Malware ist der Oberbegriff für Software, die gezielt darauf ausgelegt ist, Schaden anzurichten, Informationen zu stehlen oder sich unbefugten Zugriff auf die Systeme eines Nutzers oder Unternehmens zu verschaffen.
Auf einen Blick
Sind Dateien durch Ransomware verschlüsselt und ist kein Backup vorhanden, sollten die verschlüsselten Daten laut BSI aufbewahrt werden, da sie gegebenenfalls später entschlüsselt werden können.
Privatanwendern rät das BSI, einen Missbrauch oder Befall des Systems bei der Polizei zu melden.
Schulungen zur Cybersicherheit sollen Beschäftigten helfen, Phishing-Versuche sowie schädliche Links oder Downloads zu erkennen.
Was ist Malware?
Malware umfasst Software mit unterschiedlichen Schadfunktionen, von Spyware, Keyloggern, Backdoors und Rootkits bis hin zu Ransomware. Laut BSI fallen auch Trojaner, Virus und Wurm letztendlich alle in die Kategorie Schadsoftware. Zugleich lassen sich heutige Schadprogramme laut BSI wegen ihrer Vielseitigkeit und Multifunktionalität kaum noch einer einzigen Kategorie wie Virus, Wurm oder Trojaner zuordnen. Im Prinzip sind laut BSI alle elektronischen Geräte für Schadprogramme empfänglich, die eine Schnittstelle zum Internet oder zu Wechseldatenträgern besitzen. Welche Schäden ein Schadprogramm anrichtet, hängt von seinen Funktionen ab.
Gelangt Malware über eine Phishing-E-Mail oder einen infizierten Wechseldatenträger auf ein System eines Versicherers, kann sie dieses schädigen, kompromittieren oder unbefugt kontrollieren. USB-Sticks und externe USB-Festplatten spielen laut BSI weiterhin eine Rolle bei der Verbreitung, doch im Always-On-Zeitalter ist das Internet zum wichtigsten Infektionsweg geworden, über den Schadprogramme am häufigsten in fremde Systeme eindringen. Dabei ist kein einzelner Übertragungsweg vorgegeben, denn Malware kann sich über fast jedes IT-Protokoll oder jeden Transportmechanismus ausbreiten. In vereinzelten Fällen kann Malware sogar auf Hardware wie Smartphones vorinstalliert sein.
Wie funktioniert Malware?
Ein Schadprogramm gelangt etwa über das Internet oder einen Wechseldatenträger auf ein System und führt dort seine Schadfunktionen aus, die je nach Variante verschieden ausfallen. Moderne Schadsoftware besteht laut BSI zumeist aus mehreren Komponenten mit unterschiedlichen Funktionen, darunter die Möglichkeit, nach der Erstinfektion weitere Programmmodule mit zusätzlichen Funktionen nachzuladen. Viele Schadprogramme nehmen laut BSI zudem tiefgreifende Änderungen am System vor, die nicht einfach rückgängig gemacht werden können.
Laut BSI sind Schadprogramme häufig multifunktional und oft in der Lage, nach einer Infektion zusätzliche Schadprogramme aus dem Internet nachzuladen, die weitere Schäden anrichten. Die meisten im Umlauf befindlichen Schadprogramme besitzen laut BSI eine Funktionalität zur Fernsteuerung eines infizierten Systems. Je nach Komponenten richtet ein Schadprogramm deshalb Schaden an, entwendet Informationen oder verschafft sich unbefugten Zugriff auf das System, sodass sich der Zweck eines Programms aus seinen Funktionen ergibt. Weil viele Schadprogramme tiefgreifende Änderungen vornehmen, sollte laut BSI bei einer bestätigten Infektion das gesamte System neu aufgesetzt werden.
