Malvertising und Schadsoftware über Werbung

Adware ist Software, deren Funktionen vor allem mit der Anzeige, Änderung oder Vermittlung von Werbung verbunden sind. Manche Programme finanzieren sich transparent durch Werbeeinblendungen. Im Zusammenhang mit Cybercrime ist vor allem Adware problematisch, die ohne ausreichend informierte Zustimmung installiert wird, Browserinhalte verändert oder Nutzer unerwartet auf fremde Werbeseiten lenkt.

Eine werbefinanzierte Anwendung ist nicht automatisch Schadsoftware. Wichtig sind das tatsächliche Verhalten, die Kontrolle des Nutzers und die Art der Datenerhebung. Microsoft unterscheidet in seinen Sicherheitskriterien zwischen Malware und potenziell unerwünschter Software. Diese Einordnung kann eine technische Untersuchung erleichtern, ersetzt aber keine gesetzliche Rechtsprüfung.

Wie gelangt Adware auf ein Gerät?

Eine unerwünschte Werbekomponente kann zusammen mit einem anderen Programm installiert werden. Der Nutzer wollte beispielsweise ein kostenloses Werkzeug einrichten, während im Installationsprozess zusätzliche Software angeboten oder nicht hinreichend kenntlich gemacht wurde. Auch Browsererweiterungen können Werbung einblenden oder Such- und Seiteneinstellungen beeinflussen.

Microsoft beschreibt Softwarebündel als häufigen Verbreitungsweg unerwünschter Programme. Hinweise können fehlende Auswahlmöglichkeiten, schwer verständliche Installationsdialoge und unübersichtliche Deinstallationsverfahren sein. Die Ausführung einer bestimmten Datei beweist nicht automatisch, dass weitere Komponenten unbemerkt installiert wurden.

Ein einzelnes Pop-up beim Besuch einer Website ist davon zu unterscheiden. Es kann von der Website selbst stammen und muss keine installierte Adware voraussetzen.

Welche Erscheinungsformen von Adware gibt es?

Zusätzliche Werbeeinblendungen im Browser

Ein installiertes Programm oder eine Browsererweiterung kann Werbung anzeigen, die nicht vom besuchten Websitebetreiber vorgesehen war. Dafür können zusätzliche Fenster oder veränderte Seitenbereiche verwendet werden. Ob die Darstellung tatsächlich fremden Code ersetzt, lässt sich durch einen Vergleich mit einem unveränderten Browser untersuchen.

Veränderte Suchmaschine oder Startseite

Einige unerwünschte Programme verändern Browsereinstellungen und führen Suchanfragen zu anderen Diensten. Diese Vorgänge überschneiden sich mit Browser Hijacking. Eine vom Nutzer ausdrücklich gewählte Standardsuchmaschine ist jedoch kein Angriff.

Werbe-Weiterleitungen

Ein Klick auf einen regulären Link kann zu einem fremden Angebot führen. Dafür können lokale Erweiterungen oder andere installierte Komponenten verantwortlich sein. Auch die ursprüngliche Website kann jedoch eigene Weiterleitungen enthalten. Für die Diagnose ist zu klären, auf welcher Ebene die Änderung entstanden ist.

Unklare Datenerfassung für Werbung

Manche Programme erfassen Nutzungsinformationen, um Werbeinhalte auszuwählen. Für die rechtliche Bewertung sind die konkreten personenbezogenen Daten, die Rechtsgrundlage und gegebenenfalls die Anforderungen an einen Zugriff auf Endgeräte zu berücksichtigen. Nicht jede Werbeeinblendung bedeutet zugleich die heimliche Erhebung sensibler Daten.

Erschwerte Deinstallation

Microsoft nennt fehlende Kontrolle über die Entfernung als ein mögliches Merkmal unerwünschter Software. Ein Programm kann beispielsweise nach der Entfernung erneut erscheinen, wenn weitere Komponenten bestehen bleiben. Eine technisch fehlerhafte Deinstallation ist aber nicht automatisch ein absichtlicher Angriff.

Adware von Malvertising und Spyware unterscheiden

Bei Malvertising wird der digitale Werbeplatz selbst für schädliche Inhalte genutzt, etwa für eine betrügerische Downloadseite. Eine lokale Installation muss dafür nicht erfolgen. Adware bezeichnet dagegen ein Programm auf dem Gerät oder in der Browserumgebung, das Werbung ausliefert oder beeinflusst.

Spyware steht für unberechtigte Überwachung und Datenerfassung. Adware kann solche Funktionen enthalten, muss aber nicht. Ein transparent werbefinanziertes Programm kann ohne verdeckte Überwachung betrieben werden.

Push Notification Scam kann wiederum über eine zuvor erteilte Browserbenachrichtigungsberechtigung stattfinden. Dafür ist keine installierte Adware erforderlich. Diese Abgrenzung verhindert unnötige und teilweise wirkungslose Bereinigungsmaßnahmen.

Welche Folgen sind für Nutzer und Unternehmen möglich?

Unerwünschte Werbung kann den Browsergebrauch erschweren und Nutzer auf irreführende Angebote lenken. Wenn eine Erweiterung Suchergebnisse oder Shopseiten verändert, können Informationen über die tatsächliche Herkunft einer Anzeige unklar werden. Bei nicht genehmigter Datenübertragung können zusätzliche Datenschutzfragen entstehen.

Für Unternehmen besteht ein weiteres Risiko darin, dass Mitarbeiter versehentlich betrügerische Anzeigen oder falsche Supportseiten öffnen. Ein solcher Folgeschaden muss jedoch gesondert nachgewiesen werden. Die bloße Adware-Installation beweist keinen Abfluss aller auf dem Gerät gespeicherten Passwörter.

Auch die Reputation von Websites kann betroffen sein, wenn ein Nutzer manipulierte Werbefenster fälschlich dem besuchten Anbieter zuschreibt. Deshalb sollte vor einer öffentlichen Beschwerde geprüft werden, ob die Werbung tatsächlich aus der Website oder aus der eigenen Browserumgebung stammt.

Fiktives Beispiel auf einem Marketing-Arbeitsplatz

Ein Mitarbeiter installiert ein kostenloses Bildbearbeitungswerkzeug. Danach erscheinen beim Besuch verschiedener Websites zusätzliche Anzeigen und die Standardsuchmaschine wechselt wiederholt. Andere Mitarbeiter können das Verhalten auf denselben Websites nicht beobachten.

Die interne IT vergleicht die Browsererweiterungen, neu installierte Programme und die verwalteten Browserregeln. Eine nach dem Softwaredownload hinzugekommene Erweiterung könnte für die Änderung verantwortlich sein. Der zeitliche Zusammenhang allein genügt aber noch nicht als Nachweis ihrer tatsächlichen Funktion.

Das Team untersucht die Komponente, dokumentiert vorhandene Änderungen und entfernt gegebenenfalls unerwünschte Software über die dafür vorgesehenen Verfahren. Anschließend werden die Browser- und Kontoeinstellungen erneut kontrolliert.

Woran erkennt man mögliche Adware?

Google Chrome nennt wiederkehrende Pop-ups, unbekannte Erweiterungen, unerwünschte Weiterleitungen und selbstständig veränderte Browserinformationen als mögliche Hinweise auf unerwünschte Software. Kein einzelnes Symptom ist eindeutig. Eine Website kann selbst aufdringliche Werbung enthalten, und ein Browserprofil kann auch durch eine reguläre Synchronisation verändert werden.

• Neu installierte Programme: Welche Software wurde vor Beginn der Auffälligkeiten eingerichtet?
• Browsererweiterungen: Existieren unbekannte Erweiterungen oder ungewöhnlich weitreichende Berechtigungen?
• Werbequelle: Erscheint dieselbe zusätzliche Werbung auch auf anderen Websites?
• Such- und Startseiteneinstellungen: Wurden diese ohne dokumentierte Zustimmung verändert?
• Netzwerkverbindungen: Welche Programme laden Werbung oder andere Inhalte nach?
• Andere Erklärungen: Können Website-Pop-ups, Push-Berechtigungen oder ein normales Browserupdate die Erscheinung auslösen?

Wie wird Adware entfernt?

Bei einem privaten Gerät können die offiziellen Betriebssystem- und Browserfunktionen zur Kontrolle installierter Programme und Erweiterungen verwendet werden. Microsoft und Google empfehlen, verdächtige Anwendungen zu identifizieren und über reguläre Deinstallationswege zu entfernen. Bei verwalteten Firmenrechnern sollte dies durch die zuständige IT erfolgen.

Ein Zurücksetzen der Browsereinstellungen kann manipulierte Such- oder Startseiteneinstellungen korrigieren, beseitigt aber nicht automatisch jede auch installierte Anwendung. Wiederkehrende Auffälligkeiten können eine weitergehende Untersuchung erforderlich machen.

• Vorhandene Symptome und neu installierte Programme dokumentieren.
• Unbekannte Anwendungen und Erweiterungen anhand von Herkunft und Funktion prüfen.
• Die offizielle Deinstallation oder das vorgesehene Sicherheitswerkzeug verwenden.
• Browserberechtigungen und Standardsuchmaschine nach der Bereinigung kontrollieren.
• Bei Kontoauffälligkeiten Anmeldesitzungen und Zugangsdaten gesondert untersuchen.
• Software fortan aus bestätigten Quellen installieren und Updates aktuell halten.

Welche rechtlichen Fragen können entstehen?

Die Anzeige von Werbung ist kein Straftatbestand. Bei täuschender Installation, unberechtigter Datenerfassung oder rechtswidrigen Veränderungen an Systemen können je nach Sachverhalt verschiedene Regeln betroffen sein. Eine konkrete rechtliche Einordnung setzt die tatsächlich ausgeführten Funktionen voraus.

Werden personenbezogene Daten verarbeitet, sind die DSGVO und gegebenenfalls § 25 TDDDG zu berücksichtigen. Eine pauschale Bezeichnung als „Adware“ reicht nicht, um eine bestimmte Einwilligungspflicht, einen Datenabfluss oder eine strafbare Handlung nachzuweisen.

Häufige Fragen zu Adware

Ist jede kostenlose App mit Werbung Adware?

Im weiten Sinn kann sie Werbung finanzieren. Eine offen erklärte, kontrollierbare Werbefunktion ist aber nicht automatisch unerwünschte oder schädliche Software.

Beweisen Pop-ups, dass ein Gerät infiziert ist?

Nein. Auch Webseiten und erlaubte Benachrichtigungen können solche Fenster anzeigen.

Reicht ein Zurücksetzen des Browsers?

Es kann Browseränderungen korrigieren. Eine weiterhin installierte unerwünschte Anwendung muss gegebenenfalls separat entfernt werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei unerwarteten Anzeigen oder Weiterleitungen sollten Unternehmen zuerst die Browserumgebung und installierten Programme durch die IT-Sicherheit prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung digitaler Folgeangriffe, der Dokumentation missbräuchlicher Werbe- und Markenauftritte und der Abstimmung technischer Bereinigungsmaßnahmen mit spezialisierten Security-Partnern. Weitere Informationen finden sich bei BRANDPROTECTIONNOW zum Schutz vor Blackhat- und Website-Angriffen.

Fachquellen

• Microsoft Defender – Unerwünschte Software: Merkmale, Bündelinstallationen und Entfernung.
• Microsoft Defender – Kriterien für Malware und unerwünschte Anwendungen: Wahlmöglichkeiten und Werbung.
• Google Chrome – Unerwünschte Werbung, Pop-ups und Malware entfernen: Hinweise und Maßnahmen.
• § 25 TDDDG: rechtliche Voraussetzungen bei Endgerätezugriffen.

Ein Browser Hijacker ist eine Anwendung oder Erweiterung, die Browserfunktionen ohne ausreichende Berechtigung verändert oder die Kontrolle des Nutzers über wichtige Einstellungen beeinträchtigt. Typisch sind unerwartete Änderungen der Standardsuchmaschine, der Startseite, neuer Tabs oder bestimmter Weiterleitungen. Manche Varianten versuchen, Besucher auf werbefinanzierte oder betrügerische Websites zu lenken.

Eine geänderte Suchmaschine ist nicht automatisch ein Angriff. Nutzer können den Anbieter selbst wechseln, Unternehmen dürfen Browser nach zulässigen Verwaltungsrichtlinien konfigurieren und Softwareupdates können reguläre Änderungen auslösen. Für die Einordnung muss festgestellt werden, wer die Änderung veranlasst hat und ob der Nutzer beziehungsweise Administrator sie kontrollieren kann.

Wie können Browser-Einstellungen verändert werden?

Browser speichern Einstellungen für Suchdienste, Erweiterungen, Startseiten und Websiteberechtigungen. Bestimmte installierte Anwendungen können solche Einstellungen nach den Regeln des Betriebssystems und des Browsers beeinflussen. Auch verwaltete Unternehmensgeräte können festgelegte Richtlinien besitzen, die einzelne Optionen für Mitarbeiter sperren.

Ein unerwünschtes Programm kann versuchen, diese Funktionen zu verändern oder eine entfernte Einstellung erneut zu setzen. Microsoft beschreibt solche Programme als potenziell unerwünschte Software, wenn Nutzer keine angemessene Kontrolle über die Installation oder die Änderung ihrer Browserumgebung haben.

Google Chrome nennt wiederkehrend geänderte Suchmaschinen, unbekannte Erweiterungen und unerwünschte Weiterleitungen als mögliche Hinweise auf Malware oder unerwünschte Software. Der konkrete Ursprung muss aber geprüft werden; die Symptome sind nicht für alle Browser und Geräte gleich.

Welche Erscheinungsformen sind bekannt?

Unberechtigter Wechsel der Standardsuchmaschine

Nach einem Programm- oder Erweiterungsdownload werden Suchanfragen über einen anderen Dienst geleitet. Der Nutzer bemerkt möglicherweise veränderte Ergebnisse oder zusätzliche Werbung. Ein genehmigter Suchmaschinenwechsel ist dagegen eine reguläre Browserfunktion.

Änderung von Startseite und neuen Tabs

Ein Browser kann nach jedem Start eine fremde Website öffnen, obwohl sie nicht als Standardseite eingerichtet wurde. Ebenso kann ein neuer Tab ein unerwartetes Angebot zeigen. Die Änderung kann durch eine Erweiterung oder eine andere lokale Einstellung ausgelöst werden.

Wiederkehrende Erweiterungen

Einige unerwünschte Programme installieren zusätzliche Browserkomponenten oder setzen diese nach einer Entfernung erneut ein. Das kann auf eine weiterhin aktive Anwendung oder eine verwaltete Richtlinie hinweisen. Der bloße Umstand, dass eine Erweiterung nach einem Browserneustart noch vorhanden ist, beweist keine Schadsoftware.

Manipulierte Weiterleitungen

Ein Klick auf ein erwartetes Suchergebnis führt zu einer fremden Domain. Ursache können Browsererweiterungen, lokale Proxyregeln oder die Website selbst sein. Redirect Spam beschreibt missbräuchliche Weiterleitungen im Web, benötigt aber keinen Browser Hijacker auf dem Endgerät.

Werbeeinblendungen durch lokale Software

Ein Hijacker kann zusätzliche Anzeigen ausliefern oder die Darstellung von Werbeplätzen verändern. Solche Vorgänge können sich mit Adware überschneiden. Eine Werbung, die ohnehin vom Websitebetreiber eingeblendet wird, gehört dagegen nicht automatisch zu dieser Kategorie.

Gefälschte Browserwarnungen

Einige Angriffe zeigen angebliche Sicherheitsprobleme an und fordern den Download weiterer Programme. Das kann mit Fake Update oder Scareware verbunden sein. Eine echte Warnung des Browsers muss von einer im Seiteninhalt dargestellten falschen Meldung unterschieden werden.

