Mark of the Web
Der Mark of the Web ist eine unsichtbare Markierung, die Windows in Dateien einbettet, die aus dem Internet heruntergeladen wurden. Sie signalisiert dem Betriebssystem und Programmen wie Office oder dem Browser, dass die Datei aus einer potenziell unsicheren Quelle stammt und deshalb mit erhöhter Vorsicht behandelt werden soll.
Wer unter Windows eine Datei aus dem Internet herunterlädt, bekommt sie nicht ohne Begleitinformation. Windows heftet der Datei eine versteckte Notiz an: den Mark of the Web. Diese Notiz steckt in einem sogenannten alternativen Datenstrom — einem unsichtbaren Anhang, den das Dateisystem NTFS neben der eigentlichen Datei speichert. Im Datei-Explorer sieht man davon nichts. Trotzdem lesen viele Programme diese Notiz und ändern ihr Verhalten danach.
Schutz vor gefährlichen Dateien aus dem Netz
Der Mark of the Web ist ein zentrales Sicherheitsprinzip in Windows. Ohne ihn würde das System nicht unterscheiden, ob eine Datei von der eigenen Festplatte stammt oder aus einer unbekannten Quelle im Internet. Diese Unterscheidung ist aber entscheidend — denn Dateien aus dem Netz können Schadsoftware enthalten.
Microsoft Office zeigt zum Beispiel eine gelbe Warnleiste, wenn man ein Dokument öffnet, das den Mark of the Web trägt. Makros — kleine automatische Programme innerhalb von Office-Dateien — bleiben dann standardmäßig deaktiviert. Das verhindert einen der häufigsten Angriffswege, bei dem Kriminelle Schadcode in Office-Dokumente einbetten. Auch der Windows Defender und andere Sicherheitsprogramme prüfen den Mark of the Web, bevor sie eine Datei ausführen lassen.
Ein häufiger Irrtum: Viele denken, die Datei selbst sei irgendwie verändert oder beschädigt. Das stimmt nicht. Der Mark of the Web berührt den Inhalt der Datei überhaupt nicht — er ist ein separater Eintrag, der jederzeit entfernt werden kann, ohne die Datei zu verändern.
Wie Windows die Markierung setzt und speichert
Sobald ein Browser wie Chrome, Edge oder Firefox eine Datei speichert, schreibt er in den alternativen Datenstrom „Zone.Identifier“ einen kurzen Textblock. Darin steht unter anderem die Herkunftszone — Zahl 3 steht für „Internet“, Zahl 0 für „lokaler Computer“. Neuere Windows-Versionen speichern dort zusätzlich die genaue Quell-URL und die Seite, von der man auf den Download-Link geklickt hat.
Wer den Inhalt sehen will, kann in der Eingabeaufforderung den Befehl `more < dateiname.docx:Zone.Identifier` eingeben. Man bekommt dann wenige Zeilen Text zu sehen — mehr steckt technisch nicht dahinter. Löschen lässt sich der Mark of the Web über die Dateieigenschaften in Windows: Dort gibt es ein Häkchen „Zulassen“, das den Eintrag entfernt. Danach behandelt Windows die Datei wie eine lokal erstellte.
Wichtig: Der Mark of the Web funktioniert nur auf NTFS-Laufwerken. Kopiert man eine Datei auf einen USB-Stick mit FAT32-Dateisystem, geht die Markierung verloren — denn FAT32 kennt keine alternativen Datenströme. Das ist eine bekannte Schwachstelle, die Angreifer gelegentlich ausnutzen.
Mark of the Web in Sicherheitsmeldungen und Angriffen
In Tech- und Sicherheitsnachrichten taucht der Begriff vor allem dann auf, wenn Angreifer ihn gezielt umgehen. Eine bekannte Methode sind ZIP-Archive oder ISO-Dateien: Ältere Windows-Versionen haben den Mark of the Web früher nicht an die Dateien weitergegeben, die beim Entpacken entstehen. Schadsoftware, die in solchen Archiven versteckt war, landete damit ohne Warnung auf dem Rechner. Microsoft hat dieses Verhalten in Windows 11 geändert — ZIP-Inhalte erben die Markierung jetzt automatisch.
Sicherheitsforscher veröffentlichen regelmäßig Schwachstellen, mit denen der Mark of the Web komplett umgangen werden kann. Microsoft stuft solche Lücken als ernst ein, weil sie einen grundlegenden Schutzmechanismus aushebeln. In den monatlichen Sicherheitsupdates — dem sogenannten Patch Tuesday — werden solche Lücken regelmäßig geschlossen.
Für normale Nutzer ist der praktische Hinweis einfach: Die Warnmeldung, die Office oder Windows anzeigt, wenn eine Datei aus dem Internet stammt, ist kein lästiger Fehler. Sie ist das Mark of the Web, das seinen Job macht. Wer diese Warnungen grundsätzlich wegklickt, ohne nachzudenken, schaltet einen der wirksamsten alltäglichen Schutzmechanismen in Windows ab.