Eine weitere Möglichkeit ist eben ein Fehlalarm eines
AV Systems, darum ging es mir hier. Und vor allem, wie man das verifizieren kann.
Wurde doch genannt: Bei Virustotal checken und wenn dort es nur bei 1-2 System vorkommt bei dem Kunden bei dem es vorkommt darauf hinweisen und wenn du weißt wer der Dienstleister ist diesen auf diesen Falsepositive hinweisen und um Korrektur bitten.
Warum soll nicht das verschickt werden, worum es auch wirklich geht? Gezippt war es tatsächlich, um Bandbreite zu sparen. Sourcen statt EXE würde ich in dem Fall auch nicht verschicken, das entspricht nicht dem vorliegenden Geschäftsmodell.
Ich würde gar keine Exes verschicken und die fertigen Versionen auf dem Server bereit stellen und dem Kunden einen Link geben. Evtl. auch ein Supportbereich einrichten in dem der Kunde seine Exes abholen kann. Wenn man keinen Webspace in der art zur verfügung hat (ist ja bei dir vermutlich nicht der Fall) nimmt man Dienste wie SendThisFile in Anspruch.
Die Sache mit der Signatur wäre da auch noch mal interessant. Kann ich einen Virus "ungestört" verschicken, wenn ich die Email nur schön signiere?
Die Wahrscheinlichkeit eines False-Positive ist geringer. Viele (alle/einige?) Virenhersteller lassen das Vorhandensein positiv in die Bewertung dre Exe einfließen. Generell wird man damit keine 100% Erfolg haben da es ja schon signierte Viren/Trojaner gab.