Anhänge sicher öffnen

Modul 2: E-Mails lesen · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion wissen Sie, wie ein Anhang in einer E-Mail steckt, welche Dateitypen gefährlich sind und warum, wie Sie einen Dateinamen lesen und was Sie tun, wenn Sie Zweifel haben.

Kernbegriffe: MIME, Anhang, base64, Dateiendung, ausführbare Datei, Makro, HTML-Anhang, doppelte Endung, Vorschau im Browser, anderer Kanal

Wie ein Anhang in einer E-Mail steckt

Eine E-Mail besteht technisch gesehen nur aus Text. Trotzdem können Sie damit Fotos, PDFs und Tabellen versenden. Das ist dank MIME möglich: einer Vereinbarung darüber, wie eine E-Mail in Teile aufgeteilt wird. Eine E-Mail mit Anhang besteht aus mindestens zwei Teilen: dem Text der Nachricht und der Datei. Jeder Teil hat eigene Header, zum Beispiel:

Content-Type: application/pdf; name="angebot-brautstrauss.pdf"
Content-Disposition: attachment; filename="angebot-brautstrauss.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Die Datei selbst wurde mit base64 in Text umgewandelt: Jeweils 3 Bytes werden zu 4 Zeichen. Dadurch wird ein Anhang unterwegs etwa ein Drittel größer. Mehr dazu in Lektion 3.3. Mit Mehr > Quelltext anzeigen sehen Sie das selbst bei jeder E-Mail mit Anhang.

Die wichtigste Erkenntnis: Den Namen der Datei und den Dateityp (Content-Type) wählt der Absender. Niemand prüft unterwegs, ob eine Datei namens "rechnung.pdf" auch wirklich ein PDF ist. Der Name ist ein Etikett, kein Beweis.

Warum manche Dateien gefährlich sind

Eine Datei ist gefährlich, wenn sie auf Ihrem Computer etwas tun kann, sobald Sie sie öffnen. Ein Foto oder ein normales PDF zeigt Ihnen etwas an. Ein Programm führt Befehle aus. Der Unterschied steckt in der Dateiendung: den Buchstaben nach dem letzten Punkt im Namen. Ihr Computer wählt danach aus, mit welchem Programm die Datei geöffnet wird.

Diese Dateitypen öffnen Sie nur, wenn Sie sie wirklich erwarten und den Absender über einen anderen Kanal überprüft haben:

Ausführbare Dateien und Skripte: .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Das sind Programme oder Befehle. Öffnen heißt starten. Ein gewöhnlicher Kunde, Lieferant oder eine Bank schickt Ihnen so etwas nie per E-Mail.
Verknüpfungen und Datenträgerabbilder: .lnk, .iso, .img. Eine .lnk-Datei kann einen Befehl starten. Eine .iso- oder .img-Datei öffnet Windows als zusätzliches Laufwerk, und darin steckt dann oft wieder ein Programm oder eine Verknüpfung. Angreifer nutzen diese Verpackung, um Virenscanner zu umgehen.
Office-Dateien mit Makros: .docm, .xlsm und ähnliche. Ein Makro ist ein kleines Programm in einem Dokument. Office blockiert Makros in Dateien aus dem Internet meistens, aber der Angriff zielt darauf ab, dass Sie sie trotzdem aktivieren. Ein Dokument, das Sie auffordert, "Inhalt aktivieren" oder "Bearbeitung aktivieren" zu wählen, um den Text sehen zu können, ist ein Warnsignal.
HTML-Anhänge: .html oder .htm. Diese öffnet Ihr Browser als Webseite. Oft handelt es sich um eine gefälschte Anmeldeseite, zum Beispiel Ihrer Webmail oder von Microsoft, in der Ihre eigene Adresse bereits eingetragen ist. Was Sie eintippen, geht an den Angreifer. Da die Datei auf Ihrem eigenen Computer liegt, sehen Sie in der Adressleiste keine verdächtige Webadresse.
ZIP-Dateien mit Passwort, bei denen das Passwort in der E-Mail selbst steht. Ein Virenscanner kann nicht in ein verschlüsseltes Archiv hineinschauen. Genau deshalb machen Angreifer das. Eine normale ZIP-Datei ohne Passwort ist nicht unbedingt verdächtig, aber prüfen Sie, was darin steckt, bevor Sie etwas öffnen.

Und PDFs? Ein PDF ist zum Ansehen meistens sicher, vor allem im Browser. Die Gefahr liegt im Inhalt: eine Schaltfläche "Rechnung ansehen" oder ein QR-Code, der zu einer gefälschten Anmeldeseite führt. Behandeln Sie einen Link in einem PDF genauso kritisch wie einen Link in einer E-Mail (Lektion 2.4).

Lesen Sie den Namen von rechts nach links

Windows blendet die Endung bekannter Dateitypen standardmäßig aus. Eine Datei mit dem Namen

angebot-brautstrauss.pdf.exe

erscheint dann als "angebot-brautstrauss.pdf". Für Windows zählt nur die letzte Endung: Das ist ein Programm. Auch das Symbol sagt nichts aus, denn ein Programm kann jedes beliebige Symbol erhalten, auch das eines PDFs.

Die Webmail zeigt den Namen so an, wie er in der E-Mail steht, mit allen Endungen. Lesen Sie ihn deshalb in der Webmail, bevor Sie etwas herunterladen. Ist der Name zu lang und abgeschnitten, sehen Sie unter Mehr > Quelltext anzeigen bei filename nach. Beginnen Sie rechts: Was steht nach dem letzten Punkt? Achten Sie auch auf lange Namen mit vielen Leerzeichen vor der echten Endung und auf Namen wie "Rechnung_2026_pdf.zip": Diese enthalten "pdf", sind aber eine ZIP-Datei.

