So entpacken Sie eine ZIP-Datei auf dieser Seite
Wählen Sie die ZIP-Datei aus oder ziehen Sie sie in das Feld. Die Seite liest zuerst das Inhaltsverzeichnis, das jedes ZIP-Archiv am Dateiende trägt (PKWARE nennt es „Central Directory“, APPNOTE 6.3.10, Abschnitt 4.3.12). Daraus entsteht die Liste mit Ordnern, Dateinamen, Größe und Datum. Entpackt wird erst, wenn Sie bei einer Datei auf „Speichern“ tippen oder einen der Knöpfe für alles drücken.
Für jede Datei rechnet die Seite beim Entpacken die Prüfsumme CRC-32 neu und vergleicht sie mit dem Wert im Archiv. Stimmt sie, steht „CRC-32 stimmt“ mit der achtstelligen Prüfsumme neben der Datei. Stimmt sie nicht, ist die Datei beim Packen, Versenden oder Herunterladen beschädigt worden; die Seite gibt sie dann nicht heraus. „Archiv testen“ macht das für alle Dateien auf einmal, ohne etwas zu speichern, so wie der Test-Befehl in 7-Zip.
Zum Speichern gibt es drei Wege. Einzeln über „Speichern“ an jeder Datei. Alles zusammen als neues, bereinigtes ZIP bis 500 MB, mit Ordnerstruktur, leeren Ordnern und dem Originaldatum jeder Datei, aber ohne macOS-Zusatzdateien und auf Wunsch ohne Programme. Oder, in Chrome und Edge am Computer, „In einen Ordner entpacken“: Sie wählen einen Ordner, die Seite legt darin einen Unterordner mit dem Namen des Archivs an und schreibt jede Datei Stück für Stück hinein. Dabei liegt nie das ganze Archiv im Arbeitsspeicher. Bilder, PDF und Textdateien können Sie mit „Ansehen“ vorher öffnen; ein inneres ZIP öffnet „Öffnen“ direkt hier.
Was die roten und gelben Markierungen bedeuten
ZIP-Dateien sind ein beliebter Umschlag für Schadsoftware, weil Mailfilter in Archive schlechter hineinsehen. Das BSI nennt auf seiner Seite zu Schadprogrammen (abgerufen am 02.10.2026) E-Mail-Anhänge mit Endungen wie .exe oder .scr, die beim Öffnen Schadcode ausführen, und doppelte Endungen wie „pdf.exe“, die täuschen sollen. Genau darauf achtet die Seite.
Rot sind Dateien, die beim Doppelklick Code starten oder sich als Laufwerk einbinden. Die Liste stammt nicht von uns, sondern ist die Standardliste des Anhangfilters von Microsoft Defender for Office 365 (Stand der Seite: 09.06.2026), 53 Dateitypen von .exe, .scr, .bat, .cmd, .vbs und .lnk bis .iso und .img. Alle 53 sind hier rot, auch die drei Office-Formate mit Makros aus dieser Liste (.docm, .ppa, .ppam), das Excel-Add-in .xll (technisch eine Programmbibliothek) und die älteren Archivformate .ace, .arj, .cab, .lha, .lzh, .xz und .z. Dazu kommen aus der Zusatzliste derselben Seite .js, .jse, .ps1, .one (OneNote), .url, .chm, .cpl und .vhd, weil diese Typen in Phishing-Mails immer wieder auftauchen. Rot ist auch eine doppelte Endung wie „Rechnung.pdf.exe“ oder „Lieferschein.pdf .scr“ mit vielen Leerzeichen. Windows blendet bekannte Endungen standardmäßig aus, sichtbar bleibt dann nur „Rechnung.pdf“.
Ein dritter Trick ist unsichtbar. Das Unicode-Zeichen U+202E kehrt die Schreibrichtung um (Unicode-Standard, Anhang 9). Ein Skript mit dem Namen „Rechnung“ + U+202E + „fdp.js“ erscheint im Explorer als „Rechnungsj.pdf“. Die Seite zeigt solche Namen ohne das Steuerzeichen und markiert sie rot.
Gelb sind Office-Dateien mit Makros, die nicht auf der Microsoft-Liste stehen (.xlsm, .pptm, .dotm, .xlam und verwandte). Sie sind nicht von sich aus gefährlich, aber Makros nur aktivieren, wenn Sie Absender und Datei kennen. Gelb sind auch Webseiten (.html, .htm): Sie können Skripte enthalten, und Microsoft führt sie wegen des „HTML-Smuggling“ in der Zusatzliste. Öffnet sich daraus ein Anmeldeformular, geben Sie dort kein Passwort ein. Blau markiert sind Archive im Archiv, macOS-Zusatzdateien und Namen, die die Seite angepasst hat.
Grün heißt nur: keines dieser Muster gefunden. Ein Virenscanner ist die Seite nicht. Auch ein PDF oder eine Word-Datei kann Schadcode enthalten. Kam das Archiv unerwartet, fragen Sie beim Absender auf einem anderen Weg nach, etwa per Telefon. Wie man solche Mails erkennt, üben Sie im Phishing-Quiz.
