Unter Windows 11 die Herkunft einer heruntergeladenen Datei prüfen

Ein Installationsprogramm liegt noch im Download-Ordner, aber die Website dazu fällt Ihnen nicht mehr ein. Windows 11 kann die Herkunft in einem zusätzlichen Dateistream gespeichert haben. Sie können ihn mit PowerShell auslesen, ohne das Programm zu starten.

Zuerst den Herkunftsmarker suchen

Öffnen Sie PowerShell und setzen Sie den tatsächlichen Dateipfad in die folgende Abfrage ein. Ersetzen Sie „IhrName“ und „datei.exe“ durch den Namen Ihres Windows-Kontos und die betreffende Datei:

Get-Item -LiteralPath "C:\Users\IhrName\Downloads\datei.exe" -Stream *

Suchen Sie in der Ausgabe nach Zone.Identifier. Dieser alternative Datenstrom kann auf einem NTFS-Laufwerk zusätzliche Informationen zur Herkunft enthalten. Die Abfrage listet vorhandene Streams auf; sie startet die Datei nicht.

Fehlt Zone.Identifier, prüfen Sie zuerst Pfad und Dateinamen. Ein fehlender Eintrag kann auch bedeuten, dass der Marker nicht mehr vorhanden ist. Daraus lässt sich nicht ableiten, dass die Datei nie aus dem Internet kam oder sicher ist.

Zone.Identifier mit PowerShell auslesen

Wenn der Stream aufgeführt wird, lesen Sie ihn mit Get-Content aus. Verwenden Sie dabei denselben vollständigen Pfad:

Get-Content -LiteralPath "C:\Users\IhrName\Downloads\datei.exe" -Stream Zone.Identifier

Windows kann einen Abschnitt wie [ZoneTransfer] mit ZoneId=3 anzeigen. In diesem Zusammenhang steht die 3 für die Internetzone. Je nach gespeicherten Angaben können auch HostUrl und ReferrerUrl erscheinen.

HostUrl kann die Adresse der heruntergeladenen Datei enthalten, ReferrerUrl die aufrufende Seite. Beide Angaben sind optional. Sie bilden weder zwingend den vollständigen Downloadverlauf ab noch bestätigen sie, dass die Datei wirklich vom angegebenen Herausgeber stammt.

Was die Angaben aussagen

Die ZoneId ordnet den Marker einer Sicherheitszone zu; eine konkrete URL kann den gespeicherten Herkunftshinweis ergänzen. Das ist keine Virenprüfung und kein Echtheitsnachweis. Öffnen Sie eine unbekannte Adresse nicht einfach, sondern vergleichen Sie die Domain vorsichtig mit der offiziellen Website des Herausgebers.

Achtung: Entfernen Sie den Marker nicht, nur um seine Angaben zu lesen. Microsoft beschreibt, dass Unblock-File den Stream Zone.Identifier entfernt. Das Löschen dieser Information macht die Datei nicht sicherer.

Wenn keine Adresse gespeichert ist

Kontrollieren Sie Schreibweise, Pfad und Stream-Namen. Bleibt der Eintrag aus, kann die Information fehlen; Kopien, das Entpacken eines Archivs oder ein früheres Entsperren kommen als Ursache infrage. Das Verhalten hängt vom Vorgang ab.

Dann hilft möglicherweise der Downloadverlauf des Browsers. Falls Sie eine neue Kopie benötigen, laden Sie sie von der offiziellen Website des Herausgebers. Ist die Herkunft weiter unklar, führen Sie die Datei nicht probeweise aus. Auf einem verwalteten Firmen-PC fragen Sie Ihre IT.

Die Befehle setzen einen vorhandenen Stream auf einem lokalen NTFS-Laufwerk voraus. Auf Netzlaufwerken, USB-Datenträgern oder anderen Dateisystemen kann das Ergebnis anders ausfallen.

Grundlagen: Microsoft Learn zu Get-Item, Get-Content und Unblock-File. Thematische Vorlage: Tutos-Informatique.