Ist diese ZIP-Datei sicher? So prüfst du sie vor dem Entpacken

Prüfe eine ZIP-Datei, bevor du sie entpackst. Ihr Inhaltsverzeichnis listet jede Datei mit Name, Größe und dem Grad der Verkleinerung auf. Fünf Dinge zeigen sich dort, wenn eine ZIP-Datei Ärger macht: eine Größe, die beim Entpacken explodiert, Namen, die aus ihrem Ordner herausführen, eine zweite Endung, die den echten Typ verbirgt, ein verschlüsselter Eintrag und eine Datei, deren tatsächlicher Typ nicht zu ihrem Namen passt. Schau zuerst in die ZIP-Datei und entpacke nur, was du erwartest.

ZIP-ViewerWas ist in dieser ZIP-Datei drin?Kostenlos loslegen

Was das Inhaltsverzeichnis einer ZIP-Datei zeigt

Eine ZIP-Datei speichert jede Datei als Eintrag. Am Ende des Archivs liegt eine Liste, das sogenannte Zentralverzeichnis, mit einem Datensatz pro Eintrag. Jeder Datensatz enthält den Namen und Pfad des Eintrags, die Größe vor und nach der Komprimierung, die Komprimierungsmethode, eine Prüfsumme namens CRC-32 (eine kurze Zahl, die aus dem Inhalt berechnet wird und Beschädigungen erkennt) sowie die Information, ob der Eintrag verschlüsselt ist.

Entpackprogramme lesen zuerst diese Liste. Der ZIP-Viewer liest nur die Liste, sodass du sehen kannst, was drin ist, ohne etwas zu entpacken. Nichts im Archiv wird ausgeführt.

Zip-Bomben: kleine Dateien, die riesig werden

Komprimierung funktioniert, indem sie wiederholte Daten durch kurze Codes ersetzt. Je mehr Wiederholungen, desto kleiner das Ergebnis. Das Kompressionsverhältnis ist die unkomprimierte Größe geteilt durch die komprimierte Größe. Lange Folgen wiederholter Daten lassen sich extrem gut komprimieren. Die übliche ZIP-Methode kann eine lange Folge identischer Bytes etwa tausendfach verkleinern.

Eine Zip-Bombe nutzt genau das aus. Sie ist ein kleines Archiv, das sich zu vielen Gigabyte entpackt, manchmal mit Archiven in Archiven, um die Größe zu vervielfachen. Beim Entpacken füllt sie die Festplatte und kann den Rechner einfrieren.

Gewöhnliche Dateien zeigen dir, was ein normales Verhältnis ist. Text und Code werden stark verkleinert. Fotos, Videos und bereits komprimierte Dateien wie .docx, .xlsx und .jpg lassen sich kaum verkleinern. Ein Verhältnis im Hunderterbereich bei etwas, das ein einfaches Dokument sein sollte, ist ein Warnsignal.

Namen, die aus dem Ordner herausführen

Jeder Eintragsname kann Ordner enthalten. Ein Name wie ../../Startup/update.bat weist das Entpackprogramm an, zwei Ebenen nach oben zu gehen und in einen Autostart-Ordner zu schreiben, aus dem das Programm bei jeder Anmeldung ausgeführt wird. Das nennt man Path Traversal oder „Zip Slip“. Sorgfältige Entpackprogramme entfernen die ../-Teile. Ältere Werkzeuge und selbst geschriebene Skripte tun das womöglich nicht.

Ein Name, der mit einem Schrägstrich beginnt, etwa /etc/... oder C:\..., ist dasselbe Problem: Es wird versucht, an eine feste Stelle auf deiner Festplatte zu schreiben. Der Viewer zeigt Namen genau so, wie sie gespeichert sind, sodass du sie lesen kannst, bevor etwas geschrieben wird.

Doppelendungen und versteckte Typen

Die letzte Endung eines Dateinamens sagt dem System, um welche Art Datei es sich handelt. Rechnung.pdf.exe endet auf .exe und ist somit ein Programm, auch wenn der Name nach einem PDF klingt. Windows blendet die Endung bekannter Dateitypen standardmäßig aus, sodass der Name als „Rechnung.pdf“ erscheinen kann.

