Öffnen oder nicht öffnen: Welche E-Mail-Anhänge gefährlich sind

Hast du schon einmal versucht, eine „verschlüsselte“ E-Mail oder ein dringendes Dokument zu öffnen, und entsetzt festgestellt, dass der übliche DOCX-Anhang in Wahrheit eine Datei mit der Erweiterung .docx.exe ist? Oder hast du möglicherweise eine E-Mail mit einer Rechnung, einem Vertrag oder einem internen Memo im Anhang erhalten – nur damit die Datei sich als etwas ganz anderes erweist, als sie angeblich war? In diesem Fall warst du wahrscheinlich das Ziel einer versuchten Malware-Infektion.

Cyberkriminelle tarnen bösartige Dateien routinemäßig als harmlose Dokumente und Archive und verlassen sich darauf, dass die Empfänger blind darauf klicken, ohne die Erweiterung zu überprüfen. Die Experten von Kaspersky haben die am häufigsten in bösartigen E-Mail-Nachrichten verwendeten Dateiformate analysiert, um herauszufinden, was wirklich hinter diesen Erweiterungen steckt – und wie Angreifer sie in ihren Kampagnen einsetzen.

Wichtiger Hinweis: Die Erweiterungen, die wir hier thematisieren, werden in der Regel für vollkommen legitime Dateien verwendet. Beispielsweise enden ausführbare Windows-Dateien normalerweise auf .exe. Wir konzentrieren uns jedoch speziell auf Szenarien, in denen Angreifer die Erweiterung einer Datei tarnen oder fälschen, um sie als einen völlig anderen Dateityp auszugeben.

Welche Erweiterungen werden am häufigsten in Malware gefunden?

Unsere Experten analysierten die seit Anfang 2026 verschickten bösartigen E-Mail-Nachrichten, um die 15 gängigsten gefährlichen Dateierweiterungen zu ermitteln.

.exe

.js

.html

.dll

.bat

.vbs

.xls

.pdf

.jse

.au3

.docx

.htm

.wsf

.scr

.lnk

Sehen wir uns nun an, was Dateien mit diesen Erweiterungen im Hintergrund bewirken.

Ausführbare Dateien

Eine ausführbare Datei ist ein kompiliertes Computerprogramm, das ausgeführt werden kann. Nach dem Start kann eine bösartige ausführbare Datei zusätzliche Nutzdaten herunterladen, Systemeinstellungen ändern, Benutzerdaten stehlen, dein Gerät mit externen, von Angreifern kontrollierten Servern verbinden und vieles mehr. Dies sind die am häufigsten vorkommenden ausführbaren Erweiterungen, die in bösartigen E-Mail-Kampagnen eingesetzt werden:

• .exe
• .dll
• .com
• .scr

.exe

Die klassische Windows-Erweiterung für ausführbare Dateien. Sie liegt allen Programmen zugrunde, die du täglich verwendest – von Webbrowsern und Games bis hin zu Office-Suiten und Software-Installationsprogrammen.

Übrigens packen Angreifer die EXE-Malware oft in doppelte Erweiterungen: rechnung.docx.exe, bericht.pdf.exe oder sogar foto.jpg.exe. Dafür machen sie sich eine Standardeinstellung von Windows zunutze: das Ausblenden von Erweiterungen für bekannte Dateitypen. Da diese Einstellung standardmäßig aktiviert ist, sehen Benutzer nur den ersten Teil des Dateinamens – rechnung.docx, bericht.pdf oder foto.jpg – und gehen deshalb davon aus, dass es sich um ein normales Dokument oder Bild handelt. Aber sobald man diese Köderdatei öffnet, wird die Malware gestartet.

.dll

Eine weitere häufige Erweiterung, die in bösartigen Kampagnen verwendet wird, ist .dll (Dynamic Link Library). Diese Bibliotheken enthalten Funktionen, die während der Ausführung von Windows-Programmen häufig benötigt werden, z. B. das Drucken eines Dokuments. Diese modulare Architektur verhindert redundanten Code, indem mehrere Anwendungen für bestimmte Aufgaben genau dieselbe Bibliothek aufrufen können. Wenn ein Angreifer jedoch eine legitime Bibliothek durch eine infizierte ersetzt, kann die Ausführung eines normalen Programms, das diese Bibliothek aufruft, bösartigen Code auslösen.

.com

Zwar haben Dateien mit der Erweiterung .com absolut nichts mit der gleichnamigen Web-Domain zu tun, doch zählen Cyberkriminelle wahrscheinlich darauf, dass Opfer diese Dateien mit Links in einem ungewöhnlichen Format verwechseln. In Wirklichkeit handelt es sich um ein älteres ausführbares Windows-Format.

