Security · 2.10.2026
Unter Windows 11 lässt sich der genaue Ursprung von aus dem Internet heruntergeladenen Dateien über NTFS-Metadaten auslesen. Das hilft bei der Sicherheitsanalyse.
Unter Windows 11 markiert das Betriebssystem aus dem Internet heruntergeladene Dateien automatisch mit dem sogenannten „Mark of the Web“ (MotW). Diese Sicherheitsfunktion speichert Metadaten über die Herkunft der Datei in einem versteckten NTFS-Datenstrom (Alternate Data Stream, kurz ADS) namens Zone.Identifier. Administratoren und versierte IT-Verantwortliche können diese versteckten Informationen gezielt auslesen, um den genauen Ursprung einer Datei zu bestimmen und Sicherheitsrisiken im Netzwerk zu minimieren.
Für IT-Abteilungen und Sicherheitsbeauftragte in DACH-Unternehmen ist die Rückverfolgbarkeit von Dateien ein kritischer Aspekt der IT-Forensik. Wenn potenziell schädliche Dateien in das Netzwerk gelangen, lässt sich über den Zone.Identifier oft die genaue URL rekonstruieren, von der der Download gestartet wurde. Zudem steuert dieses Flag das Verhalten von Windows-Sicherheitsfeatures: Microsoft Office blockiert standardmäßig Makros in Dokumenten, die das MotW-Attribut tragen. Auch der Windows Defender SmartScreen nutzt diese Daten, um Anwender vor der Ausführung unsicherer Dateien zu warnen. Das Verständnis dieser Mechanismen hilft Admins dabei, Blockaden im Arbeitsalltag zu diagnostizieren und Berechtigungsprobleme gezielt zu lösen.
Um die Herkunft einer Datei manuell zu prüfen, können Sie die integrierten Windows-Schnittstellen nutzen. Der effizienteste Weg führt über die PowerShell. Mit dem Befehl Get-Content -Path "Dateiname" -Stream Zone.Identifier lassen sich die Metadaten direkt in der Konsole anzeigen. Hier finden sich oft detaillierte Angaben wie die Host-URL und die Zone (z. B. Zone 3 für das Internet). Falls eine blockierte Datei aus einer vertrauenswürdigen Quelle stammt, kann sie über die Dateieigenschaften im Windows-Explorer über die Option „Zulassen“ oder per PowerShell-Befehl Unblock-File freigegeben werden. IT-Abteilungen sollten zudem via Gruppenrichtlinien (GPO) sicherstellen, dass diese Zoneninformationen im Unternehmen einheitlich verarbeitet und nicht unbefugt manipuliert werden können.
Die Analyse von Alternate Data Streams ist ein mächtiges, aber im Alltag oft übersehenes Werkzeug im Windows-Sicherheitskonzept. Die gezielte Auswertung des Zone.Identifiers stärkt die Abwehrlinien von Unternehmen und erleichtert die Untersuchung von Sicherheitsvorfällen erheblich.
Quelle: WinFuture