Zip-Bomben und Pfade, die aus dem Ordner führen
Eine Zip-Bombe ist ein kleines Archiv, das beim Entpacken riesig wird und Speicher oder Festplatte füllt. Unser Testarchiv mit 50 MB Nullen ist gepackt 51 KB groß, das ist ein Verhältnis von rund 1.000 zu 1. Die Seite nimmt die Regel aus der Java-Bibliothek Apache POI, die Office-Dateien (selbst ZIP-Archive) öffnet: Ab 100 KB entpackter Größe darf eine Datei höchstens 100-fach verdichtet sein. Was darüber liegt, entpackt die Seite nicht. Normale Dokumente und Fotos liegen weit darunter; JPG-Fotos zum Beispiel lassen sich kaum noch verdichten. Zusätzlich bricht das Entpacken ab, sobald eine Datei größer wird, als das Archiv angibt. Damit fällt auch eine Bombe auf, die im Inhaltsverzeichnis falsche Größen nennt.
Zwei Grenzen kommen dazu. Einzelne Dateien über 4 GB (genau 4.294.967.295 Byte, die Grenze von Apache POI und zugleich das Maximum eines ZIP ohne die Erweiterung ZIP64) zeigt die Seite an, entpackt sie aber nicht. Ist alles zusammen größer als 4 GB, sind die Knöpfe für „alles“ gesperrt.
Ein Archiv kann Dateinamen wie „../../Autostart/programm.exe“ oder „C:\Windows\…“ enthalten. Ein unvorsichtiges Entpackprogramm schreibt die Datei dann außerhalb des gewählten Ordners. Diese Lücke ist als „Zip Slip“ bekannt. Die Seite entfernt „..“, führende Schrägstriche und Laufwerksbuchstaben, ersetzt Zeichen, die Windows in Namen nicht erlaubt, und setzt vor reservierte Namen wie „aux“ oder „con“ einen Unterstrich. Jede so bereinigte Datei ist markiert. Ergeben zwei Einträge danach denselben Namen, etwa „x.txt“ und „../x.txt“, hängt die Seite an den zweiten „ (2)“ an, damit er den ersten nicht überschreibt.
Kein Upload, und so prüfen Sie das selbst
Das Archiv verlässt Ihr Gerät nicht. Der Browser liest die Datei in Stücken (File.slice) und entpackt mit seiner eingebauten Funktion DecompressionStream; den Leser für das ZIP-Format haben wir selbst geschrieben, ohne fremde Bibliothek. Beim Laden holt die Seite ihre eigenen Programmteile von dieser Domain; auch das neue ZIP für „Alles als ZIP“ schreibt sie selbst, ohne etwas nachzuladen. Nach dem Öffnen eines Archivs geht nur eine anonyme Nutzungszählung an unseren Server, ohne Dateinamen und ohne Inhalt. Sie können das in den Entwicklerwerkzeugen (F12, Reiter „Netzwerk“) verfolgen oder die Seite laden, das WLAN abschalten und dann entpacken. Das Netzwerkprotokoll haben wir am 02.10.2026 in Chrome und Safari (WebKit) geprüft, den Versuch ohne Internet in Chrome.
Umlaute im Dateinamen: warum manche ZIPs „Gr├╝├ƒe“ zeigen
Ein ZIP speichert Namen entweder als UTF-8, dann ist Bit 11 im Kopf gesetzt, oder in der alten DOS-Zeichentabelle Codepage 437 (APPNOTE, Abschnitt 4.4.4 und Anhang D). Ältere Windows-Versionen schreiben Umlaute in dieser Tabelle; „ü“ ist dort das Byte 0x81. Manche Packprogramme schreiben dagegen UTF-8, ohne das Bit zu setzen. Ein Entpacker, der sich an die Regel hält, liest die Bytes dann als Codepage 437, und aus „Grüße“ wird „Gr├╝├ƒe“. Genau das zeigt zum Beispiel Pythons Modul zipfile bei unserem Testarchiv.
Die Seite beachtet das Bit, erkennt gültiges UTF-8 auch ohne Bit und übersetzt alles andere über die Codepage-437-Tabelle. Hat ein Programm den richtigen Namen im Zusatzfeld „Unicode Path“ (0x7075) mitgeliefert, nimmt sie diesen. Die deutschen Umlaute stehen in Codepage 850, die deutsches Windows benutzt, an denselben Stellen wie in 437.
Grenzen: Passwort, RAR, 7z und alte Packverfahren
Verschlüsselte Einträge erkennt die Seite, das klassische ZIP-Passwort ebenso wie AES (Kennung 0x9901), entpackt sie aber nicht. Unterstützt sind die beiden Verfahren, die fast alle ZIPs benutzen: „gespeichert“ (ohne Kompression) und Deflate. Deflate64, BZIP2, LZMA, Zstandard und XZ meldet die Seite mit Namen. Solche Archive sind selten; sie entstehen, wenn jemand im Packprogramm ausdrücklich ein anderes Verfahren wählt. RAR und 7z sind eigene Formate; die Seite erkennt sie und sagt das, statt einen unverständlichen Fehler zu zeigen. Für sie brauchen Sie am Computer ein Programm wie 7-Zip.
Auf dem Handy ist der Arbeitsspeicher die Grenze. Einzelne Dateien bis einige hundert MB sind kein Problem, „Alles als ZIP“ ist auf 500 MB begrenzt. Für komprimierte Einträge braucht der Browser DecompressionStream mit „deflate-raw“: Chrome und Edge ab Version 103, Safari ab 16.4 und Firefox ab 113 (MDN). Ältere Browser zeigen den Inhalt, entpacken aber nur ungepackte Dateien.