Dateityp erkennen, auch ohne Endung

Woran das Werkzeug den Dateityp erkennt

Fast jedes Dateiformat beginnt mit einer festen Bytefolge, an der Programme es wiedererkennen. Man nennt sie Magic Bytes oder Signatur. Ein PNG-Bild beginnt immer mit den acht Bytes 89 50 4E 47 0D 0A 1A 0A (W3C, PNG Specification), ein JPEG mit FF D8 FF, ein PDF mit den Zeichen „%PDF-“. Dieses Werkzeug liest genau diese ersten Bytes, vergleicht sie mit einer Tabelle und nennt Format, typische Endung und MIME-Typ. Die Endung im Dateinamen kommt erst danach ins Spiel, als Vergleich.

Gelesen werden höchstens die ersten 64 KB (65.536 Byte), bei einem ZIP-Archiv zusätzlich das Inhaltsverzeichnis am Dateiende. Das Inhaltsverzeichnis braucht die Seite, weil Word-, Excel- und PowerPoint-Dateien, OpenDocument-Dateien, Java-Archive und Android-Apps in Wahrheit ZIP-Archive sind (PKWARE APPNOTE). Erst die Einträge darin verraten die Art: „word/“ heißt DOCX, „xl/“ heißt XLSX, „ppt/“ heißt PPTX. Bei OpenDocument sagt der Eintrag „mimetype“, ob es Text, Tabelle oder Präsentation ist.

Bei Windows-Programmen reicht der Anfang „MZ“ nicht aus. Die Seite folgt dem Zeiger bei Byte 0x3C zur Kennung „PE“ mit zwei Nullbytes und liest dort ein Merkmalsfeld, das eine ausführbare Datei von einer Programmbibliothek (DLL) trennt (Microsoft, PE Format). WebP-Bilder erkennt sie an „RIFF“ und „WEBP“ (RFC 9649), gzip an 1F 8B (RFC 1952), iPhone-Fotos im HEIC-Format an der Kennung „ftyp“ ab dem fünften Byte. Textdateien haben keine Signatur. Dort prüft die Seite, ob die Bytes gültiges UTF-8 ohne Nullbytes ergeben, erkennt eine Byte-Order-Markierung und unterscheidet am Anfang HTML, XML, SVG und JSON.

Datei ohne Endung öffnen: so gehen Sie vor

Dateien ohne Endung begegnen Ihnen als WhatsApp-Export, als Mailanhang mit dem Namen „datei“ oder nach einer Datenrettung, wenn nur noch Namen wie „file0001“ übrig sind. Ziehen Sie die Datei auf das Feld oben oder wählen Sie sie aus. Auf dem Handy öffnet „Datei auswählen“ den Dateimanager. Das Ergebnis nennt das Format und die passende Endung, zum Beispiel „JPEG-Bild“ und „.jpg“.

Benennen Sie die Datei danach um und hängen Sie die Endung an: aus „datei“ wird „datei.jpg“. Windows und macOS öffnen sie dann mit dem passenden Programm; das Ergebnis nennt auch Programme, die dafür in Frage kommen. Damit Sie die Endung beim Umbenennen sehen, schalten Sie sie ein. Am Mac geht das im Finder unter „Einstellungen“, „Erweitert“ mit „Alle Dateinamensuffixe einblenden“, im Windows-Explorer unter „Anzeigen“, „Einblenden“ (Windows 10: „Ansicht“) mit dem Haken bei „Dateinamenerweiterungen“. Stammt die Datei aus einer Wiederherstellung, hilft unser Angebot zur Datenrettung in Hannover, wenn auch das Umbenennen nichts mehr öffnet.

Meldet das Werkzeug „unbekannt“, trägt die Datei keine bekannte Kennung. Das trifft verschlüsselte Dateien, rohe Daten, Programmdaten ohne Kopf und Formate, die nicht in der Tabelle stehen. Fragen Sie in diesem Fall den Absender, mit welchem Programm die Datei entstanden ist.

Wenn Endung und Inhalt nicht zusammenpassen

Eine falsche Endung hat meist harmlose Gründe. Jemand hat ein JPEG in „foto.png“ umbenannt, statt es zu konvertieren. Ein Online-Dienst hat eine Datei unter fremdem Namen angeboten. Oder ein Download hat statt der Datei eine Webseite geliefert, etwa eine Fehler- oder Anmeldeseite, die unter dem Namen „bericht.pdf“ gespeichert wurde. Das Werkzeug zeigt dann „HTML-Webseite“ und „Endung passt nicht“; ein erneuter Download nach der Anmeldung löst das Problem.

Umbenennen ist keine Umwandlung. Aus „foto.heic“ wird durch den neuen Namen „foto.jpg“ kein JPEG, die Bytes bleiben HEIC. Manche Programme öffnen die Datei trotzdem, weil sie den Inhalt selbst prüfen, andere melden einen Fehler. Wollen Sie das Format wirklich ändern, nehmen Sie einen Dateikonverter. Umgekehrt dürfen Sie ein DOCX tatsächlich in „.zip“ umbenennen und mit ZIP entpacken öffnen, weil es ein ZIP-Archiv ist; so kommen Sie an die Bilder in einem Word-Dokument. Bilder mit versteckten Angaben prüft das Werkzeug für EXIF-Daten.

