Anhang-Analyse — gefährliche Dateitypen erkennen

Der Anhang als Einfallstor

E-Mail ist nach wie vor der wichtigste Verbreitungsweg für Schadsoftware, und der Anhang ist dabei das direkteste Mittel. Die Angriffsmuster haben sich über Jahre kaum verändert, weil sie weiterhin funktionieren: eine ausführbare Datei mit harmlosem Namen, ein Office-Dokument mit Makro oder ein Archiv, das den Virenscanner am Gateway umgeht.

Dieser Check prüft keine Dateiinhalte auf Schadcode — er ist kein Virenscanner. Er bewertet die strukturellen Merkmale, an denen sich die typischen Zustellwege erkennen lassen.

Was AnalyzeMy.Email prüft

• Gefährliche Dateiendungen — ausführbare und skriptfähige Formate wie .exe, .scr, .bat, .cmd, .js, .vbs, .ps1, .hta, .lnk
• Doppelte Dateiendungen — der Klassiker rechnung.pdf.exe. Windows blendet die bekannte Endung standardmäßig aus, sichtbar bleibt „rechnung.pdf“
• Makrofähige Office-Dateien — .docm, .xlsm, .pptm, .dotm und weitere Formate, die eingebettete Makros ausführen können
• Alle MIME-Typen der Anhänge werden erfasst und ausgewiesen

Warum gerade diese drei Muster

• Ausführbare Dateien sind der direkteste Weg. Die meisten Gateways blockieren sie inzwischen, weshalb Angreifer sie in Archive verpacken — oft passwortgeschützt, mit dem Passwort im Mailtext, damit der Scanner nicht hineinsehen kann.
• Doppelendungen nutzen eine Anzeigeeinstellung aus, die seit über zwanzig Jahren standardmäßig aktiv ist. Ein Icon lässt sich frei wählen, das PDF-Symbol auf einer .exe ist trivial.
• Makros waren jahrelang der Hauptweg für Emotet und Nachfolger. Microsoft blockiert Makros aus dem Internet inzwischen standardmäßig, was den Weg deutlich entwertet hat — er funktioniert aber weiterhin, wo diese Voreinstellung per Richtlinie aufgehoben wurde.

Empfehlungen

• Als Empfänger: Ausführbare Formate am Gateway grundsätzlich blockieren, ebenso passwortgeschützte Archive aus externen Quellen. Die Mark-of-the-Web-Kennzeichnung nicht per Richtlinie deaktivieren.
• Als Absender: Verzichte auf makrofähige Formate im Geschäftsverkehr. Ein .xlsm an einen Kunden landet zunehmend im Quarantäne-Ordner — nutze .xlsx, wenn keine Makros nötig sind.
• Große Dateien gehören in ein verlinktes Ablagesystem, nicht in den Anhang. Das reduziert die Nachrichtengröße und umgeht Anhangsfilter komplett.
• Anhänge in automatisierten Mails — etwa Rechnungs-PDFs — sauber benennen. Kryptische Namen mit mehreren Punkten lösen unnötig Warnungen aus.