Was ist das LNK-Dateiformat?
.lnk-Dateien sind die Verknüpfungsdateien des Windows-Systems. Sie enthalten Informationen über den Typ und den Speicherort des Ziels - identifiziert durch einen lokalen Pfad, eine UNC-Freigabe oder eine Shell-Element-ID-Liste - sowie über das zugehörige Programm.
.lnk-Dateien können zusätzliche, benutzerdefinierte Informationen enthalten. Wenn sie mit einer .exe-Anwendung verknüpft sind, können sie auch anfängliche Startattribute für das referenzierte Programm angeben, wie Fensterzustand, Arbeitsverzeichnis und Befehlszeilenargumente. In Windows zeigen .lnk-Dateien dasselbe Symbol wie ihre Zieldatei. Die Erweiterung .lnk ist im Dateinamen standardmäßig ausgeblendet und erscheint nicht im Datei-Explorer.
Das Binärformat ist von Microsoft als MS-SHLLINK-Spezifikation dokumentiert (veröffentlicht 2010). Jede .lnk-Datei beginnt mit einem festen 76-Byte-Header: Magic Bytes 4C 00 00 00 gefolgt von der festen Shell-Link-Klassen-CLSID. Verwandte Verknüpfungsformate sind .url (Internet-Verknüpfung) und .pif (veraltete DOS-Programmverknüpfung).
Wenn eine .lnk-Verknüpfung aufhört zu funktionieren
Änderungen bestimmter Parameter der Zieldatei - wie Name oder Speicherort - führen dazu, dass alle Verknüpfungsdateien, die auf sie zeigen, deaktiviert werden. Änderungen an Laufwerksbuchstaben oder Netzwerkfreigaben-Zuordnungen können ebenfalls dazu führen, dass Desktop-Verknüpfungen verschwinden. Windows enthält einen Linkverfolgungs-Dienst, der versucht, unterbrochene Verknüpfungen automatisch zu reparieren; wenn das fehlschlägt, empfiehlt es sich, die Verknüpfung neu zu erstellen oder den Zielpfad über den Dialog *Eigenschaften* zu aktualisieren.
Sicherheit
RISIKO: HIGHLNK ist eines der am häufigsten missbrauchten Formate für Erstzugang unter Windows. Eine Verknüpfung kann cmd/PowerShell mit vom Angreifer kontrollierten Argumenten und einem getarnten Symbol (PDF, Ordner) starten; seit Microsoft 2022 Internet-Office-Makros blockiert hat, wurde LNK in ZIP/ISO-E-Mail-Anhängen zu einem primären Malware-Vektor. Historische LNK-Schwachstellen umfassen CVE-2010-2568 (Stuxnet, Codeausführung beim Parsen von Symbolen) und ZDI-CAN-25373 / CVE-2025-9491 - mit Leerzeichen aufgefüllte Argumente, die den echten Befehl im Eigenschaften-Dialog verstecken, von mehr als 11 staatlich geförderten Gruppen seit ~2017 ausgenutzt und von Microsoft erst mit den Updates vom November 2025 gepatcht. Regeln für Nutzer: Nie auf eine .lnk doppelklicken, die per E-Mail/USB angekommen ist; stattdessen mit LECmd/ExifTool untersuchen und Windows aktuell halten. „Verknüpfungsviren“ auf USB-Sticks verstecken Ordner und ersetzen sie durch schädliche Verknüpfungen - mit einem AV-Scan plus attrib bereinigen, Links nicht einfach löschen.
Formatdetails
kurz gefasstProgramme zum Öffnen von LNK-Dateien
Windows3 apps
Microsoft Windows (File Explorer)
Integriert Doppelklick führt das Ziel aus. Rechtsklick → Eigenschaften zeigt das Feld Ziel; „Dateispeicherort öffnen“ springt zur echten Datei. Um eine defekte .lnk-Zuordnung zu reparieren, HKCU\...\FileExts\.lnk\UserChoice im Registrierungs-Editor löschen und Explorer neu starten.
