Können ZIP-Dateien Viren enthalten? Dateien sicher entpacken

Können ZIP-Dateien Viren enthalten? Komprimierte Dateien sicher entpacken

Wer eine komprimierte Datei erhält, öffnet sie meist ohne lange nachzudenken — Doppelklick, fertig. Genau darauf setzen Angreifer. ZIP-, RAR-, 7z- und TAR-Archive sind keine harmlosen Behälter. Sie sind Transportmittel, und ihr Inhalt kann von Ransomware bis hin zu Skripten reichen, die still Systemkonfigurationen überschreiben.

Dieser Artikel erklärt, welche Gefahren in Archiven lauern, warum lokale Antivirenprogramme nicht ausreichen, und warum ein sandboxbasierter Online-Extraktor das Sicherheitsrisiko deutlich reduziert — ohne dass etwas auf Ihrem Gerät installiert wird.

Was in einer ZIP-Datei versteckt sein kann

Ein Archiv ist ein Container. Er kann beliebige Inhalte enthalten — darunter:

• Ausführbare Dateien — .exe, .bat, .cmd, .vbs, .ps1-Dateien, die Code ausführen, sobald man sie öffnet oder doppelklickt.
• Office-Dokumente mit Makros — eine .docx- oder .xlsm-Datei, die beim Öffnen ein Makro startet und im Hintergrund weiteren Schadcode nachlädt.
• JavaScript-Payloads — .js-Dateien, die der Windows Script Host direkt vom Desktop ausführt.
• Verschleierte Skripte — Code, der absichtlich unlesbar gemacht wurde, damit statische Scanner kein Muster erkennen können.
• Doppelte Dateiendungen — eine Datei namens rechnung.pdf.exe erscheint in Windows als rechnung.pdf, wenn Dateiendungen ausgeblendet sind (Standardeinstellung). Das Symbol ist ein PDF-Symbol. Die Datei ist eine ausführbare Datei.

Für keine dieser Gefahren ist eine Sicherheitslücke in der Archiv-Software notwendig. Es reicht aus, die Datei zu entpacken und zu öffnen.

Wie Malware über Archive verbreitet wird

Das Archivformat selbst ist ein Social-Engineering-Werkzeug. Typische Verbreitungswege:

Phishing-E-Mails — eine Nachricht, die vorgibt, eine Lieferbenachrichtigung, Rechnung oder HR-Mitteilung zu sein, enthält ein ZIP als Anhang. Das bösartige Programm darin entgeht manchen E-Mail-Gateways, weil es erst nach dem Entpacken sichtbar wird.

Gefälschte Software-Downloads — Suchergebnisse für „kostenlosen Videoeditor" oder „PDF-Konverter Crack" führen häufig zu Archiven, die die beworbene Software zusammen mit einem Keylogger oder Cryptominer enthalten.

Verschachtelte Archive — ein ZIP in einem ZIP in einem ZIP. Jede Ebene muss manuell entpackt werden, was automatische Scanner überfordert, die nur eine Ebene tief prüfen.

Passwortgeschützte Archive — ein Angreifer sendet ein ZIP mit einem im E-Mail-Text enthaltenen Passwort. Das Archiv ist verschlüsselt, sodass kein Antivirenprogramm den Inhalt prüfen kann. Der Nutzer entschlüsselt es selbst und umgeht den Scanner dabei vollständig.

Zip-Bomben: Kleine Dateien, große Katastrophe

Eine Zip-Bombe ist ein Archiv, das so konstruiert ist, dass es beim Entpacken auf eine enorme Größe anwächst. Das bekannteste Beispiel ist 42.zip: 42 Kilobyte auf der Festplatte, vollständig entpackt rund 4,5 Petabyte. Kein handelsüblicher Rechner übersteht das ungeschützt.

Die Technik nutzt wiederholte Datenmuster. Komprimiert belegen eine Milliarde identischer Bytes kaum Platz. Entpackt versucht das System, Speicher und Festplattenplatz für all diese Daten bereitzustellen — bis nichts mehr übrig ist.

Ein Extraktor, der die unkomprimierte Größe nicht vor dem Entpacken prüft, läuft einfach weiter, bis Speicher oder Festplatte erschöpft sind.

Path-Traversal-Angriffe

Bei einem Path-Traversal-Angriff enthält das Archiv Dateinamen wie ../../Windows/System32/drivers/etc/hosts oder ../../../.bashrc. Ein anfälliger Extraktor schreibt diese Datei Pfad für Pfad auf die Festplatte — außerhalb des eigentlich vorgesehenen Zielordners.

Konkret: Der Angreifer bestimmt, wo eine Datei auf Ihrem System landet. Er kann Systemdateien überschreiben, Konfigurationsdateien ersetzen oder ausführbare Dateien an Orten ablegen, die beim nächsten Start automatisch ausgeführt werden. Das Archiv sieht wie ein normales ZIP aus. Der Schaden entsteht still beim Entpacken.

Warum lokales Entpacken riskant ist

Wer ein Archiv lokal entpackt, setzt drei Ebenen seines Systems gleichzeitig aus:

1. Das Dateisystem — Path-Traversal oder Auto-Run-Skripte können überall schreiben, wo das Benutzerkonto Zugriffsrechte hat.
2. Das Antivirenprogramm — es erkennt nur, was es kennt. Verschleierte, neue oder passwortgeschützte Payloads umgehen lokale AV-Scanner regelmäßig.
3. Die Archiv-Software — ungepatchte Schwachstellen in WinRAR, 7-Zip oder dem Windows-eigenen Extraktor wurden in der Praxis ausgenutzt. Das bloße Öffnen eines manipulierten Archivs kann genügen.