Browser Hijacker, DNS Hijacking und Adware unterscheiden

DNS Hijacking betrifft die Manipulation der Namensauflösung. Dadurch können Webadressen andere technische Ziele erhalten, ohne dass der Browser selbst neue Erweiterungen besitzt. Ein Browser Hijacker verändert dagegen vorrangig die lokale Browserumgebung oder deren Einstellungen.

Adware beschreibt im weiteren Sinn werbebezogene Software. Sie kann an unerlaubten Browseränderungen beteiligt sein, muss es aber nicht. Auch ein frei wählbarer Werbe-Blocker kann Browserseiten technisch verändern, ohne ein Angriff zu sein.

Für die Bereinigung sind diese Unterschiede wichtig. Ein Browser-Reset kann eine lokal geänderte Suchmaschine korrigieren, beseitigt aber nicht automatisch einen manipulierten Router oder eine unberechtigte DNS-Konfiguration.

Welche Folgen sind für Nutzer und Unternehmen möglich?

Eine unerlaubte Such- oder Startseitenänderung kann den Zugang zu vertrauenswürdigen Websites erschweren. Wenn Suchanfragen an betrügerische Angebote weitergeleitet werden, können Nutzer auf Phishing- oder Fake-Shop-Seiten gelangen. Die tatsächliche Gefahr hängt vom Inhalt des Zielangebots ab.

Einige unerwünschte Erweiterungen besitzen weitreichende Browserberechtigungen. Ob sie persönliche Informationen auslesen oder übertragen, ist gesondert zu untersuchen. Eine zusätzliche Suchleiste ist noch kein Beweis für gestohlene Passwörter.

Für Unternehmen kann eine manipulierte Browserumgebung die Nutzung geschäftlicher Portale beeinträchtigen. Werden anschließend Werbe- oder Administrationskonten missbraucht, muss der konkrete Eintrittsweg nachgewiesen werden; ein zufällig zur selben Zeit vorhandener Hijacker reicht dafür nicht aus.

Fiktives Beispiel auf einem Firmenrechner

Ein Mitarbeiter installiert ein kostenloses Dateikonvertierungsprogramm. Anschließend öffnet sein Browser bei jedem neuen Tab eine unbekannte Suchseite. Nachdem er die Standardsuchmaschine zurückgesetzt hat, kehrt die Einstellung beim nächsten Programmstart zurück.

Die IT prüft neu installierte Anwendungen und Browsererweiterungen. Auch kontrolliert sie, ob eine genehmigte Unternehmensrichtlinie die Suchmaschine vorgibt. Eine unbekannte Anwendung kann sich als Ursache herausstellen; der zeitliche Zusammenhang allein beweist dies noch nicht.

Nach der technischen Dokumentation wird die unerwünschte Komponente entfernt und die Browserkonfiguration erneut geprüft. Wenn weitere ungewöhnliche Anmeldungen aufgetreten sind, gehören die betroffenen Konten in eine eigene Untersuchung.

Woran erkennt man einen möglichen Browser Hijacker?

Ein wichtiger Hinweis ist die fehlende Kontrolle über Änderungen, die ein Nutzer normalerweise selbst vornehmen darf. Für die Prüfung sind die tatsächlichen Erweiterungen, Programme und verwalteten Einstellungen bedeutsamer als eine einzelne ungewöhnliche Werbeanzeige.

• Suchmaschine: Wird eine nicht genehmigte Suchseite immer wieder zum Standard?
• Neue Tabs: Öffnen sich unerwartete Angebote ohne erkennbare Benutzerentscheidung?
• Erweiterungen: Sind unbekannte Add-ons installiert oder besitzen sie auffällige Rechte?
• Installationshistorie: Traten die Änderungen nach einem bestimmten Programmdownload auf?
• Weiterleitungen: Entstehen fremde Ziele auch auf Websites, die auf anderen Geräten normal funktionieren?
• Verwaltung: Ist die Einstellung durch eine zulässige Unternehmensrichtlinie gesperrt?

Wie wird ein Browser Hijacker entfernt?

Google empfiehlt bei verdächtigen Chrome-Änderungen zunächst die Prüfung unerwünschter Programme und Erweiterungen. Anschließend können betroffene Browserberechtigungen und Einstellungen kontrolliert und gegebenenfalls zurückgesetzt werden. Microsoft nennt für unerwünschte Software die regulären Deinstallationswege sowie passende Sicherheitsprüfungen.

Bei einem Firmengerät sollte eine solche Änderung durch die zuständige IT erfolgen. Eine Rücksetzung ohne Prüfung der Ursache kann nur kurzfristig wirken, wenn ein anderes Programm die unerwünschte Einstellung erneut verändert.

• Symptome und aktuelle Browserkonfiguration vor der Änderung dokumentieren.
• Neu installierte Anwendungen und Erweiterungen auf Herkunft und Funktion prüfen.
• Unerwünschte Programme über reguläre, vertrauenswürdige Verfahren entfernen.
• Suchmaschine, Startseite und Websiteberechtigungen anschließend kontrollieren.
• Bei wiederkehrenden Problemen lokale Richtlinien und weitere Komponenten untersuchen.
• Verdächtige Kontoaktivitäten und mögliche Datenzugriffe gesondert prüfen.

Welche gesetzlichen Vorschriften können betroffen sein?

Ein Wechsel der Browsersuchmaschine ist für sich keine Straftat. Bei einer heimlichen Installation, unberechtigten Datenerhebung oder rechtswidrigen Änderung geschützter Systeme können je nach Sachverhalt zusätzliche Regeln betroffen sein. Eine technische Einordnung als Browser Hijacker ersetzt keine Prüfung des tatsächlichen Eingriffs.

Bei der Verarbeitung personenbezogener Nutzungsdaten gelten die DSGVO und gegebenenfalls § 25 TDDDG. Wird der Browser eines Beschäftigten durch den Arbeitgeber verwaltet, sind die einschlägigen Datenschutz- und Arbeitsrechtsregeln zu beachten.

Häufige Fragen zum Browser Hijacker

Ist eine neue Standardsuchmaschine immer ein Angriff?

Nein. Ein Benutzer oder eine berechtigte Geräteverwaltung kann die Suchmaschine regulär ändern.

Reicht das Zurücksetzen der Browsereinstellungen?

Nicht immer. Wenn eine unerwünschte Anwendung weiterhin aktiv ist, kann sie die Änderung erneut auslösen.

Können Browser Hijacker Passwörter stehlen?

Bestimmte schädliche Erweiterungen können weitreichende Funktionen besitzen. Ein konkreter Datenzugriff muss technisch nachgewiesen werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei wiederkehrenden Browseränderungen sollten Unternehmen zunächst lokale Programme, Erweiterungen und verwaltete Richtlinien durch die IT-Sicherheit prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse möglicher digitaler Folgeangriffe, der Dokumentation manipulierter Werbe- und Markenauftritte sowie der Abstimmung geeigneter Gegenmaßnahmen mit spezialisierten Security-Partnern. Für betroffene Firmenwebsites informiert BRANDPROTECTIONNOW zum Schutz vor Blackhat- und Website-Angriffen.

Fachquellen

• Google Chrome-Hilfe – Unerwünschte Werbung, Pop-ups und Malware entfernen: Erkennungsmerkmale und Schritte.
• Microsoft Defender – Unerwünschte Software: Browseränderungen und Deinstallation.
• Google Chrome-Hilfe – Standardsuchmaschine festlegen: reguläre Browserfunktionen.
• § 25 TDDDG: mögliche Vorgaben bei Endgerätezugriffen.

Cryptojacking bezeichnet das unerlaubte Verwenden fremder Rechenleistung zum Schürfen von Kryptowährungen. Angreifer lassen Mining-Prozesse auf Arbeitsrechnern, Servern, Containern oder angemieteten Cloudressourcen laufen, ohne dass deren Betreiber dies genehmigt haben. Die betroffenen Systeme tragen die Stromkosten, den Ressourcenverbrauch oder die Cloudrechnung, während mögliche Mining-Erträge an andere Stellen gehen.

Das Schürfen von Kryptowährungen ist für sich kein Cyberangriff. Erst der unberechtigte Zugriff beziehungsweise der Einsatz der Rechenleistung entgegen der bestehenden Berechtigung macht daraus Cryptojacking. Eine hohe Prozessorlast beweist den Vorgang nicht: Datenbanken, Berechnungen, Sicherungen und andere legitime Prozesse können dieselben technischen Symptome erzeugen.

Wie funktioniert Cryptojacking?

Bei bestimmten Kryptowährungen werden Rechenoperationen eingesetzt, um Transaktionen oder Netzwerkzustände zu verarbeiten. Mining-Software beansprucht dafür Prozessoren oder Grafikprozessoren. Ein Angreifer kann versuchen, einen solchen Prozess auf einem fremden System zu starten und über längere Zeit aktiv zu halten.

MITRE ATT&CK ordnet diesen Missbrauch der Technik T1496.001 – Compute Hijacking zu. Dabei kann es um Endgeräte, Server, virtuelle Maschinen oder Container gehen. Der genaue wirtschaftliche Effekt hängt von der ausgelasteten Hardware, dem Strom- beziehungsweise Cloudtarif und der Dauer der unberechtigten Nutzung ab.

Eine Infektion muss nicht sichtbar auf dem Desktop auftreten. Ein Miner kann als Hintergrundprozess ausgeführt werden. Bei Cloudangriffen kann er sogar in neu eingerichteten virtuellen Instanzen laufen, die Mitarbeiter zunächst nicht bemerken. Für die Aufklärung zählt der tatsächliche Zugang, über den die Rechenleistung in Anspruch genommen wurde.

Welche Angriffspfade treten auf?

Schadprogramme auf Arbeitsrechnern

Ein Miner kann über eine manipulierte Installationsdatei oder einen Trojaner auf ein Gerät gelangen. Ein sogenannter Trojan Downloader kann zusätzliche Komponenten nachladen. Nicht jede auffällige Datei ist dabei tatsächlich Mining-Software. Die Programmausführung muss untersucht werden.

Missbrauch von Cloudkonten

Wird ein Cloudkonto übernommen, können unberechtigte Recheninstanzen eingerichtet werden. Der Angreifer verursacht dann möglicherweise nutzungsabhängige Kosten beim legitimen Kontoinhaber. Eine ungewöhnliche Rechnung kann ein Indiz sein, aber auch durch einen regulären Lastanstieg oder eine fehlerhafte Konfiguration entstehen.

Ungesicherte Container- und Verwaltungsdienste

MITRE beschreibt Angriffe auf Containerumgebungen, bei denen Miner auf kompromittierten Hosts oder neuen Containern gestartet werden. Offen erreichbare Verwaltungsdienste oder gestohlene Berechtigungen können solche Vorfälle begünstigen. Der Angriff ist von genehmigten rechenintensiven Containeraufgaben abzugrenzen.

Kompromittierte Websites und Browser-Mining

Eine Website kann im Browser eines Besuchers Rechenaufgaben ausführen. Auch missbräuchliche Werbeanzeigen können ein Ausgangspunkt schädlicher Skripte sein. Geschieht dies ohne hinreichende Berechtigung und Transparenz zum Zweck des fremden Minings, kann ein Cryptojacking-Verdacht entstehen. Browser-Mining benötigt nicht zwangsläufig eine dauerhafte Installation auf dem Gerät. Eine hohe Browserlast kann jedoch auch durch reguläre Webanwendungen oder fehlerhafte Skripte entstehen.

Übernommene Serverzugänge

Erhält ein Angreifer administrative Rechte oder missbraucht eine verwundbare Anwendung, kann er einen Miner auf einem produktiven Webserver starten. Der Server verarbeitet dann neben den vorgesehenen Aufgaben fremde Berechnungen. Die bloße Anwesenheit von Mining-Software belegt noch nicht, wie der Zugriff ursprünglich gelang.

Welche Schäden sind für Unternehmen möglich?

Auf eigenen Servern kann eine hohe Last den Betrieb verlangsamen, etwa wenn Anwendungen um dieselben Prozessor- und Speicherressourcen konkurrieren. In Cloudumgebungen können zusätzliche verbrauchsabhängige Kosten hinzukommen. Unter bestimmten Bedingungen können auch andere Anwendungen auf betroffenen Hosts ausfallen.

Der Schaden lässt sich nicht pauschal aus einer hohen CPU-Auslastung ableiten. Es muss geklärt werden, welche Prozesse tatsächlich fremd betrieben wurden, wie lange sie liefen und welche Kosten oder Leistungsprobleme dadurch entstanden. Bei einem bestätigten fremden Zugang muss auch geprüft werden, ob außer Mining weitere unberechtigte Handlungen stattgefunden haben.

Wenn eine öffentlich erreichbare Website kompromittiert wurde, können Besucher dem Betreiber die auffällige Aktivität zuschreiben. Auch die Reputation kann dann betroffen sein. Für die Frage eines möglichen Datenabflusses sind eigenständige technische Belege erforderlich.

Ein fiktives Beispiel aus einer Cloudumgebung

Ein mittelständischer Dienstleister erhält eine unerwartet hohe Cloudrechnung. Die technische Auswertung zeigt mehrere rechenintensive virtuelle Instanzen in einer zuvor kaum verwendeten Region. Ein Administrator erkennt, dass diese Ressourcen nicht durch die vorgesehenen internen Prozesse angelegt wurden.

Das Sicherheitsteam sichert die verfügbaren Audit- und Abrechnungsdaten. Anschließend prüft es, welches Konto die Instanzen erstellt hat, ob dessen Zugangsdaten kompromittiert wurden und welche Software tatsächlich lief. Erst der Nachweis eines unerlaubten Miners bestätigt den Cryptojacking-Verdacht.

Die Rechnung allein wäre dafür nicht ausreichend. Eine falsch konfigurierte Skalierungsregel könnte vergleichbare Kosten verursachen, ohne dass ein Angreifer beteiligt ist.

Wie kann Cryptojacking erkannt werden?

MITRE beschreibt für Compute Hijacking die gemeinsame Auswertung von Prozessstarts, ungewöhnlicher Dauerlast, Netzwerkverbindungen und Cloudaktivitäten. Der Vergleich mit regulären Geschäftsprozessen ist dabei notwendig.

• Prozessaktivität: Ein nicht genehmigtes Programm beansprucht längere Zeit auffällig viel Rechenleistung.
• Netzwerkziele: Verbindungen passen zu Miningdiensten oder nicht dokumentierten externen Servern.
• Container: Unbekannte Container oder Jobs werden ohne nachvollziehbaren administrativen Auftrag gestartet.
• Cloudabrechnung: Neue Instanzen, ungewöhnliche Regionen oder starke Kostenänderungen erscheinen ohne geplanten Geschäftsgrund.
• Zugriffsrechte: Änderungen an Cloudidentitäten, Automationskonten oder Serverdiensten lassen sich nicht autorisieren.
• Alternative Ursachen: Reguläre Rendering-, Analyse- und Sicherungsaufgaben können dieselben Ressourcenspitzen erklären.

Welche Sofortmaßnahmen sind nach einem Verdacht sinnvoll?

Bei einem vermuteten Cloud- oder Serverangriff sollte die IT-Sicherheit zunächst betroffene Ressourcen und den Umfang fremder Zugriffe feststellen. Auditprotokolle, laufende Prozesse und vorhandene Kosteninformationen können für die spätere Rekonstruktion nötig sein. Eine unkoordinierte Löschung aller Instanzen könnte Beweise vernichten oder produktive Dienste beeinträchtigen.

Nach der erforderlichen Sicherung sind kompromittierte Zugänge zu sperren und die unberechtigten Rechenprozesse kontrolliert zu beenden. Bei einer verwundbaren Verwaltungsoberfläche muss der ursprüngliche Eintrittsweg geschlossen werden. Sonst kann der Miner nach einer scheinbar vollständigen Entfernung erneut erscheinen.

