datei, ohne sie auszuführen. Entscheidend ist, was nach dem Herunterladen passiert. Wende dieselben Prüfungen an und halte Vertrauliches aus einem Postfach heraus, das andere öffnen könnten, wenn sie die Adresse erraten.