Sie installieren einen kostenlosen PDF-Konverter, und eine Woche später öffnet der Browser eine Suchseite, die Sie nie gewählt haben, auf Websites erscheint Werbung, die es dort nie gab, und eine Symbolleiste, die Sie entfernt hatten, ist am nächsten Morgen wieder da. Im üblichen Sinn ist nichts kaputt. Etwas, das Sie installiert haben, arbeitet für jemand anderen, und es hat einen Namen: Malware.
Dieser Beitrag erklärt, was Malware ist, wie eine Infektion abläuft, welche Arten es gibt, wie sie auf Computer und Smartphones gelangt, auf welche Zeichen Sie achten sollten und wie Sie sie unter Windows, auf dem Mac, unter Android und auf dem iPhone mit den bereits eingebauten Werkzeugen entfernen. Er ist für die Person geschrieben, der das Gerät gehört; eine Anleitung für Angreifer gibt es hier nicht.
Was ist Malware?
Malware ist Software, die gegen die Person arbeitet, die sie ausführt: Sie beschädigt Dateien, stiehlt Informationen, zeigt unerwünschte Werbung oder übergibt die Kontrolle über das Gerät an jemand anderen. Das Wort verbindet die englischen Begriffe „malicious“ (bösartig) und „software“. Das NIST, das US-Institut für Standards, definiert sie als Software oder Firmware, die einen unbefugten Vorgang ausführen soll, der die Vertraulichkeit, Integrität oder Verfügbarkeit eines Systems beeinträchtigt (Ihre Geheimnisse, Ihre Daten und Ihren Zugang dazu), und nennt Viren, Würmer, Trojanische Pferde, Spyware und manche Formen von Adware als Beispiele.
Die Absicht unterscheidet Malware von einem schlecht geschriebenen Programm: Eine fehlerhafte App versagt aus Versehen, Malware richtet absichtlich Schaden an. Und ein Virus ist nur eine Art von Malware; oft wird „Virus“ für alles gesagt, weshalb Sicherheitssoftware bis heute Antivirenprogramm heißt.
Wie läuft eine Malware-Infektion ab?
Unabhängig von der Art durchlaufen die meisten Infektionen fünf Phasen:
- Zustellung. Die Malware kommt als Datei, App, Browsererweiterung oder Link an.
- Ausführung. Malware tut nichts, solange sie nicht läuft. Meist startet der Nutzer sie selbst, weil er sie für etwas anderes hält; manchmal lässt eine Lücke in veralteter Software, etwa einem alten Browser, sie von selbst starten.
- Einnisten. Sie sorgt dafür, dass sie nach jedem Neustart wieder startet, taucht in der Liste laufender Programme nicht auf oder ändert Einstellungen. Manche Malware bearbeitet die Hosts-Datei, die kleine Systemdatei, die Websitenamen Adressen zuordnet, sodass der Name Ihrer Bank zum falschen Server führt; Hosts-Datei: Wo sie liegt und wie man sie bearbeitet zeigt, wie Sie sie prüfen und zurücksetzen.
- Die eigentliche Arbeit. Sie kopiert Passwörter und Dateien, zeigt Werbung, zeichnet Tastatureingaben auf, verschlüsselt Dateien für ein Lösegeld oder wartet auf Anweisungen.
- Verbreitung. Manche Arten kopieren sich auf andere Computer im Netzwerk oder schicken denselben Köder von Ihren Konten an Ihre Kontakte.
Welche Arten von Malware gibt es?