• Verdächtige Hosts, Container und Cloudressourcen eindeutig zuordnen.
• Protokolle, Berechtigungsänderungen und Abrechnungsdaten sichern.
• Unberechtigte Konten und Zugriffsschlüssel kontrollieren und nötigenfalls widerrufen.
• Fremde Miningprozesse nach der Beweissicherung beenden.
• Die technische Ursache beseitigen und betroffene Systeme auf weitere Aktivitäten prüfen.
• Nach der Bereinigung Ressourcenverbrauch und Kosten erneut überwachen.

Wie kann das Risiko verringert werden?

Ein belastbarer Schutz setzt bei Zugängen und Ressourcenverwaltung an. Cloudidentitäten sollten nur die für ihre Aufgabe erforderlichen Rechte besitzen. Offene Administrationsschnittstellen, unbenutzte Konten und nicht dokumentierte Container vergrößern die Angriffsfläche.

Automatische Warnungen bei ungewöhnlicher Rechenlast oder Kostenanstiegen können einen Vorfall früher sichtbar machen. Sie ersetzen jedoch nicht die Prüfung, ob eine Aktivität fremd oder berechtigt ist. Auch Container- und Serverimages sollten auf ihren tatsächlichen Inhalt kontrolliert werden.

Welche rechtlichen Fragen entstehen?

Bei unberechtigtem Zugriff auf besonders geschützte Daten können unter den Voraussetzungen des § 202a StGB strafrechtliche Fragen entstehen. Bei rechtswidrigen Datenänderungen ist gegebenenfalls § 303a StGB betroffen. Die bloße Feststellung eines rechenintensiven Prozesses erfüllt diese Tatbestände nicht automatisch.

Daneben können vertragliche Ansprüche und gegebenenfalls Datenschutzpflichten bestehen. Ein Miner belegt keinen personenbezogenen Datenabfluss; bei einer weitergehenden Kompromittierung ist dies gesondert zu beurteilen.

Häufige Fragen zu Cryptojacking

Kann Cryptojacking auch in der Cloud stattfinden?

Ja. Unter anderem können kompromittierte Cloudkonten und Container für unberechtigte Miningprozesse verwendet werden.

Ist hohe CPU-Auslastung ein sicherer Nachweis?

Nein. Viele reguläre Anwendungen beanspruchen viel Rechenleistung. Prozess, Herkunft und Zugriff müssen geprüft werden.

Beweist ein Miner auch den Diebstahl von Kundendaten?

Nein. Eine mögliche Datenoffenlegung ist ein eigenständiger Untersuchungsgegenstand.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei vermutetem Cryptojacking sollten Unternehmen zunächst ihre IT-Sicherheit und den betreffenden Hosting- oder Cloudanbieter einbeziehen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse auffälliger Server- und Cloudaktivitäten, der Dokumentation möglicher Folgeangriffe und der Abstimmung technischer Maßnahmen mit spezialisierten Security-Partnern. Informationen bietet BRANDPROTECTIONNOW zum Schutz vor Bot- und Serverangriffen.

Fachquellen

• MITRE ATT&CK – Compute Hijacking (T1496.001): Angriffstechnik und betroffene Plattformen.
• MITRE ATT&CK – Compute-Hijacking-Erkennung (DET0540): Prozess-, Netzwerk- und Cloudindikatoren.
• CISA – Weak Security Controls and Practices: falsch konfigurierte Cloudressourcen als Angriffsweg.
• § 202a StGB und § 303a StGB: mögliche Straftatbestände.

Ein Drive-by-Download bezeichnet die unbeabsichtigte beziehungsweise vom Angreifer veranlasste Übertragung schädlicher Software im Zusammenhang mit einem Websitebesuch. Häufig wird damit ein Angriff beschrieben, bei dem eine manipulierte Website oder Werbeeinblendung eine Schwachstelle des Browsers oder einer anderen lokalen Komponente ausnutzt. Die Bezeichnung überschneidet sich mit der MITRE-ATT&CK-Technik Drive-by Compromise (T1189).

Ein Websitebesuch führt nicht automatisch zu einer Infektion. Ein schädlicher Download, eine erfolgreiche Ausführung und ein tatsächlicher Zugriff des Angreifers sind unterschiedliche Ereignisse. Moderne Browser können gefährliche Inhalte blockieren oder besondere Sicherheitsfunktionen verwenden. Für die Bewertung muss deshalb untersucht werden, was auf dem betroffenen Gerät tatsächlich geschehen ist.

Wie kann ein Drive-by-Download entstehen?

Eine Webseite kann JavaScript, Bilder, Stylesheets und andere Dateien von unterschiedlichen Servern laden. Werden solche Inhalte manipuliert oder missbräuchlich eingebunden, können Besucher schädlichen Code erhalten. Besonders relevant sind veraltete Browser, verwundbare Erweiterungen oder andere Softwarekomponenten, die der Angriff erreichen kann.

Die MITRE-Dokumentation beschreibt mehrere mögliche Ausgangspunkte: kompromittierte legitime Websites, manipulierte externe Skripte, schädliche Werbung oder missbrauchte Funktionen für nutzergenerierte Inhalte. Die eigentliche technische Ausnutzung hängt jeweils von der vorhandenen Schwachstelle ab.

Einige Angriffe versuchen, ohne bewusste Zustimmung des Nutzers eine Schwachstelle auszunutzen. Andere benötigen eine zusätzliche Handlung, etwa das Öffnen einer Datei oder die Bestätigung einer irreführenden Aufforderung. Die Begriffe Drive-by-Download, Drive-by Compromise und nutzerveranlasste schädliche Downloads sollten daher nicht ungeprüft gleichgesetzt werden.

Welche Angriffswege kommen vor?

Kompromittierte Unternehmenswebsites

Ein Angreifer verändert Teile einer zuvor legitimen Website. Besucher rufen eine vertraute Domain auf und erhalten dabei zusätzliche unerlaubte Inhalte. Der Eintrittsweg kann ein kompromittiertes CMS, eine unsichere Erweiterung oder ein missbrauchter Verwaltungszugang sein.

Malvertising

Bei Malvertising kann eine schädliche Werbung zur Auslieferung gefährlicher Inhalte oder zu einer weiteren Angriffsseite führen. Der Nutzer muss dabei nicht zwingend auf eine bewusst als verdächtig erkennbare Anzeige klicken. Die tatsächliche technische Wirkung hängt vom Aufbau der Werbeauslieferung und den Sicherheitsmechanismen ab.

Manipulierte Drittanbieter-Skripte

Eine Website kann ein Skript von einem fremden Dienstleister laden. Wird dieser Lieferweg kompromittiert, könnte schädlicher Code bei der Auslieferung der Seite erscheinen. Dies ist eine Form von Third-Party Script Compromise. Nicht jede externe JavaScript-Datei ist deshalb gefährlich.

Verwundbare Browser- und Erweiterungskomponenten

Angreifer können versuchen, Sicherheitslücken in Browsersystemen oder deren Komponenten auszunutzen. Die konkreten Voraussetzungen unterscheiden sich nach Softwareversion, Betriebssystem und aktivierten Schutzmechanismen. Ein vorhandener Schwachstellenhinweis beweist noch keinen erfolgreichen Angriff auf ein bestimmtes Gerät.

Exploit-Kits

Ein Exploit Kit kann verschiedene Angriffsbestandteile bündeln, um vorhandene Schwachstellen in einem Zielsystem auszunutzen. Die Bezeichnung beschreibt das Werkzeug, nicht zwangsläufig einen erfolgreichen Download oder eine Infektion.

Welche Schäden sind für Nutzer und Unternehmen möglich?

Bei erfolgreicher Kompromittierung kann Schadsoftware Daten auslesen, weitere Programme nachladen oder die Kontrolle über bestimmte Funktionen des Geräts erlangen. Die tatsächliche Reichweite hängt von den Rechten der ausgeführten Software und der vorhandenen Sicherheitsumgebung ab.

Für ein Unternehmen können dadurch zusätzliche Vorfälle entstehen, etwa gestohlene Zugangsdaten, unberechtigte Kontozugriffe oder der Missbrauch von Werbe- und Verwaltungskonten. Wird eine Unternehmenswebsite selbst als Ausgangspunkt missbraucht, können Besucher außerdem den Betreiber für schädliche Inhalte verantwortlich halten.

Eine Sicherheitswarnung im Browser oder eine gemeldete schädliche Datei beweist aber noch nicht, dass alle Besucher infiziert wurden. Die Betroffenheit muss anhand der jeweiligen Geräte und Ereignisse geprüft werden.

Ein fiktiver Vorfall bei einem Fachportal

Ein mittelständisches Fachportal erhält Beschwerden, weil einige Besucher beim Aufruf eines Artikels ungewöhnliche Weiterleitungen beobachten. Die Redaktion kann das Verhalten zunächst nicht reproduzieren. Eine technische Untersuchung zeigt, dass ein fremdes Skript nur unter bestimmten Bedingungen zusätzliche Inhalte ausliefert.

Die IT sichert die betroffene Version und prüft, ob die fremde Datei tatsächlich schädliche Funktionen besitzt. Gleichzeitig werden Server- und Zugriffsprotokolle kontrolliert. Eine vollständige Kompromittierung der Besuchergeräte ist damit noch nicht bewiesen.

Nach der Sicherung wird der betroffene Lieferweg unterbrochen und die Ursache im Website-System untersucht. Für möglicherweise betroffene Nutzer können je nach Ergebnis weitere Hinweise erforderlich sein.

Welche Indikatoren helfen bei der Untersuchung?

Die Erkennung erfordert den Abgleich von Website- und Geräteinformationen. Eine ungewöhnliche Netzwerkverbindung kann ein Hinweis sein, muss aber zu einer tatsächlichen schädlichen Funktion passen. Auch reguläre Analyse- und Werbedienste laden externe Dateien.

• Neue Website-Komponenten: Unbekannte Skripte oder geänderte Auslieferungsquellen werden geladen.
• Weiterleitungen: Nutzer gelangen auf nicht genehmigte Websites.
• Geräteereignisse: Nach einem Seitenaufruf entstehen ungewöhnliche Prozesse oder Dateiveränderungen.
• Sicherheitsmeldungen: Browser- oder Endpunktschutzsysteme melden konkrete schädliche Inhalte.
• Zeitlicher Zusammenhang: Auffälligkeiten beginnen nach einer bestimmten Website- oder Skriptänderung.
• Alternative Ursachen: Browser-Erweiterungen oder lokale Schadsoftware könnten ähnliche Symptome auslösen.

MITRE ATT&CK beschreibt in einer Erkennungsstrategie die Verknüpfung von Browser-, Netzwerk- und Endpunktaktivitäten. Aus einer einzelnen Browsermeldung lässt sich die komplette Angriffskette nicht zuverlässig rekonstruieren.

Wie wird ein Drive-by-Vorfall untersucht?

Bei einer betroffenen Website müssen die ausgelieferten Inhalte, Skriptversionen und verwendeten Drittanbieter geprüft werden. Wenn Geräte möglicherweise kompromittiert wurden, sollten diese durch die zuständige IT-Sicherheit isoliert und anhand vorhandener Protokolle untersucht werden. Verdächtige Dateien gehören nicht auf gewöhnliche Arbeitsrechner.

Die Untersuchung klärt, ob lediglich ein schädlicher Link ausgeliefert, eine Datei heruntergeladen oder tatsächlich Code ausgeführt wurde. Diese Stufen sind für die Bewertung möglicher Schäden entscheidend. Auch die Zahl der betroffenen Besucher lässt sich nicht ohne entsprechende Daten bestimmen.

Bei einer bestätigten Website-Kompromittierung muss der ursprüngliche Eintrittsweg geschlossen werden. Die Entfernung einer sichtbaren Weiterleitung ist allein keine sichere Bereinigung.

Welche Gegenmaßnahmen können helfen?

Aktuelle Browser, Betriebssysteme und Komponenten reduzieren die Zahl bekannter verwundbarer Angriffspunkte. Unternehmen sollten außerdem die Auslieferung fremder Skripte kontrollieren und nicht benötigte Funktionen entfernen. Ein geeignetes Endpunktschutzsystem kann zusätzliche Signale liefern.

• Browser und Betriebssysteme mit Sicherheitsupdates versorgen.
• Unnötige Browser-Erweiterungen und nicht mehr gepflegte Komponenten entfernen.
• Die Herkunft und Veränderungen externer Website-Skripte überwachen.
• Schädliche Domains und Downloads über geeignete Sicherheitsfunktionen blockieren.
• Bei einem Vorfall betroffene Geräte und Websitebestandteile getrennt untersuchen.
• Nach einer Bereinigung die relevanten Zugänge und weiteren verdächtigen Aktivitäten prüfen.

Ein Adblocker kann bestimmte schädliche Werbewege einschränken, ersetzt aber keine allgemeine Absicherung des Browsers und anderer Anwendungen.

Welche rechtlichen Fragen können entstehen?

Bei unberechtigtem Zugriff auf besonders gesicherte Daten oder rechtswidrigen Datenveränderungen können unter den jeweiligen Voraussetzungen § 202a StGB oder § 303a StGB einschlägig sein. Die technische Bezeichnung Drive-by-Download allein erfüllt keine strafrechtlichen Tatbestandsmerkmale.

Werden personenbezogene Daten durch einen bestätigten Vorfall verletzt, sind die einschlägigen Anforderungen der DSGVO gesondert zu prüfen. Die bloße Warnung vor einer schädlichen Website bedeutet nicht automatisch, dass eine meldepflichtige Datenverletzung eingetreten ist.

Häufige Fragen zum Drive-by-Download

Kann schon der Besuch einer Website gefährlich sein?

Unter bestimmten technischen Voraussetzungen ja. Ob eine schädliche Funktion tatsächlich ausgeführt werden kann, hängt von der Software und den Schutzmechanismen ab.

Ist jede heruntergeladene Datei automatisch Schadsoftware?

Nein. Eine Datei muss anhand ihrer tatsächlichen Eigenschaften und Herkunft beurteilt werden.

Kann eine legitime Website unbemerkt schädliche Inhalte ausliefern?

Ja. Kompromittierte Dateien oder Drittanbieter-Skripte können unerlaubte Inhalte in die Auslieferung bringen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei einem Drive-by-Verdacht sollten Unternehmen zunächst die betroffenen Systeme, Websitebestandteile und Sicherheitsmeldungen durch ihre IT-Sicherheit untersuchen lassen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Dokumentation digitaler Angriffe, der Untersuchung möglicher Website-Manipulationen und der Abstimmung der Bereinigung mit spezialisierten Security-Partnern. Nach einem bestätigten Vorfall können zusätzlich Maßnahmen zum Schutz der Such- und Markenreputation erforderlich sein. Weitere Informationen: BRANDPROTECTIONNOW zum Schutz vor Blackhat-Angriffen.

Fachquellen

• MITRE ATT&CK – Drive-by Compromise (T1189): Angriffsklasse und mögliche Einstiegspfade.
• MITRE ATT&CK – Detection Strategy DET0176: Verknüpfte Browser-, Netzwerk- und Endpunkthinweise.
• Google Ads – Compromised Sites: schädliche Skripte und kompromittierte Zielseiten.

Ein Exploit Kit ist eine Sammlung von Programmbestandteilen, die bekannte oder andere verwertbare Sicherheitslücken in Software erkennen und für Angriffe missbrauchen sollen. Solche Werkzeuge wurden insbesondere zur Verbreitung von Schadsoftware über kompromittierte Websites und schädliche Werbeanzeigen eingesetzt. Ein Exploit ist dabei der konkrete Code oder Ablauf, der eine Schwachstelle ausnutzt; das Kit bündelt mehrere solcher Bestandteile.

