Können PDFs Viren oder Malware Enthalten?

Ein PDF landet in deinem Posteingang, von jemandem, den du nicht kennst, und die alte Warnung meldet sich sofort: Öffne keine Anhänge von Fremden. Dieser Rat wurde für .exe-Dateien entwickelt, aber auch PDFs haben schon echte Malware transportiert, von Phishing-Kits im Bewerbungslebenslauf-Look bis hin zu staatlich gesponserten Exploits. Die ehrliche Antwort lautet: Ja, ein PDF kann gefährlich sein, nur nicht auf die Art, wie die meisten sich das vorstellen. Wer den tatsächlichen Mechanismus kennt, kann eine riskante Datei von einer normalen unterscheiden.

Kann ein PDF deinen Computer also wirklich infizieren?#

Ja, allerdings ist ein PDF an sich kein ausführbarer Code: Es ist ein Dokumentformat, und das Ansehen führt kein Programm aus wie ein Doppelklick auf eine .exe-Datei. Die Gefahr geht von drei bestimmten Funktionen aus, die PDF über reinen Text und Bilder hinaus unterstützt:

• Eingebettetes JavaScript. Die PDF-Spezifikation erlaubt Skripte innerhalb des Dokuments, ursprünglich gedacht für Dinge wie das automatische Berechnen von Formularfeldern. Ein bösartiges Skript kann in dem Moment ausgeführt werden, in dem die Datei in einem anfälligen Reader geöffnet wird.
• Eingebettete Dateien und Startaktionen. Ein PDF kann eine andere Datei in sich tragen (ein .docx, ein .zip, sogar eine ausführbare Datei) und den Betrachter auffordern, sie zu öffnen. Das PDF selbst ist harmlos; die eigentliche Nutzlast ist das, was es dich zu öffnen überredet.
• Sicherheitslücken in der Reader-Software. Historisch lag das größere Risiko gar nicht im PDF-Format selbst, sondern in Fehlern der Reader-Software, die es interpretiert. Ein fehlerhaft aufgebautes PDF kann einen Speicherfehler in einer veralteten Version von Adobe Reader oder ähnlicher Software auslösen und Angreifer-Code ausführen lassen, ohne dass mehr als das Öffnen der Datei nötig ist.

Diese dritte Kategorie erklärt, warum Schlagzeilen zu PDF-Malware meist eine bestimmte, ungepatchte Reader-Version nennen statt "PDF" als Format zu beschuldigen. Die Datei ist das Transportmittel; die Schwachstelle steckt in der Software, die sie öffnet.

Warum PDFs dafür überhaupt genutzt werden#

Angreifer mögen PDFs aus denselben Gründen wie jeder andere: Sie öffnen sich auf jedem Gerät, ohne zu fragen "vertraust du dieser App", sie wirken offiziell, und die meisten Menschen wurden darauf trainiert, .exe-Dateien zu misstrauen, nicht aber Dokumenten. Ein PDF, das als Rechnung, Versandbenachrichtigung oder Lebenslauf getarnt ist, kommt durch den mentalen Filter, den eine .zip voller ausführbarer Dateien niemals passieren würde.

Woran du erkennst, ob ein PDF wirklich riskant ist#

Ein paar Signale zählen mehr als die Dateiendung:

1. Woher es kommt. Ein unerwartetes PDF von einem unbekannten Absender, besonders eines, das drängt, "Inhalte zu aktivieren" oder auf einen enthaltenen Link zu klicken, ist mit Abstand das riskanteste Muster.
2. Ob es dich zu einer Handlung auffordert. Ein PDF, das nur Text und Bilder anzeigt, kann von sich aus nicht viel anrichten. Eines, das dich auffordert, einen eingebetteten Anhang zu öffnen, auf einen Link zum "Verifizieren" zu klicken oder Makros/JavaScript zu aktivieren, verlangt genau den Auslöser, den es selbst nicht liefern kann.
3. Der Patch-Stand deines Readers. Die meisten PDF-Exploits zielen auf bestimmte, bereits gepatchte Sicherheitslücken ab. Wenn du deinen Reader (Adobe Acrobat, Preview, der eingebaute Viewer deines Browsers) aktuell hältst, schließt das die Tür für die Mehrheit der echten Angriffe, da Exploit-Kits meist bekannte statt neue Fehler wiederverwenden.

Der sicherste Weg, ein unbekanntes PDF anzusehen#

Browserbasierte PDF-Viewer, einschließlich der eingebauten in Chrome, Firefox und Safari, sind für eine Datei, der du nicht voll vertraust, ein deutlich sichererer Standard als ein dedizierter Desktop-Reader. Browser-PDF-Engines laufen in einer Sandbox mit eingeschränktem Systemzugriff, und bemerkenswerterweise deaktivieren die meisten standardmäßig die Ausführung von eingebettetem JavaScript. Wenn du die Datei tatsächlich bearbeiten musst statt nur hineinzuschauen (komprimieren, aufteilen, Bilder extrahieren), ist ein browserbasiertes Tool, das alles lokal verarbeitet, noch sicherer: Mit dem Compress-PDF-Tool von ConvertOwl verlässt die Datei nie dein Gerät und wird nicht auf einen Server hochgeladen, sodass selbst eine Datei, bei der du dir nicht ganz sicher bist, bei diesem Vorgang keinem Dritten übergeben wird.

