Kann eine PDF Schadsoftware enthalten?

Eine Rechnung kommt von einem Lieferanten, den Sie kennen. Es ist eine PDF, und jeder weiß, dass PDFs nur Dokumente sind — das Sichere, in das man Dateien umwandelt, damit nichts schiefgehen kann. Dieser Glaube ist der Grund, warum „rechnung.pdf" eine der zuverlässigsten Methoden bleibt, jemanden dazu zu bringen, einen Anhang zu öffnen. Die ehrliche Antwort ist differenzierter als ja oder nein, und die Nuance macht sie nützlich.

Die kurze Antwort

Eine PDF ist keine ausführbare Datei. Sie zu öffnen startet kein Programm, wie es ein Doppelklick auf eine .exe tut. Aber eine PDF ist auch nicht inaktiv. Das Format unterstützt aktive Inhalte, und eine bösartige Datei arbeitet meist auf eine von drei Arten: Sie bringt Sie zum Klicken auf etwas, sie trägt etwas anderes in sich, oder sie verformt sich absichtlich, um einen Fehler im Öffnenden anzugreifen.

Kurzfassung: das Format erlaubt mehr, als man annimmt, aber in der Praxis nutzen die meisten bösartigen PDFs nichts Raffiniertes aus — sie enthalten schlicht einen überzeugenden Link. Ihr Urteilsvermögen zählt mehr als Ihr Scanner.

Was eine PDF tatsächlich enthalten kann

Über Text und Bilder hinaus erlaubt die Spezifikation einige Dinge, die überraschen:

JavaScript. Ja, wirklich. PDFs können Skripte einbetten, wodurch Bestellformulare eine Spalte summieren oder ein Datum vor dem Absenden prüfen. Ein legitimes Feature mit völlig legitimer Geschichte.
Aktionen, die automatisch auslösen. Ein Dokument kann eine Aktion deklarieren, die beim Öffnen läuft, beim Anzeigen einer Seite oder wenn die Maus einen Bereich betritt. Mit Skripting kombiniert, heißt das: Eine Datei kann etwas tun, bevor Sie überhaupt bewusst mit ihr interagiert haben.
Eingebettete Dateien. Eine PDF kann beliebige Anhänge in sich tragen — eine Tabelle, ein Archiv, eine ausführbare Datei. Die PDF wird zum Container: harmlos, solange er daliegt, schädlich, wenn ein Nutzer überredet wird, ihn zu extrahieren und auszuführen.
Links und Startaktionen. Ein Link kann eine URL öffnen. Eine Startaktion bittet den Reader, eine externe Anwendung zu öffnen. Moderne Reader blockieren Letzteres oder warnen massiv, aber die Absicht lebt in der Datei.
Formulare, die Daten senden. Ein Formular kann so konfiguriert sein, dass es Ihre Eingaben an eine entfernte Adresse schickt.

Keines davon sind exotische Hacks. Es sind dokumentierte Features, täglich von gewöhnlichen Geschäftsdokumenten genutzt. Genau das macht ihr Vorhandensein mehrdeutig statt belastend.

Das realistische Risikomodell

Es lohnt, das theoretisch Mögliche vom tatsächlich Geschehenden zu trennen, denn in der Lücke dazwischen wohnt schlechter Rat.

Social Engineering — mit Abstand am häufigsten. Die PDF ist ein völlig gültiges Dokument mit einem Link zu einer überzeugenden gefälschten Login-Seite oder einer Anweisung „Inhalt aktivieren, um Rechnung zu sehen". Nichts in der Datei ist technisch bösartig. Sie ist ein Transportmittel für eine Lüge, und keinen Scanner fängt zuverlässig eine Lüge.
Reader-Schwachstellen — real, seltener, ernster. PDF-Parser sind gewaltige Softwarestücke, die ein kompliziertes Format handhaben. Eine absichtlich verformte Datei kann einen Fehler auslösen und im schlimmsten Fall Code ausführen. Das ist es, was „eine PDF hat mir einen Virus verpasst" meist bedeutet — und weshalb ein veralteter Reader die eigentliche Haftung ist.
Trägerdateien. Die PDF hält einen Anhang, der den Schaden anrichtet, sobald er extrahiert und ausgeführt wird. Die PDF selbst tut nie etwas Ungehöriges.