Die Existenz eines Exploit Kits beweist noch keinen erfolgreichen Angriff. Eine Sicherheitslücke muss auf dem betroffenen System vorhanden und unter den jeweiligen Bedingungen ausnutzbar sein. Zudem können Betriebssystem, Browser und zusätzliche Schutzmaßnahmen die tatsächliche Wirkung begrenzen. Die Bezeichnung ist eine technische Angriffsklasse, kein eigenständiger strafrechtlicher Tatbestand.

Wie funktionieren Exploit Kits im Überblick?

Ein Exploit Kit kann unterschiedliche Schwachstellen für bestimmte Softwareversionen enthalten. Wird ein geeignetes Zielsystem erreicht, kann der Angriffsablauf versuchen, eine passende Sicherheitslücke auszunutzen. Nach einer erfolgreichen Ausnutzung kann Schadsoftware ausgeführt oder weiterer schädlicher Code nachgeladen werden.

Microsoft beschreibt Exploit Kits als Werkzeuge, die mehrere Exploits bündeln und für verschiedene Softwareumgebungen eingesetzt werden können. Historisch betrafen viele dieser Angriffe Browser und zusätzliche Komponenten wie alte Browser-Plugins. Moderne Browserarchitekturen und Sicherheitsupdates verändern die möglichen Angriffspfade.

Eine automatische Erkennung verwundbarer Software ist nicht mit einer garantierten Kompromittierung gleichzusetzen. Der Erfolg hängt von konkreten Versionen, aktiven Sicherheitsmechanismen und weiteren technischen Bedingungen ab.

Welche Wege können zu einem Exploit Kit führen?

Kompromittierte Websites

Ein Angreifer kann schädliche Inhalte auf einer zuvor legitimen Website unterbringen. Besucher rufen dann eine vertrauenswürdige Domain auf, über die zusätzliche unerlaubte Bestandteile geladen werden. Die Website selbst kann aufgrund eines CMS-Fehlers oder eines übernommenen Administrationskontos kompromittiert worden sein.

Malvertising

Bei Malvertising werden schädliche Anzeigen oder Werbeziele eingesetzt, um Besucher in einen anderen technischen Ablauf zu führen. Exploit Kits können als Bestandteil eines solchen Angriffs auftreten. Nicht jede Malvertising-Kampagne enthält jedoch ein Exploit Kit.

Manipulierte Drittanbieter-Skripte

Eine Website lädt häufig JavaScript-Dateien von externen Diensten. Wird eine solche Quelle kompromittiert, können zusätzliche schädliche Inhalte ausgeliefert werden. Dies ist eine mögliche Lieferkettenkompromittierung, die bei einer Vorfallsanalyse getrennt untersucht werden muss.

Schädliche Weiterleitungen

Ein Angreifer kann Besucher über mehrere Seiten zu einem schädlichen Ziel lenken. Dabei können unterschiedliche Geräte- oder Browsermerkmale für die Auslieferung eine Rolle spielen. Die genaue Ursache ist anhand des tatsächlichen Weiterleitungsverlaufs zu untersuchen.

Exploit Kit, Exploit und Drive-by-Download unterscheiden

Ein Exploit bezeichnet den konkreten Versuch, eine Schwachstelle auszunutzen. Ein Exploit Kit kann mehrere solcher Verfahren bündeln. Ein Drive-by-Download beschreibt einen möglichen Infektionsweg beim Besuch einer Website.

Ein Exploit Kit kann in einem Drive-by-Angriff verwendet werden, muss es aber nicht. Ebenso kann ein Drive-by-Vorfall ohne ein umfangreiches Exploit Kit entstehen. Diese Begriffe beschreiben unterschiedliche Aspekte desselben möglichen Sicherheitsereignisses.

Ein Angriff auf einen Browser ist außerdem von der Ausnutzung einer Schwachstelle auf dem Webserver zu unterscheiden. Beim ersten Fall ist das Gerät des Besuchers betroffen, beim zweiten das System des Websitebetreibers.

Welche Schäden können entstehen?

Wird eine Sicherheitslücke erfolgreich ausgenutzt, kann ein Angreifer unter bestimmten Umständen weitere Software auf einem Gerät ausführen, Daten auslesen oder die Kontrolle über einzelne Funktionen erlangen. Der tatsächliche Umfang hängt vom Angriffspfad und den Rechten des betroffenen Prozesses ab.

Für ein Unternehmen können daraus kompromittierte Arbeitsplätze, gestohlene Zugangsdaten und weitere Angriffe auf Konten oder Server entstehen. Bei einer gehackten Unternehmenswebsite kommt die mögliche Beeinträchtigung von Kunden hinzu. Nutzer können dem echten Betreiber die schädlichen Inhalte zurechnen, obwohl sie ohne dessen Wissen eingebracht wurden.

Eine Warnung über einen Angriff auf eine Website beweist aber nicht, dass jeder Besucher infiziert wurde. Auch eine gemeldete Schwachstelle bedeutet nicht automatisch, dass sie tatsächlich ausgenutzt worden ist.

Fiktives Beispiel einer kompromittierten Fachwebsite

Ein Unternehmen betreibt ein Fachportal mit regelmäßig veröffentlichten Artikeln. Die Redaktion erhält Hinweise, dass ein Teil der Besucher beim Aufruf einzelner Beiträge Sicherheitswarnungen sieht. Eine Untersuchung zeigt, dass eine eingebundene Datei auf einen nicht dokumentierten fremden Dienst verweist.

Die IT sichert den betroffenen Seitenstand und prüft den Weiterleitungsverlauf in einer geschützten Umgebung. Anschließend wird untersucht, ob darüber tatsächlich ein Exploit Kit ausgeliefert oder lediglich eine verdächtige Werbeadresse eingebunden wurde.

Für eine mögliche Infektion von Besuchergeräten wären zusätzliche Hinweise erforderlich. Die technische Auffälligkeit am Websitecode allein genügt nicht, um die Ausführung von Schadsoftware auf allen Geräten zu behaupten.

Woran lässt sich ein Angriff erkennen?

Die Erkennung kombiniert Informationen aus Browsern, Netzwerken und Endpunktschutzsystemen. Microsoft nennt neben der Untersuchung bekannter Software-Schwachstellen auch die Pflege von Browser und Systemsoftware als wesentliche Schutzmaßnahmen.

• Verdächtige Weiterleitungen: Eine bekannte Website führt Nutzer zu nicht autorisierten Zielen.
• Ungewöhnliche Skripte: Neue oder veränderte Dateien werden ohne dokumentierte Freigabe ausgeliefert.
• Endpunktwarnungen: Sicherheitssoftware meldet konkrete Ausnutzungsversuche oder schädliche Dateien.
• Softwareversionen: Betroffene Geräte verwenden Komponenten, für die relevante Schwachstellen bekannt sind.
• Netzwerkaktivität: Nach einem Websitebesuch treten unerwartete Verbindungen auf.
• Nachweis der Ausführung: Gibt es tatsächlich veränderte Dateien, Prozesse oder andere Spuren erfolgreicher Kompromittierung?

Ein einzelnes ungewöhnliches Netzwerkmuster ist kein ausreichender Beweis. Reguläre Werbung, Updates und andere Dienste können ebenfalls fremde Inhalte nachladen.

Wie wird ein Verdacht untersucht?

Bei einer betroffenen Website sollten der genaue Seitenstand, eingebundene Skripte und verfügbare Zugriffsprotokolle gesichert werden. Bei Verdacht auf Gerätekompromittierung sind zusätzlich Informationen aus dem Endpunktschutz und den betroffenen Betriebssystemen erforderlich.

Die Analyse trennt die Bereitstellung schädlichen Codes, einen tatsächlichen Ausnutzungsversuch und eine erfolgreich ausgeführte Schadfunktion. Nicht jede Stufe ist automatisch aus der vorherigen ableitbar. Für belastbare Aussagen über betroffene Nutzer und Daten muss die vollständige Kette soweit möglich dokumentiert werden.

Verdächtige Dateien gehören in eine isolierte Untersuchungsumgebung. Unkontrollierte Tests mit unbekannten Exploit-Bestandteilen können zusätzliche Schäden verursachen.

Wie lassen sich Exploit-Kit-Angriffe begrenzen?

Ein wichtiger Schutz ist die zeitnahe Installation verfügbarer Sicherheitsupdates. Moderne Browser und Betriebssysteme besitzen zusätzliche Schutzmechanismen, die bekannte Angriffsmethoden erschweren. Weitere Maßnahmen hängen davon ab, ob die eigene Website oder Nutzergeräte betroffen sind.

• Browser, Betriebssysteme und notwendige Plugins aktuell halten.
• Nicht mehr unterstützte Erweiterungen und veraltete Laufzeitumgebungen entfernen.
• Externe Skripte und Werbeeinbindungen der eigenen Website kontrollieren.
• Schädliche Zieladressen über geeignete Browser- und Netzwerkschutzsysteme blockieren.
• Bei einem bestätigten Vorfall betroffene Systeme isolieren und untersuchen.
• Den technischen Eintrittsweg vor einer Wiederinbetriebnahme schließen.

Ein einzelnes Sicherheitsprodukt kann nicht sämtliche Schwachstellen erkennen. Auch bekannte Exploits können unter unterschiedlichen technischen Bedingungen eine andere Wirkung entfalten.

Welche rechtlichen Fragen können entstehen?

Bei unberechtigtem Zugriff auf besonders geschützte Daten oder rechtswidrigen Datenveränderungen können die Voraussetzungen von § 202a StGB und § 303a StGB betroffen sein. Auch andere Vorschriften können je nach tatsächlichem Ablauf einschlägig sein.

Ein legitimer Sicherheitstest in einer freigegebenen Umgebung ist von einem fremden Angriff zu unterscheiden. Entscheidend sind Berechtigung, konkretes Vorgehen und die gesetzlichen Tatbestandsmerkmale.

Häufige Fragen zum Exploit Kit

Ist ein Exploit Kit eine einzelne Schadsoftware?

Nicht zwingend. Es handelt sich um eine Sammlung von Verfahren, die unterschiedliche Schwachstellen ansprechen können.

Führt jeder Besuch einer betroffenen Website zur Infektion?

Nein. Eine erfolgreiche Ausnutzung hängt von Softwareversion, vorhandener Schwachstelle und zusätzlichen Schutzmaßnahmen ab.

Können aktuelle Browser Exploit-Kit-Angriffe verhindern?

Aktuelle Software reduziert bekannte Angriffsflächen, bietet aber keine absolute Sicherheit gegen jeden möglichen Angriff.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Website- oder Endpunktaktivitäten sollten Unternehmen die IT-Sicherheit einbeziehen und relevante Systeme und Protokolle sichern. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse digitaler Angriffe, der Untersuchung möglicher Website-Kompromittierungen und der Koordination technischer Gegenmaßnahmen mit spezialisierten Security-Partnern. Falls schädliche Inhalte unter der Unternehmensdomain verbreitet wurden, können zusätzlich Reputations- und Suchergebnisprüfungen erforderlich sein. Weitere Informationen: BRANDPROTECTIONNOW zum Schutz vor Blackhat-Angriffen.

Fachquellen

• Microsoft Defender – Exploits und Exploit-Kits: Angriffsklasse und Schutzmaßnahmen.
• MITRE ATT&CK – Drive-by Compromise: mögliche Website-Einstiegspfade.
• Canadian Centre for Cyber Security – Cyber Threat Environment: Exploits und Exploit Kits.

Fake Update bezeichnet eine gefälschte Aufforderung, ein angebliches Browser-, Betriebssystem- oder Softwareupdate zu installieren. Die Meldung kann auf einer fremden Webseite, in einer Werbeanzeige oder in einer nachgeahmten Benutzeroberfläche erscheinen. Ihr Ziel ist häufig, Besucher zum Download und zur Ausführung eines nicht autorisierten Programms zu bewegen. Das vermeintliche Update kann beispielsweise einen Infostealer, andere Schadsoftware oder ein betrügerisches Zusatzprogramm enthalten.

Eine Update-Meldung allein beweist keinen Angriff. Manche Webseiten weisen berechtigterweise auf nicht mehr unterstützte Browser hin. Verdächtig wird es, wenn eine Website unter dem Namen des Browserherstellers eine fremde Datei zur Installation anbietet, falsche Dringlichkeit erzeugt oder den Eindruck eines offiziellen Systemdialogs erweckt. Auch eine nachgeahmte Seite bedeutet noch nicht, dass ein Nutzer die Datei ausgeführt oder Daten verloren hat.

Wie funktioniert die Täuschung mit Softwareupdates?

Die Botschaft soll zu einer Handlung führen, die der Nutzer unter normalen Umständen vermeiden würde. Eine Webseite kann beispielsweise behaupten, Videos oder Dokumente seien erst nach einem sofortigen Update sichtbar. Andere Meldungen stellen eine angeblich akute Sicherheitslücke oder einen Virenbefall dar. Logos, Farben und Gestaltung orientieren sich dabei an bekannten Browsern oder Softwareanbietern.

Der angebotene Download führt nicht zwangsläufig zum Hersteller. Stattdessen kann ein anderes Programm unter einem vertraut wirkenden Dateinamen bereitgestellt werden. Bei Windows oder anderen Betriebssystemen hängt der weitere Verlauf davon ab, welche Datei heruntergeladen wird, ob der Nutzer sie tatsächlich startet und welche Sicherheitskontrollen greifen.

Microsoft beschreibt betrügerische Seiten, die Browserupdates oder Systemreparaturen vortäuschen. Der Hersteller empfiehlt, Aktualisierungen über die vorgesehenen Funktionen der Anwendung beziehungsweise die offiziellen Anbieterquellen vorzunehmen und Aufforderungen auf fremden Websites nicht als vertrauenswürdigen Updateweg zu behandeln.

Welche Varianten von Fake Updates gibt es?

Gefälschte Browserupdates

Eine Webseite kann sich als Chrome-, Edge- oder Firefox-Updatefenster darstellen. Die Aufforderung enthält möglicherweise eine bekannte Herstellerkennung, nennt eine vermeintlich veraltete Versionsnummer oder behauptet, der Browser werde ohne Installation nicht mehr funktionieren. Tatsächlich erscheint die Meldung innerhalb des fremden Webinhalts und nicht in der eigenen Updateverwaltung des Browsers.

Nachgeahmte Sicherheitsmeldungen

Ein Dialog warnt vor angeblicher Schadsoftware und bietet ein sofortiges Reparaturprogramm an. Solche Täuschungen können mit Scareware zusammenhängen. Die sichtbare Warnung ist vom Ergebnis einer tatsächlich installierten Sicherheitssoftware zu unterscheiden.

Manipulierte Downloadseiten

Auch scheinbar reguläre Software-Downloadseiten können eine falsche Updateversion anbieten. In Suchergebnissen oder Werbung kann das Angebot unter dem Namen des echten Herstellers erscheinen. Solche Vorgänge überschneiden sich mit SERP Poisoning und Malvertising.

Fake-Updates über kompromittierte Websites

Eine zuvor vertrauenswürdige Unternehmenswebsite kann durch einen fremden Skriptbestandteil eine manipulierte Updateaufforderung anzeigen. Der Betreiber muss den Dialog nicht selbst eingebaut haben. Ein solches Ereignis ist daher auf mögliche Drittanbieter-Skriptkompromittierung oder andere unberechtigte Website-Veränderungen zu prüfen.