Malware-Arten werden entweder danach benannt, wie sie sich verbreiten, oder danach, was sie tun; ein Programm kann deshalb zwei Arten zugleich angehören: Ein Trojaner kann Spyware mitbringen.
| Art | Was sie tut | Woran Sie es merken könnten |
|---|---|---|
| Virus | Fügt eine Kopie von sich in andere Programme oder Dateien ein | Dateien, die sich verändern oder sich nicht mehr öffnen lassen |
| Wurm (Worm) | Verbreitet sich selbstständig über ein Netzwerk | Viele Geräte werden gleichzeitig langsam |
| Trojaner (Trojan) | Gibt sich als nützliches Programm aus und versteckt ein schädliches | Probleme beginnen direkt nach einer Installation |
| Spyware | Sammelt heimlich Informationen und schickt sie weg | Meist nichts; später werden Konten missbraucht |
| Keylogger | Zeichnet auf, was Sie tippen, auch Passwörter | Anmeldungen von Orten, an denen Sie nie waren |
| Adware | Füllt den Bildschirm mit unerwünschter Werbung | Pop-ups, neue Tabs, eine geänderte Startseite |
| Ransomware | Verschlüsselt oder stiehlt Dateien und verlangt eine Zahlung | Eine Lösegeldforderung, Dateien, die sich nicht öffnen lassen |
| Rootkit | Versteckt sich und andere Malware tief im System | Nichts Sichtbares; eine Offlineüberprüfung findet es |
| Botnetz-Malware | Macht das Gerät zu einem ferngesteuerten „Bot“ | Langsamkeit, Datenverkehr, den Sie nicht erklären können |
Viren und Würmer unterscheiden sich darin, wie sie sich bewegen. Das NIST beschreibt einen Virus als Code, für den sein Wirtsprogramm gestartet werden muss, und einen Wurm als eigenständiges Programm, das sich ohne Wirtsprogramm und ohne menschliches Zutun über Netzwerke verbreitet; ein einziger Wurm kann so viele Rechner erreichen, ohne dass jemand eine Datei öffnet.
Trojaner haben ihren Namen vom hölzernen Pferd der griechischen Sage: Das Programm scheint zu tun, was es verspricht, während ein versteckter Teil etwas anderes tut. CISA, die US-Behörde für Cybersicherheit, weist darauf hin, dass kostenlose Software manchmal Trojaner enthält.
Spyware und Keylogger sollen unsichtbar bleiben und sammeln ohne Ihr Wissen, was Sie tun und tippen. Ransomware ist das Gegenteil, denn sie meldet sich selbst mit einer Zahlungsforderung; Was ist Ransomware und wie schützen Sie sich davor? erklärt, was zu tun ist, wenn sie Sie trifft.
Rootkits arbeiten unterhalb der Ebene, auf der gewöhnliche Programme nachsehen, und verbergen die Aktivität eines Angreifers, nachdem er die volle Kontrolle übernommen hat. Vielleicht begegnet Ihnen auch der Begriff dateilose Malware (Fileless Malware): Microsoft verwendet ihn für Bedrohungen, die im Arbeitsspeicher leben oder eingebaute Windows-Werkzeuge missbrauchen, statt eine normale Datei abzulegen, und merkt an, dass es für den Begriff keine einheitliche Definition gibt.
Wie gelangt Malware auf Ihren Computer oder Ihr Smartphone?
Malware braucht fast immer Ihre Hilfe, um hineinzukommen, deshalb steckt sie dort, wo sie wie etwas aussieht, das Sie haben wollten:
- Gefälschte und gecrackte Downloads: „kostenlose“ Versionen kostenpflichtiger Software, Schlüsselgeneratoren, Download-Schaltflächen auf Filesharing-Seiten.
- E-Mail-Anhänge und Links: eine Rechnung oder ein geteiltes Dokument, das Sie bittet, Inhalte zu aktivieren oder einen „Dokumentbetrachter“ zu installieren.
- Gefälschte Updates und Warnungen: eine Webseite, die behauptet, Ihr Browser sei veraltet oder Ihr Gerät infiziert.
- Browsererweiterungen: Viele können die besuchten Websites lesen und verändern, und eine schädliche kann Werbung einfügen oder mitlesen, was Sie tippen.
- Apps außerhalb der offiziellen Stores: Eine Android-App, die von einer Website oder über einen Link in einer Nachricht installiert wird, umgeht die Prüfungen von Google Play.
- USB-Sticks, die auf einem Parkplatz gefunden oder im Büro herumgereicht werden.
