Wann können Sie E-Mail-Anhänge sicher öffnen?

Wann können Sie E-Mail-Anhänge sicher öffnen?

Dateien an E-Mails anhängen – nützlich, aber oft riskant. Böswillige Parteien packen gerne Malware in ihre E-Mail-Anhänge und starten von da einen Hack oder eine Datenschutzverletzung. Es gibt keine narrensichere Methode, um festzustellen, ob Sie einen E-Mail-Anhang sicher öffnen können – aber bei unerwarteten Anhängen von unbekannten Personen sollten die Alarmglocken schrillen.

Warum sind E-Mail-Anhänge gefährlich?

Ein E-Mail-Anhang ist eine Datei, die mit einer E-Mail verschickt wird – wie ein Geschenk, das mit einer Grußkarte kommt. Sie können nahezu jede Art von Datei als Anhang beifügen. Gewöhnlich liegt die einzige Einschränkung in der Größe bzw. der Anzahl der Dateien, die ein E-Mail-Client akzeptieren kann. Aber wie jede Datei, die über ein Netzwerk verschickt wird, enthalten auch E-Mail-Anhänge mitunter gefährlichen oder böswilligen Inhalt, der Ihr Gerät mit Malware infiziert.

Angreifer verbreiten Malware oft als Anhang einer E-Mail. Manchmal hängen sie Malware als ausführbare Datei (EXE) an und verleiten den E-Mail-Empfänger dazu, die Datei herunterzuladen und zu öffnen, woraufhin die Malware ausgeführt wird. In anderen Fällen verstecken sie ein böswilliges Skript in einer vermeintlich harmlosen Datei, wie z. B. einem Microsoft Word-Dokument (DOC, DOCX) oder einer Archivdatei (ZIP, RAR, etc.). Wird das Skript ausgeführt, lädt es Malware herunter und installiert sie – oder führt eine andere böswillige Aktion aus. Schließlich tarnen Angreifer Malware oder Skripte in scheinbar sicheren Dateitypen wie Bildern oder Videodateien.

Stellen Sie sich einen E-Mail-Anhang als verpacktes Geschenk vor, die angehängte E-Mail ist die beigelegte Grußkarte. Der Beschenkte hat keine Ahnung, was drin ist, bis er das Geschenk öffnet. So kann man nicht sicher sein, was ein E-Mail-Anhang tatsächlich enthält. Und da fast jeder auf der Welt E-Mails verschicken kann, stehen leider alle E-Mail-Anhänge unter Generalverdacht. Dies gilt selbst dann, wenn die begleitende E-Mail – die „Grußkarte“ in unserer Analogie – von einer vertrauenswürdigen Person zu stammen scheint.

Welche E-Mail-Anhänge können Sie bedenkenlos öffnen?

Wie bei allen Sicherheitsfragen: Es gibt keine Garantie, dass eine bestimmte Datei sicher ist. Die folgenden Fragen helfen jedoch, die Vertrauenswürdigkeit eines E-Mail-Anhangs zu bestimmen. Wenn die Antwort auf eine dieser Fragen „Nein“ lautet, sollten Nutzer den angeblichen Absender kontaktieren – oder sich an das Sicherheitsteam ihres Unternehmens wenden.