Obwohl moderne Windows-Versionen diesen Dateityp nicht mehr verwenden, kann das Betriebssystem ihn dennoch ausführen, weshalb das Öffnen einer Datei mit dieser Erweiterung eine schlechte Idee ist.

.scr

SCR-Dateien sind Bildschirmschoner, also Animationen des Windows-Inaktivitätsbildschirms mit abstrakten Mustern, dem ikonischen hüpfenden Logo oder anderen Motiven. Trotz ihres harmlosen Rufs sind Bildschirmschoner im Wesentlichen ausführbare Dateien, genau wie EXE-Dateien: Einmal geöffnet, können sie zusätzliche Komponenten installieren oder Einstellungen ändern. In bösartigen Kampagnen werden diese Dateien routinemäßig als Bilder, Screenshots oder Dokumente getarnt.

Skripte

Skripte sind Textdateien, die eine Folge von Befehlen enthalten, die ein Computer automatisch der Reihe nach ausführt. Sie können Dateien herunterladen, Programme installieren und starten, Sicherheitseinstellungen ändern und vieles mehr. E-Mail-Angreifer verwenden am häufigsten die folgenden Skripttypen:

• .js und .jse
• .bat
• .cmd
• .vbs
• .wsf
• .vbe
• .au3

.js und .jse

Die Erweiterungen .js und .jse werden von JavaScript-Dateien verwendet. Die meisten Benutzer verbinden JavaScript ausschließlich mit Websites und wissen nicht, dass diese Dateien lokal auf ihrem Computer als eigenständige Programme ausgeführt werden können.

Wir haben kürzlich über CrystalX RAT berichtet, einen Remote-Access-Trojaner, der Tastatureingaben protokolliert, den Inhalt der Zwischenablage stiehlt und bei der Installation bösartige Komponenten in Webbrowser einschleust. Seine JS-Skripte überwachten die Adressen von Krypto-Wallets und tauschten sie heimlich, still und leise gegen die eigenen Adressen des Angreifers aus, um Transaktionen in Echtzeit zu kapern.

.cmd und .bat

BAT- und CMD-Dateien dienen der Automatisierung von Windows-Aufgaben und können praktisch jeden Befehl des Betriebssystems ausführen. Das Starten einer solchen Datei kann den Computer mit Malware infizieren.

.vbs

Visual-Basic-Script-Dateien mit der Erweiterung .vbs sind seit Langem bei Cyberkriminellen beliebt. Angreifer verwenden häufig doppelte Erweiterungen, um .vbs-Dateien als Nur-Text-Dokumente wie Rechnungen, Installationsanleitungen für Apps oder E-Mails zu tarnen. Anfang der 2000er-Jahre verbreitete sich beispielsweise der ikonische ILOVEYOU-Wurm über ein VBS-Skript und infizierte Millionen von Computern weltweit. Die Opfer erhielten eine E-Mail mit dem Betreff „ILOVEYOU“, aber anstelle eines süßen Geständnisses enthielt der Anhang ein bösartiges Skript. Auf seinem Höhepunkt hatte dieser „romantische“ Wurm bis zu 10 % aller mit dem Internet verbundenen Computer infiziert.

Webdateien

Diese Kategorie umfasst hauptsächlich .html-, .htm-, .hta- und .svg-Dateien. Oft handelt es sich dabei um getarnte Phishing-Seiten, die Anmeldeformulare für E-Mail, Cloud-Dienste, Banking-Apps und andere Plattformen nachahmen. Natürlich gehen alle Anmeldedaten, die auf diesen gefälschten Seiten eingegeben werden, direkt an die Angreifer, die auf die Konten und das Geld der Opfer aus sind. Webdateien können auch schädliche Skripte auslösen und zusätzliche Nutzdaten auf das System herunterladen.

Archive

Cyberkriminelle verpacken bösartige Dateien routinemäßig in Archiven (meist mit den Erweiterungen .zip, .rar und .7z). Diese Archive sind oft mit Passwörtern geschützt oder verschlüsselt, um die Untersuchung von Inhalten zu verhindern. Darüber hinaus erstellen Angreifer manchmal absichtlich beschädigte Archive mit beschädigten Datenstrukturen: Einfache Sicherheitsfilter stolpern oft über beschädigte Dateien und überspringen die Untersuchung ganz, während Archivmanager den Inhalt trotzdem automatisch reparieren und entpacken können.