Doppelte Endungen wie .pdf.exe

Windows blendet die Endungen bekannter Dateitypen standardmäßig aus. Eine Datei „Rechnung.pdf.exe“ erscheint dann als „Rechnung.pdf“, nur das Symbol verrät das Programm. Tatsächlich zählt nur die letzte Endung, und die ist „.exe“: Ein Doppelklick startet ein Programm. Das Werkzeug markiert solche Namen rot, auch wenn der Inhalt harmlos aussieht, weil der Name selbst die Falle ist.

Rot sind außerdem Dateien, deren Inhalt ein Programm ist, gleich unter welchem Namen, und Dateien mit Endungen, die beim Start Code ausführen, dazu die Windows-Suchverknüpfungen .searchConnector-ms, .search-ms, .settingcontent-ms und .library-ms, die als Phishing-Träger dienen. Die Endungsliste ist dieselbe wie bei ZIP entpacken, nämlich die Standardliste des Anhangfilters von Microsoft Defender for Office 365. Gelb sind Office-Dateien mit Makros (auch alte DOC-, XLS- und PPT-Dateien), Webseiten, SVG-Bilder, Skripte mit Shebang-Zeile oder Python-Endung (.py, .pyw, .pyc, .pyz), Dateien, deren Endung nicht zum Inhalt passt, Namen mit Richtungszeichen sowie Archive, die Programme oder Webseiten enthalten oder deren Inhalt das Werkzeug nicht prüfen kann (RAR, 7z, gzip, TAR, ein Archiv im Archiv, aneinandergehängte Archive, ein unlesbares Verzeichnis). Gelb steht auch bei ZIP-Archiven, deren Aufbau nicht überall stimmt, etwa wenn Kopfdaten und Inhaltsverzeichnis voneinander abweichen: Dann stimmt der Aufbau nicht überall, und Sie sollten die Datei nicht öffnen, bevor ein Virenscanner sie gesehen hat. Rot werden auch die Archiv-Endungen der Outlook-Sperrliste wie .xz und .cab. Das Unicode-Zeichen U+202E, das die Schreibrichtung umkehrt, zeigt die Seite als sichtbare Marke im Namen an, denn damit lässt sich „Rechnung‹U+202E›fdp.js“ als „Rechnungsj.pdf“ darstellen. Wie Sie solche Mails im Alltag erkennen, üben Sie im Phishing-Quiz.

Häufige Formate und ihre Kennung

Die Tabelle zeigt, woran das Werkzeug die gängigsten Formate erkennt. Die Bytes sind hexadezimal geschrieben; Zeichen in Anführungszeichen sind die lesbare Entsprechung.

Grenzen der Erkennung

Eine Signatur lässt sich fälschen. Wer will, setzt vor ein Programm die ersten Bytes eines PDFs. Das Werkzeug prüft deshalb das Format, nicht die Absicht, und meldet nie „virenfrei“. Auch echte PDF- und Office-Dateien können Schadcode tragen. Bei Verdacht gehört die Datei in einen Virenscanner, und beim Absender fragen Sie auf einem anderen Weg nach, etwa per Telefon. Welche Schutzmaßnahmen für Privatrechner und kleine Betriebe sinnvoll sind, zeigt der PC-Sicherheitscheck im Bereich IT und Sicherheit.

Weitere Grenzen: Aus nur 64 KB lässt sich nicht immer alles ablesen. Bei JSON ist es deshalb eine Vermutung, wenn die Datei länger ist, und alte Office-Dateien (DOC, XLS, PPT) teilen sich ihr Containerformat mit Outlook-Nachrichten und Windows-Installern; die Seite nennt das ehrlich „Office 97–2003 oder Outlook-MSG“ und rät nicht. Die Kennung „CAFEBABE“ nutzen sowohl Java-Klassen als auch universelle Programme für den Mac. In RAR-, 7z-, gzip-, TAR- und anderen Archiven außer ZIP sieht das Werkzeug nicht hinein; solche Archive und ZIP-Dateien, die ein weiteres Archiv enthalten oder aus mehreren aneinandergehängten Archiven bestehen, werden deshalb gelb gemeldet und nie als unauffällig. Bei ZIP-Dateien sucht das Werkzeug außerdem zwischen den Einträgen nach versteckten Einträgen. Das liest es nur bis zu einer Grenze (bei komprimierten Einträgen und Einträgen mit Data Descriptor insgesamt höchstens 128 MB); ist die Grenze erreicht, meldet die Seite gelb mit dem Grund, dass der Inhalt nicht vollständig geprüft werden konnte. Reine Textformate wie CSV, Markdown oder Quellcode haben keine eigene Kennung und erscheinen als Textdatei. Die Datei wird nie ausgeführt, gerendert oder als Vorschau gezeigt, damit ein präpariertes Bild oder eine HTML-Datei hier nichts auslösen kann.