• Kennen Sie den Absender? E-Mail-Anhänge von bekannten Quellen sind vertrauenswürdiger als von Fremden. Wenn der Absender Sie nicht kennt, hat er weitaus seltener einen legitimen Grund, einen E-Mail-Anhang zu senden – so wie man auch keine Geburtstagsgeschenke von Fremden erhält.
• Können Sie bestätigen, dass der Absender die E-Mail tatsächlich gesendet hat? Manchmal geben sich böswillige Parteien als bekannter und vertrauenswürdiger Absender aus, sogar als jemand aus der Kontaktliste des Empfängers oder seiner Organisation. Dazu fälschen sie die E-Mail-Adresse des Absenders (Spoofing) oder dringen in seinen Posteingang ein und versenden die E-Mail in seinem Namen.
• Haben Sie die E-Mail erwartet? Unerwartete E-Mails weisen oft auf einen Angriffsversuch hin. Die meisten böswilligen E-Mails kommen unerwartet – schließlich will niemand gehackt werden.
• Haben Sie erwartet, dass die E-Mail einen Anhang enthält? Auch wenn die E-Mail selbst erwartet wird, könnte ein unerwarteter oder irrelevanter Anhang böswillig sein.
• Handelt es sich bei dem Anhang um einen erwarteten Dateityp? Wenn der Absender sagt, er habe ein Bild angehängt oder werde ein Bild anhängen, die empfangene Datei aber eine PDF oder EXE ist, ist dies ein mögliches Warnzeichen.

Wenn Sie alle diese Fragen mit „Ja“ beantworten, ist der E-Mail-Anhang mit größerer Wahrscheinlichkeit sicher, es gibt aber immer noch keine Garantie.

Wann ist es gefährlich, E-Mail-Anhänge zu öffnen?

Die Fragen oben sind ein guter Ausgangspunkt, um potenziell gefährliche Anhänge zu erkennen. Eine gefährliche Nachricht erkennen Sie auch anhand der folgenden Hinweise:

• Dringlichkeit: Die Angreifer wollen, dass der Empfänger schnell handelt, also noch bevor er Zeit hat, Fragen zu stellen oder Nachforschungen zu betreiben. Die E-Mail verlangt vielleicht, dass der Empfänger den Anhang schnell herunterlädt oder öffnet.
• Die E-Mail wird an eine große Gruppe oder unbekannte Empfänger gesendet: Angreifer werfen manchmal ein möglichst großes Netz aus, um die Wahrscheinlichkeit zu erhöhen, dass jemand den böswilligen Anhang herunterlädt. Sie tun dies, indem sie die böswillige E-Mail an lange Listen von Empfängern oder E-Mail-Aliasnamen großer Gruppen senden. Eventuell verbergen sie die Anzahl der Empfänger, indem sie BCC verwenden und das Feld „An“ leer lassen.
• Unüblicher Schreibstil in der E-Mail: Rechtschreib- und Grammatikfehler weisen häufig auf einen Betrüger hin. Aber manchmal verstoßen auch seriöse Absender gegen diese Regeln. Empfänger sollten die E-Mail mit dem üblichen E-Mail-Schreibstil des Absenders vergleichen. Wenn es in der E-Mail außerdem um Themen geht, die der Absender normalerweise nicht anspricht, stammt die E-Mail möglicherweise gar nicht von dem vermeintlichen Absender.
• Keine persönliche Begrüßung: Angreifer haben nicht immer die Zeit, ihre Opfer einzeln anzusprechen. Eine allgemeine Begrüßung oder eine fehlende Begrüßung könnte ein Zeichen für eine nicht legitime E-Mail sein. (Dies ist nicht immer der Fall – insbesondere bei Spear-Phishing und bei Business Email Compromise-Angriffen sind die E-Mail-Bedrohungen sehr gezielt und persönlich gestaltet).
• Die angehängte Datei enthält Malware: Viele E-Mail-Anbieter erkennen mögliche Malware mit einer Anti-Malware-Analyse und markieren gefährliche Anhänge – ein klares Zeichen dafür, dass die E-Mail nicht geöffnet werden sollte.

Welche Arten von E-Mail-Anhängen können Malware enthalten?

Jede Art von Datei kann Schadcode enthalten, darunter auch Archivdateien, PDFs, Microsoft Word-Dokumente und Microsoft Excel-Tabellen. Die Angreifer beschränken sich jedoch nicht auf diese Dateitypen. Alles, von Bildern bis hin zu Textdateien, kann gefährlich sein.

