Anhänge sicher öffnen

Modul 2: E-Mails lesen · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion wissen Sie, wie ein Anhang in einer E-Mail steckt, welche Dateiarten gefährlich sind und warum, wie Sie einen Dateinamen lesen und was Sie tun, wenn Sie unsicher sind.

Kernbegriffe: MIME, Anhang, base64, Dateiendung, ausführbare Datei, Makro, HTML-Anhang, doppelte Dateiendung, Vorschau im Browser, anderer Kanal

Wie ein Anhang in einer E-Mail steckt

Technisch gesehen ist eine E-Mail nur Text. Trotzdem können Sie damit Fotos, PDFs und Tabellen verschicken. Das ermöglicht MIME: eine Vereinbarung darüber, wie eine E-Mail in Teile gegliedert wird. Eine E-Mail mit Anhang besteht aus mindestens zwei Teilen: dem Text der Nachricht und der Datei. Jeder Teil hat eigene Header, zum Beispiel:

Content-Type: application/pdf; name="offerte-bruidsboeket.pdf"
Content-Disposition: attachment; filename="offerte-bruidsboeket.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Die Datei selbst wird mit base64 in Text umgewandelt: Aus jeweils 3 Bytes werden 4 Zeichen. Dadurch wird ein Anhang unterwegs ungefähr ein Drittel größer. Mehr dazu in Lektion 3.3. Mit Mehr > Quelltext anzeigen sehen Sie das bei jeder E-Mail mit Anhang selbst.

Die wichtigste Erkenntnis: Den Namen der Datei und die Art der Datei (Content-Type) wählt der Absender. Niemand prüft unterwegs, ob eine Datei namens "factuur.pdf" (Rechnung) wirklich ein PDF ist. Der Name ist ein Etikett, kein Beweis.

Warum manche Dateien gefährlich sind

Eine Datei ist gefährlich, wenn sie auf Ihrem Computer etwas ausführen kann, sobald Sie sie öffnen. Ein Foto oder ein gewöhnliches PDF zeigt Ihnen etwas an. Ein Programm führt Befehle aus. Der Unterschied steckt in der Dateiendung: den Buchstaben nach dem letzten Punkt im Namen. Anhand dieser Endung entscheidet Ihr Computer, mit welchem Programm die Datei geöffnet wird.

Die folgenden Arten öffnen Sie nur, wenn Sie sie wirklich erwarten und den Absender über einen anderen Kanal überprüft haben:

• Ausführbare Dateien und Skripte: .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Das sind Programme oder Befehle. Öffnen bedeutet starten. Ein normaler Kunde, Lieferant oder eine Bank schickt Ihnen so etwas nie per E-Mail.
• Verknüpfungen und Datenträgerabbilder: .lnk, .iso, .img. Eine .lnk-Datei kann einen Befehl starten. Eine .iso- oder .img-Datei öffnet Windows als zusätzliches Laufwerk, und darin steckt dann oft wieder ein Programm oder eine Verknüpfung. Angreifer nutzen diese Verpackung, um Virenscanner zu umgehen.
• Office-Dateien mit Makros: .docm, .xlsm und ähnliche. Ein Makro ist ein kleines Programm in einem Dokument. Office blockiert Makros in Dateien aus dem Internet meistens, doch der Angriff zielt darauf ab, dass Sie sie trotzdem aktivieren. Ein Dokument, das Sie auffordert, auf "Inhalt aktivieren" oder "Bearbeitung aktivieren" zu klicken, damit Sie den Text sehen können, ist ein Warnsignal.
• HTML-Anhänge: .html oder .htm. Diese öffnet Ihr Browser als Webseite. Häufig handelt es sich um eine nachgemachte Anmeldeseite, zum Beispiel Ihrer Webmail oder von Microsoft, in der Ihre eigene Adresse bereits eingetragen ist. Was Sie dort eintippen, geht an den Angreifer. Weil die Datei auf Ihrem eigenen Computer liegt, sehen Sie in der Adressleiste keine verdächtige Webadresse.
• ZIP-Dateien mit Passwort, bei denen das Passwort in der E-Mail selbst steht. Ein Virenscanner kann nicht in ein verschlüsseltes Archiv hineinschauen. Genau deshalb machen Angreifer das. Eine normale ZIP-Datei ohne Passwort ist nicht unbedingt verdächtig, doch prüfen Sie, was darin steckt, bevor Sie etwas öffnen.

