Was sind schädliche E-Mail-Anhänge? So schützen Sie sich

Malware gibt es in vielen Formen und ebenso viele Wege (Vektoren), über die sie übertragen werden kann. Von diesen ist der Anhang bösartiger Dokumente in E-Mails möglicherweise die häufigste Methode. Es ist ganz einfach: Sie erhalten eine E-Mail von einem (bekannten oder unbekannten) Absender, in der Sie aufgefordert werden, das angehängte Dokument zu öffnen – beispielsweise, um die Ergebnisse einer Steuerprüfung einzusehen.

Was als Nächstes passiert, hängt davon ab, um welche Art von Datei es sich bei dem Dokument handelt: Ist es ein PDF? Ein docx-Dokument mit aktivierten Makros? Oder handelt es sich um eine ZIP-Datei? In manchen Fällen kann schon das bloße Öffnen eines Dokuments ausreichen, um die Kompromittierung eines Geräts in Gang zu setzen … Aber schauen wir uns zuerst an, um welche Art von Dokumenten es sich genau handelt, wie Angriffe funktionieren (und warum) und welche Sicherheitsmaßnahmen ausreichen könnten, um sie im Keim zu ersticken.

Kernpunkte dieses Artikels:

• Schädliche E-Mail-Anhänge wie Dokumente (Maldocs) sind als Waffen eingesetzte Dateien, die dazu dienen, Malware zu verbreiten.
• Zu den gängigen Formaten für „Maldocs“ gehören Office-Dokumente, PDFs, Archive (ZIP/RAR) und HTML-Anhänge.
• E-Mail-Phishing ist nach wie vor eine der wichtigsten Methoden, mit denen Angreifer bösartige Dokumente an ihre Opfer verbreiten.
• Die moderne Verbreitung von Malware über Maldocs stützt sich auf Techniken wie Skripte, Exploits und bösartige Makros.
• Die wirksamste Abwehr kombiniert mehrschichtige Sicherheitsmaßnahmen – wie E-Mail-Filterung, Sandboxing und Endgeräteschutz – mit kontinuierlichen Schulungen zur Sensibilisierung der Benutzer.

Was ist ein bösartiger E-Mail-Anhang?

Ein bösartiger E-Mail-Anhang ist eine per E-Mail übermittelte Datei, die darauf ausgelegt ist, ein Computersystem oder Netzwerk zu kompromittieren. Zu den häufigsten Beispielen zählen bösartige Dokumente (oft als „Maldocs“ bezeichnet), die mit eingebettetem Code oder Exploits bösartige Aktivitäten ermöglichen.

Durch automatische Ausführung oder indem sie Benutzer dazu verleiten, die Schadfunktion selbst auszulösen, können diese Dateien Endgeräte – darunter PCs, mobile Geräte und Server – infizieren oder als Einstiegspunkt für eine umfassendere Kompromittierung des Netzwerks dienen.

Diese Dokumente gelangen oft über E-Mails und andere textbasierte Interaktionen (wie Instant Messaging) oder Online-Downloads auf Systeme. Anders ausgedrückt: Es handelt sich entweder um Phishing oder einfach unachtsame Praktiken beim Dateiaustausch, wobei Ersteres laut Daten von ESET mit 26 % eine der Hauptursachen für Vorfälle darstellt. Wir können zwar nicht sagen, wie viele dieser Phishing-Angriffe bösartige Dokumente enthielten, aber wir können feststellen, dass „bösartige“ Dokumente konkret zu den drei größten E-Mail-Bedrohungen zählen.

Verwandtes Thema: Was ist Phishing?