Deshalb empfehlen wir die Verwendung von [placeholder home security]fortschrittlichen Sicherheitslösungen[/placeholder], die Phishing-E-Mails erkennen und dich daran hindern, gefährliche Dateien zu öffnen, die in Archiven versteckt sind.

PDF-Dateien (.pdf)

Für viele ist PDF ein völlig harmloses Dateiformat – was kann schließlich bei Flugtickets, Dokumenten und Präsentationen schon schief gehen? Doch PDFs können außer statischem Text und Bildern auch anklickbare Links, Formulare und sogar Skripte enthalten.

Schädlicher Code in einer PDF-Datei wird normalerweise hinter visuellen Elementen versteckt oder als versteckter Text eingebettet. Darüber hinaus geht das Risiko nicht nur von der Datei selbst aus, sondern auch von der Software, mit der man die Datei anzeigt: Beispielsweise haben Angreifer monatelang eine Schwachstelle in Adobe Acrobat ausgenutzt, die es ihnen ermöglichte, bösartige PDF-Dateien aus der Ferne auszuführen. Wenn du regelmäßig an PDF-Dokumenten arbeitest, stelle sicher, dass die JavaScript-Funktion in deiner Version von Adobe Acrobat deaktiviert ist. Gehe dazu im Menü zu Einstellungen → JavaScript.

Übrigens: Erfahrene Benutzer von KI-Agenten und Chatbots sollten bedenken, dass KI häufig auf Prompt-Injektionen hereinfällt. Dabei handelt es sich um versteckte Befehle, die in Bildern, Texten und Webseiten verborgen sind und die die KI als legitime Anweisungen interpretiert und ohne dein Wissen ausführt.

LNK-Verknüpfungen (.lnk)

Dateien mit der Erweiterung .lnk sind Standard-Windows-Verknüpfungen, die wir täglich für den schnellen Zugriff auf Apps und Ordner verwenden. Verknüpfungen selbst enthalten keine Software – sie teilen Windows lediglich mit, welche Datei geöffnet oder welcher Befehl ausgeführt werden soll.

Ein Angreifer kann jedoch einer Verknüpfung ein beliebiges Symbol und einen beliebigen Namen zuweisen und so ihr eigentliches Ziel vollständig verbergen. In dem Moment, in dem ein Opfer auf die Verknüpfung klickt, beginnt die Infektionskette. Der Schadcode wird normalerweise im Hintergrund ausgeführt und hinterlässt praktisch keine visuellen Hinweise darauf, dass etwas nicht stimmt.

Cyberkriminelle verstecken LNK-Dateien auch gerne hinter doppelten Erweiterungen. Sie setzen darauf, dass Benutzer nicht genau genug hinschauen, um zu sehen, welche Art von Datei sie tatsächlich öffnen. Unten siehst du ein klassisches Beispiel:

Am besten vermeidest du es, auf eingehende LNK-Dateien zu klicken: Niemand, der bei klarem Verstand ist, hat einen Grund, dir eine Desktop-Verknüpfung per E-Mail zu senden.

Übrigens, wenn du Windows seit einiger Zeit nicht mehr aktualisiert hast, haben wir eine schlechte Nachricht für dich: Schadcode kann automatisch ausgeführt werden, ohne dass du jemals auf die LNK-Verknüpfung klickst – schon allein das Öffnen des Ordners, in dem sich die Verknüpfung befindet, genügt, um den Vorgang auszulösen. Im Dezember 2025 hat Microsoft endlich einen Patch für diese seit Langem missbrauchte Schwachstelle veröffentlicht. Verschiebe also System-Updates nicht – installiere sie regelmäßig, um die Sicherheitslücken zu schließen, die Angreifer ausnutzen.

Microsoft Office-Dokumente

.xls und .xlsx

Die Dateierweiterung .xls wird von älteren Versionen von Microsoft Excel verwendet. Millionen von Menschen verwenden täglich Excel-Tabellen, und viele verwenden immer noch veraltete Software, was XLS-Dateien zu einem beliebten Köder für Cyberkriminelle macht. Budgets, Mitarbeiterlisten, Finanzunterlagen, dringende Berichte und andere Tabellenkalkulationen sind in dem Moment nicht mehr ungefährlich, sobald ein Benutzer auf Inhalt aktivieren klickt, wodurch das Programm Makros ausführen kann. Dabei handelt es sich um benutzerdefinierte, in die Dateien integrierte Microsoft Office-Skripte und -Befehle. Nach der Aktivierung kann das bösartige Makro Dateien herunterladen, Programme starten, Systemdaten sammeln und Einstellungen ändern.

