Windows 11: So entlockt man heruntergeladenen Dateien ihre Herkunft

Wer viele Dateien aus dem Internet herunterlädt, verliert schnell den Überblick über deren Herkunft. Microsoft hat sich dieses Problems in Windows 11 allerdings angenommen, und zwar in Form des Mark-of-the-Web-Systems. Windows 11 kann dabei helfen, nachvollziehbar zu machen, woher Dateien stammen, die der Anwender in seinen teils umfassenden Datensammlungen findet. Das Betriebssystem kennzeichnet bestimmte Dateien mit dem sogenannten Mark of the Web (MotW). Anhand dieser Information erkennt Windows, dass eine Datei beispielsweise aus dem Internet stammt, und kann beim Öffnen zusätzliche Warnungen oder Einschränkungen anzeigen.

Das Mark of the Web wird unter Windows nicht als direkt sichtbares Etikett an die Datei geheftet. Stattdessen speichert das Betriebssystem die Information als sogenannten Alternate Data Stream im NTFS-Dateisystem. Dadurch können Windows und kompatible Programme erkennen, aus welcher Sicherheitszone eine Datei stammt.

Inhaltsverzeichnis:

Mark of the Web über die Dateieigenschaften prüfen

Ob eine Datei entsprechend gekennzeichnet ist, lässt sich unter Windows 11 schnell überprüfen:
Kennzeichnung von Dateien aus dem Internet Stammt die Datei aus dem Internet oder einer anderen potenziell unsicheren Quelle, kann dort ein Sicherheitshinweis erscheinen. Windows weist darauf hin, dass die Datei möglicherweise blockiert wurde, um den PC zu schützen. Daneben befindet sich gegebenenfalls die Option "Zulassen" beziehungsweise "Blockierung aufheben".

Aber Vorsicht: Aktivieren Sie diese Option nur bei Dateien, deren Herkunft und Inhalt Sie zweifelsfrei kennen, sonst kann es passieren, dass etwa einer Malware freie Bahn gewährt wird. Nach einem Klick auf "Übernehmen" und "OK" entfernt Windows die entsprechende Kennzeichnung. Dadurch verschwinden dann auch Warnungen oder Einschränkungen beim Öffnen der Datei.

Herkunft einer Datei genauer untersuchen

Wer mehr über die Herkunft wissen möchte, kann den gespeicherten Datenstrom "Zone.Identifier" auslesen. Öffnen Sie dazu die PowerShell in dem Ordner, in dem sich die Datei befindet. Anschließend geben Sie folgenden Befehl ein:


Existiert ein Mark of the Web, erscheint in der PowerShell ein kurzer Text mit Angaben wie:

Die Angabe ZoneId gibt zusätzliche Informationen preis: Windows unterscheidet mehrere Sicherheitszonen: 0 steht für den lokalen Computer, 1 für das lokale Intranet, 2 für vertrauenswürdige Seiten, 3 für das offene Internet und 4 für eingeschränkte Seiten. "ZoneId=3" bedeutet entsprechend, dass Windows die Datei dem Internet zuordnet. Mit 0 sind hingegen Dokumente gekennzeichnet, die vom Nutzer selbst auf dem gerade genutzten PC erstellt wurden.

ReferrerUrl kann auf die Webseite verweisen, von der aus der Download der überprüften Datei gestartet wurde. HostUrl bezeichnet gegebenenfalls die Adresse, von der die Datei tatsächlich heruntergeladen wurde. Welche Angaben vorhanden sind, hängt unter anderem vom genutzten Browser ab. Der Zone.Identifier informiert genau über die Herkunft.

Warum die Kennzeichnung nützlich ist

Das Mark of the Web erklärt unter Umständen, warum sich eine heruntergeladene Datei anders verhält als eine lokal erstellte. So kann Windows bei entsprechend markierten Dateien zusätzliche Sicherheitsmaßnahmen anwenden. Anhand der Kennzeichnung kann der Nutzer nachvollziehen, warum dies so ist.

Auch hier: Es gibt nicht 100 Prozent Sicherheit

Fehlt der Eintrag Zone.Identifier, beweist das nicht, dass die Datei niemals von irgendwo aus dem Internet heruntergeladen wurde. Die Information kann beispielsweise beim Kopieren auf Dateisysteme ohne Unterstützung für Alternate Data Streams, beim Entpacken mit bestimmter Software oder durch manuelles Aufheben der Blockierung verloren gehen. Die Prüfung zeigt daher vor allem, ob Windows die Datei aktuell noch als aus einer potenziell unsicheren Quelle stammend erkennt.

Trotz dieser Unsicherheit ist das Mark of the Web aber ein hilfreiches Tool, um Dateien zuordnen zu können. Und bei Bedarf hilft es auch, später beispielsweise eine gute Download-Seite wiederzufinden, von der man vor längerer Zeit besonders interessante Inhalte heruntergeladen hat.