Arten von schädlichen Dokumenten

Was genau sind diese „bösartigen“ Dokumente? Nun, sie können verschiedene Formate haben:

• Office-Dokumente: Word-, PowerPoint-, Excel- und ähnliche Dateien mit aktivierten Makros sind beliebte Formate, da sie sowohl von Verbrauchern als auch von Unternehmen weit verbreitet sind. Angreifer nutzen häufig Makros oder eingebettete Inhalte, um bösartigen Code auszuführen.
• PDFs: Ähnlich wie die zuvor genannten Formate wird das Portable Document Format (PDF) häufig genutzt, um den Austausch von Dokumenten zu erleichtern. Angreifer nutzen diese Beliebtheit aus, indem sie bösartige Links, eingebettete Skripte oder Exploit-Code für eine Schwachstelle in scheinbar legitimen Dateien einbetten.
• Archive: Dabei handelt es sich um ZIP- oder RAR-Dateien, also komprimierte Ordner bzw. Dateien, die aufgrund ihrer relativ geringen Dateigröße eine einfachere Speicherung, Portabilität und Verteilung ermöglichen und zudem die Verschlüsselung von Inhalten zulassen. Angreifer nutzen diese Container, um schädliche Payloads zu bündeln und zu verbergen, wobei sie häufig einen Passwortschutz hinzufügen, um Sicherheitsscans zu umgehen.
• HTML-Anhänge: Hierbei handelt es sich um einen Anhang, der eine Webseiten-Datei enthält, die sich beim Öffnen im Browser des Nutzers wie eine lokale Webseite und nicht wie ein statisches Dokument verhält. Dies ermöglicht es Angreifern, interaktive Phishing-Seiten zu erstellen, Nutzer auf bösartige Websites umzuleiten oder schädliche Skripte zu verbreiten, die beim Öffnen ausgeführt werden könnten.

Unabhängig vom Format sind diese Dateien auf eine Kombination aus Social Engineering und technischen Tricks angewiesen, um ausgeführt zu werden. Daher ist es nun an der Zeit, auf den Hauptverdächtigen zurückzukommen – Phishing.

Verwandtes Thema: Was ist Social Engineering?

Der Lebenszyklus eines Angriffs, oder wie bösartige E-Mails immer gefährlicher werden

Phishing ist ein gängiger Angriffsvektor für den Erstzugang, der in der Regel über eine Nachricht (E-Mail, Instant Message usw.) erfolgt. Angreifer benötigen für den unbefugten Zugriff keine Malware – das ist nicht gerade der Sinn des Versendens eines Maldocs. Die Idee dahinter ist, dass dadurch die Chancen einer Kompromittierung steigen: da die Absicht noch besser verschleiert wird, und es wird eine weitere Ebene zwischen der Nutzlast bzw. der Ausführung und der Sicherheitsüberwachung geschaffen.

Während Ihr Spamfilter also eine direkt in eine E-Mail eingebettete bösartige URL abfangen könnte, gelingt ihm dies möglicherweise nicht, wenn diese in einer PDF-Datei enthalten ist. Gleichzeitig neigen Nutzer im Allgemeinen eher dazu, auf Inhalte einzugehen, die legitim erscheinen, und gut gestaltete Dokumente sind eine der effektivsten Methoden, um bösartige Inhalte vertrauenswürdig wirken zu lassen.

Siehe auch: Spearphishing als fortgeschrittene, maßgeschneiderte Form des Phishing.

Häufige Tricks böswilliger E-Mail-Absender

Wie funktioniert das nun? Reicht es aus, wenn ein Angreifer wie MuddyWater eine einfache Nachricht mit dem Inhalt „Bitte lesen Sie das angehängte Dokument“ versendet? Offensichtlich nicht. Der springende Punkt ist jedoch, dass Nachrichten, damit diese Form des Phishing funktioniert, weitreichend und schnell verbreitet werden müssen, bevor Sicherheitsteams die neueste Kampagne erkennen und ihre Erkennungsmechanismen anpassen können.

Deshalb gibt es Spam. Nicht gewöhnlichen Spam, der oft eine Form unerwünschter Werbung ist, sondern bösartigen Spam – eine Art von Kommunikation, die an so viele Empfänger wie möglich versendet wird, in der Hoffnung, mindestens ein oder zwei E-Mail-Postfächer unvorbereitet zu erwischen. Und das reicht oft schon aus. Solange auch nur ein einziger Empfänger den Anhang öffnet und damit interagiert, verschafft sich der Angreifer einen Fuß in der Tür – und verwandelt so eine breit angelegte, mit geringem Aufwand durchgeführte Kampagne in einen erfolgreichen Angriff.