Den echten Typ anhand der ersten Bytes prüfen

Jeder Dateityp beginnt mit ein paar Signatur-Bytes. Die Endung ist nur eine Bezeichnung, und jeder kann sie ändern. Prüfe den echten Typ einer Datei: Das Tool liest diese ersten Bytes und vergleicht sie mit dem Namen.

Typ	Erste Bytes (hexadezimal)
PDF-Dokument	25 50 44 46 (der Text %PDF)
PNG-Bild	89 50 4E 47
JPEG-Bild	FF D8 FF
ZIP sowie Word- und Excel-Dateien (sie sind ZIPs im Inneren)	50 4B 03 04 (der Text PK)
Windows-Programm	4D 5A (der Text MZ)

Eine Abweichung beweist nicht, dass eine Datei schädlich ist. Sie bedeutet aber, dass die Datei nicht das ist, was ihr Name behauptet, und das ist Grund genug, innezuhalten und zu prüfen, woher sie stammt.

Verschlüsselte Einträge

Ein passwortgeschützter Eintrag verbirgt seinen Inhalt. Der Viewer kann Namen und Größen trotzdem anzeigen, aber was darin steckt, lässt sich hier nicht prüfen, und auch Virenscanner können nicht hineinsehen. Darum nutzen Angreifer verschlüsselte Archive, um Dateien an Filtern vorbeizuschmuggeln. Kontoauszüge und Steuerformulare werden außerdem oft absichtlich verschlüsselt. Wenn der Absender jemand ist, den du kennst, frage das Passwort über einen anderen Kanal an und öffne das Archiv nur, wenn du weißt, wer es geschickt hat.

Datenmüll von Mac und Windows

Zwei Systeme fügen Dateien hinzu, die du nicht selbst erstellt hast:

macOS speichert zusätzliche Daten zu jeder Datei in einem versteckten Ordner __MACOSX mit ._-Namen neben den Dateien und schreibt .DS_Store-Dateien, die die Ansichtseinstellungen des Finders speichern.
Windows legt Thumbs.db, einen Vorschaubild-Cache, und desktop.ini an, die die Anzeigeeinstellungen des Ordners enthält.

Sie sind harmlos, machen das Archiv aber unübersichtlich und verwirren die Person, die es erhält.

Archiv vor dem Versand bereinigen

Bereinige die ZIP-Datei erstellt ein neues Archiv ohne die Dateien von Mac und Windows. Dein Original bleibt unverändert. So gehst du sicher vor:

Öffne das Archiv im ZIP-Viewer und lies jeden Namen.
Prüfe jede Datei, deren Name oder Typ verdächtig wirkt, mit dem Dateityp-Prüfer.
Bereinige das Archiv und öffne dann die bereinigte Kopie, um zu bestätigen, dass sie noch alles enthält, was du senden wolltest.
Verschicke die bereinigte Kopie.

Sonderfälle

Archive in Archiven. Der Viewer zeigt die äußere Liste. Öffne das innere Archiv separat und prüfe es genauso.
Beschädigte Archive. Das Zentralverzeichnis liegt am Ende, daher kann ein beschädigtes Ende verhindern, dass sich eine ZIP-Datei überhaupt öffnen lässt. Das ist ein Beschädigungsproblem und kein Beweis, dass das Archiv sicher ist. Prüfe es auf Beschädigungen.
Selbstentpackende Dateien. Ein Archiv mit angehängtem Programm, oft mit der Endung .exe, ist ein Programm. Führe es nur aus, wenn du der Quelle vertraust.
Eine saubere Liste ist keine Garantie. Eine unauffällige Liste zeigt, dass Namen und Größen normal aussehen. Sie beweist nicht, dass jede Datei harmlos ist. Starte kein Programm aus einem Archiv, dem du nicht vertraust, auch nicht nach der Prüfung.