Kostenlose VPN- und Proxy-Apps verdienen eine eigene Erwähnung. Eine App, die Sie keinem bekannten Unternehmen zuordnen können, ist trotzdem Software, die auf Ihrem Gerät läuft, und der Server dahinter verarbeitet Ihren Datenverkehr. Forschende, die 2018 kostenlose offene Proxys untersuchten, fanden Server, die Code zum Schürfen von Kryptowährung in Seiten einfügten und Fernzugriffstrojaner (Remote Access Trojans) in darüber heruntergeladene Programme einbauten; Sind kostenlose Proxys und Web-Proxy-Seiten sicher? geht diese Ergebnisse durch.
Woran erkennen Sie Malware?
Das deutlichste Zeichen ist eine Warnung des Sicherheitswerkzeugs Ihres eigenen Systems; gibt es keine, achten Sie auf Änderungen, die Sie nicht selbst vorgenommen haben. Kein einzelnes Zeichen beweist eine Infektion, nehmen Sie also zwei oder drei zusammen als Anlass für einen Scan.
Für Computer nennt die Chrome-Hilfe von Google die ersten vier Punkte als Zeichen unerwünschter Software, und das britische National Cyber Security Centre (NCSC) ergänzt die letzten beiden:
- Pop-up-Werbung und neue Tabs, die nicht verschwinden.
- Eine Startseite oder Suchmaschine, die sich ohne Ihre Zustimmung immer wieder ändert.
- Erweiterungen oder Symbolleisten, die zurückkommen, nachdem Sie sie entfernt haben.
- Suchanfragen und Links, die auf unbekannte Seiten oder Werbung umleiten.
- Ein Computer, der plötzlich langsam läuft, unerwartet neu startet oder Programme von selbst öffnet und schließt.
- Freunde, die seltsame E-Mails oder Geldforderungen von Ihrem Konto erhalten.
Für Smartphones nennt die Android-Hilfe von Google selbstständige Neustarts, Hängenbleiben, Abstürze und langsamen Betrieb als typische Zeichen einer problematischen App, und auch Apps, an deren Installation Sie sich nicht erinnern, sind ein Warnsignal. Das NCSC fügt eines hinzu: eine App, die meldet, das Smartphone sei gerootet oder gejailbreakt, also seiner eingebauten Beschränkungen beraubt, obwohl Sie das nie getan haben.
Wie entfernen Sie Malware?
Beginnen Sie mit dem Schutz, den Ihr System bereits mitbringt; dafür müssen Sie nichts von einer hastig gefundenen Website herunterladen. Wenn Sie vermuten, dass gerade etwas Ihre Daten verschickt, trennen Sie zuerst die Internetverbindung, wie CISA es für Heimcomputer empfiehlt. Auf einem Arbeitsgerät rufen Sie Ihre IT-Abteilung an, bevor Sie etwas anfassen.
Windows: Offlineüberprüfung mit Microsoft Defender
Windows 10 und 11 enthalten Microsoft Defender Antivirus in der App Windows-Sicherheit, das im Hintergrund prüft. Für Malware, die sich versteckt, solange Windows läuft, nutzen Sie die Offlineüberprüfung:
- Öffnen Sie Windows-Sicherheit über das Startmenü und wählen Sie Viren- & Bedrohungsschutz.
- Wählen Sie Scanoptionen, dann Microsoft Defender Antivirus (Offlineüberprüfung), und starten Sie dort die Überprüfung.
- Speichern Sie vorher Ihre Arbeit: Der PC startet neu, prüft etwa 15 Minuten lang außerhalb von Windows und startet dann erneut.
- Was gefunden wurde, sehen Sie in Windows-Sicherheit unter Schutzverlauf.
Microsoft erklärt, dass diese Überprüfung läuft, ohne Windows zu laden, was es hartnäckiger Malware schwerer macht, sich zu verstecken. Entfernen Sie danach Programme, die Sie nicht kennen, unter Einstellungen > Apps > Installierte Apps. Verhält sich der Browser weiter seltsam, entfernen Sie unbekannte Erweiterungen und setzen ihn zurück; in Chrome geht das über Einstellungen > Einstellungen zurücksetzen.
