Gefährliche E-Mail-Anhänge: Schadsoftware im Postfach erkennen

Ein einziger Klick auf einen Anhang kann einen Rechner infizieren ^[12]. Die Verbraucherzentrale NRW beschreibt in einer gemeinsam mit dem BSI herausgegebenen Broschüre den typischen Ablauf: Eine Mail stammt angeblich von einem vertrauten Anbieter, etwa der Hausbank, und im Anhang steckt ein Schadprogramm ^[1]. Die Broschüre vergleicht das Öffnen einer solchen Datei damit, einem Einbrecher selbst die Haustür zu öffnen. Schädliche Links und Anhänge fasst sie unter dem Begriff Malspam zusammen. Sie können dich auch als Nachricht in sozialen Netzwerken erreichen, etwa wenn dir jemand, den du vermeintlich kennst, eine Rechnung oder ein Foto schickt ^[1].

Was ein verseuchter Anhang anrichten kann

Ein Klick auf einen schädlichen Anhang kann zur Infektion mit Trojanern, Bots oder Ransomware führen ^[12]. Heutige Schadprogramme lassen sich meist nicht mehr eindeutig einer Kategorie zuordnen. Viele öffnen eine Hintertür für den Fernzugriff und laden weitere Programme nach ^[2]. Die Broschüre der Verbraucherzentrale unterscheidet nach dem Ziel der Täter ^[1]:

• Datendiebstahl: Tastatureingaben wie Passwörter werden aufgezeichnet, das Gerät wird nach Zugangsdaten durchsucht, Überweisungsdaten werden abgefangen oder Mikrofon und Kamera angezapft.
• Kontrollübernahme: Der Rechner wird Teil eines Bot-Netzes und verschickt zum Beispiel Spam oder greift Internetseiten an, ohne dass der Besitzer es merkt.
• Erpressung: Ransomware verschlüsselt Daten, für die Entschlüsselung verlangen die Täter Lösegeld.

Infizieren kann sich grundsätzlich jedes Gerät, das mit dem Internet verbunden ist oder einen Wechseldatenträger hat, neben Rechnern also auch Smartphones, Tablets und Router ^[1]. Mit gestohlenen Daten können Täter Konten übernehmen, Identitäten in sozialen Netzwerken stehlen und Bankdaten missbrauchen ^[1]. Infizierte Rechner nutzen sie auch, um über die gespeicherten Kontakte weitere Phishing-Mails zu verschicken ^[1].

Dateitypen, bei denen du genau hinsehen solltest

Besonders kritisch sieht die Broschüre ausführbare Programmdateien ^[1]. Schadsoftware kann aber auch in Word-, Excel- oder Bilddateien stecken ^[9].

Dateiendungen sichtbar machen

Damit du den Dateityp überhaupt siehst, rät die Broschüre, die Standardeinstellung des Rechners entsprechend anzupassen ^[1]. Sonst erscheint eine Datei wie "Rechnung.pdf.exe" womöglich nur als "Rechnung.pdf" ^[1]. Doppelte Endungen wie "pdf.exe" sollen Nutzer täuschen ^[2].

Archive

Ein ZIP-Archiv ist ein Container, und was darin steckt, siehst du erst beim Entpacken. Komprimierte Dateien sollten deshalb nie ungeprüft geöffnet werden ^[1]. Das BSI nennt als verbreitete Masche gefälschte Rechnungen im Anhang, oft als ZIP-Datei ^[8]. Die Polizei rät, keine Anhänge in E-Mails unbekannter Absender zu öffnen ^[5]. Die Verbraucherzentrale warnt neben ZIP- auch vor CAB-Dateien ^[7].

Office-Dokumente und Makros

Ein Makro ist eine Abfolge von Befehlen, die eine Aufgabe automatisch ausführt ^[1]. Genau das nutzen Angreifer: Schadcode kann als bösartiges Makro in einem Office-Dokument stecken und wird oft dann aktiv, wenn du Makros einschaltest ^[2]. Öffnet sich ein Dokument aus einer Mail mit der Bitte, Inhalte oder Makros zu aktivieren, tu das nicht. Die Broschüre sagt es knapp: Aktiviere keinesfalls Makros, falls du dazu aufgefordert wirst ^[1].

