Dass man keine .exe aus einer unbekannten Mail öffnet, hat sich herumgesprochen. Genau deshalb kommen die gefährlichen Anhänge heute als Rechnung, Lieferschein oder Bewerbung – in Formaten, die niemand für gefährlich hält.
Office-Dateien: Makros
Word, Excel und PowerPoint können Programmcode enthalten, sogenannte Makros. Ursprünglich waren sie zur Automatisierung gedacht; sie können aber auch Dateien herunterladen und ausführen.
Der übliche Ablauf: Das Dokument öffnet sich und zeigt einen unscharfen, scheinbar geschützten Inhalt mit dem Hinweis, man müsse „Bearbeitung aktivieren", um ihn zu sehen. Genau dieser Klick startet das Makro.
Microsoft blockiert Makros in Dateien aus dem Internet inzwischen standardmäßig, was viel gebracht hat. Umgangen wird das über Container: Die Datei kommt in einem Archiv oder einem Datenträgerabbild, wodurch die Herkunftsmarkierung verlorengeht.
Praktische Regel: Ein Dokument, das dich auffordert, irgendetwas zu aktivieren, ist ein Angriff. Legitime Dateien brauchen das nicht.
PDF: mehr als ein Bild vom Papier
Ein PDF ist kein statisches Abbild, sondern ein Container mit einer eigenen Sprache. Es kann enthalten:
- JavaScript. Historisch für Formularlogik gedacht, immer wieder Ziel von Sicherheitslücken.
- Eingebettete Dateien. Ein PDF kann andere Dateien mitführen, die sich per Klick öffnen lassen.
- Automatische Aktionen. Etwa eine Weiterleitung beim Öffnen.
- Formulare, die Daten verschicken. Ausgefüllt und abgeschickt landen sie beim Angreifer.
Der häufigste Fall ist allerdings banaler: Das PDF enthält schlicht ein Bild und einen Link auf eine gefälschte Anmeldeseite. Kein Schadcode, nichts zu erkennen für einen Scanner – der Angriff findet erst im Browser statt.
Die unauffälligen Formate
- Archive (
.zip,.rar,.7z). Verstecken den Inhalt vor einfachen Prüfungen. Verschlüsselte Archive mit dem Passwort im Mailtext sind ein deutliches Warnsignal – das dient allein dazu, die Prüfung zu verhindern. .iso,.img,.vhd. Werden beim Doppelklick als Laufwerk eingebunden. Dateien darin tragen keine Herkunftsmarkierung mehr..lnk. Sieht aus wie eine Verknüpfung, kann aber beliebige Befehle ausführen..svg. Eine Bilddatei, die HTML und JavaScript enthalten kann. Im Browser geöffnet wird daraus eine Webseite.- Doppelte Endungen.
rechnung.pdf.exe– Windows blendet die letzte Endung standardmäßig aus.
Was hilft
- Erwartest du diese Datei? Eine unerwartete Rechnung von einem Anbieter, bei dem du nichts bestellt hast, ist immer verdächtig.
- Nichts aktivieren. Weder Makros noch Bearbeitung noch „geschützte Ansicht verlassen".
- Endungen einblenden. Im Explorer unter Ansicht die Dateinamenerweiterungen anzeigen lassen.
- Im Browser öffnen. PDFs in der Vorschau von Browser oder Webmailer ansehen statt im lokalen Programm – die laufen in einer abgeschotteten Umgebung.
- Im Zweifel nachfragen, über einen Kanal, den du selbst gewählt hast. Nicht über die Nummer aus der Mail.
Was wir tun
Wir nehmen rund vierzig ausführbare Dateiendungen grundsätzlich nicht an. Das hält die plumpen Fälle ab und ist ausdrücklich kein Virenschutz: Ein umbenanntes oder in ein Archiv gepacktes Schadprogramm kommt durch, und ein PDF mit einem Link auf eine gefälschte Anmeldeseite sieht für jede Prüfung harmlos aus. Behandle Anhänge in einem offenen Postfach entsprechend – wir betreiben keinen Virenscanner und sagen das lieber deutlich.