Woran erkenne ich Malware?
| Signal | Woran erkennbar |
|---|---|
| Im eigenen Namen versendete E-Mails | Mitarbeiter oder Kontakte bemerken E-Mails, die nicht vom Absender selbst verschickt wurden; Privatanwendern rät das BSI bei diesem Verdacht, das Gerät mit einem aktuellen Virenschutzprogramm zu untersuchen, im Unternehmen wird der Verdacht stattdessen der IT-Sicherheit gemeldet |
Schutz im Ernstfall
Vorbeugen
- Betriebssysteme und Programme auf allen Geräten zeitnah aktualisieren, um Sicherheitslücken zu schließen
- Benutzerkonten mit reduzierten Rechten einsetzen, damit Schadprogramme nicht ohne Weiteres Administratorrechte und Zugang zum gesamten System erhalten
- Backups wichtiger Daten anlegen und getrennt aufbewahren, um Daten nach einer Verschlüsselung oder einem Verlust wiederherstellen zu können
- Mitarbeiter in Cybersicherheitsschulungen darin schulen, Phishing-Versuche sowie schädliche Links und Downloads zu erkennen
Was tun im Ernstfall
- Das betroffene System vom Netzwerk trennen
- Den Verdacht umgehend der internen IT-Sicherheit melden, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Zugangsdaten, die auf dem System verwendet wurden, sofort von einem nicht betroffenen Gerät aus ändern
- Erst danach das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen; durch Ransomware verschlüsselte Daten ohne Backup vor dem Neuaufsetzen sichern und Daten erst danach aus geprüften, vor dem Befall erstellten Backups wiederherstellen
Beispiele aus der Praxis
- Manchmal genügt der Aufruf einer Webseite mit einem präparierten Werbebanner, damit ein Computer mit einem Schadprogramm infiziert wird.
- Die Ransomware WannaCry und der Banking-Trojaner TrickBot besitzen unter anderem auch eine typische Wurmeigenschaft, nämlich die Fähigkeit, sich selbstständig innerhalb von Netzwerken auszubreiten.
- Ein Mitarbeiter eines Versicherers schließt einen infizierten USB-Stick an einen Dienstrechner an, wodurch das Schadprogramm das System unbefugt kontrollieren kann.
Die Varianten im Detail (42)
Auto-Run-Malware Auto-Run-Malware nutzt Autostart-Mechanismen von Wechseldatenträgern, um Schadcode automatisch auszuführen.
Sie nutzt Mechanismen, die beim Einstecken eines USB-Sticks oder eines anderen Wechseldatenträgers automatisch Dateien ausführen. So gelangt der Schadcode ohne weitere Interaktion auf ein System und kann sich von dort aus auf weitere Geräte verbreiten.
Blended Threat Blended Threat ist eine Bedrohung, die mehrere Angriffsmethoden und Schadcode-Arten in sich vereint.
Typisch ist die Kombination aus Eigenschaften von Viren, Würmern und Trojanern mit mehreren Verbreitungswegen. Dadurch greift der Angriff gleichzeitig an mehreren Stellen an und ist mit einzelnen Schutzmaßnahmen schwerer abzuwehren.
Bösartige App Bösartige App ist eine mobile Anwendung, die verdeckt Schadfunktionen ausführt oder Daten abgreift.
Solche Anwendungen geben sich als nützliche oder harmlose Software aus und gelangen über App-Stores oder andere Bezugsquellen auf Smartphones. Nach der Installation missbrauchen sie die gewährten Berechtigungen für Spionage oder Betrug.
Bösartige Firmware Bösartige Firmware ist manipulierte Gerätesoftware, die Schadfunktionen unterhalb des Betriebssystems ausführt.
Da Firmware sehr früh beim Start eines Geräts geladen wird, bleibt die Manipulation oft über Neuinstallationen des Betriebssystems hinweg bestehen. Sie lässt sich mit gewöhnlichen Virenscannern kaum erkennen und nur schwer entfernen.
Bösartiger Code Bösartiger Code bezeichnet Programmanweisungen, die gezielt Schaden anrichten oder unbefugte Aktionen auslösen.
Der Begriff beschreibt den schädlichen Programmtext selbst, unabhängig davon, ob er als eigenständiges Programm, als Skript oder eingebettet in legitime Dateien auftritt. Er bildet die technische Grundlage nahezu jeder Malware-Form.
Bösartiger Download Bösartiger Download ist das Herunterladen schädlicher Dateien, oft unbemerkt beim Aufruf einer Webseite.
Die Datei wird entweder aktiv vom Nutzer geladen, weil sie harmlos erscheint, oder automatisch im Hintergrund nachgeladen. Er dient als häufiger Infektionsweg, über den Schadsoftware erstmals auf ein Gerät gelangt.