Und PDFs? Ein PDF lässt sich meist gefahrlos ansehen, besonders im Browser. Die Gefahr liegt im Inhalt: eine Schaltfläche "Rechnung ansehen" oder ein QR-Code, der zu einer gefälschten Anmeldeseite führt. Behandeln Sie einen Link in einem PDF genauso kritisch wie einen Link in einer E-Mail (Lektion 2.4).

Lesen Sie den Namen von rechts nach links

Windows blendet die Endung bekannter Dateitypen standardmäßig aus. Eine Datei mit dem Namen

offerte-bruidsboeket.pdf.exe

erscheint dann als "offerte-bruidsboeket.pdf" (Angebot für einen Brautstrauß). Für Windows zählt nur die letzte Endung: Das hier ist ein Programm. Auch das Symbol sagt nichts aus, denn ein Programm kann jedes beliebige Symbol tragen, auch das eines PDFs.

Die Webmail zeigt den Namen so, wie er in der E-Mail steht, mit allen Endungen. Lesen Sie ihn deshalb in der Webmail, bevor Sie etwas herunterladen. Ist der Name zu lang und abgeschnitten, schauen Sie unter Mehr > Quelltext anzeigen bei filename nach. Beginnen Sie rechts: Was steht nach dem letzten Punkt? Achten Sie auch auf lange Namen mit vielen Leerzeichen vor der echten Endung und auf Namen wie "Factuur_2026_pdf.zip": Sie enthalten "pdf", sind aber eine ZIP-Datei.

Tipp für Windows: Schalten Sie im Explorer unter Ansicht die Dateinamenerweiterungen ein. Dann sehen Sie immer die echte Endung.

Ansehen oder herunterladen?

Klicken Sie in der Webmail auf den Namen eines Anhangs, öffnet die Webmail ihn in einem neuen Fenster, sofern Ihr Browser diese Dateiart anzeigen kann, etwa ein PDF oder ein Foto. Das ist die sicherste Art, einen Anhang anzusehen: Der Browser zeigt die Datei in seiner eigenen abgeschirmten Umgebung an und startet kein Programm auf Ihrem Computer.

Laden Sie einen Anhang herunter und öffnen ihn von Ihrem Computer aus, geschieht das über das Programm, das zur Endung gehört: Word, Excel oder bei einer .exe die Datei selbst. Genau darin liegt das Risiko. Laden Sie also nur herunter, was Sie brauchen und erwarten.

Auf der Abbildung sehen Sie eine Nachricht mit zwei Fotos als Anhang und den Link Alle Anhänge herunterladen. Dieser Link liefert Ihnen eine ZIP-Datei mit allen Anhängen. Das ist praktisch, aber damit laden Sie auch Anhänge herunter, die Sie sich nicht angesehen haben.

Vertrauen hängt von der Situation ab

Ob ein Anhang sicher oder gefährlich ist, hängt nicht nur von der Dateiart ab. Auch die Situation zählt. Stellen Sie sich drei Fragen:

1. Erwarte ich das? Sanne hat Ahmed um ein Foto des Kleides gebeten; eine .jpg-Datei von Ahmed ist dann logisch. Eine unerwartete "Rechnung" von einer Firma, bei der sie nie etwas gekauft hat, nicht.
2. Passt die Datei zur Geschichte? Ein Angebot ist ein PDF. Ein Angebot als .html, .iso oder als ZIP-Datei mit Passwort passt nicht.
3. Stimmt der Absender? Achten Sie auf die Adresse und die Domain (Lektion 2.2). Aber Vorsicht: Auch ein echter Absender kann gehackt sein. Wurde das Postfach von Daan übernommen, kommt ein gefährlicher Anhang ganz normal von daan@example.com, oft als Antwort in einer bestehenden Unterhaltung.