Beachten Sie, was nicht auf der Liste steht: eine PDF, die einen modernen, gepatchten, isolierten Viewer allein durch die Anzeige still infiziert. Das ist nicht unmöglich, aber ein ernster Exploit, nicht die tägliche Realität Ihres Posteingangs.

Warum „öffne keine verdächtigen PDFs" nutzloser Rat ist

Viele Menschen öffnen beruflich PDFs von Fremden. Die Kreditorenbuchhaltung erhält Rechnungen von unbekannten Absendern. Recruiter öffnen Lebensläufe. Support-Teams öffnen Kundenanhänge. Ihnen zu sagen, sie sollen es nicht tun, heißt, ihnen zu sagen, sie sollen nicht arbeiten. Die nützliche Frage ist nicht „Sollte ich das öffnen?", sondern „Was steckt in dieser Datei, und passt es zu dem, was sie vorgibt?" — eine Frage, die Sie tatsächlich beantworten können.

Wie Sie eine PDF prüfen, bevor Sie ihr vertrauen

Sie können prüfen, was ein Dokument enthält, ohne es in einem vollwertigen Reader zu öffnen und ohne eine möglicherweise bösartige Datei einem Drittdienst zu übergeben:

Auf Skripte prüfen. Öffnen Sie JavaScript erkennen und laden Sie die Datei. Es meldet, ob das Dokument eingebettetes JavaScript trägt.
Auf Anhänge prüfen. Öffnen Sie Eingebettete Dateien erkennen, um zu sehen, ob etwas in der PDF steckt.
Mit Erwartungen abgleichen. Eine Lieferantenrechnung mit eingebettetem Archiv und Auto-Start-Skript ist keine normale Rechnung. Ein interaktives Formular Ihres Steuerberaters mit JavaScript wahrscheinlich schon.
Eskalieren, nicht improvisieren. Ist etwas vorhanden, das nicht sein sollte, ist das ein IT-Gespräch — kein „Mal sehen, was passiert"-Moment.

„JavaScript erkennen" öffnen

JavaScript zu finden bedeutet nicht, dass es bösartig ist

Das zählt, denn ein Melder, der Sie in Panik versetzt, ist schlechter als kein Melder. Eingebettetes JavaScript ist in interaktiven Formularen normal: Steuerformulare, Antragsformulare, Spesenabrechnungen, alles, was während der Eingabe rechnet oder prüft. Ein Skript zu finden sagt Ihnen, dass das Dokument interaktiv ist, nicht dass es feindlich ist.

Was das Signal Ihnen gibt, ist Kontext zum Abwägen. Fragen Sie, ob aktiver Inhalt in dieses Dokument von diesem Absender gehört. Ein Behördenformular mit Skript: unauffällig. Eine einseitige „Quittung" von einem Kurierdienst, den Sie nie genutzt haben, mit Skript und eingebetteter ausführbarer Datei: diese Kombination erzählt ihre eigene Geschichte.

Die Grenzen jeder Prüfung

Ehrlichkeit darüber ist nützlicher, als die Werkzeuge zu überhöhen:

Das ist kein Virenschutz. Die Erkennung meldet Struktur — was die Datei enthält. Sie beurteilt keine Absicht und gleicht keine bekannten Malware-Signaturen ab.
Ein sauberer Bericht ist kein Sicherheitsbeweis. Die wirksamsten bösartigen PDFs enthalten keine Skripte und keine Anhänge. Sie enthalten einen Link und eine plausible Geschichte. Nichts zu erkennen.
Er kann Ihnen nicht sagen, dass ein Link eine Phishing-Seite ist. Eine URL ist eine URL, ob sie zu Ihrer Bank oder zu einer überzeugenden Kopie führt.