Wie Täter Anhänge verpacken

Der Inhalt der Mail soll dich dazu bringen, die Datei ohne Nachdenken zu öffnen. Die Polizei nennt als Beispiel eine unerwartete Rechnung oder Mahnung im Anhang, hinter der Schadcode stecken kann ^[4]. Auch neugierig machende Betreffzeilen, etwa aus dem Erotikbereich, oder ein fremdsprachiger Betreff sind ein Warnzeichen; allein reicht das aber nicht, weil solche Mails sprachlich immer besser werden ^[1]. Eine weitere Masche sind angebliche Updates vom Hersteller deines Virenschutzes oder Betriebssystems. Solche Anhänge öffnest du nicht; Updates holst du dir nur über die Website des Herstellers ^[13].

Verwandt damit ist Scareware. Sie redet dir ein, dein Gerät sei bereits infiziert, und bietet ein Programm an, das den Schaden angeblich behebt. Erst dieses Programm enthält die eigentliche Schadsoftware ^[1]. Droht eine Mail mit Folgen, falls du den Anhang nicht öffnest, bleib erst recht misstrauisch; unerwartete Dateien öffnest du nicht und lädst sie auch nicht herunter ^[7].

Besonders tückisch sind Mails von Bekannten. Die Schadsoftware Emotet liest Kontakte und Mailinhalte aus infizierten Postfächern aus und verschickt Mails mit korrekten Namen und Adressen und authentisch wirkenden, aber erfundenen Inhalten. Das verleitet zum unbedachten Öffnen des Anhangs ^[6]. Absender lassen sich außerdem leicht fälschen ^[4]. Wie du gefälschte Absender erkennst, steht unter Gefälschte Absender erkennen; allgemeine Merkmale von Phishing beschreibt Phishing-Mails erkennen.

So gehst du mit einem unerwarteten Anhang um

Das BSI rät dringend davon ab, Anhänge von unbekannten Absendern zu öffnen ^[11]. Bei bekannten Absendern öffnest du Anhänge nur mit Vorsicht ^[6]. Die Polizei formuliert es so: Öffne Anhänge nur, wenn dir der Absender vertraut ist, und nutze gesunden Menschenverstand, denn Absender lassen sich leicht fälschen ^[4]. Für den Alltag heißt das:

• Erwartest du die Datei nicht, frag beim Absender nach. Such die Kontaktdaten selbst heraus und antworte nicht einfach auf die Mail ^{[1, 5]}.
• Bei Mails von Banken, Shops oder Dienstleistern fragst du beim echten Anbieter nach, über dessen offizielle Website oder eine Filiale ^[7].
• Leite verdächtige Anhänge nicht weiter, sonst hilfst du unbewusst beim Verteilen von Schadprogrammen ^[1].
• Stell dein Mailprogramm so ein, dass kein Script automatisch ausgeführt wird ^[1].

Vorbeugend helfen Updates und Sicherungen. Halte Virenschutz, Browser und Betriebssystem aktuell ^[1]. Das BSI empfiehlt außerdem, im Alltag ein Benutzerkonto mit eingeschränkten Rechten zu nutzen statt eines Kontos mit Administratorrechten, regelmäßig Backups anzulegen und Virenschutz und Firewall einzusetzen ^[2]. Zum Schutz vor Emotet nennt das BSI zusätzlich ein separates Benutzerkonto für das Surfen und für E-Mails ^[6]. Die Polizei rät, Sicherungen auf getrennten Speichermedien wie externen Festplatten abzulegen ^[5]. Auf Smartphones und Tablets installierst du Apps nur aus kontrollierten Quellen, und du schließt sie nicht unbedacht per USB an einen Rechner an, der infiziert sein könnte ^[11]. In sozialen Netzwerken gelten dieselben Regeln wie bei E-Mails, auch bei Nachrichten von Freunden klickst du nicht unkritisch jeden Link an ^[1]. Wer in einer Firma Mails bearbeitet, findet Hinweise zur Schulung unter Beschäftigte für Betrug sensibilisieren.