Clipper-Malware Clipper-Malware tauscht kopierte Wallet-Adressen in der Zwischenablage gegen die des Angreifers aus.
Sobald ein Nutzer eine Adresse für eine Überweisung kopiert, ersetzt die Schadsoftware sie durch eine Adresse des Angreifers. Die Zahlung landet dadurch unbemerkt beim falschen Empfänger, vor allem bei Kryptowährungen.
Crimeware Crimeware wird gezielt für kriminelle Gewinnabsichten entwickelt und oft als fertiges Baukastenprodukt angeboten.
Im Mittelpunkt stehen finanzielle Ziele wie Datendiebstahl, Betrug oder Erpressung. Crimeware wird häufig als fertiges Baukastenprodukt angeboten, sodass auch Täter ohne tiefe technische Kenntnisse sie einsetzen können.
Crypto-Malware Crypto-Malware verschlüsselt Dateien zur Erpressung oder missbraucht fremde Rechenleistung für Kryptomining.
Der Begriff wird für zwei Ausprägungen verwendet: verschlüsselnde Schadsoftware, die Dateien unzugänglich macht, und Programme zum heimlichen Schürfen von Kryptowährungen. Welche Bedeutung gemeint ist, hängt vom Kontext ab.
Discord-Malware Discord-Malware nutzt den Chatdienst Discord, um Dateien zu verteilen sowie Befehle und gestohlene Daten zu übermitteln.
Angreifer verteilen schädliche Dateien über Chatnachrichten und Server oder nutzen die Plattform als Kanal für Befehle und gestohlene Daten. Manche Varianten zielen auf Zugangsdaten und Sitzungsinformationen der Nutzerkonten.
Dokumentenbasierte Malware Dokumentenbasierte Malware ist Schadsoftware, die in Office- oder PDF-Dokumenten eingebettet ausgeliefert wird.
Aktive Inhalte wie Makros oder eingebettete Objekte führen beim Öffnen der Datei Schadcode aus. Die Verbreitung erfolgt meist als E-Mail-Anhang, der durch ein unauffälliges Dateiformat Vertrauen erwecken soll.
Evasion-Malware Evasion-Malware ist Schadsoftware, die gezielt Erkennungs- und Analysemechanismen umgeht.
Sie prüft etwa, ob sie in einer Analyseumgebung läuft, und verhält sich dann unauffällig. Zusätzlich setzt sie Verschleierung ein, um Virenscanner und Sicherheitslösungen zu täuschen und möglichst lange unentdeckt zu bleiben.
Fake-Rechnung Fake-Rechnung ist ein gefälschtes Rechnungsdokument, das als Träger für Schadsoftware dient.
Die Nachricht täuscht eine offene Zahlung vor und verleitet dazu, den Anhang oder einen enthaltenen Link zu öffnen. Dadurch wird Schadcode ausgeführt. Der Köder funktioniert besonders gut in Unternehmen mit hohem Rechnungsaufkommen.
Finanz-Malware Finanz-Malware ist Schadsoftware, die auf Bankdaten, Zahlungsvorgänge und Konten von Opfern abzielt.
Sie greift Zugangsdaten für Onlinebanking ab, manipuliert Überweisungen oder blendet gefälschte Eingabemasken ein. Betroffen sind Privatpersonen ebenso wie Unternehmen, deren Zahlungsverkehr digital abgewickelt wird.
First-Stage-Malware First-Stage-Malware ist die erste, meist kleine Schadsoftware-Stufe eines mehrstufigen Angriffs.
Sie verschafft sich einen ersten Zugang und lädt anschließend weitere, leistungsfähigere Komponenten nach. Wegen ihres geringen Funktionsumfangs fällt sie oft weniger auf und dient als Brückenkopf für die eigentliche Schadwirkung.
Geldautomaten-Malware Geldautomaten-Malware manipuliert Geldautomaten, um unberechtigt Bargeld auszugeben oder Kartendaten auszuspähen.
Angreifer bringen sie über physischen Zugriff oder über das Netzwerk der Bank auf das Steuersystem des Automaten. Von dort lässt sich die Ausgabe von Scheinen auslösen oder der Datenverkehr mit Zahlungskarten mitschneiden.