Falsche Updates für nicht mehr unterstützte Software

Manche Angriffe greifen den Namen alter Plugins oder Programme auf, die Besucher noch kennen. Ein vermeintliches Update für eine längst eingestellte Anwendung ist besonders verdächtig. Der tatsächliche Supportstatus sollte jedoch anhand offizieller Herstellerinformationen geprüft werden und nicht anhand einer Warnmeldung auf einer fremden Webseite.

Fake Update, Drive-by-Download und Phishing unterscheiden

Ein Fake Update beruht zunächst auf einer Täuschung über die Herkunft oder den Zweck einer Aktualisierung. Bei einem Drive-by-Download kann dagegen ein schädlicher Code im Zusammenhang mit dem Websitebesuch ohne einen bewusst gewünschten Download ausgeführt werden, sofern entsprechende technische Voraussetzungen vorliegen.

Phishing zielt häufig auf die Preisgabe von Anmeldedaten oder anderen Informationen. Ein falsches Update kann anschließend einen Infostealer installieren, der Daten ausliest; die Wege können sich also überschneiden. Für die Untersuchung bleibt der genaue Ablauf wichtig: Welche Datei wurde angeboten, wurde sie gestartet und welche weiteren Ereignisse folgten?

Ein Browserfenster, das nur eine Meldung anzeigt, ist nicht automatisch eine erfolgreiche Infektion. Die technische Beweislage darf nicht aus der dramatischen Darstellung der Warnung abgeleitet werden.

Welche Folgen können für Unternehmen entstehen?

Wird tatsächlich schädliche Software ausgeführt, können unter bestimmten Bedingungen gespeicherte Anmeldedaten, Sitzungstoken oder andere lokale Informationen betroffen sein. Eine solche Kompromittierung kann zu späteren Zugriffsversuchen auf E-Mail-, CMS- oder Werbekonten führen. Daraus folgt nicht, dass jedes heruntergeladene Fake Update zwangsläufig alle diese Daten erbeutet.

Auch Unternehmen, deren Website für gefälschte Updatefenster missbraucht wird, können betroffen sein. Besucher könnten die Warnung dem echten Betreiber zurechnen. Im schlimmsten Fall entstehen Kundenbeschwerden und Sicherheitswarnungen. Für die Einordnung müssen jedoch die kompromittierten Dateien, der Auslieferungsweg und der Umfang der Besucherbetroffenheit untersucht werden.

Die wirtschaftlichen Folgen sind nicht aus der bloßen Anzahl angezeigter Pop-ups abzuleiten. Ein tatsächlicher Datenabfluss, ein späterer Kontomissbrauch oder eine Betriebsunterbrechung benötigen jeweils eigenständige Nachweise.

Ein fiktives Beispiel aus dem Unternehmensmarketing

Ein Mitarbeiter besucht die Website eines bekannten Dienstleisters. Dort erscheint ein Fenster, das ein dringendes Browserupdate verlangt. Die Meldung behauptet, andernfalls könne ein angefordertes Video nicht abgespielt werden. Der Mitarbeiter lädt eine Datei herunter und startet sie. Kurz darauf treten unbekannte Sitzungen in einem verwalteten Werbekonto auf.

Die IT untersucht zunächst das betroffene Gerät, den Download und die Anmeldungen im Werbekonto. Die zeitliche Abfolge ist ein wichtiger Hinweis, reicht aber allein nicht für den Nachweis, dass genau diese Datei den Kontomissbrauch verursacht hat. Dafür werden vorhandene Endpunktprotokolle, Datei- und Netzwerkereignisse sowie die Kontohistorie abgeglichen.

Gleichzeitig wird der Dienstleister informiert, damit er seine Website und eingebundenen Skripte prüfen kann. Ob die Website kompromittiert wurde oder ein anderer Inhalt für die Weiterleitung verantwortlich war, muss technisch geklärt werden.

Woran erkennen Nutzer eine gefälschte Updateaufforderung?

Ein Warnzeichen ist eine Update-Datei, die unmittelbar von einer zufällig besuchten Webseite stammt. Google beschreibt den regulären Updateweg für Chrome über die Browserfunktionen. Auch Microsoft verweist bei Edge auf offizielle Updatewege. Ein fremdes Downloadfenster hat keine entsprechende Berechtigung allein deshalb, weil es das Logo des Herstellers zeigt.

• Quelle: Stammt die Aufforderung aus der offiziellen Anwendung oder aus dem Inhalt einer fremden Webseite?
• Downloadadresse: Gehört die tatsächliche Domain zum Hersteller oder zu einem ausdrücklich bestätigten Vertriebskanal?
• Dringlichkeit: Wird mit künstlichem Zeitdruck, drohender Kontosperrung oder angeblicher Sofortinfektion gearbeitet?
• Datei und Herausgeber: Passt das heruntergeladene Programm zur erwarteten Herstellerveröffentlichung?
• Technische Ereignisse: Wurde die Datei lediglich angezeigt, gespeichert oder tatsächlich ausgeführt?
• Weitere Hinweise: Liegen Sicherheitsmeldungen oder unberechtigte Kontoaktivitäten vor?

Ein gültiges HTTPS-Zertifikat ist dabei kein Beweis für eine offizielle Updatequelle. Es bestätigt unter geeigneten Bedingungen eine verschlüsselte Verbindung, nicht den Inhalt oder die Absicht des Seitenbetreibers.

Wie wird ein vermuteter Fake-Update-Vorfall untersucht?

Zu Beginn sollten die beobachtete Seite, die Downloadadresse und gegebenenfalls die angebotene Datei dokumentiert werden. Wenn das Programm ausgeführt wurde, sind die betroffenen Endgeräte und ihre Sicherheitsprotokolle zu prüfen. Verdächtige Dateien sollten nicht erneut auf normalen Arbeitsrechnern gestartet werden.

Die Untersuchung muss zwischen Download, Ausführung, möglicher Kompromittierung und konkretem Datenzugriff unterscheiden. Ein Download ohne Ausführung kann je nach Schutzsystem anders zu bewerten sein als ein bestätigter Infostealer-Vorfall. Auch die technische Ursache der Webseite ist gesondert zu untersuchen.

Bei Hinweisen auf gestohlene Zugangsdaten können betroffene Konten über einen vertrauenswürdigen zweiten Zugang gesichert und aktive Sitzungen geprüft werden. Ein einfacher Passwortwechsel auf einem weiterhin kompromittierten Gerät kann unzureichend sein.

Welche Maßnahmen helfen gegen Fake Updates?

Unternehmen sollten Softwareaktualisierungen über definierte Verwaltungswege bereitstellen. Für Browser und Betriebssysteme können zentrale Updatefunktionen und die von Herstellern vorgesehenen Verfahren verwendet werden. Das reduziert die Notwendigkeit, dass Mitarbeiter Update-Dateien aus Webseiten herunterladen.

• Browser und Betriebssysteme über offizielle Updatekanäle aktualisieren.
• Unbekannte Installationsdateien nicht allein wegen einer Webmeldung ausführen.
• Softwareinstallationen auf verwalteten Geräten bei Bedarf durch geeignete Richtlinien begrenzen.
• Endpunktschutz und Browser-Sicherheitsfunktionen aktuell halten.
• Mitarbeiter mit realistischen Beispielen für gefälschte Updatefenster sensibilisieren.
• Bei einer kompromittierten eigenen Website fremde Skripte und Zugänge vor der Wiederherstellung prüfen.
• Nach einem bestätigten Vorfall möglicherweise betroffene Konten und Sitzungen kontrollieren.

Eine einzelne Schulung oder eine einzelne Schutzsoftware verhindert keine vollständige Klasse solcher Angriffe. Die technische Absicherung und eine nachvollziehbare Bearbeitung verdächtiger Meldungen sollten zusammenpassen.

Welche rechtlichen Fragen sind betroffen?

Wer bei einer fremden Person durch Täuschung die Ausführung eines Programms veranlasst, kann je nach tatsächlichem Verlauf unterschiedliche strafrechtliche Vorschriften erfüllen. Bei einem unberechtigten Zugriff auf besonders geschützte Daten kann unter den Voraussetzungen von § 202a StGB eine Strafbarkeit in Betracht kommen. Bei rechtswidrigen Datenveränderungen ist gegebenenfalls § 303a StGB zu prüfen.

Bei einem bestätigten Vorfall mit personenbezogenen Daten können die Anforderungen nach Art. 33 und 34 DSGVO relevant werden. Ein gefälschtes Updatefenster allein begründet jedoch keine pauschale Meldepflicht.

Häufige Fragen zu Fake Updates

Ist ein Updatefenster auf einer Webseite automatisch eine Vireninfektion?

Nein. Die Anzeige kann ein Täuschungsversuch sein, ohne dass eine Datei ausgeführt wurde. Ob eine tatsächliche Kompromittierung vorliegt, muss technisch geprüft werden.

Wo sollte ich Browserupdates installieren?

Über die vorgesehenen Updatefunktionen des Browsers beziehungsweise die offiziellen Herstellerquellen. Eine zufällig besuchte Website ist kein verlässlicher Updateanbieter.

Kann eine seriöse Website gefälschte Updates anzeigen?

Ja, wenn sie kompromittiert wurde oder ein eingebundener Drittanbieter unerlaubte Inhalte ausliefert. Die Verantwortlichkeit muss anhand der technischen Befunde geprüft werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei verdächtigen Updatefenstern oder möglichen Folgeangriffen sollten Unternehmen zunächst ihre IT-Sicherheit einbeziehen und betroffene Geräte, Websites sowie Konten prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung von Fake-Update-Angriffen, der Dokumentation manipulierter Webseiten und der Abstimmung von Bereinigungsmaßnahmen mit spezialisierten Security-Partnern. Bei Folgeschäden durch missbräuchliche Suchergebnisse oder fremde Markenauftritte können Reputations- und Markenschutzmaßnahmen hinzukommen. Näheres unter BRANDPROTECTIONNOW zum Schutz vor Blackhat-Angriffen.

Fachquellen

• Google Chrome-Hilfe – Google Chrome aktualisieren: offizieller Aktualisierungsweg.
• Microsoft Support – Protect yourself from online scams and attacks: täuschende Browserupdates und Schutzmaßnahmen.
• Microsoft Security – Counterfeit installers and deceptive downloads, September 2026: Beispiele missbräuchlicher Installationsangebote.
• MITRE ATT&CK – User Execution: Malicious File: Ausführung schädlicher Dateien durch Nutzer.

Ein Infostealer ist Schadsoftware, die Informationen auf einem kompromittierten Gerät sucht und ohne Berechtigung an Dritte übermitteln kann. Häufig betreffen solche Angriffe gespeicherte Zugangsdaten, Websitzungen, Konfigurationsdateien, digitale Schlüssel oder Informationen aus Anwendungen. Welche Daten tatsächlich erreichbar sind, hängt von der Malware, dem Betriebssystem, den verfügbaren Rechten und der konkreten Sicherheitskonfiguration ab.

Für Unternehmen sind Infostealer besonders relevant, weil gestohlene Anmeldedaten später zur Übernahme von E-Mail-, Cloud-, Werbe- oder Administrationskonten genutzt werden können. Der Besitz einer verdächtigen Datei auf einem Gerät beweist jedoch noch keinen Datenabfluss. Für eine solche Aussage müssen Ausführung, Zugriffsrechte und vorhandene technische Spuren geprüft werden.

Wie gelangen Infostealer auf Arbeitsgeräte?

Ein häufiger Einstieg ist eine Datei, die der Nutzer für ein reguläres Programm hält. Betrüger können beispielsweise eine gefälschte Softwareaktualisierung oder einen nachgeahmten Download anbieten. Andere Angriffe nutzen betrügerische E-Mail-Anhänge, kompromittierte Websites oder bereits erlangte Kontorechte.

Bei einem Fake Update wird die Installation als dringend notwendige Aktualisierung dargestellt. Malvertising kann einen Nutzer zu einem schädlichen Download führen. Die genaue Infektionskette muss für jeden Vorfall einzeln rekonstruiert werden; eine Warnung vor einer fremden Website genügt dafür nicht.

Auch der Name einer Datei ist kein Echtheitsnachweis. Ein Programm kann eine bekannte Produktbezeichnung tragen und dennoch aus einer nicht autorisierten Quelle stammen. Umgekehrt ist nicht jede neue oder unbekannte Datei ein Infostealer.

Welche Informationen kann ein Infostealer erfassen?

Gespeicherte Zugangsdaten

MITRE ATT&CK führt das Auslesen von Informationen aus Passwortspeichern unter T1555 – Credentials from Password Stores. Dazu gehören unter bestimmten Bedingungen Daten aus Browsern, betriebssystemeigenen Speicherorten und anderen Programmen. Die tatsächliche Zugriffsmöglichkeit hängt von den Schutzmechanismen und dem Zustand des jeweiligen Geräts ab.

Sitzungscookies und andere Anmeldetoken

Ein wichtiger Angriffspfad ist das Erlangen gültiger Websitzungsinformationen. MITRE dokumentiert diese Technik unter T1539 – Steal Web Session Cookie. Ein gestohlener gültiger Sitzungstoken kann in manchen Konstellationen missbraucht werden, ohne dass bei jeder weiteren Anfrage erneut Passwort und zweiter Faktor eingegeben werden müssen.

Das bedeutet nicht, dass eine Zwei-Faktor-Authentifizierung nutzlos wäre oder jede Sitzung problemlos übernommen werden kann. Plattformen können Tokens binden, widerrufen oder bei verdächtigen Anfragen zusätzliche Kontrollen verlangen. Der konkrete Missbrauch muss am betroffenen Dienst geprüft werden.

Informationen aus E-Mail- und Dateiübertragungsprogrammen

Ein Infostealer kann unter geeigneten Berechtigungen Anmeldedaten oder Konfigurationsinformationen aus anderen Anwendungen erfassen. Bei Unternehmen können darunter Zugänge zu Hosting, SFTP, Fernwartung oder internen Diensten fallen. Nicht jede Malware-Familie verfügt über dieselben Funktionen.

Kryptografische Schlüssel und digitale Wallets

Bestimmte Infostealer suchen nach Wallet-Dateien oder geheimen Schlüsseln. Die dadurch möglichen Schäden hängen davon ab, welche Daten tatsächlich entwendet wurden und ob sie für einen Zugriff ausreichen. Die bloße Installation einer Wallet-Anwendung bedeutet nicht automatisch, dass der zugehörige Schlüssel kompromittiert wurde.

Weitere Dokumente und Systeminformationen

Einige Schadprogramme sammeln Dateien oder Informationen über Betriebssystem und Anwendungen. Dadurch können spätere Angriffe vorbereitet werden. Ein technischer Bericht sollte genau benennen, welche Arten von Informationen die gefundene Malware tatsächlich erfasst hat.

Infostealer, Keylogger und Spyware unterscheiden

Ein Infostealer zielt auf die Entwendung vorhandener Informationen. Ein Keylogger erfasst beispielsweise Tastatureingaben. Spyware bezeichnet weiter gefasst Überwachungssoftware, die ohne Berechtigung persönliche oder betriebliche Aktivitäten auswerten kann. Die Funktionen können sich überschneiden.

Auch ein Trojaner ist kein Synonym für Infostealer. Der Begriff Trojaner beschreibt in der Malware-Taxonomie insbesondere die täuschende Art der Verbreitung beziehungsweise Darstellung. Ein Trojaner kann einen Infostealer enthalten, muss es aber nicht.

Bei der Vorfallsprüfung ist die konkrete Funktion wichtiger als eine pauschale Bezeichnung durch ein Schutzprogramm.

Welche Folgen sind für Unternehmen möglich?

Gestohlene Zugänge können zu Account Takeover führen. Bei einem missbrauchten Werbekonto sind unberechtigte Anzeigenkosten möglich. Bei einem übernommenen CMS-Zugang können unerlaubte Website-Inhalte entstehen. Solche Folgevorgänge sind eigenständige Schritte, die nicht bei jedem Infostealer-Vorfall nachgewiesen werden.