Einer der offensichtlich gefährlichsten Dateitypen ist die ausführbare Datei. Ausführbare Dateien sind Programmieranweisungen, die ein Computer beim Öffnen der Dateien ausführt. Ein seriöser Absender hängt nur selten ausführbaren Code an eine E-Mail an, in der Regel wird ein Softwareprogramm auf andere Weise verschickt. Ausführbare Dateien haben eine EXE-Dateierweiterung (für Windows) oder eine APP-Dateierweiterung (für Mac).

Was ist eine Dateierweiterung?

Eine Dateierweiterung ist der Text hinter dem Punkt am Ende eines Dateinamens. Bei dem Dateinamen „quiche-recipe.doc“ lautet die Dateierweiterung beispielsweise .doc oder DOC. Dateierweiterungen geben den Dateityp an – eine DOC-Dateierweiterung bedeutet, dass es sich um ein Microsoft Word-Dokument handelt.

Dateierweiterungen können gefälscht oder nachgeahmt werden. Anhand der Dateierweiterung lässt sich also nicht zuverlässig feststellen, ob eine Datei sicher ist oder nicht.

Diese gängigen Dateierweiterungen sollten Sie außerdem kennen:

• Microsoft Word: .doc, .docx (DOC, DOCX)
• Microsoft Excel: .xls, .xlsx (XLS, XLSX)
• Adobe Acrobat PDF: .pdf (PDF)
• Ausführbare Dateien: .exe, .app (EXE, APP)
• Archivdateien: .zip, .rar, .iso (ZIP, RAR, ISO)
• Bilddateien: .jpeg, .png, .gif (JPEG, PNG, GIF)
• Audio-Dateien: .mp3, .wav (MP3, WAV)
• Web-Dateien: .html, .css, .js (HTML, CSS, JavaScript)
• Klartextdateien: .txt (TXT)

Wie betten Angreifer Makros, Skripte und anderen gefährlichen Inhalt in gängige Dateien ein?

Office-Dateien

Ein Makro ist ein ausführbares Skript zur Verwendung in Microsoft Office-Dateien wie Word und Excel. Zwar haben Makros viele legitime Verwendungszwecke, aber sie werden auch für Angriffe genutzt. Wenn ein E-Mail-Anhang den Empfänger auffordert, Makros zu aktivieren, könnte er böswillig sein.

PDFs

Angreifer können böswilliges JavaScript in PDFs einbetten, zusammen mit Links zu gefährlichen Websites oder cloudgehosteten Dateien, die von Angreifern kontrolliert werden.

Archivdateien

Eine Archivdatei ist ein Dateiformat zum Speichern einer oder mehrerer Dateien in einem Wrapper, zusammen mit den dazugehörigen Metadaten. Archivdateien werden zur besseren Übertragbarkeit häufig auch komprimiert. Eine Archivdatei ist nur ein Wrapper für die darin enthaltene(n) Datei(en), darin kann sich alles befinden. Das macht sie ideal für Angreifer, die eine böswillige Datei in einer Archivdatei verstecken und dann einen Nutzer dazu verleiten können, die Datei herunterzuladen und ihren Inhalt zu öffnen.

Andere Dateien

Unsichere Skripte und Links können in fast allen Dateitypen enthalten sein, entweder direkt in der Datei oder verborgen in ihren Metadaten. Darüber hinaus können Angreifer die Dateierweiterung fälschen, dann erscheint eine böswillige Datei wie ein Bild, eine Audiodatei, eine Videodatei, eine TXT-Datei oder wie ein anderer vertrauenswürdiger Dateityp.

Welche Ransomware-Angriffe sind bereits über E-Mail-Anhänge erfolgt?

Viele Ransomware-Angriffe sind im Laufe der Jahre über einen E-Mail-Anhang in ein Unternehmen eingedrungen oder haben auf diesem Weg den Computer des Opfers erreicht. Beispiele hierfür sind:

• Die Petya-Ransomware verbreitete sich häufig über E-Mails an Personalabteilungen, darin enthalten waren gefälschte Stellenbewerbungen als PDF-Anhang.
• Die Maze-Ransomware verbreitete sich schon früh über böswillige E-Mail-Anhänge. (Diese Methode wird zwar immer noch verwendet, aber Maze verbreitet sich auch über die Ausnutzung von RDP-Sicherheitslücken und andere Angriffsvektoren).
• Die Ransomware-Gruppe REvil hat Ransomware über böswillige E-Mail-Anhänge verbreitet.