LECmd (Eric Zimmerman)
Kostenlos Kommandozeile: LECmd.exe -f file.lnk - gibt vollständige Metadaten (Ziel, Zeitstempel, Maschinen-ID) aus, ohne etwas auszuführen; forensischer Standard.
ExifTool
Open Source exiftool file.lnk gibt Zielpfad, Argumente und Maschinenmetadaten sicher aus (keine Ausführung); funktioniert auch auf macOS/Linux. 
macOS1 app
ExifTool
Open Source exiftool file.lnk gibt Zielpfad, Argumente und Maschinenmetadaten sicher aus (keine Ausführung); funktioniert auch auf macOS/Linux. 
Linux2 apps
liblnk (lnkinfo)
Open Source liblnk-utils installieren, dann lnkinfo file.lnk zum Untersuchen von Ziel und Metadaten der Verknüpfung.
ExifTool
Open Source exiftool file.lnk gibt Zielpfad, Argumente und Maschinenmetadaten sicher aus (keine Ausführung); funktioniert auch auf macOS/Linux. Technische Details
technische Spezifikation| Container-Typ | Binärer Header fester Länge (76 Bytes), gefolgt von optionalen Datenblöcken variabler Länge |
| Magic Bytes | 4C 00 00 00 01 14 02 00 … C0 00 … 46 - die ersten 4 Bytes kodieren die Header-Größe; Bytes 4-19 enthalten die feste Shell-Link-Klassen-CLSID, beide bei Offset 0 |
| MIME-Typ | application/x-ms-shortcut |
| Byte-Reihenfolge | Durchgehend Little-Endian bei allen numerischen Feldern |
| Zeichenkettenkodierung | Codepage (ANSI) oder Unicode (UTF-16 LE); ein Flag im ShellLinkHeader gibt an, welche Kodierung vorhanden ist |
| Zielreferenztypen | Lokaler Datei- oder Ordnerpfad, UNC-Netzwerkpfad, Volume-Root oder über Umgebungsvariable erweiterter Pfad via EnvironmentVariableDataBlock |
| Schlüssel-Datenstrukturen | ShellLinkHeader, LinkTargetIDList (ITEMIDLIST), LinkInfo, StringData-Blöcke, ExtraData-Blöcke - alle optional außer dem Header |
| Fensterzustandsfeld | ShowCommand im Header: 1 = Normal, 3 = Maximiert, 7 = Minimiert |
| Tastenkombinationsfeld | 16-Bit-Wert im Header, der einen VirtualKey-Code mit Modifikatoren (Shift, Strg, Alt) kombiniert |
| Unterstützung relativer Pfade | Optionaler RelativePath-String ermöglicht es der Windows-Shell, eine defekte Verknüpfung selbst zu reparieren, wenn das Ziel innerhalb desselben Volumes verschoben wird |
| Eingebettete Ziel-Zeitstempel | FileTime-Werte für Erstellung, letztes Schreiben und letzten Zugriff des Ziels werden in LinkInfo gespeichert, was .lnk-Dateien zu wertvollen Artefakten in der digitalen Forensik macht |
| Symbol-Speicherung | Separater IconLocation-Pfad-String plus ganzzahliger IconIndex, der auf die Symbol-Ressource innerhalb dieser Datei zeigt |
| Sichtbarkeit der Erweiterung | Standardmäßig von der Windows-Shell ausgeblendet; gesteuert durch den HideFileExt-Wert unter HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced |
| Sicherheitsgeschichte | Von Stuxnet ausgenutzt (CVE-2010-2568): Schädliche .lnk-Dateien lösten Codeausführung beim Rendern von Symbolen aus; gepatcht in MS10-046 (August 2010) |
| Plattformunterstützung | Nativ für Windows 95 und alle späteren Windows-Versionen; auf Linux und macOS mit liblnk (lnkinfo) und ExifTool parsierbar |
| Veröffentlicht | 1995 (Windows 95); binary format publicly documented since 2010 as MS-SHLLINK |
| Offener Standard | Ja · lizenzgebührenfrei |
| Spezifikation | learn.microsoft.com |
LNK-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu LNK-Dateien.