Anhang schon geöffnet: die nächsten Schritte

Hast du einen verdächtigen Anhang geöffnet, nutzt du den Rechner nicht weiter, bis er wieder sicher ist, und arbeitest an einem anderen Gerät. Zur Prüfung empfiehlt die Verbraucherzentrale ein Notfallsystem, das von einem externen Laufwerk startet; im Zweifel muss das System neu aufgesetzt werden ^[7]. Lösch die Mail nicht, sie ist ein Beweismittel für die Polizei ^[7]. Die Broschüre nennt für einen festgestellten Befall diese Schritte ^[1]:

1. Gerät vom Netzwerk trennen.
2. Persönliche Daten auf ein externes Medium sichern. Hat Ransomware Dateien verschlüsselt und gibt es kein Backup, die verschlüsselten Daten aufbewahren; vielleicht lassen sie sich später entschlüsseln.
3. Betriebssystem neu installieren.
4. Aktuelle Antivirensoftware einspielen, Betriebssystem und Anwendungen aktualisieren.
5. Gesicherte Daten auf Schadsoftware prüfen und keine Programme aus der Sicherung installieren.
6. Die Passwörter aller Online-Zugänge ändern.

Das BSI begründet die Neuinstallation damit, dass viele Schadprogramme tiefgreifende Änderungen am System vornehmen. Den Vorfall meldest du der örtlichen Polizei oder über die Onlinewache ^[2]. Was nach Klicks und Dateneingaben sonst noch zu tun ist, steht unter Auf einen Phishing-Link geklickt.

Anzeichen für einen Befall

Nicht jede Infektion fällt sofort auf. Die Broschüre nennt als Beispiel für ungewöhnliche Aktivitäten, dass dein E-Mail-Konto automatisch Mails an Bekannte verschickt. Hast du einen solchen Verdacht, untersuchst du den Computer mit einem extern gestarteten Betriebssystem, weil aktuelle Virenschutzprogramme wichtig sind, aber keine hundertprozentige Sicherheit bieten ^[1].

Erpressungstrojaner: kein Lösegeld zahlen

Ransomware, auch Erpressungs-, Krypto- oder Verschlüsselungstrojaner genannt, macht Dateien auf dem Rechner und auf angeschlossenen Datenträgern unzugänglich. Für die Entschlüsselung verlangen die Täter meist Lösegeld in einer Kryptowährung. Oft drohen sie zusätzlich, Daten ganz oder teilweise zu löschen, um Druck aufzubauen ^[5]. Die Polizei rät, darauf auf keinen Fall einzugehen: Ob die Daten nach der Zahlung wirklich entschlüsselt werden, ist unsicher, und es können weitere Forderungen folgen. Betroffene sollen Anzeige erstatten ^[5]. Kostenlose Entschlüsselungswerkzeuge sammelt das Projekt NoMoreRansom.org, das Europol mit Partnern aus Behörden und Wirtschaft betreibt ^[5]. Wie die Anzeige abläuft, erklärt Betrug anzeigen.

1. Organisation Schadprogramme: So schützen Sie sich. Verbraucherzentrale NRW e.V.. Stand 12/2021. abgerufen am 29.10.2026
2. Behörde Schadprogramme: Fragen & Antworten. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Phishing: Checkliste für den Ernstfall. BSI und Polizeiliche Kriminalprävention. Stand 07.07.2025. abgerufen am 29.10.2026
4. Behörde Sorgsam mit E-Mails und Anhängen umgehen. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Ransomware ist Tor zur digitalen Erpressung. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde Informationen zur Schadsoftware Emotet. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
7. Organisation Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen. Verbraucherzentrale e.V.. Stand 25.03.2026. abgerufen am 29.10.2026
8. Behörde Woran erkennt man Spam?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde So können Sie sich vor Spam schützen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde E-Mail-Sicherheit: Mythen im Faktencheck. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
11. Behörde Infizierte Systeme bereinigen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
12. Behörde Wie erkenne ich Phishing-E-Mails und -Webseiten?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
13. Behörde Wie schütze ich mich vor gefälschten Absenderadressen?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.