Ein falscher Doppelklick auf eine Datei im Archiv kann ein Skript starten, bevor der Virenscanner reagieren kann.

Der sandboxbasierte Ansatz: Dateien remote verarbeiten

Wenn Sie ein Archiv über ein Online-Tool entpacken, findet die Extraktion auf einem Remote-Server statt — nicht auf Ihrem Gerät. Ihr Betriebssystem, Ihr Dateisystem und Ihre lokalen Anwendungen bleiben vollständig unberührt. Wenn das Archiv eine Zip-Bombe ist, trifft sie einen Container auf dem Server. Wenn es eine ausführbare Datei enthält, liegt diese in einem temporären Verzeichnis, das nach Ihrem Download gelöscht wird, und läuft niemals lokal.

Das ist kein Workaround — es ist die architektonisch korrekte Trennung zwischen nicht vertrauenswürdigem Inhalt und Ihrer lokalen Umgebung. Für datenschutzbewusste Nutzer ist zudem wichtig: FileCrank speichert keine Dateien dauerhaft. Alles wird nach dem Download automatisch gelöscht.

Was FileCrank konkret tut

Das Extract-Tool von FileCrank wurde mit genau diesen Bedrohungen im Kopf entwickelt:

• Zip-Bomben-Erkennung — die unkomprimierte Größe wird geprüft, bevor die Extraktion beginnt. Dateien, die sichere Grenzen überschreiten würden, werden sofort abgelehnt.
• Path-Traversal-Schutz — alle Ausgabepfade werden vor dem Schreiben bereinigt. Traversal-Sequenzen (../, ..\\) werden normalisiert, sodass extrahierte Dateien immer im vorgesehenen Verzeichnis landen.
• MIME-Typ-Validierung — Dateiheader (Magic Bytes) werden geprüft, nicht nur Dateiendungen. Eine als foto.jpg benannte Windows-Executable wird auf Header-Ebene erkannt.
• Automatische Bereinigung — hochgeladene Archive und extrahierte Dateien werden nach dem Download vom Server gelöscht. Es verbleiben keine Daten.
• Keine Installation erforderlich — nichts läuft auf Ihrem Gerät. Kein Browser-Plugin, keine Desktop-App, kein Supply-Chain-Risiko durch installierte Software.

Sie können außerdem Archive neu verpacken, um unerwünschte Dateien vor dem Weiterleiten zu entfernen, oder Dateien komprimieren, um saubere Archive selbst zu erstellen.

Checkliste: Bevor Sie ein empfangenes Archiv öffnen

Gehen Sie diese Punkte durch, bevor Sie eine komprimierte Datei entpacken:

• Haben Sie diese Datei angefordert, oder kam sie unerwartet?
• Ist die Identität des Absenders verifiziert — nicht nur ein bekannter Name, sondern eine geprüfte E-Mail-Domain?
• Stimmt der Dateiname mit dem überein, was Sie erwarten?
• Enthält das Archiv ausführbare Dateien, Skripte oder Office-Dokumente mit Makros?
• Ist es passwortgeschützt, und wurde Ihnen das Passwort in derselben Nachricht mitgeteilt?
• Haben Sie die Dateiliste geprüft, bevor Sie alles entpacken?

Wenn einer dieser Punkte Zweifel weckt, verwenden Sie den Online-Extraktor, um den Inhalt in einer Sandbox zu prüfen, bevor Sie die Datei lokal anfassen.

FAQ

Kann eine ZIP-Datei allein durch das Herunterladen den Computer infizieren? Das Herunterladen allein reicht in der Regel nicht aus — der Schadcode muss entpackt und ausgeführt werden. Manche Browser entpacken Dateien jedoch automatisch, und Schwachstellen in Dekomprimierungssoftware können bereits beim Öffnen ausgelöst werden.

Was ist eine Zip-Bombe und wie schütze ich mich? Eine Zip-Bombe ist ein Archiv, das beim Entpacken auf eine enorme Größe anwächst und das System zum Absturz bringt. Schutz bietet ein Extraktor, der die unkomprimierte Größe vor dem Schreiben prüft — was FileCrank vor jeder Verarbeitung tut.

Ist es sicher, eine ZIP aus einer E-Mail zu öffnen? Nur wenn Sie dem Absender und dem Kontext vertrauen. Unerwartete ZIPs, ZIPs mit Passwörtern in derselben Nachricht und ZIPs mit .exe- oder .vbs-Dateien sollten als verdächtig eingestuft werden.

Kann Antivirensoftware Malware in ZIP-Dateien erkennen? Die meisten modernen AV-Scanner prüfen den Inhalt unverschlüsselter Archive. Passwortgeschützte Archive, tief verschachtelte Archive und neue oder verschleierte Malware umgehen diese Erkennung jedoch häufig.

Was macht einen Online-Extraktor sicherer als lokale Software? Die Extraktion findet auf einem Remote-Server statt. Ihr lokales Dateisystem und Ihre Anwendungen werden nie berührt. Eine Zip-Bombe trifft die Server-Sandbox. Ein Path-Traversal-Versuch schreibt in einen temporären Container. Ihr Gerät sieht die rohen extrahierten Dateien nie.