Riskante E-Mail-Anhänge – diese Tipps helfen weiter

Rechnung, PDF oder Schadsoftware? So erkennen Sie riskante E-Mail-Anhänge

E-Mail-Anhänge gehören zum digitalen Alltag. Rechnungen, Bewerbungen, Verträge oder Fotos werden oft direkt als Datei verschickt. Genau diese Gewohnheit nutzen Kriminelle aus. Sie tarnen Schadprogramme als vertraute Dokumente oder versuchen, Sie mit Zeitdruck zum Öffnen einer Datei zu bewegen. Riskante E-Mail-Anhänge lassen sich jedoch häufig erkennen, wenn Sie auf einige typische Warnzeichen achten. Entscheidend ist nicht nur die Dateiendung. Auch Absender, Inhalt der Nachricht und der Anlass des Versands geben wichtige Hinweise.

Warum können E-Mail-Anhänge gefährlich sein?

Ein Dateianhang kann mehr enthalten als den Text oder das Bild, das Sie auf den ersten Blick erwarten. Manche Dateien können Programme oder Befehle ausführen. Andere enthalten Links, Formulare oder eingebettete Inhalte, die Sie auf eine gefälschte Internetseite weiterleiten. Angreifer nutzen solche Möglichkeiten, um Schadsoftware zu installieren, Zugangsdaten abzugreifen oder weitere Dateien aus dem Internet nachzuladen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt deshalb davor, unerwartete Anhänge unüberlegt zu öffnen. Das gilt auch dann, wenn die Nachricht scheinbar von einer bekannten Person stammt. Absenderangaben können gefälscht sein, und auch ein kompromittiertes E-Mail-Konto kann für schädliche Nachrichten missbraucht werden.

Deshalb sollten Sie riskante E-Mail-Anhänge immer im Zusammenhang mit der gesamten Nachricht beurteilen. Fragen Sie sich: Habe ich diese Datei erwartet? Passt der Inhalt zur Person oder zum Unternehmen? Gibt es einen nachvollziehbaren Grund für den Versand? Wenn etwas ungewöhnlich wirkt, klären Sie den Vorgang über einen anderen, bereits bekannten Kontaktweg.

Bei welchen Dateitypen ist besondere Vorsicht sinnvoll?

Besonders vorsichtig sollten Sie bei Dateien sein, die direkt Programme oder Befehle ausführen können. Dazu zählen unter Windows beispielsweise Endungen wie .exe, .com, .bat, .cmd, .vbs, .js, .scr oder .lnk. Solche Formate haben durchaus legitime Einsatzzwecke, sind als unerwarteter E-Mail-Anhang aber ein deutliches Warnsignal.

Kaspersky nennt außerdem doppelte Dateiendungen als typische Tarnmethode. Eine Datei kann zum Beispiel wie „Rechnung.pdf.exe“ heißen. Wird die letzte Endung im Dateimanager ausgeblendet, wirkt sie auf den ersten Blick wie ein PDF. Auch Archive wie .zip, .rar oder .7z verdienen Aufmerksamkeit, weil sie weitere Dateien enthalten können.

Selbst vertraute Formate wie PDF-, Word- oder Excel-Dateien sind nicht automatisch sicher. PDFs können beispielsweise Links oder Formulare enthalten, während Office-Dateien aktive Inhalte oder externe Verbindungen nutzen können. Entscheidend ist daher nicht die Annahme „PDF ist sicher“, sondern die Frage, ob Datei, Absender und Anlass wirklich zusammenpassen.

Absender, Anlass und Inhalt gemeinsam prüfen

Viele Angriffe funktionieren nicht wegen einer besonders komplizierten Technik, sondern weil die Nachricht glaubwürdig wirkt. Kriminelle geben sich zum Beispiel als Paketdienst, Bank, Behörde, Arbeitgeber oder Geschäftspartner aus. Häufig erzeugen sie zusätzlich Druck: Eine Rechnung sei überfällig, ein Konto werde gesperrt oder ein Dokument müsse sofort geprüft werden. Das BSI empfiehlt, Absender und Nachricht genau zu kontrollieren. Prüfen Sie die vollständige E-Mail-Adresse und achten Sie auf kleine Abweichungen, ungewöhnliche Domains oder eine Schreibweise, die nicht zum bekannten Absender passt. Verlassen Sie sich dabei nicht allein auf den angezeigten Namen, denn Absenderinformationen lassen sich manipulieren.