Einige Ransomware-Angriffe verwenden nicht direkt E-Mail-Anhänge, sondern bauen auf früheren Angriffen auf, die über E-Mail-Anhänge erfolgten. Die Ryuk-Ransomware dringt oft über eine TrickBot-Infektion in ein Unternehmen ein, die sich ihrerseits oft über das Emotet-Botnet verbreitet. (Solche Angriffe auf mehreren Ebenen sind üblich und zeigen, wie vielfältig die Möglichkeiten eines Angreifers sind, sobald er im Netzwerk eines Unternehmens Fuß gefasst hat). Emotet verbreitet sich am häufigsten über böswillige Word-Dokumente, die an E-Mails angehängt sind.

Welche anderen Angriffe nutzen E-Mail-Anhänge?

Jedes Skript oder jede Malware kann in einem E-Mail-Anhang versteckt werden, wodurch sich Angreifer dann Zugang zu Netzwerken verschaffen, vertrauliche Daten stehlen und andere böswillige Aktionen durchführen. Sobald der E-Mail-Anhang vom Empfänger geöffnet wurde, kann er zur Verbreitung von Spyware, Adware, Würmern oder sogar Botnets verwendet werden.

Können sichere E-Mail-Gateways böswillige E-Mail-Anhänge blockieren?

Sichere E-Mail-Gateways filtern unsicheren E-Mail-Traffic heraus, einschließlich Spam, Phishing-E-Mails und gefährlichen E-Mail-Anhängen. Viele sichere E-Mail-Gateways haben Anti-Malware-Scanfunktionen, mit denen sie Malware in angehängten Dateien erkennen. Sie führen auch Listen mit bekannten Bedrohungen und blockieren sämtliche E-Mails von diesen Quellen.

Aber sichere E-Mail-Gateways sind keine Garantie gegen Angriffe, die auf E-Mail-Anhängen basieren. Neue Arten von Malware werden nicht immer erkannt; E-Mails, die von vertrauenswürdigen oder unbekannten Quellen stammen, werden nicht immer blockiert; und selbst bekannter böswilliger Inhalt schlängelt sich manchmal durch die Schutzmechanismen.

Viele Unternehmen verzichten ganz auf E-Mail-Anhänge und verwenden stattdessen sichere Portale zum Hochladen von Dateien oder geben Links zu Dateien in der Cloud frei (die ihre eigenen Risiken mit sich bringen). Hier sind weitere Strategien, mit denen Sie die Bedrohung durch E-Mail-Anhänge reduzieren können:

• E-Mail-Sicherheitsservices, die proaktiv die Infrastruktur für E-Mail-Angriffe identifizieren (einschließlich Domains und Server), können Angriffe noch vor deren Beginn blockieren. Cloudflare Area 1 Email Security verfolgt diesen Ansatz.
• Sichere Web-Gateways, DNS-Filterung und URL-Filterung blockieren Anfragen von E-Mail-Anhängen an die Server der Angreifer. Diese Anfragen sind oft ein notwendiger Schritt, bei dem die eigentliche böswilligen Nutzlast heruntergeladen wird.
• Die Zero Trust Network Architecture (ZTNA) isoliert rasch den Schaden, wenn eine Infektion über einen E-Mail-Anhang eintritt, und verhindert laterale Bewegungen.

Trotz der unzähligen Apps, über die man heute kommunizieren kann, ist die E-Mail für viele Unternehmen nach wie vor die am häufigsten genutzte Methode. E-Mail-Sicherheit ist für den Schutz vor Angriffen also ausschlaggebend. Erfahren Sie mehr über E-Mail-Sicherheit.