So wurde während einer Welle von AceCryptor-Angriffen die Rescoms-RAT über überzeugende Spam-E-Mails verbreitet, die manchmal sogar von legitimen, aber kompromittierten E-Mail-Konten stammten.

Wie machen sie das? Mit einem Lockthema. Oftmals fallen Menschen Phishing-Angriffen aufgrund eines besonders relevanten Themas zum Opfer: Personalmitteilungen, Lieferbenachrichtigungen, Anrufe von Behörden – Dinge, die einen Aspekt des Alltagslebens ansprechen. Auch Identitätsbetrug fällt hierunter: Der Angreifer gibt sich als längst verschollener Verwandter, Chef, Lotterieunternehmen usw. aus, um Glaubwürdigkeit zu schaffen, und nutzt Dringlichkeitstaktiken, um eine Person zu schnellem Handeln zu drängen – sonst …

Indem sie die nächste Stufe des Angriffs in einen Anhang einbetten, lassen Angreifer ihre Anfrage routinemäßig erscheinen – schließlich gehört das Öffnen von Dokumenten zum normalen Arbeitsalltag. Diese Vermischung von Routineverhalten und Täuschung macht Phishing-Kampagnen so durchweg effektiv und potenziell schwerer zu erkennen.

Erkennung und Abwehr bösartiger E-Mail-Anhänge

Nun ist es an der Zeit zu prüfen, ob bösartige Dokumente sich ebenso geschickt vor der Sicherheitssoftware verstecken wie ihre Ersteller. Die dabei eingesetzten Techniken variieren, da die Dokumente Folgendes enthalten können:

• Schädliche Makros: Diese automatisierten Befehlsfolgen erleichtern Büroangestellten das Leben, indem sie sich wiederholende Aktionen in der Anwendung vereinfachen. Doch nicht nur für sie, denn Makros wurden oft auch für Malware genutzt, was dazu führte, dass Microsoft Makros aus dem Internet standardmäßig blockiert.
• Exploits, die Schwachstellen in Anwendungen ausnutzen, mit denen diese Dokumente angezeigt oder bearbeitet werden, um beispielsweise schädlichen Code auszuführen.
• Skripte: Kleine Befehlsfolgen, die automatisch Aktionen auf einem Computer ausführen. Angreifer nutzen sie häufig, um Malware herunterzuladen und auszuführen.

Von diesen drei Techniken waren Makros in der Vergangenheit in bösartigen Dokumenten am weitesten verbreitet. Da Microsoft jedoch den Makroschutz verstärkt hat, weichen Angreifer zunehmend auf skriptbasierte Techniken aus. In der Telemetrie von ESET¹ sind Skripte tatsächlich die am häufigsten vorkommende Art von E-Mail-Anhängen.

Ein gutes Beispiel für den Einsatz von Skripten ist die „Love you“-Malspam-Kampagne.

Exploit-basierte Dokumente sind nach wie vor seltener anzutreffen, da die Entwicklung oder Beschaffung funktionierender Exploits komplex und kostspielig ist. Die wirkungsvollsten basieren auf bisher unbekannten (Zero-Day-)Schwachstellen, die schwer zu entdecken sind und oft für besonders wertvolle Ziele reserviert werden.

Erkennung bösartiger Dokumentenkampagnen: „Inhalt aktivieren“ und andere Tricks

Zwar sind bösartige Dokumente darauf ausgelegt, der Erkennung zu entgehen und Nutzer zu täuschen, doch stehen den Verteidigern durchaus Möglichkeiten zur Verfügung. Ein wirksamer Schutz beruht darauf, Bedrohungen in verschiedenen Phasen des Angriffslebenszyklus zu identifizieren.