Mac: eingebauter Schutz
Jeder Mac hat mit XProtect einen eingebauten Malware-Scanner, der keine Einrichtung braucht. Laut Apples Leitfaden zur Plattformsicherheit blockiert er bekannte Malware, legt sie in den Papierkorb, benachrichtigt Sie im Finder und entfernt Infektionen, sobald Apple neue Informationen schickt; macOS sucht standardmäßig täglich nach solchen Updates.
Ihre Aufgabe ist, macOS aktuell zu halten und Apps, die Sie nicht kennen, aus dem Ordner „Programme“ in den Papierkorb zu bewegen. Unter Systemeinstellungen > Datenschutz & Sicherheit legt das Menü Apps zulassen von fest, welche Apps sich öffnen dürfen; Apple nennt App Store die sicherste Einstellung.
Android: Google Play Protect
Android-Smartphones mit Google Play haben Play Protect, das Apps bei der Installation prüft und das Smartphone regelmäßig scannt, auch Apps aus anderen Quellen. Öffnen Sie den Play Store, tippen Sie auf Ihr Profilsymbol, dann auf Play Protect, und prüfen Sie in den Einstellungen, dass Apps mit Play Protect scannen aktiviert ist. Findet Play Protect eine schädliche App, schickt es eine Benachrichtigung: Tippen Sie darauf und dann auf Deinstallieren. Die Play-Protect-Hilfe von Google ergänzt, dass es eine schädliche App auch selbst entfernen kann.
Verhält sich das Smartphone weiterhin seltsam, starten Sie es im abgesicherten Modus neu, der die heruntergeladenen Apps abschaltet, und entfernen Sie kürzlich installierte Apps eine nach der anderen. Wie Sie in den abgesicherten Modus gelangen, hängt vom Hersteller ab.
iPhone und iPad
Malware auf einem iPhone ist selten, und Apples Rat an alle Nutzer ist kurz: Softwareupdates installieren, Apps aus dem App Store laden, die Zwei-Faktor-Authentifizierung für Ihren Apple Account nutzen und keine Links oder Anhänge von unbekannten Absendern öffnen. Die Ausnahme ist Söldner-Spyware (Mercenary Spyware): teure Angriffe auf sehr wenige Menschen, etwa Journalistinnen und Aktivisten. Apple warnt diese Personen direkt und empfiehlt den Blockierungsmodus (Einstellungen > Datenschutz & Sicherheit > Blockierungsmodus), der bestimmte Apps, Websites und Funktionen stark einschränkt.
Nach der Bereinigung
Das Entfernen der Malware macht nicht rückgängig, was sie bereits mitgenommen hat. CISA rät, Ihre Passwörter zu ändern, auch die im Browser gespeicherten, und Ihre Konten auf Aktivitäten zu beobachten, die nicht von Ihnen stammen; tun Sie das von einem sauberen Gerät aus und beginnen Sie mit E-Mail und Onlinebanking. Kann der Scanner einen Computer nicht bereinigen, empfiehlt der NCSC-Leitfaden zu gehackten Geräten, ihn zu löschen und alles neu zu installieren, beginnend mit dem Betriebssystem; für ein Smartphone nennt er das Zurücksetzen auf die Werkseinstellungen die sicherste Lösung. Stellen Sie Dateien aus einer Sicherung wieder her, die vor Beginn der Probleme erstellt wurde, denn wer Daten von einem noch infizierten Gerät kopiert, kann die Infektion mitnehmen.
Wie schützen Sie sich vor Malware?
Der meiste Schutz ist Gewohnheit, keine zusätzliche Software:
- Halten Sie System, Browser und Apps aktuell, am besten automatisch.
- Installieren Sie Software nur aus dem offiziellen Store oder von der Website des Herstellers, nie gecrackte Versionen.
- Lassen Sie den eingebauten Schutz eingeschaltet; ein Installationsprogramm, das Sie bittet, ihn abzuschalten, ist schon für sich eine Warnung.