Der wirtschaftliche Schaden hängt davon ab, ob tatsächlich Daten offengelegt oder Konten benutzt wurden. Eine Zahl verdächtiger Anmeldungen allein lässt keine sichere Aussage über den Umfang der ursprünglichen Malware-Aktivität zu.

Bei betroffenen Kunden- oder Mitarbeiterdaten können rechtliche und kommunikative Pflichten entstehen. Auch hierfür ist zunächst festzustellen, welche Datenarten und Personen tatsächlich betroffen sind.

Ein fiktives Beispiel aus einer Marketingabteilung

Ein Mitarbeiter lädt ein angeblich kostenloses Designprogramm herunter. Einige Tage später erscheinen in einem verwalteten Werbekonto unbekannte Kampagnen. Das Sicherheitsteam findet auf dem Arbeitsgerät eine verdächtige Programmdatei und Hinweise auf ungewöhnliche Zugriffe auf den Browserdatenspeicher.

Die IT sichert das Gerät und prüft, welche Anmeldedaten und Sitzungen potenziell betroffen sind. Gleichzeitig werden die Änderungs- und Loginprotokolle des Werbekontos ausgewertet. Ein zeitlicher Zusammenhang ist ein wichtiger Hinweis, beweist aber noch nicht, dass genau diese Schadsoftware jede unberechtigte Kampagne ausgelöst hat.

Das Werbekonto wird über sichere Verwaltungswege überprüft; mögliche weitere Konten werden risikoorientiert einbezogen. Erst danach lässt sich die Reichweite des Vorfalls näher bestimmen.

Woran kann man Infostealer-Aktivitäten erkennen?

Manche Infostealer werden erst auffällig, wenn Daten bereits abgeflossen sind. Eine Untersuchung kann Hinweise aus Endpunktschutz, ungewöhnlichen Prozessaktivitäten, Dateizugriffen und späteren Kontoereignissen kombinieren. MITRE beschreibt hierfür die Erkennung verdächtiger Zugriffe auf Passwort- und Sitzungsspeicher.

• Unbekannte Programme: Eine Datei wurde aus einer fragwürdigen Quelle heruntergeladen und ausgeführt.
• Verändertes Prozessverhalten: Programme greifen ohne nachvollziehbaren Grund auf sensible Datenspeicher zu.
• Ungewöhnliche Netzwerkverbindungen: Ein Prozess überträgt Daten an nicht erwartete Ziele.
• Kontowarnungen: Dienste melden neue Anmeldungen oder Sitzungen, die der Nutzer nicht kennt.
• Änderungen an Geschäftsaccounts: Werbe- oder Social-Media-Konten zeigen nicht autorisierte Aktivitäten.
• Sicherheitsmeldungen: Endpoint-Tools erkennen bestimmte Malware-Familien oder Verhaltensmuster.

Eine einzelne Anmeldung aus einer anderen Region ist kein sicherer Nachweis. Reisen, Mobilfunknetze, VPN-Verbindungen und technische Fehlzuordnungen können denselben Effekt erklären.

Welche Sofortmaßnahmen sind bei einem Verdacht sinnvoll?

Ein möglicherweise betroffenes Gerät sollte von der zuständigen IT-Sicherheit kontrolliert eingegrenzt werden. Eine unkoordinierte Weiterbenutzung kann die Gefahr für weitere Konten erhöhen und die Rekonstruktion erschweren. Für die Beweissicherung können Systeminformationen, relevante Protokolle und vorhandene Sicherheitsmeldungen erforderlich sein.

Besonders wichtig ist die Behandlung der Zugangsdaten. Bei Verdacht auf gestohlene Sitzungen genügt ein Passwortwechsel nicht zwangsläufig. Betroffene Dienste bieten teilweise die Möglichkeit, aktive Sitzungen und Tokens zu widerrufen. Neue Passwörter sollten über ein überprüft vertrauenswürdiges Gerät und einen sicheren Anmeldeweg gesetzt werden.

• Verdächtige Geräte kontrolliert vom Betrieb trennen und untersuchen.
• Vor der Bereinigung soweit erforderlich technische Spuren sichern.
• Von einem vertrauenswürdigen Gerät aus betroffene Konten und aktive Sitzungen prüfen.
• Exponierte Zugangsdaten und Wiederherstellungswege gesichert erneuern.
• Privilegierte Konten und weitere Dienste nach realer Betroffenheit priorisieren.
• Geräte nur nach überprüfter Bereinigung beziehungsweise vertrauenswürdiger Wiederherstellung weiter einsetzen.

Wie lässt sich das Infostealer-Risiko verringern?

Unternehmen können Softwareinstallationen auf verwalteten Geräten kontrollieren und verdächtige Downloads untersuchen. Aktuelle Betriebssysteme, Browser und Sicherheitswerkzeuge erschweren bekannte Angriffswege. Auch ein geregelter Umgang mit Dienstleister- und Administrationsrechten ist wichtig.

Ein Passwortmanager kann Zugangsdaten gegen bestimmte Formen unsicherer Ablage schützen. Er ist jedoch kein absolut sicherer Ort, wenn ein Endgerät bereits kompromittiert ist. MITRE beschreibt auch Risiken für Passwortmanager. Die Entscheidung sollte anhand des Schutzkonzepts und der benötigten Rechte getroffen werden.

Zusätzliche Authentifizierung, kontrollierte Sitzungsdauer, getrennte Administratoridentitäten und nachvollziehbare Anmeldeprotokolle reduzieren mögliche Folgeangriffe. Sie verhindern nicht ausnahmslos jede Form gestohlener Sitzung.

Welche rechtlichen Vorgaben können betroffen sein?

Wird ohne Berechtigung auf besonders geschützte Daten zugegriffen, kann unter den Voraussetzungen von § 202a StGB eine Straftat vorliegen. Weitere Vorschriften können bei Datenveränderung, Betrug oder anderen Handlungen einschlägig sein. Die Bezeichnung Infostealer ersetzt keine Prüfung der einzelnen Tatbestandsmerkmale.

Bei einer tatsächlichen Verletzung personenbezogener Daten muss das verantwortliche Unternehmen die Voraussetzungen von Art. 33 und 34 DSGVO prüfen. Ein Infostealer-Fund ist ein ernstes Indiz, aber kein automatischer Nachweis, dass sämtliche gespeicherten Personendaten abgeflossen sind.

Häufige Fragen zu Infostealern

Kann ein Infostealer eine Zwei-Faktor-Anmeldung umgehen?

Ein gültiger gestohlener Sitzungstoken kann unter bestimmten Umständen weiterverwendet werden, ohne dass die Plattform erneut dieselben Faktoren verlangt. Ob das gelingt, hängt von den Sicherheitskontrollen des jeweiligen Dienstes ab.

Reicht ein neues Passwort zur Bereinigung?

Nicht immer. Das betroffene Gerät muss untersucht und gegebenenfalls wiederhergestellt werden; gültige Sitzungen können zusätzlich widerrufen werden müssen.

Sind Browserpasswörter grundsätzlich ungeschützt?

Nein. Browser besitzen Schutzmechanismen. Ein bereits kompromittiertes Endgerät kann aber Angriffswege gegen gespeicherte Informationen eröffnen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei Infostealer-Verdacht sollten Unternehmen die IT-Sicherheit einschalten, das betroffene Gerät untersuchen und mögliche Konten- und Sitzungsschäden prüfen. BRANDPROTECTIONNOW begleitet Unternehmen bei der Dokumentation digitaler Folgeangriffe, der Analyse missbräuchlicher Werbe- und Markenauftritte sowie der Abstimmung notwendiger technischen Maßnahmen mit spezialisierten Security-Partnern. Für den Schutz kompromittierter Firmenwebsites und weiterer digitaler Zugänge informiert BRANDPROTECTIONNOW über Blackhat- und Website-Angriffe.

Fachquellen

• MITRE ATT&CK – Credentials from Password Stores (T1555): mögliche Passwortquellen.
• MITRE ATT&CK – Steal Web Session Cookie (T1539): Missbrauch von Websitzungen.
• MITRE ATT&CK – Detect Credentials Access: technische Untersuchungshinweise.
• Datenschutz-Grundverordnung: mögliche Pflichten bei bestätigter Datenverletzung.

Ein Keylogger ist ein Programm oder eine technische Vorrichtung, die Tastatureingaben aufzeichnet. Solche Werkzeuge können zu regulären Diagnose- oder Testzwecken verwendet werden. Im Zusammenhang mit Cybercrime geht es um das heimliche Erfassen von Passwörtern, Nachrichten, Zahlungsinformationen oder anderen vertraulichen Daten ohne Berechtigung.

Ein Keylogger kann Teil umfangreicherer Schadsoftware sein oder als eigenständige Komponente auftreten. Die bloße Existenz einer Aufzeichnungsfunktion beweist aber noch keine unberechtigte Überwachung. Für die Einordnung zählen die tatsächliche Nutzung, die betroffenen Eingaben, die Berechtigung und gegebenenfalls eine Weitergabe der Daten.

Wie funktioniert Keylogging Im Regelfall?

Ein Computer verarbeitet Tastatureingaben über Betriebssystem und Anwendungen. Eine Software mit entsprechenden Rechten kann unter bestimmten Umständen diese Eingaben protokollieren. Je nach Technik werden einzelne Tastenanschläge, Zeitpunkte oder der Kontext einer verwendeten Anwendung erfasst.

MITRE ATT&CK führt Keylogging unter T1056.001 – Input Capture: Keylogging. Das Framework beschreibt die Methode als möglichen Weg für Angreifer, Zugangsdaten oder andere Informationen beim Eintippen abzugreifen. Die konkreten Zugriffswege hängen von Betriebssystem, Sicherheitskonfiguration und den Rechten des betreffenden Programms ab.

Auch Hardwarelösungen können Tastatureingaben erfassen. Deren technische Einsatzmöglichkeiten sind unterschiedlich und hängen von Anschlussart, Geräteumgebung und Zugriffsmöglichkeiten ab. Für die Abwehr ist daher zunächst festzustellen, ob ein Software- oder ein Hardwareverdacht vorliegt.

Welche Formen von Keyloggern gibt es?

Software-Keylogger

Ein Programm kann bestimmte Eingaben auf einem Gerät protokollieren. Die Anwendung kann sichtbar oder verdeckt ausgeführt werden. Wird sie unberechtigt eingesetzt, entsteht ein Risiko für vertrauliche Kommunikation und Anmeldedaten. Nicht jede Funktion zur Aufzeichnung von Tastaturereignissen ist deshalb ein Schadprogramm; auch Bedienungshilfen und Testwerkzeuge können solche Daten verarbeiten.

Hardware-Keylogger

Einige Vorrichtungen können Tastatursignale außerhalb der normalen Anwendungssoftware erfassen. Ob sie bei einem bestimmten Gerät eingesetzt werden können, hängt von der verwendeten Hardware ab. Ein Verdacht lässt sich nicht allein aus ungewöhnlicher Tastaturverzögerung ableiten.

Keylogger als Teil eines Trojaners

Ein Trojaner kann eine Keylogging-Komponente enthalten und sich über ein scheinbar harmloses Programm verbreiten. Die Tarnung der Anwendung und das Aufzeichnen von Eingaben sind zwei unterschiedliche Funktionen. Eine Infektion muss anhand der tatsächlich gefundenen Datei und ihrer Ausführung geprüft werden.

Keylogging in Spyware

Spyware kann Tastatureingaben mit weiteren Informationen kombinieren. Dazu können unter bestimmten Voraussetzungen Browseraktivitäten oder andere Gerätedaten gehören. Welche Informationen tatsächlich erfasst und übertragen wurden, muss im konkreten Vorfall nachgewiesen werden.

Aufzeichnung in kompromittierten Webportalen

Auch eine manipulierte Loginseite kann eingegebene Informationen erfassen. MITRE führt solche Fälle getrennt unter Web Portal Capture (T1056.003). Dabei muss kein allgemeiner Keylogger auf dem Endgerät installiert sein.

Autorisierte Eingabeprotokollierung

Bestimmte Softwaretests und Bedienungshilfen verwenden Informationen über Tastenereignisse. Die rechtliche Zulässigkeit hängt von Zweck, betroffenen Personen und Datenschutzkonfiguration ab. Eine heimliche, lückenlose Beschäftigtenüberwachung ist davon gesondert zu beurteilen.

Keylogger, Infostealer und Phishing unterscheiden

Ein Keylogger erfasst Informationen während ihrer Eingabe. Ein Infostealer kann vorhandene gespeicherte Daten aus Browsern oder anderen Anwendungen auslesen. Beide Funktionen können in derselben Malware auftreten, sind aber technisch nicht identisch.

Phishing setzt auf eine Täuschung, durch die Personen Informationen auf einer fremden Seite oder in einer Nachricht preisgeben. Dafür muss kein Keylogger auf dem Gerät existieren. Ein gestohlenes Passwort beweist deshalb noch nicht, über welchen Weg es erlangt wurde.

Welche Folgen können Keylogger-Angriffe haben?

Unberechtigt erfasste Eingaben können vertrauliche Kommunikation oder Zugangsdaten offenlegen. Wenn der Angreifer gültige Anmeldedaten erhält, können weitere Kontoübernahmen entstehen. Ob der spätere Zugriff tatsächlich gelingt, hängt von zusätzlicher Authentifizierung und weiteren Kontosicherungen ab.

Für Unternehmen kann ein kompromittierter Arbeitsplatz Folgen für E-Mail-, Buchhaltungs- oder Verwaltungsdienste haben. Eine erfolgreiche Anmeldung in einem fremden Konto muss trotzdem unabhängig vom ursprünglichen Keylogger-Fund untersucht werden. Nicht jede erfasste Taste enthält ein Passwort, und nicht jede Überwachung führt zu einer Datenübertragung.

Auch bei privaten Geräten sind besondere Schutzinteressen betroffen. Wird Keylogging zur Überwachung einer anderen Person eingesetzt, müssen Sicherheit und Persönlichkeitsrechte bei der Reaktion berücksichtigt werden.

Ein fiktiver Vorfall in einer Steuerkanzlei

Ein Mitarbeiter bemerkt unerwartete Kontoaktivitäten in einem Dokumentenportal. Die IT findet auf seinem Arbeitsrechner eine verdächtige Softwarekomponente, die Eingaben protokollieren könnte. Der Rechner wurde zuvor für den Download eines angeblichen Hilfsprogramms verwendet.

Die Sicherheitsfachleute sichern Protokolle und untersuchen die Funktion des Programms. Danach wird geprüft, ob tatsächlich vertrauliche Daten erfasst und übertragen wurden. Die bloße Möglichkeit des Keyloggings reicht nicht aus, um einen vollständigen Datenabfluss zu behaupten.

Die möglicherweise betroffenen Konten werden über ein vertrauenswürdiges anderes Gerät überprüft. Der Eintrittsweg und weitere Programmkomponenten müssen vor einer sicheren Wiederinbetriebnahme geklärt sein.

Woran können technische Keylogging-Aktivitäten auffallen?

Einige Keylogger sind auf unauffällige Ausführung ausgelegt. Ein langsamer Rechner oder ein ungewöhnlicher Prozessname ist aber kein sicherer Nachweis. MITRE beschreibt verschiedene Erkennungsansätze, bei denen die tatsächliche Nutzung von Eingabefunktionen und weitere auffällige Systemereignisse gemeinsam ausgewertet werden.