Übermittlung: E-Mail-Filterung

In der frühesten Phase versuchen Sicherheitslösungen für E-Mail und Cloud-Kollaborationsplattformen wie ESET Mail Security (EMSX) oder ESET Cloud Office Security (ECOS), bösartige Anhänge zu stoppen, bevor sie den Benutzer erreichen. Diese Systeme scannen nach bekannten Indikatoren, verdächtigen Dateitypen, bösartigen Links (zum Schutz vor Phishing) und Spam-Mustern.

Angreifer versuchen jedoch häufig, diese Kontrollen zu umgehen, indem sie schädliche Inhalte in ansonsten harmlos aussehende Dateien einbetten. So setzte beispielsweise die ModiLoader-Kampagne auf Anhänge – wie ISO-Dateien oder Archive –, die sich der einfachen, linkbasierten Erkennung entziehen.

Analyse vor der Ausführung: Sandboxing und Detonation

Um die Einschränkungen des statischen Scannens zu überwinden, können verdächtige Anhänge in einer Sandbox (wie ESET LiveGuard Advanced, auch in EMSX und ECOS verfügbar) ausgeführt werden. Dadurch können Verteidiger (oder Sicherheitsanwendungen) beobachten, wie sich eine Datei beim Öffnen verhält, und so verborgene Aktionen wie die Übertragung von Payloads oder die Ausführung von Befehlen aufdecken – noch bevor sie auf einem tatsächlichen Gerät Schaden anrichtet.

Dieser Ansatz könnte sich als besonders wirksam gegen Bedrohungen wie Emotet erweisen, die häufig Dokumentanhänge verwendeten, die auf den ersten Blick harmlos erscheinen.

Ausführung: Verhaltensbasierte Erkennung

Wenn ein schädliches Dokument die anfängliche Filterung umgeht, überwachen spezielle Endpoint-Erkennungslösungen – wie EDR oder XDR – das Verhalten, um verdächtige Aktivitäten in Echtzeit zu erkennen.

Dazu gehören Signale wie:

• ein Dokument, das unerwartete Prozesse auslöst
• im Hintergrund ausgeführte Skripte
• Verbindungen zu verdächtigen Remote-Servern

Bei Kampagnen, bei denen Tools wie der Rescoms-RAT zum Einsatz kommen, die über per E-Mail versendete Verschlüsselungsprogramme wie AceCryptor verbreitet werden, ist diese Phase entscheidend: Denn die eigentliche Bedrohung wird oft erst „sichtbar“, wenn das Dokument geöffnet und die Ausführung gestartet wurde. Ebenso können Sicherheitsverantwortliche mit einem XDR die tatsächliche Ursache eines Cyberangriffs besser lokalisieren.

Die menschliche Ebene: Sensibilisierung

Selbst die fortschrittlichsten Erkennungssysteme können umgangen werden, wenn ein Benutzer dazu gebracht wird, eine Datei zu öffnen und bestimmte Anweisungen zu befolgen. Dies gilt insbesondere für Kampagnen, die Folgendes nutzen:

• kompromittierte E-Mail-Konten
• maßgeschneiderte Phishing-Köder
• vertraute Geschäftsszenarien (Rechnungen, Personalmitteilungen)

Indem Unternehmen ihre Mitarbeiter durch spielerisch gestaltete Sicherheitsschulungen dazu anleiten, unerwartete Anhänge zu hinterfragen, können sie die Angriffskette an ihrem kritischsten Punkt unterbrechen: dem Moment der Interaktion. Dies ist besonders wichtig im aktuellen Zeitalter der KI, das die Wirksamkeit von Phishing-Angriffen erheblich verstärkt hat.

Checkliste zur Erkennung bösartiger E-Mail-Anhänge

Achten Sie auf diese Warnsignale:

• Unerwartete Anhänge, insbesondere von unbekannten oder ungewöhnlichen Absendern
• Dateien, bei denen Sie aufgefordert werden, „Inhalte zu aktivieren“, „Bearbeitung zuzulassen“ oder Schutzmaßnahmen zu umgehen
• Passwortgeschützte Archive, bei denen das Passwort in der Nachricht enthalten ist
• Dokumente, die Dringlichkeit suggerieren (Rechnungen, Lieferungen, Probleme mit dem Konto)
• Dateiformate, die in der täglichen Kommunikation ungewöhnlich sind (z. B. .html, .iso)

Wenn ein Anhang unerwartet ist, sollten Sie ihn zumindest immer über einen zweiten vertrauenswürdigen Kanal überprüfen, bevor Sie ihn öffnen.