HTML5-Malware HTML5-Malware ist Schadcode, der Funktionen moderner Webstandards ausnutzt, um Besucher von Webseiten anzugreifen.
Er nutzt etwa Skriptfähigkeiten, lokale Speicherung oder eingebettete Medien, die im Browser ohne Zusatzprogramme laufen. Dadurch kann ein Angriff allein durch den Aufruf einer manipulierten Seite beginnen.
Hybrid-Malware Hybrid-Malware verbindet Eigenschaften mehrerer Malware-Arten, etwa Wurm-Verbreitung, Hintertüren und Verschlüsselung.
Sie kann sich zum Beispiel wie ein Wurm verbreiten, wie ein Trojaner Hintertüren öffnen und zusätzlich Daten verschlüsseln. Die Vermischung erschwert die eindeutige Einordnung und die Wahl passender Gegenmaßnahmen.
JavaScript-Malware JavaScript-Malware besteht aus schädlichem JavaScript-Code, der in Browsern oder Skriptumgebungen ausgeführt wird.
Sie wird über manipulierte Webseiten, Anhänge oder eingeschleuste Skripte ausgeliefert. Wegen der weiten Verbreitung der Sprache lässt sie sich leicht verschleiern und kann ohne Installation eines klassischen Programms ausgeführt werden.
KI-generierte Malware KI-generierte Malware ist Schadsoftware, deren Code ganz oder teilweise mithilfe von KI-Modellen entsteht.
Solche Werkzeuge senken die Einstiegshürde für die Entwicklung und erlauben es, Varianten schnell abzuwandeln. Dadurch kann sich Schadcode in kurzer Zeit verändern und klassische signaturbasierte Erkennung unterlaufen.
LNK-Malware LNK-Malware versteckt Befehle in manipulierten Windows-Verknüpfungen, die beim Öffnen Skripte oder Programme aufrufen.
Die scheinbar harmlose Verknüpfung enthält Befehle, die beim Öffnen Skripte oder Programme aufrufen. Da Verknüpfungen im Alltag selten als gefährlich gelten, dienen sie häufig als unauffälliger Einstiegspunkt einer Infektion.
Loader Loader ist ein Schadprogramm, dessen Aufgabe darin besteht, weitere Schadsoftware auf ein System zu laden.
Er übernimmt die Verteilung der eigentlichen Nutzlast und bleibt selbst funktional schlank. Betreiber von Loadern bieten den Zugang zu infizierten Systemen teils anderen Kriminellen an, die dort ihre Programme platzieren.
Logikbombe Logikbombe ist Schadcode, der erst bei Eintreten einer festgelegten Bedingung seine Wirkung entfaltet.
Als Auslöser dienen etwa ein bestimmtes Datum, das Löschen eines Benutzerkontos oder ein Systemzustand. Bis dahin bleibt der Code inaktiv und unauffällig, was ihn besonders für Innentäter und gezielte Sabotage geeignet macht.
Malspam Malspam bezeichnet Massen-E-Mails, die Schadsoftware als Anhang oder über enthaltene Links verbreiten.
Die Nachrichten werden ungezielt an sehr viele Empfänger verschickt und setzen auf eine geringe Trefferquote bei großer Menge. Malspam ist damit ein Verbreitungsweg und keine eigene Art von Schadsoftware.
Malware-Infrastruktur Malware-Infrastruktur bezeichnet die Server, Domains und Dienste, die Angreifer zum Betrieb von Schadsoftware nutzen.
Dazu gehören Systeme zur Auslieferung der Programme, zur Steuerung infizierter Geräte und zum Sammeln gestohlener Daten. Das Erkennen und Abschalten dieser Bestandteile ist ein zentraler Ansatz der Abwehr.
Malware-Kampagne Malware-Kampagne ist eine koordinierte Aktion, bei der Schadsoftware über einen Zeitraum gezielt verbreitet wird.
Sie folgt einem gemeinsamen Muster aus Köder, Verbreitungsweg und Zielgruppe und lässt sich meist einem Täter oder einer Gruppe zuordnen. Die Analyse einer Kampagne hilft, zusammengehörige Angriffe zu erkennen.
Malware-Träger Malware-Träger ist ein Medium oder Objekt, über das Schadsoftware zu ihrem Ziel gelangt.