Auch eine sprachlich fehlerfreie Nachricht ist kein Beweis für Echtheit. Moderne Betrugsnachrichten können professionell formuliert sein. Riskante E-Mail-Anhänge erkennen Sie daher zuverlässiger, wenn Sie mehrere Merkmale zusammen betrachten. Eine unerwartete Datei, ungewöhnlicher Zeitdruck und eine auffällige Absenderadresse ergeben zusammen ein deutlich stärkeres Warnsignal als nur eines dieser Merkmale.

Sicherheitswarnungen und Makros ernst nehmen

Office-Dokumente verdienen besondere Aufmerksamkeit, wenn sie Sie auffordern, Makros, aktive Inhalte oder externe Verbindungen zuzulassen. Makros sind Befehlsfolgen, die eigentlich Routineaufgaben automatisieren sollen. Sie können aber auch missbraucht werden, um Schadsoftware nachzuladen oder weitere Aktionen auf dem Computer auszuführen. Microsoft weist darauf hin, dass VBA-Makros ein verbreiteter Weg zur Verteilung von Schadsoftware und Ransomware sein können. Deshalb werden Makros aus Dateien, die aus dem Internet stammen, in betroffenen aktuellen Office-Versionen standardmäßig blockiert.

Diese Schutzfunktion sollten Sie nicht leichtfertig umgehen. Wenn Word oder Excel eine Sicherheitswarnung zeigt, ist das kein Hindernis, das Sie möglichst schnell wegklicken sollten, sondern ein Anlass zur Prüfung. Aktivieren Sie Inhalte nicht allein deshalb, weil das Dokument Sie dazu auffordert. Zeigen Sie außerdem Dateinamenerweiterungen im Dateimanager an. So fallen doppelte Endungen oder ungewöhnliche Dateitypen leichter auf. Diese einfachen Maßnahmen helfen Ihnen, riskante E-Mail-Anhänge zu erkennen, bevor aus einem verdächtigen Dokument ein tatsächlicher Sicherheitsvorfall wird.

Was tun, wenn Sie bei einem Anhang unsicher sind?

Wenn Sie bei einem Anhang Zweifel haben, öffnen Sie ihn zunächst nicht. Prüfen Sie stattdessen, ob Sie die Datei tatsächlich erwartet haben. Bei einer Nachricht von einem bekannten Unternehmen oder einer bekannten Person können Sie sich über einen anderen Kontaktweg vergewissern, ob die E-Mail echt ist. Nutzen Sie dafür möglichst nicht die Telefonnummer, Internetadresse oder andere Kontaktdaten aus der verdächtigen Nachricht. Das BSI empfiehlt ausdrücklich, bei merkwürdig wirkenden Nachrichten bekannter Absender auf unabhängig bekannte Kontaktmöglichkeiten zurückzugreifen. Halten Sie außerdem Betriebssystem und Programme aktuell und nutzen Sie die vorhandenen Sicherheitsfunktionen. Ein Virenschutz kann zusätzlich helfen.

Falls Sie einen verdächtigen Anhang bereits geöffnet haben, bestätigen Sie keine weiteren unerwarteten Sicherheitsabfragen und geben Sie keine Zugangsdaten ein. In einem Unternehmensnetz sollten Sie die zuständige IT-Stelle informieren. Haben Sie auf einer verdächtigen Seite bereits ein Passwort eingegeben, ändern Sie es über einen vertrauenswürdigen Zugang und aktivieren Sie, wenn möglich, eine Zwei-Faktor-Authentifizierung. So können Sie mögliche Folgen begrenzen.