Prüfung verringert Unsicherheit. Sie beseitigt sie nicht, und jedes Werkzeug, das etwas anderes behauptet, verkauft etwas.

Praktische Gewohnheiten, die wirklich helfen

Halten Sie Ihren Reader aktuell. Die mit Abstand wertvollste Gewohnheit hier. Fast jede „PDF-Exploit"-Geschichte ist ein gepatchter Fehler, der auf einen ungepatchten Rechner trifft.
Bevorzugen Sie einen isolierten Viewer. Moderne Browser stellen PDFs in einer stark eingeschränkten Umgebung mit sehr begrenztem Skripting dar. Das ist ein bedeutsamer Sicherheitsabstand gegenüber einem vollwertigen Desktop-Reader mit allen aktivierten Funktionen.
Schalten Sie JavaScript in Ihrem PDF-Reader aus, wenn Sie nie interaktive Formulare ausfüllen. Es kostet Sie nichts und entfernt eine ganze Risikokategorie.
Behandeln Sie „Aktivieren"-Aufforderungen als Stoppschild. Legitime Dokumente verlangen selten, dass Sie eine Sicherheitswarnung übergehen, um sie zu lesen.
Prüfen Sie über einen anderen Kanal. Wirkt eine Rechnung seltsam, rufen Sie den Lieferanten unter einer Nummer an, die Sie bereits hatten — nicht einer im Dokument gedruckten.

Warum lokal prüfen?

Wenn Sie eine Datei für bösartig halten, ist sie an einen unbekannten Webdienst hochzuladen ein seltsamer erster Zug: Sie haben nun eine Kopie eines möglicherweise sensiblen Dokuments — eine Rechnung mit Ihren Bankdaten, ein Lebenslauf mit einer Adresse — einem Dritten gegeben, um sich sagen zu lassen, ob es gefährlich ist. Es auf dem eigenen Gerät zu prüfen hält Frage und Datei am selben Ort. In CyvoDocOps laufen unterstützte Prüfungen dieser Art lokal in Ihrem Browser, und das Dokument wird nicht auf einen Server hochgeladen.

Häufige Fragen

Kann eine PDF meinen Computer allein durch das Öffnen infizieren?

Mit einem modernen, gepatchten, isolierten Reader ist das unwahrscheinlich, aber nicht unmöglich — es braucht eine echte Schwachstelle. Das realistische Risiko ist ein Link, der Sie irgendwohin Überzeugendes führt, oder ein Anhang, den man Sie überredet, zu extrahieren und auszuführen.

Ist JavaScript in einer PDF immer schlecht?

Nein. Es ist ein Standardmerkmal interaktiver Formulare, für Berechnung und Prüfung genutzt. Sein Vorhandensein ist Kontext, kein Urteil.

Macht das Umwandeln einer PDF in Bilder sie sicher?

Ein Dokument zu rastern verwirft Skripte, Anhänge und Aktionen, entfernt also aktiven Inhalt. Es verwirft auch markierbaren Text, ist also ein echter Handel — und es schützt Sie nicht, wenn das Ziel der Originaldatei schlicht war, Ihnen einen überzeugenden Link zu zeigen.

Sind diese Werkzeuge ein Ersatz für Virenschutz?

Nein. Sie melden, was eine PDF strukturell enthält. Sie identifizieren keine bekannte Malware und bewerten keine Absicht. Nutzen Sie sie zur Urteilsfindung, neben einem gepatchten Reader und normaler Vorsicht.

Wird die Datei zum Prüfen hochgeladen?

Nein. Bei diesen Werkzeugen wird die PDF lokal in Ihrem Browser geprüft und nicht an einen Server gesendet.