Fazit

Schädliche Dokumente sind ein wirkungsvolles Werkzeug. Sie machen E-Mail-basiertes Phishing glaubwürdiger und die Verbreitung von Malware unauffälliger. Mit der richtigen Kombination aus Sensibilisierung der Nutzer und mehrschichtiger Sicherheitserkennung lassen sie sich jedoch aufdecken, wodurch eine versteckte Bedrohung sichtbar, eindämmbar und letztendlich vermeidbar wird.

Oft reicht es schon aus, nur ein einziges Warnzeichen zu erkennen, um einen bösartigen E-Mail-Angriff im Keim zu ersticken.

FAQ: Schädliche E-Mail-Anhänge

Was gilt als bösartiger E-Mail-Anhang?

Ein bösartiger E-Mail-Anhang ist jede per E-Mail versendete Datei, die darauf ausgelegt ist, einem Gerät Schaden zuzufügen, Informationen zu stehlen oder Angreifern den Zugriff auf ein System zu ermöglichen. Diese Anhänge sehen oft wie gewöhnliche Dokumente, PDFs, Archive oder Webseiten-Dateien aus, können jedoch versteckten Code, Links, Skripte oder Exploits enthalten.

Was ist ein bösartiges Dokument (Maldoc)?

Ein bösartiges Dokument ist eine Datei, die versteckten Code oder bösartige Inhalte enthält, die darauf ausgelegt sind, ein Gerät zu kompromittieren, Daten zu stehlen oder Malware herunterzuladen. Häufige Beispiele sind Office-Dokumente, PDF-Dateien, Archive und HTML-Dateien.

Wie gelangen schädliche Dokumente in der Regel zu den Opfern?

Die meisten Maldocs werden über Phishing-E-Mails, Messaging-Apps oder Filesharing-Plattformen versendet. Angreifer tarnen sie oft als Rechnungen, Personalunterlagen, Steuerformulare oder Lieferbenachrichtigungen, um sie legitim erscheinen zu lassen.

Was sind die wichtigsten Warnzeichen für ein bösartiges Dokument?

Zu den Warnzeichen zählen unerwartete Anhänge, Aufforderungen, „Inhalte zu aktivieren“ oder „die Bearbeitung zu ermöglichen“, passwortgeschützte Archive, dringliche Formulierungen sowie ungewöhnliche Dateiformate wie .html- oder .iso-Dateien.

Wie erkennen Sicherheitslösungen schädliche Dokumente?

Unternehmen können schädliche Dokumente durch mehrschichtige Abwehrmaßnahmen wie E-Mail-Filterung, Sandboxing, Endgeräteschutz, EDR/XDR-Überwachung und verhaltensbasierte Erkennung erkennen, die verdächtige Aktivitäten nach dem Öffnen einer Datei identifiziert.

Wie lässt man sich am besten vor schädlichen Dokumenten schützen?

Kombinieren Sie Sicherheitstechnologie mit Sensibilisierung der Nutzer. Wenn ein Anhang unerwartet oder verdächtig ist, überprüfen Sie ihn über einen vertrauenswürdigen Kanal, bevor Sie ihn öffnen. Schulungen zur Sensibilisierung für Sicherheitsfragen und moderne Sicherheitssoftware sind nach wie vor die wirksamsten Abwehrmaßnahmen.

Weitere Quellen:
_{1) ESET Research. (8. Juli 2026). ESET-Bedrohungsbericht 1. Halbjahr 2026. (S. 29). ESET. https://web-assets.esetstatic.com/wls/en/papers/threat-reports/eset-threat-report-h12026.pdf.}