• Unbekannte Programme: Software mit ungeklärter Herkunft wurde installiert oder ausgeführt.
• Verdächtige Eingabezugriffe: Ein Hintergrundprozess verarbeitet Tastaturereignisse ohne erkennbare berechtigte Aufgabe.
• Neue Systemkomponenten: Nicht genehmigte Dienste oder Treiber erscheinen in der Gerätekonfiguration.
• Abweichende Netzwerkverbindungen: Ein Programm überträgt Daten an nicht dokumentierte Empfänger.
• Kontoauffälligkeiten: Unbekannte Sitzungen oder Anmeldeänderungen treten nach dem vermuteten Vorfall auf.
• Legitime Alternativen: Bedienungshilfen, Fernwartung oder autorisierte Tests könnten die beobachteten Systemfunktionen erklären.

Wie wird ein Keylogger-Verdacht untersucht?

Die IT-Sicherheit sollte den betroffenen Rechner kontrolliert sichern und relevante Protokolle auswerten. Verdächtige Dateien gehören in eine geeignete Untersuchungsumgebung. Wenn Hardwarekomponenten betroffen sein könnten, ist die physische Gerätekonfiguration in die Prüfung einzubeziehen.

Danach muss die tatsächliche Reichweite bestimmt werden: Welche Eingaben konnten im fraglichen Zeitraum erreicht werden und welche Daten haben das Gerät möglicherweise verlassen? Eine technische Möglichkeit ist kein gleichwertiger Beleg für tatsächliche Datenübertragung.

Werden vertrauliche Anmeldedaten als gefährdet eingestuft, sollten die zuständigen Konten von einem vertrauenswürdigen Gerät aus gesichert und bestehende Sitzungen nach Bedarf widerrufen werden. Der reine Passwortwechsel auf einem weiterhin kompromittierten Rechner kann unzureichend sein.

Welche Maßnahmen schützen Arbeitsplätze?

Unternehmen können Softwareinstallationen auf verwalteten Geräten kontrollieren und unberechtigte administrative Änderungen überwachen. Aktuelle Betriebssysteme und Endpunktschutzsysteme können bestimmte Angriffe erkennen oder verhindern. Eine absolute Erkennung aller möglichen Aufzeichnungswege ist jedoch nicht garantiert.

• Installationsrechte und Softwarequellen in Firmenumgebungen regeln.
• Unbekannte Anwendungen oder Gerätezusätze fachlich untersuchen.
• Systeme und Browser mit verfügbaren Sicherheitsupdates versorgen.
• Administrative Konten und sensible Anwendungen mit geeigneter Authentifizierung schützen.
• Bei einem bestätigten Vorfall das betroffene System vertrauenswürdig wiederherstellen.
• Monitoring und Beschäftigtendatenschutz anhand der tatsächlichen gesetzlichen Vorgaben abstimmen.

Welche rechtlichen Grenzen gelten?

Ein heimlicher Zugriff auf besonders geschützte Daten kann unter den jeweiligen Voraussetzungen § 202a StGB betreffen. Weitere Vorschriften können je nach Art der erfassten Kommunikation und dem tatsächlichen Vorgehen einschlägig sein. Eine Keylogging-Funktion in autorisierter Testsoftware erfüllt nicht automatisch einen Straftatbestand.

Bei einer Überwachung von Beschäftigten sind die Anforderungen der DSGVO und gegebenenfalls des BDSG zu beachten. Eine technische Sicherheitsmaßnahme ist nicht allein aufgrund ihrer betrieblichen Verwendung rechtmäßig; Zweck, Rechtsgrundlage und Verhältnismäßigkeit müssen geprüft werden.

Häufige Fragen zum Keylogger

Ist jeder Keylogger automatisch Schadsoftware?

Nein. Die Technik kann unter bestimmten Voraussetzungen für autorisierte Tests oder andere zulässige Zwecke eingesetzt werden. Heimliche unberechtigte Überwachung ist gesondert zu bewerten.

Kann ein Keylogger Passwörter erfassen?

Unter bestimmten Bedingungen ja, wenn diese auf dem betroffenen Gerät eingegeben werden. Die tatsächlichen Zugriffsmöglichkeiten hängen von Software und Schutzmechanismen ab.

Beweist ein gestohlenes Passwort einen Keylogger-Angriff?

Nein. Zugangsdaten können auch über Phishing, Datenlecks oder andere Wege erlangt werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei Verdacht auf heimliche Eingabeaufzeichnung sollten Unternehmen ihre IT-Sicherheit einbinden, betroffene Geräte kontrolliert untersuchen und mögliche Konto- und Datenfolgen dokumentieren. BRANDPROTECTIONNOW begleitet Unternehmen bei der Einordnung digitaler Folgeangriffe und der Abstimmung technischer Maßnahmen mit spezialisierten Security-Partnern. Betreffen kompromittierte Zugänge auch Websites, Werbekonten oder die öffentliche Unternehmensidentität, können weitere Schutzmaßnahmen erforderlich werden. Weitere Informationen bietet BRANDPROTECTIONNOW zum Schutz vor Blackhat-Angriffen.

Fachquellen

• MITRE ATT&CK – Keylogging (T1056.001): Verfahren, Abgrenzung und Erkennungsansätze.
• MITRE ATT&CK – Input Capture (T1056): getrennte Varianten der Eingabeerfassung.
• § 202a StGB, DSGVO und BDSG: mögliche rechtliche Grundlagen.

Malvertising bezeichnet die Verbreitung schädlicher oder betrügerischer Inhalte über digitale Werbeplätze. Angreifer können Werbeanzeigen einsetzen, um Nutzer zu Phishing-Seiten, gefälschten Downloads oder anderer Schadsoftware zu führen. Die Bezeichnung setzt sich aus malicious und advertising zusammen und wird im Deutschen häufig als schädliche Online-Werbung beschrieben.

Eine aufdringliche oder unerwünschte Anzeige ist nicht automatisch Malvertising. Entscheidend ist die schädliche Funktion oder die konkrete Täuschung. Für die Einordnung muss außerdem unterschieden werden, ob ein Angreifer selbst eine Anzeige geschaltet, fremdes Werbeinventar missbraucht oder die Zielseite einer eigentlich legitimen Kampagne kompromittiert hat.

Wie gelangt Malvertising in Werbenetzwerke?

Digitale Werbung wird häufig über mehrere technische Dienstleister vermittelt. Ein Werbetreibender stellt Anzeige und Zieladresse bereit; Plattformen entscheiden über die Auslieferung. Bei programmatischer Werbung können weitere Vermittler beteiligt sein. Solche Strukturen schaffen legitime Reichweite, verlangen aber auch Sicherheitsprüfungen.

Ein missbräuchlicher Akteur kann versuchen, eine täuschende Anzeige einzureichen oder eine später besuchte Landingpage für Schadfunktionen zu verwenden. In bestimmten Fällen kann eine ursprünglich unauffällige Zielseite verändert werden. Der Nutzer erhält dann einen Inhalt, der nicht zur erwarteten Werbung passt.

Google Ads untersagt ausdrücklich die absichtliche Verbreitung schädlicher Software und behandelt kompromittierte Werbeziele in eigenen Richtlinien. Eine Anzeigenfreigabe beweist dennoch nicht, dass jede spätere Veränderung der Zielseite ausgeschlossen ist.

Welche Arten von Malvertising kommen vor?

Gefälschte Software-Downloads

Eine Anzeige kann den Eindruck erwecken, zu einer offiziellen Downloadseite zu führen. Auf der Zielseite wird aber ein verändertes oder unbekanntes Programmpaket angeboten. Wird dadurch Schadsoftware verbreitet, kann der Vorfall eine Kombination aus Malvertising und Fake Update sein.

Nachgeahmte Login- und Supportanzeigen

Fremde Werbeanzeigen können mit bekannten Unternehmensnamen auftreten und angebliche Kunden- oder Supportseiten bewerben. Die Täuschung kann dazu dienen, Zugangsdaten abzufragen. Solche Fälle überschneiden sich mit Search Ad Impersonation und Phishing.

Schädliche Weiterleitungen

Ein Anzeigenklick kann über mehrere technische Ziele führen. Wird der Nutzer dabei zu einer schädlichen Seite umgeleitet, kann eine unberechtigte Manipulation der Werbeauslieferung vorliegen. Nicht jede Weiterleitung ist jedoch verdächtig; Tracking- und Kampagnensysteme verwenden regulär Weiterleitungen.

Kompromittierte Landingpages

Eine ursprünglich legitime Werbewebsite kann durch einen Angriff verändert werden. Nach dem Aufruf der Anzeige erscheinen dann unerwartete Skripte, Downloads oder andere Inhalte. Google behandelt solche Fälle unter seiner Richtlinie zu kompromittierten Websites. Der Werbekontoinhaber ist nicht automatisch der Täter, wenn seine Website ohne Wissen verändert wurde.

Automatisierte schädliche Anzeigeninhalte

Manche Angriffe versuchen, Nutzer durch Warnmeldungen, manipulierte Dialoge oder andere irreführende Browserfunktionen zu einer Handlung zu bewegen. Eine bloße Pop-up-Anzeige ist noch keine Schadsoftware. Der tatsächliche Zweck und die nachfolgende Aktion müssen untersucht werden.

Malvertising von Ad Fraud unterscheiden

Ad Fraud betrifft die absichtliche Manipulation von Werbeinteraktionen und ihrer Vergütung. Malvertising betrifft dagegen schädliche Werbung und die Gefahr für Nutzer. Eine Kampagne kann beispielsweise echte Klicks erzeugen, aber auf eine betrügerische Downloadseite führen. In diesem Fall ist das Problem nicht zwingend der Klickmesswert.

Umgekehrt kann künstlicher Bot-Traffic eine Werbeabrechnung verfälschen, ohne dass der Besucher auf Schadsoftware trifft. Die Begriffe haben also unterschiedliche Schwerpunkte.

Für die technische und rechtliche Bewertung muss deshalb geprüft werden, welcher Teil der Werbekette manipuliert wurde und welches Ziel der Angriff verfolgt hat.

Welche Schäden sind für Unternehmen möglich?

Wenn eine bekannte Marke in einer schädlichen Anzeige nachgeahmt wird, können Kunden die betrügerische Werbung für offiziell halten. Dies kann zu Beschwerden, Kontoangriffen oder verlorenen Zahlungen führen. Für die echte Firma entsteht ein möglicher Reputationsschaden, auch wenn sie die Werbung nicht selbst geschaltet hat.

Bei einem kompromittierten Werbekonto können zusätzlich unberechtigte Anzeigenkosten entstehen. Eine solche Situation ist als Ad Account Hijacking zu prüfen. Eine einzelne schädliche Anzeige beweist aber noch keine Übernahme des Werbekontos.

Werden Besucher tatsächlich mit Malware infiziert, muss der betroffene technische Umfang getrennt untersucht werden. Eine Warnung über eine schädliche Zielseite belegt nicht automatisch, dass alle Nutzer einer Anzeige infiziert wurden.

Fiktives Beispiel einer nachgeahmten Softwareanzeige

Ein Unternehmen bemerkt, dass bei der Suche nach seinem bekannten Softwareprodukt eine Werbeanzeige mit ähnlichem Namen erscheint. Der Link führt zu einer Domain, die nicht zum offiziellen Anbieter gehört. Dort wird ein Download angeboten, der angeblich das aktuelle Installationspaket enthält.

Das Unternehmen dokumentiert Suchbegriff, Anzeige, Zieladresse und tatsächliche Downloadinformationen. Eine technische Analyse des Pakets muss in einer geeigneten Testumgebung stattfinden. Erst wenn die schädlichen Funktionen bestätigt sind, lässt sich der Vorfall als Malware-Verbreitung einordnen.

Auch die Herkunft der Werbung muss geprüft werden. Eine ähnlich benannte Anzeige kann von einem legitimen Vertriebspartner stammen; die bloße Verwendung eines Produktnamens beweist keine unberechtigte Täuschung.

Welche Hinweise können auf Malvertising hindeuten?

Besonders relevant sind unzutreffende Herkunftsangaben, unbekannte Zieladressen und schädliche Funktionen nach einem Anzeigenklick. Eine Anzeige mit ungewöhnlich hoher Klickrate ist dagegen kein spezifischer Malvertising-Indikator.

• Anzeigenidentität: Stimmen behauptete Marke, Anzeigenkonto und tatsächlicher Anbieter überein?
• Zielseite: Führt der Link zu einem offiziellen oder plausibel berechtigten Angebot?
• Weiterleitungsverlauf: Werden Besucher unerwartet auf andere Domains geführt?
• Downloads: Sind angebotene Dateien und ihre Herkunft nachvollziehbar?
• Kundenmeldungen: Gibt es konkrete Beschwerden über falsche Logins oder betrügerische Zahlungen?
• Kontozugriffe: Bestehen Hinweise auf eine unberechtigte Änderung des echten Werbekontos?

Eine gültige HTTPS-Verbindung bestätigt nicht, dass der Betreiber einer Zielseite legitim handelt. Sie schützt unter bestimmten Bedingungen die Datenübertragung, nicht die Wahrhaftigkeit des Angebots.

Wie wird ein Malvertising-Vorfall untersucht?

Eine Untersuchung beginnt mit der Sicherung des konkreten Anzeigenkontexts. Dazu gehören Zeitpunkt, Suchbegriff beziehungsweise Werbeplatz, Anzeigeninhalt, Zieladresse und beobachteter Weiterleitungsverlauf. Schädliche Dateien müssen isoliert untersucht werden, damit die Beweissicherung nicht selbst weitere Systeme gefährdet.

Bei einer eigenen kompromittierten Landingpage sind Serverdateien, CMS-Konten und eingebundene Skripte zu kontrollieren. Bei einer fremden Nachahmungsanzeige steht dagegen die Identität des Werbenden, die tatsächliche Website und ein möglicher Markenmissbrauch im Vordergrund.

Die rechtliche Bewertung muss außerdem zwischen Plattformregelverletzung, unerlaubter Markennutzung und tatsächlicher Straftat unterscheiden.

Welche Gegenmaßnahmen können helfen?

Betroffene Unternehmen können schädliche Anzeigen mit konkreten Nachweisen beim Werbeanbieter melden. Google Ads stellt dafür Richtlinien- und Supportverfahren bereit. Bei einer eigenen kompromittierten Website muss zusätzlich der technische Eintrittsweg beseitigt werden.

• Offizielle Download-, Login- und Supportadressen klar veröffentlichen.
• Verdächtige Anzeigen mit Ziel- und Weiterleitungsinformationen dokumentieren.
• Bei kompromittierten eigenen Werbekonten Berechtigungen und Sitzungen prüfen.
• Schädliche Zielseiten mit überprüfbaren Fakten bei Plattformen und Hostern melden.
• Für die Untersuchung von Dateien eine geschützte Analyseumgebung verwenden.
• Nach dem Vorfall auf weitere Anzeigen und Nachahmungsdomains achten.

Welche rechtlichen Fragen sind betroffen?

Irreführende geschäftliche Anzeigen können unter den Voraussetzungen des § 5 UWG unzulässig sein. Bei kennzeichenmäßiger Nutzung fremder geschützter Marken kommt gegebenenfalls § 14 MarkenG in Betracht. Bei nachweislichen Betrugs- oder Computerstraftaten können zusätzliche Regelungen anwendbar sein.

Ein Verstoß gegen die Google-Ads-Richtlinien ist für sich noch kein Beweis für eine Straftat. Auch die unberechtigte Herkunft einer Anzeige muss belegt werden, bevor eine bestimmte Person oder ein Unternehmen öffentlich verantwortlich gemacht wird.

Häufige Fragen zu Malvertising

Ist jede auffällige Werbung Malvertising?

Nein. Entscheidend sind schädliche Funktionen oder gezielte Täuschung, nicht allein eine aufdringliche Gestaltung.

Kann eine offizielle Werbeplattform schädliche Anzeigen ausliefern?