Im Gegensatz zu XLS ist XLSX das moderne Excel-Format, das standardmäßig keine eingebetteten Makros unterstützt. Leider garantiert dies keine vollständige Sicherheit: Die Excel-Datei kann weiterhin Live-Daten aus externen Quellen abrufen und im Hintergrund automatisch eine Verbindung zu Webzielen herstellen.

.docx

Obwohl moderne DOCX-Dateien Makros nicht standardmäßig unterstützen, haben Angreifer schon längst andere Möglichkeiten gefunden, diese Dokumente als Waffe einzusetzen. Üblicherweise enthalten bösartige DOCX-Dateien eingebettete Links oder Anweisungen, die Word zwingen, eine Verbindung mit externen Servern herzustellen und schädliche Nutzdaten herunterzuladen. Im Jahr 2023 entdeckten Forscher beispielsweise eine Schwachstelle in Microsoft Office, die es Angreifern ermöglichte, integrierte Windows-System-Tools zu aktivieren und Malware direkt aus dem Internet herunterzuladen.

Um dein Risiko bei der Arbeit mit Microsoft Office-Apps zu verringern, empfehlen wir, die Option „Geschützte Ansicht“ zu aktivieren, externe Verbindungen zu blockieren und alle Makros ohne Benachrichtigung zu deaktivieren.

Unterstützung von Makros in modernen Microsoft Office-Versionen

Makros sind Befehlsfolgen, die komplexe, repetitive Aufgaben in Excel, Outlook, Word und PowerPoint automatisieren. In modernen Versionen von Microsoft Office werden Dokumente, die eingebettete Makros enthalten, in speziellen Dateiformaten mit Erweiterungen wie .xlsm, .xltm, .xlsb, .docm und .pptm gespeichert. Obwohl Microsoft Office über integrierte Sicherheitskontrollen verfügt, beispielsweise das Blockieren von aus dem Internet heruntergeladenen Dateien und die Warnung vor potenziell gefährlichen Makros, solltest du Dateien mit diesen Erweiterungen mit Vorsicht behandeln. Insbesondere wenn du für gewöhnlich nicht mit Makros arbeitest und keinen spezifischen Grund hast, diese auszuführen.

So überprüfst du, ob eine Datei sicher ist

• Verwende eine umfassende Sicherheitslösung, die Dateien automatisch auf Malware untersucht, Infektionen verhindert, den Besuch verdächtiger Websites blockiert und schädliche Dateien vollständig von deinen Geräten entfernt. Du kannst eine 30-Tage-Testversion von Kaspersky Premium nutzen, wenn du deinen Computer dringend desinfizieren oder eine Datei auf Viren untersuchen musst.
• Öffne keine Anhänge von unbekannten Personen. Neugier kann teuer werden, da viele Malware-Stämme gezielt nach Kreditkarten- und Krypto-Wallet-Daten suchen. Nutze die Funktion von Mail-Anti-Virus, die in unseren Sicherheitslösungen enthalten ist, und überlasse ihr die schwere Arbeit: Die Funktion filtert automatisch schädliche oder verdächtige E-Mails heraus und schützt dich vor Phishing-Angriffen.
• Untersuche eingehende E-Mails sorgfältig: Cyberkriminelle werden immer geschickter darin, bösartige Nachrichten zu tarnen. Vergleiche E-Mail-Adressen immer mit den offiziellen Adressen und mache dich mit den Anzeichen für Phishing und Spam Angreifer könnten versuchen, dich mit Behauptungen über ein gehacktes Benutzerkonto zu erschrecken, dich mit „unschlagbaren Angeboten“ auf zwielichtige Websites zu locken oder dich dazu aufzufordern, ein an die E-Mail angehängtes Arbeitsdokument zu überprüfen. Jeder Versuch, deine Emotionen zu manipulieren, ist ein offensichtliches Warnsignal dafür, dass jemand versucht, dich auszutricksen.
• Öffne niemals Dateien mit doppelten Erweiterungen. Es ist fast immer eine Falle.
• Wenn du auf eine Datei mit einer unbekannten Erweiterung stößt, nimm dir einen Moment Zeit, um sie online nachzuschlagen. Denke daran: Ein Foto oder ein Nur-Text-Dokument wird niemals die Erweiterung .lnk oder .vbs haben.

Lies auch unsere anderen Beiträge zum Thema E-Mail- und Dateisicherheit:

• Spam erkennen und bekämpfen
• Phishing-Mail im Postfach – was nun?!
• Phishing, getarnt als Google AppSheet-Benachrichtigungen
• QR-Codes in E-Mails überprüfen
• Dateien konvertieren? – Aber sicher!