Tipp für Windows: Aktivieren Sie im Explorer unter Ansicht die Dateinamenerweiterungen. Dann sehen Sie immer die echte Endung.

Ansehen oder herunterladen?

Klicken Sie in der Webmail auf den Namen eines Anhangs, öffnet die Webmail ihn in einem neuen Fenster, wenn Ihr Browser diesen Dateityp anzeigen kann, etwa ein PDF oder ein Foto. Das ist die sicherste Art, ihn anzusehen: Der Browser zeigt die Datei in seiner eigenen abgeschirmten Umgebung an und startet kein Programm auf Ihrem Computer.

Laden Sie einen Anhang herunter und öffnen ihn auf Ihrem Computer, geschieht das über das Programm, das zur Endung gehört: Word, Excel oder bei einer .exe-Datei die Datei selbst. Dort liegt das Risiko. Laden Sie also nur herunter, was Sie brauchen und erwarten.

Eine Nachricht mit zwei Fotos als Anhang und dem Link Alle Anhänge herunterladen — (1) die Anhänge, (2) Alle Anhänge herunterladen

Auf der Abbildung sehen Sie eine Nachricht mit zwei Fotos als Anhang und den Link Alle Anhänge herunterladen. Dieser Link liefert Ihnen eine einzige ZIP-Datei mit allen Anhängen. Praktisch, aber damit laden Sie auch Anhänge herunter, die Sie sich nicht angesehen haben.

Vertrauen hängt von der Situation ab

Ob ein Anhang sicher oder gefährlich ist, hängt nicht nur vom Dateityp ab. Auch die Situation zählt. Stellen Sie sich drei Fragen:

Erwarte ich das? Julia hat Mehmet um ein Foto des Kleides gebeten; eine .jpg-Datei von Mehmet ist dann logisch. Eine unerwartete "Rechnung" von einer Firma, bei der sie nie etwas gekauft hat, nicht.
Passt die Datei zur Geschichte? Ein Angebot ist ein PDF. Ein Angebot als .html, .iso oder ZIP mit Passwort passt nicht.
Stimmt der Absender? Achten Sie auf die Adresse und die Domain (Lektion 2.2). Aber Vorsicht: Auch ein echter Absender kann gehackt worden sein. Wurde das Postfach von Lukas übernommen, kommt ein gefährlicher Anhang ganz normal von lukas@example.com, oft als Antwort in einer bestehenden Unterhaltung.

Haben Sie Zweifel, fragen Sie über einen anderen Kanal nach: Rufen Sie den Absender unter einer Nummer an, die Sie bereits hatten, oder schicken Sie eine neue Nachricht (nicht als Antwort auf die verdächtige E-Mail). Ein echter Absender findet das nicht seltsam.

Haben Sie doch etwas geöffnet, das nicht stimmt? Trennen Sie den Computer vom Netzwerk, ändern Sie Ihre Passwörter von einem anderen Gerät aus und holen Sie sich Hilfe. Der Kurs Sicher online beschreibt das Schritt für Schritt.

In der Praxis: So funktioniert es in der Webmail

Anhänge stehen in der Webmail über dem Text der Nachricht. Klicken Sie auf den Namen, um ihn anzusehen; über den Pfeil neben dem Namen wählen Sie unter anderem das Herunterladen. Alle Anhänge herunterladen liefert eine einzige ZIP-Datei. Das Roundcube-Handbuch beschreibt die Schaltflächen unter Anhänge öffnen und speichern. In anderer Webmail, etwa Gmail oder Outlook.com, funktioniert es ähnlich: Auch dort können Sie einen Anhang zuerst im Browser ansehen, bevor Sie ihn herunterladen.

Zusammenfassung

Ein Anhang ist ein Teil der E-Mail (MIME), als Text mit base64 kodiert; Name und Typ wählt der Absender selbst.
Gefährlich sind Programme und Skripte, Verknüpfungen und Datenträgerabbilder, Office-Dateien mit Makros, HTML-Anhänge und ZIP-Dateien mit Passwort.
Lesen Sie einen Dateinamen von rechts nach links; nur die letzte Endung zählt, und das Symbol beweist nichts.
Ansehen im Browser ist sicherer als Herunterladen und Öffnen.
Haben Sie Zweifel, prüfen Sie über einen anderen Kanal nach; auch ein bekannter Absender kann gehackt worden sein.

Quiz

Aufgabe

Aufgabe A2.3: Welchen Anhängen vertrauen Sie nicht? Das Material bijlagen-1.txt finden Sie unter dieser Aufgabe: zehn nummerierte Anhänge, jeweils mit dem Absender und der Situation, in der die E-Mail eingegangen ist. Beurteilen Sie jeden Anhang mit den drei Fragen aus dieser Lektion (Erwarte ich das? Passt die Datei zur Geschichte? Stimmt der Absender?) und mit dem, was Sie über Endungen wissen. Tragen Sie die Nummern der Anhänge ein, die Sie nicht öffnen. Das Programm vergleicht Ihre Auswahl mit dem Lösungsschlüssel und zeigt für jeden Anhang, ob Ihre Wahl stimmt, mit Begründung.

Weiterführende Informationen

Wo Schritte in der Webmail beschrieben sind, gelten sie für die Webmail von WebOké; in anderer Webmail funktioniert es ähnlich.

Cookies bei WebOké

Cookie-Einstellungen

Notwendig

Marketing