Einzelne problematische Anzeigen können trotz Prüfungen auftreten. Die Plattformrichtlinien und Erkennungssysteme schließen nicht sämtliche Risiken aus.

Beweist ein Klick auf eine schädliche Anzeige eine Malware-Infektion?

Nein. Eine tatsächliche Infektion muss anhand der ausgeführten Datei, der Websitefunktion oder weiterer technischer Spuren geprüft werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei einer schädlichen Anzeige sollten Unternehmen den konkreten Anzeigeninhalt, die Zieladresse und die betroffenen Kundenkontakte sichern. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung von Malvertising, der Dokumentation täuschender Anzeigen und der Abstimmung geeigneter Plattformmeldungen. Bei einer kompromittierten eigenen Website oder Schadsoftware werden spezialisierte Security-Partner für technische Maßnahmen einbezogen. Die passende Leistungsseite ist BRANDPROTECTIONNOW zum Schutz vor Blackhat-Angriffen.

Fachquellen

• Google Ads – Abusing the Ad Network: Malware und missbräuchliche Werbepraktiken.
• Google Ads – Malicious Software: Anforderungen an Anzeigen und Zielseiten.
• Google Ads – Compromised Sites: Umgang mit gehackten Werbezielen.
• § 14 MarkenG und § 5 UWG: mögliche rechtliche Grundlagen.

Ransomware bezeichnet Schadsoftware beziehungsweise Angriffe, mit denen Unternehmen oder Privatpersonen zur Zahlung eines Lösegelds gedrängt werden sollen. Häufig werden Dateien oder Systeme verschlüsselt und für ihre Freigabe Geld gefordert. Viele heutige Angriffsgruppen bedrohen die Geschädigten zusätzlich mit der Veröffentlichung zuvor kopierter Daten. Deshalb kann ein Ransomware-Vorfall gleichzeitig die Verfügbarkeit von Systemen und die Vertraulichkeit von Informationen betreffen.

Eine sichtbare Lösegeldforderung beweist noch nicht, dass sämtliche Daten verschlüsselt oder gestohlen wurden. Ebenso garantiert eine Zahlung weder die Wiederherstellung noch die Geheimhaltung bereits kopierter Daten. Ein Unternehmen muss den konkreten technischen Ablauf untersuchen, betroffene Systeme eingrenzen und rechtliche Pflichten anhand des tatsächlichen Vorfalls beurteilen.

Wie kann ein Ransomware-Angriff entstehen?

Der Angriff beginnt häufig mit einem unberechtigten Zugang. Als Eintrittswege kommen beispielsweise gestohlene Zugangsdaten, kompromittierte Fernzugriffe, Sicherheitslücken in öffentlich erreichbaren Systemen oder schädliche Dateien in Betracht. Die Angreifer können versuchen, weitere Berechtigungen zu erlangen und zusätzliche Systeme zu erreichen.

Erst in einer späteren Phase kann die eigentliche Verschlüsselung stattfinden. MITRE ATT&CK beschreibt dies unter T1486 – Data Encrypted for Impact. Betroffen sein können Dateien auf Arbeitsstationen, Servern, Netzlaufwerken, virtuellen Maschinen oder bestimmten Cloudspeichern.

Nicht jede Ransomware-Kampagne verläuft identisch. Bei manchen Vorfällen werden zuvor Daten kopiert, bei anderen steht die Verschlüsselung im Vordergrund. Für die Wiederherstellung und rechtliche Prüfung ist diese Trennung notwendig.

Welche Formen von Ransomware-Erpressung gibt es?

Verschlüsselung von Dateien und Systemen

Schadsoftware kann bestimmte Dateien so verändern, dass sie ohne die nötigen Schlüssel nicht mehr normal zugänglich sind. Häufig werden Dokumente, Datenbanken und andere geschäftlich benötigte Informationen betroffen. Eine vollständige Systemverschlüsselung muss jedoch nicht auf jedem Gerät stattfinden.

Erpressung mit Veröffentlichung kopierter Daten

Angreifer können behaupten, vertrauliche Daten kopiert zu haben, und mit deren Veröffentlichung drohen. Diese Form wird häufig als Double Extortion bezeichnet, wenn sie mit der Verschlüsselung kombiniert wird. Der behauptete Datenabfluss muss anhand vorhandener Spuren untersucht werden; eine Erpressernachricht allein ist noch kein vollständiger Nachweis.

Angriffe auf Backups

Bei manchen Vorfällen versuchen Täter, Sicherungen unbrauchbar zu machen, bevor sie die Verschlüsselung auslösen. Deshalb reicht es nicht, bloß ein Backupverzeichnis zu besitzen. Die Sicherung muss gegen unberechtigte Änderungen geschützt sein und ihre Wiederherstellbarkeit regelmäßig geprüft werden.

Angriffe auf virtuelle und Cloud-Systeme

MITRE dokumentiert auch Verschlüsselungsangriffe gegen virtuelle Infrastrukturen und Cloudressourcen. Die konkrete Wirkung hängt von Berechtigungen, Speicherdiensten und dem betroffenen Verwaltungszugang ab. Ein einzelner kompromittierter Arbeitsplatz muss nicht zwangsläufig die gesamte Cloud betreffen.

Ransomware ohne klassische Dateiverschlüsselung

Bestimmte Erpressungsvorfälle konzentrieren sich auf angeblich gestohlene Daten und drohen mit einer Veröffentlichung. Im weiteren Sprachgebrauch werden sie oft dem Ransomware-Ökosystem zugerechnet. Für eine präzise Analyse sollte benannt werden, ob tatsächlich verschlüsselt, kopiert oder nur eine Drohung ausgesprochen wurde.

Welche Folgen kann Ransomware für Unternehmen haben?

Eine unterbrochene IT kann Auftragsannahme, Produktion, Buchhaltung und Kundenkommunikation beeinträchtigen. Die Auswirkungen hängen davon ab, welche Systeme tatsächlich ausfallen und welche Ersatzverfahren verfügbar sind. Auch Lieferanten und Geschäftspartner können betroffen sein, wenn sie auf den Dienst angewiesen sind.

Bei einer Datenoffenlegung können zusätzliche Risiken für Kunden oder Beschäftigte entstehen. Daraus können datenschutzrechtliche Prüfungen und Kommunikationspflichten folgen. Die Zahl betroffener Datensätze und die Reichweite des Vorfalls dürfen nicht geschätzt und als gesicherte Fakten dargestellt werden.

Für die Reputation ist wichtig, welche Informationen das Unternehmen verlässlich mitteilen kann. Eine schnelle öffentliche Erklärung ohne gesicherte Tatsachen kann später Korrekturen nötig machen. Zugleich sollten notwendige Mitteilungen nicht aufgeschoben werden, wenn gesetzliche Fristen laufen.

Ein fiktiver Vorfall bei einem Versandhändler

Ein Onlinehändler bemerkt am Morgen, dass mehrere interne Systeme nicht mehr erreichbar sind. Auf einem Server erscheint eine Lösegeldforderung. Die IT trennt die betroffenen Systeme kontrolliert vom Netzwerk und prüft zunächst, ob weitere Server und die Backups betroffen sind.

Gleichzeitig beginnen forensische Sicherung und die Untersuchung des Eintrittswegs. Das Team stellt fest, dass die Verschlüsselung nur einen Teil der Infrastruktur betrifft. Die Behauptung der Angreifer, sämtliche Kundendaten kopiert zu haben, lässt sich zunächst weder bestätigen noch ausschließen.

Die Geschäftsführung muss daher betriebliche Entscheidungen, tatsächliche technische Befunde und mögliche gesetzliche Meldepflichten parallel bearbeiten. Eine öffentliche Täterzuschreibung oder eine verbindliche Aussage zur Datenoffenlegung wäre ohne zusätzliche Nachweise verfrüht.

Welche Warnsignale können vor der Verschlüsselung auftreten?

Einige Angriffe zeigen bereits vor der Lösegeldforderung technische Auffälligkeiten. Dazu können ungewöhnliche Fernzugriffe, geänderte Administratorrechte oder große Datenbewegungen gehören. Die Signale müssen mit regulären Wartungs- und Geschäftsprozessen abgeglichen werden.

• Unbekannte Kontozugriffe: Privilegierte Anmeldungen oder Fernwartungsverbindungen passen nicht zu genehmigten Tätigkeiten.
• Ungewöhnliche Dateiänderungen: Zahlreiche geschäftliche Dateien werden in kurzer Zeit verändert oder unlesbar.
• Sicherungsprobleme: Backups, Wiederherstellungspunkte oder Verwaltungsrechte wurden ohne Freigabe geändert.
• Netzwerkereignisse: Systeme bauen unerwartete Verbindungen auf oder übertragen ungewöhnliche Datenmengen.
• Lösegeldnachrichten: Unbekannte Dateien, Anmeldebildschirme oder Druckausgaben enthalten Erpressungsforderungen.
• Technische Schutzmeldungen: Endpunktschutz und Protokolle weisen auf verdächtige Prozesse hin.

Ein einzelner ungewöhnlicher Prozess oder eine erfolgreiche Administratoranmeldung reicht nicht für den Nachweis. Entscheidend ist die Rekonstruktion der Ereignisse über mehrere Datenquellen.

Was sollten Unternehmen bei einem bestätigten Ransomware-Vorfall tun?

Die erste technische Aufgabe ist die kontrollierte Eingrenzung. Betroffene Systeme sollen nicht weiter zur Verbreitung des Angriffs beitragen. Wie diese Isolation umgesetzt wird, hängt von Netzwerkstruktur und kritischen Geschäftsprozessen ab. Die zuständige Incident-Response-Leitung muss entscheiden, welche Systeme getrennt oder vorübergehend außer Betrieb genommen werden.

Vor umfangreichen Bereinigungsmaßnahmen sind relevante Beweise nach Möglichkeit zu sichern. Auch Speicherdaten, Sicherheitsprotokolle und vorhandene Cloudaktivitäten können für die Rekonstruktion wichtig sein. Unkoordinierte Löschungen oder Neustarts können Spuren verändern.

• Betroffene Systeme und kritische Abhängigkeiten feststellen und kontrolliert isolieren.
• Incident-Response-Team, Geschäftsleitung und relevante Dienstleister einbinden.
• Verfügbare Protokolle und Systemstände mit geeigneten forensischen Verfahren sichern.
• Den Eintrittsweg und weiterbestehende fremde Zugänge untersuchen.
• Datendiebstahl, Verschlüsselung und Betriebsunterbrechung getrennt bewerten.
• Vertrauenswürdige Backups vor der Wiederherstellung auf Integrität prüfen.
• Kommunikations- und Meldepflichten anhand des konkreten Vorfalls beurteilen.

Das BSI rät bei Ransomware grundsätzlich davon ab, auf Erpressungsforderungen einzugehen und Lösegeld zu bezahlen. Eine Zahlung garantiert weder einen funktionierenden Schlüssel noch die Vernichtung gestohlener Daten. Entscheidungen in einer akuten Krise benötigen eine koordinierte technische und rechtliche Bewertung.

Wie schützen Backups vor Ransomware?

Regelmäßige Datensicherungen können die Wiederherstellung unterstützen, wenn die gesicherten Daten vertrauenswürdig und erreichbar sind. Wichtig ist die Trennung von produktiven Systemen und bestimmten Sicherungsständen, damit ein Angreifer nicht gleichzeitig alle Kopien verändern kann.

Auch unveränderbare oder offline aufbewahrte Sicherungen können je nach Infrastruktur geeignet sein. Die Wiederherstellung muss getestet werden, bevor ein Vorfall eintritt. Ein Backup, das nie erfolgreich zurückgespielt wurde, ist keine verlässliche Grundlage für die Wiederanlaufplanung.

Verschlüsselungsschutz ist nur ein Teil der Vorbereitung. Gestohlene Daten können durch die Wiederherstellung nicht automatisch zurückgeholt werden. Dafür ist eine gesonderte Untersuchung des möglichen Abflusses erforderlich.

Welche Meldepflichten können entstehen?

Bei personenbezogenen Daten können die Voraussetzungen von Art. 33 und 34 DSGVO relevant werden. Art. 33 verlangt bei meldepflichtigen Verletzungen grundsätzlich eine unverzügliche Meldung und möglichst binnen 72 Stunden ab Bekanntwerden. Nicht jeder technische Vorfall löst diese konkrete Pflicht aus; die gesetzliche Risikobewertung ist erforderlich.

Seit dem 6. Dezember 2025 gelten in Deutschland geänderte Pflichten aus der NIS-2-Umsetzung für bestimmte Einrichtungen. Das BSI stellt dafür ein Meldeportal bereit. Ob ein Unternehmen nach dem aktuellen BSI-Gesetz zu den betroffenen Kategorien gehört und ob der konkrete Sicherheitsvorfall meldepflichtig ist, muss einzeln geprüft werden. Aus dem Begriff Ransomware folgt keine allgemeine BSI-Meldepflicht für jeden Betrieb.

Weitere vertragliche, sektorspezifische oder behördliche Pflichten können hinzukommen. Die Ermittlungs- und Meldewege sind getrennt zu beurteilen.

Welche Präventionsmaßnahmen sind sinnvoll?

Ein Unternehmen sollte Fernzugänge und privilegierte Konten begrenzen, Sicherheitsupdates planen und einen getesteten Wiederanlaufprozess vorhalten. Auch die Kontrolle unberechtigter Datenbewegungen und das zentrale Erfassen geeigneter Sicherheitsprotokolle können die Erkennung verbessern.

Notfallkommunikation ist ein eigenständiger Bestandteil. Wenn E-Mail und Telefonie über betroffene Systeme laufen, müssen alternative Kommunikationswege bekannt sein. Bei einer öffentlichen Erklärung sollte klar zwischen bestätigten Tatsachen und laufenden Prüfungen unterschieden werden.

Häufige Fragen zu Ransomware

Garantiert eine Lösegeldzahlung die Wiederherstellung?

Nein. Angreifer können unwirksame Schlüssel liefern oder trotz Zahlung zuvor kopierte Daten weiterverwenden.

Ist jeder Ransomware-Angriff mit einem Datenleck verbunden?

Nein. Datenkopien sind bei vielen Erpressungsvorfällen relevant, müssen aber für den konkreten Fall nachgewiesen werden.

Reicht ein Backup aus, um einen Vorfall zu beenden?

Nein. Zunächst müssen Eintrittsweg und weitere fremde Zugänge kontrolliert sowie die Vertrauenswürdigkeit der Sicherung geprüft werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei einem Ransomware-Vorfall sollten Unternehmen sofort spezialisierte IT-Forensik und Incident-Response-Fachleute einbinden. Die Geschäftsleitung muss zugleich betriebliche und rechtliche Pflichten prüfen. BRANDPROTECTIONNOW begleitet Unternehmen insbesondere bei der Einordnung und Dokumentation digitaler Folgeangriffe, dem Schutz ihrer öffentlichen Unternehmensidentität sowie der Abstimmung technischer Maßnahmen mit spezialisierten Security-Partnern. Bei nachgeahmten Konten, irreführenden Veröffentlichungen oder Reputationsschäden können weitere Schutzmaßnahmen erforderlich sein. Informationen bietet BRANDPROTECTIONNOW zum Schutz vor Blackhat- und Website-Angriffen.

Fachquellen

• MITRE ATT&CK – Data Encrypted for Impact (T1486): technische Wirkungen und Wiederherstellung.
• BSI – Erste Hilfe bei einem schweren IT-Sicherheitsvorfall: Incident Response und Erpressung.
• BSI – Informationen zu NIS-2-Registrierung und Meldeverfahren: geltender Verfahrensrahmen.
• DSGVO: Art. 33 und 34 bei relevanten Datenverletzungen.