- Installieren Sie nie ein Programm, weil ein Pop-up oder ein Anrufer es Ihnen sagt.
- Entfernen Sie Browsererweiterungen, die Sie nicht mehr nutzen; in Chrome finden Sie sie unter Erweiterungen > Erweiterungen verwalten.
- Nutzen Sie für die tägliche Arbeit ein Standardbenutzerkonto, damit ein Programm das System nicht ohne Administratorpasswort ändern kann.
- Bewahren Sie eine Offline-Sicherung der Dateien auf, die Sie nicht verlieren dürfen; Malware auf dem Computer kommt nicht an sie heran.
Schützt ein Proxy oder VPN vor Malware?
Nein. Ein Proxy oder ein VPN ändert den Weg, den Ihr Datenverkehr nimmt, und die IP-Adresse, die Websites sehen; er prüft weder die Dateien, die Sie herunterladen, noch die Programme, die Sie ausführen. Bekannte schädliche Websites zu blockieren, ist Aufgabe der Warnlisten des Browsers und Ihrer Sicherheitssoftware.
Sicherheitsteams nutzen Proxys aus einem anderen Grund: um schädliche Seiten zu untersuchen, ohne ihr eigenes Netzwerk preiszugeben. Eine schädliche Download-Seite kann ihren Schadcode nur Besuchern zeigen, die wie die beabsichtigten Opfer aussehen, etwa Heimanschlüssen in einem bestimmten Land, und allen anderen eine harmlose Seite. Analysten öffnen solche Links deshalb auf isolierten Rechnern, nie mit echten Konten, über einen Residential-Proxy mit Ausgang in diesem Land, damit die Seite dokumentiert und gemeldet werden kann.
Wo Ihnen Malware begegnet
In „kostenlosen“ Kopien kostenpflichtiger Software. In E-Mail-Anhängen, die als Rechnungen getarnt sind. In Browsererweiterungen mit wenigen Bewertungen oder einem neuen Eigentümer. In Apps, die über Links in Nachrichten installiert werden. In Pop-ups, die behaupten, Ihr Gerät sei infiziert. In Büronetzwerken, in denen ein infizierter Computer die anderen erreichen kann.
Häufige Fehler
- Einen „Malware-Entferner“ aus einem Pop-up herunterladen. Das Pop-up ist meist selbst das Problem; nutzen Sie das Werkzeug, das Ihr System schon hat.
- Mehrere Antivirenprogramme installieren. Windows schaltet Defender Antivirus ab, wenn Sie ein kompatibles Produkt eines Drittanbieters installieren; behalten Sie ein Produkt und halten Sie es aktuell.
- Passwörter auf dem infizierten Gerät ändern. Ein Keylogger zeichnet auch das neue Passwort auf.
- Eine Sicherung wiederherstellen, die nach der Infektion entstanden ist. Sie bringt die Malware direkt zurück.
- Das System bereinigen, aber nicht den Browser. Verbliebene Erweiterungen leiten Sie weiter um.
- Annehmen, ein Mac oder ein iPhone könne keine Malware bekommen. Selten heißt nicht nie.
Entscheidungshilfe
| Ihre Situation | Was Sie zuerst tun sollten |
|---|---|
| Pop-ups, neue Tabs, eine geänderte Startseite | Unbekannte Erweiterungen und Programme entfernen, Browser zurücksetzen, dann scannen |
| Eine Webseite behauptet, Ihr Gerät sei infiziert | Tab schließen; die Nummer nicht anrufen und nichts installieren |
| Windows verhält sich nach einer Installation seltsam | Programm deinstallieren, dann eine Offlineüberprüfung starten |
| macOS hat eine Datei mit einer Warnung in den Papierkorb gelegt | Dort lassen und den Papierkorb leeren |
| Play Protect hat eine App gemeldet | Auf die Benachrichtigung tippen, dann auf Deinstallieren |
| Kontakte erhalten Nachrichten, die Sie nie geschickt haben | Gerät scannen, dann das Passwort von einem sauberen Gerät aus ändern |
| Dateien sind verschlüsselt, und es gibt eine Lösegeldforderung | Gerät vom Netz trennen und zuerst den Hinweisen zu Ransomware folgen |
| Der Scan kann die Malware nicht entfernen | Löschen und neu installieren oder das Smartphone auf Werkseinstellungen zurücksetzen; eine ältere Sicherung wiederherstellen |
Häufige Fragen
Kann Malware ein Smartphone infizieren?