Ist ein PDF passwortgeschützt, obwohl du das nicht erwartet hast, solltest du das als stärkeres Warnsignal behandeln, nicht als Sicherheitsfunktion zu deinen Gunsten. Legitime passwortgeschützte PDFs (Steuerunterlagen, Personalformulare) sind üblich, aber der Schutz selbst verhindert in keiner Weise, dass die Datei eine eingebettete Bedrohung trägt. Unser Leitfaden dazu, was ein PDF-Passwortschutz tatsächlich absichert, erklärt, wo dieser Schutz hilft und wo nicht. Hast du eine geschützte Datei von einer legitimen Quelle erhalten und musst sie nur öffnen, entfernt Unlock PDF das Passwort lokal in deinem Browser, ohne das Dokument irgendwohin zu senden.

Was dein Risiko tatsächlich senkt#

• Halte deinen PDF-Reader aktuell. Das schließt die Sicherheitslücken, auf die sich die meisten echten Angriffe verlassen, da Exploit-Kits überwiegend bekannte, bereits gepatchte Fehler statt Zero-Days ins Visier nehmen.
• Aktiviere JavaScript oder Makros in einem PDF-Reader nur, wenn du sie wirklich brauchst. Die meisten alltäglichen PDFs (Rechnungen, Formulare, Berichte) benötigen nie Skripting, um korrekt angezeigt zu werden.
• Sei misstrauisch bei jedem PDF, das dich zum Klicken, Aktivieren oder Öffnen von etwas anderem auffordert. Ein PDF, das nur Inhalte zeigt, macht seinen normalen Job; eines, das eine weitere Handlung verlangt, fragt nach dem Schritt, den es selbst nicht ausführen kann.
• Betrachte unbekannte Dateien bevorzugt in einem Browser-Tab statt in einem dedizierten Desktop-Reader, und nutze browserbasierte Tools, wenn du die Datei wirklich bearbeiten musst, da dabei nichts dein Gerät verlässt.

Häufig gestellte Fragen#

Kann eine PDF-Datei allein durch das Öffnen einen Virus übertragen?#

In seltenen Fällen ja, wenn dein PDF-Reader eine ungepatchte Sicherheitslücke aufweist, die ein bösartiges PDF gezielt ausnutzen soll, allerdings erfordert das einen veralteten Reader und einen gezielten Exploit statt eines routinemäßigen Risikos beim Öffnen eines beliebigen PDFs.

Sind PDFs sicherer als Word-Dokumente, um Malware zu vermeiden?#

Kein Format ist von Natur aus sicherer, da beide eingebettete Skripte unterstützen und beide reale Exploits erlebt haben; makrobasierte Angriffe auf Word sind heute verbreiteter, weil Makros leichter zu Waffen gemacht werden können als PDF-JavaScript, aber das zugrunde liegende Risikomuster (ein veralteter Reader plus eine Datei, die dich zum Aktivieren von etwas auffordert) ist dasselbe.

Erkennt Antivirensoftware bösartige PDFs?#

Die meisten Antivirenprogramme scannen PDFs und erkennen bekannte Malware-Signaturen sowie gängige Exploit-Muster, können aber einen brandneuen, noch nie gesehenen Exploit übersehen. Deshalb ist es genauso wichtig, den Reader aktuell zu halten, wie ein Antivirenprogramm installiert zu haben.

Ist es sicher, einen PDF-Anhang von einem unbekannten Absender zu öffnen?#

Es ist weniger riskant, als eine ausführbare Datei auszuführen, aber nicht risikofrei, besonders wenn das PDF dazu auffordert, Inhalte zu aktivieren, auf einen eingebetteten Link zu klicken oder einen mitgelieferten Anhang zu öffnen; es in einem Browser-Tab statt in einem Desktop-Reader zu betrachten, senkt das Risiko zusätzlich.

Entfernt das Komprimieren oder Konvertieren eines PDFs enthaltene Malware?#

Nicht zuverlässig, da das Neucodieren der Bilder eines PDFs eingebettetes JavaScript oder mitgelieferte Dateien nicht zwangsläufig entfernt. Ein verdächtiges PDF sollte deshalb gescannt oder gemieden werden, statt darauf zu vertrauen, dass ein Konverter es "bereinigt".

Warum gelten passwortgeschützte PDFs weiterhin als riskant?#

Ein Passwort schränkt nur ein, wer die Datei öffnen kann; es prüft oder begrenzt in keiner Weise, was die Datei selbst nach dem Öffnen tun kann. Ein geschütztes PDF von einem unerwarteten Absender trägt daher dasselbe Risiko einer eingebetteten Bedrohung wie ein ungeschütztes.

Kurz zusammengefasst#

• PDFs können Malware über eingebettetes JavaScript, mitgelieferte Dateien oder das Ausnutzen von Fehlern in veralteter Reader-Software transportieren, nicht weil sie von Natur aus ausführbar sind.
• Der größte einzelne Risikofaktor ist ein ungepatchter PDF-Reader; die meisten echten Angriffe zielen auf bekannte, bereits behobene Sicherheitslücken ab.
• Ein unerwartetes PDF, das dich auffordert, Inhalte zu aktivieren, auf einen Link zu klicken oder etwas Eingebettetes zu öffnen, ist das deutlichste Warnsignal.
• Unbekannte PDFs in einem Browser-Tab anzusehen und sie mit lokalen, browserbasierten Tools wie Compress PDF, Protect PDF und Unlock PDF zu bearbeiten, hält die Datei während des gesamten Vorgangs von einem fremden Server fern.

Mehr darüber, wie Dateiformate im Hintergrund tatsächlich funktionieren, findest du im Technologie-Bereich des Blogs.