Sind Sie unsicher, fragen Sie über einen anderen Kanal nach: Rufen Sie den Absender unter einer Nummer an, die Sie bereits hatten, oder schreiben Sie eine neue Nachricht (nicht als Antwort auf die verdächtige E-Mail). Ein echter Absender findet das nicht seltsam.

Haben Sie doch etwas geöffnet, das nicht stimmt? Trennen Sie den Computer vom Netzwerk, ändern Sie Ihre Passwörter von einem anderen Gerät aus und holen Sie sich Hilfe. Der Kurs Sicher online beschreibt das Schritt für Schritt.

In der Praxis: So funktioniert es in der Webmail

Anhänge stehen in der Webmail über dem Text der Nachricht. Klicken Sie auf den Namen, um den Anhang anzusehen; über den Pfeil neben dem Namen wählen Sie unter anderem das Herunterladen. Alle Anhänge herunterladen liefert eine ZIP-Datei. Das Roundcube-Handbuch beschreibt die Schaltflächen unter Anhänge öffnen und speichern. In anderer Webmail, etwa Gmail oder Outlook.com, funktioniert es ähnlich: Auch dort können Sie einen Anhang zuerst im Browser ansehen, bevor Sie ihn herunterladen.

Zusammenfassung

• Ein Anhang ist ein Teil der E-Mail (MIME), mit base64 als Text kodiert; Namen und Art wählt der Absender selbst.
• Gefährlich sind Programme und Skripte, Verknüpfungen und Datenträgerabbilder, Office-Dateien mit Makros, HTML-Anhänge und ZIP-Dateien mit Passwort.
• Lesen Sie einen Dateinamen von rechts nach links; nur die letzte Endung zählt, und das Symbol beweist nichts.
• Ansehen im Browser ist sicherer als Herunterladen und Öffnen.
• Sind Sie unsicher, prüfen Sie über einen anderen Kanal nach; auch ein bekannter Absender kann gehackt sein.

Quiz

Aufgabe

Aufgabe A2.3: Welchen Anhängen vertrauen Sie nicht? Das Material bijlagen-1.txt finden Sie unter dieser Aufgabe: zehn nummerierte Anhänge, jeweils mit dem Absender und der Situation, in der die E-Mail eingegangen ist. Beurteilen Sie jeden Anhang mit den drei Fragen aus dieser Lektion (Erwarte ich das? Passt die Datei zur Geschichte? Stimmt der Absender?) und mit Ihrem Wissen über Dateiendungen. Tragen Sie die Nummern der Anhänge ein, die Sie nicht öffnen. Das Programm vergleicht Ihre Auswahl mit dem Lösungsschlüssel und zeigt Ihnen für jeden Anhang, ob Ihre Entscheidung stimmt, samt Begründung.

Weiterführende Informationen

Wo Schritte in der Webmail beschrieben sind, gelten sie für die Webmail von WebOké; in anderer Webmail funktioniert es ähnlich.

• Roundcube Webmail 3.2: Anhänge öffnen und speichern
• Kostenloser Kurs Sicher online für Unternehmer 1.2: Phishing, CEO-Betrug und Rechnungsbetrug
• Kostenloser Kurs Sicher online für Unternehmer 3.5: Geklickt: was jetzt?
• Postfach übernommen oder Spam von Ihrer Adresse: so räumen Sie auf
• RFC 2045, MIME Teil 1, mit base64 (Englisch): https://www.rfc-editor.org/rfc/rfc2045