Ja. Unter Android ist der übliche Weg eine App, die außerhalb von Google Play installiert wurde, oder eine schädliche App, die in einen Store gelangt ist; Googles eigene Hilfe nennt solche Apps Malware. Auf dem iPhone ist Malware selten und beschränkt sich meist auf teure Spyware, die auf bestimmte Personen zielt.
Entfernt das Zurücksetzen auf Werkseinstellungen Malware?
Fast immer: Das NCSC nennt das Zurücksetzen auf die Werkseinstellungen die sicherste Lösung für ein infiziertes Smartphone, und Löschen und Neuinstallieren leistet dasselbe bei einem Computer. Wer eine nach der Infektion erstellte Sicherung wiederherstellt oder dieselbe App erneut installiert, holt sie zurück. Malware, die in der Firmware eines Geräts steckt, kann eine Neuinstallation überstehen, doch Microsoft beschreibt solche Bedrohungen als selten.
Kann man sich Malware schon durch den Besuch einer Website einfangen?
Selten, wenn Browser und System aktuell sind. Die meiste Malware von Websites braucht Sie, um etwas herunterzuladen und zu öffnen, etwa ein gefälschtes Update, einen „Videoplayer“ oder ein Dokument. Ein veralteter Browser kann von der Seite selbst angegriffen werden, deshalb sind automatische Updates wichtig.
Ist ein Pop-up „Ihr Gerät ist infiziert“ echt?
Nicht, wenn es auf einer Webseite erscheint. Echte Warnungen kommen von Windows-Sicherheit, macOS oder Ihrer Sicherheits-App, und Microsoft erklärt, dass seine echten Fehlermeldungen nie eine Telefonnummer zum Anrufen enthalten. Google zählt solche Warnungen zu den Zeichen unerwünschter Software, und das NCSC rät, aufzulegen, wenn jemand anruft und behauptet, Ihr Gerät sei infiziert.
Was ist Anti-Malware-Software, und müssen Sie sie kaufen?
Anti-Malware ist ein anderer Name für Antivirensoftware; moderne Produkte suchen nach jeder Art von Malware, nicht nur nach Viren. Windows enthält Microsoft Defender Antivirus, Macs enthalten XProtect, und Android-Smartphones mit Google Play enthalten Play Protect, sodass bei den meisten Heimanwendern bereits ein Schutz läuft. Ein Produkt eines Drittanbieters ist eine Wahl, keine Pflicht.
Kann Malware Ihre Passwörter stehlen?
Ja. Dafür gibt es Spyware und Keylogger: Sie lesen im Browser gespeicherte Passwörter aus oder zeichnen sie beim Tippen auf. Ändern Sie Ihre Passwörter nach einer Infektion von einem sauberen Gerät aus und beginnen Sie mit der E-Mail, denn über das E-Mail-Konto lässt sich fast alles andere zurücksetzen.
Fazit
Malware ist Software, die gegen Sie arbeitet, und meist gelangt sie hinein, weil sie wie etwas aussieht, das Sie haben wollten. Achten Sie auf Änderungen, die Sie nicht vorgenommen haben, nutzen Sie den Schutz, den Ihr System bereits hat, und ändern Sie Ihre Passwörter danach von einem sauberen Gerät aus. Updates, offizielle App-Stores und weniger Erweiterungen verhindern die meisten Infektionen. Teams, die schädliche Seiten untersuchen, finden auf unserer Seite zur Datensicherheit, wie sie Proxys für diese Arbeit einsetzen.