Als Träger kommen etwa Dateianhänge, Wechseldatenträger, Downloads oder manipulierte Geräte infrage. Der Begriff beschreibt den Transportweg und unterscheidet ihn von der Schadsoftware selbst.
Malware-Verbreitung Malware-Verbreitung bezeichnet die Wege und Methoden, mit denen Schadsoftware auf Zielsysteme gelangt.
Typische Wege sind E-Mail-Anhänge, manipulierte Webseiten, Downloads und Wechseldatenträger. Manche Schadsoftware verbreitet sich außerdem selbstständig über Netzwerke und Schwachstellen weiter.
Massen-Malware Massen-Malware wird ungezielt an viele Opfer verteilt und nutzt fertige Schadprogramme.
Im Gegensatz zu zielgerichteten Angriffen kommt es nicht auf ein bestimmtes Opfer an. Die Täter setzen auf viele Infektionen mit jeweils geringem Aufwand, wobei oft fertige Schadprogramme und bekannte Verbreitungswege genutzt werden.
Nymaim Nymaim ist der Name einer Schadsoftware-Familie, die vor allem als Downloader weiterer Schadprogramme auftritt.
Die Familie wird in der Sicherheitsforschung als eigenständiges Schadprogramm geführt, das Systeme infiziert und weitere Komponenten nachlädt. Konkrete Funktionen unterscheiden sich je nach Version.
Open-Source-Malware Open-Source-Malware ist Schadsoftware, deren Quellcode öffentlich verfügbar ist oder in Open-Source-Paketen steckt.
Der Begriff umfasst frei zugängliche Schadprogramme, die Angreifer anpassen können, sowie schädliche Pakete in öffentlichen Softwarearchiven. Beides senkt den Aufwand für Täter erheblich.
Proxyware Proxyware ist Software, die den Rechner als Weiterleitungspunkt für fremden Netzwerkverkehr nutzt.
Läuft sie ohne Wissen des Nutzers, wird das Gerät zum Ausgangspunkt für Verbindungen Dritter, etwa zur Verschleierung von Angriffen. Die eigene Internetverbindung und IP-Adresse werden dabei fremd genutzt.
QSnatch QSnatch ist der Name einer Schadsoftware-Familie, die vernetzte Speichersysteme angreift.
Die Familie wird in der Sicherheitsforschung als eigenständige Bedrohung für Netzwerkspeicher beschrieben, die Zugangsdaten abgreifen kann. Einzelheiten zu Funktionen und Verbreitung unterscheiden sich je nach Quelle.
Schadsoftware-Familie Schadsoftware-Familie ist eine Gruppe verwandter Schadprogramme mit gemeinsamem Code oder Verhalten.
Die Mitglieder entstehen meist durch Weiterentwicklung desselben Ursprungs und teilen typische Merkmale. Die Einordnung in Familien erleichtert Analysten das Benennen, Erkennen und Vergleichen von Funden.
Trojan-Proxy Trojan-Proxy ist ein Trojaner, der infizierte Geräte als Proxy-Server für fremden Datenverkehr einsetzt.
Angreifer leiten über das befallene System Verbindungen weiter und verbergen so ihre eigene Herkunft. Ein solches Gerät wird häufig für Spam, Betrug oder weitere Angriffe missbraucht, ohne dass der Besitzer es bemerkt.
USB-Malware USB-Malware verbreitet sich über USB-Speicher und kopiert sich teils auf jeden angeschlossenen Datenträger.
Sie nutzt die Autostart-Funktion, präparierte Verknüpfungen oder manipulierte Gerätefirmware, um beim Anschließen des Geräts ausgeführt zu werden. Manche Varianten kopieren sich zusätzlich auf jeden angeschlossenen Datenträger.
Verdeckte Malware Verdeckte Malware verbirgt Dateien, Prozesse und Netzwerkaktivität, um dauerhaft unbemerkten Zugriff zu behalten.
Sie verbirgt ihre Dateien, Prozesse und Netzwerkaktivität und arbeitet bewusst zurückhaltend, um keine Auffälligkeiten zu verursachen. Ziel ist meist dauerhafter, unbemerkter Zugriff auf das System.
Web-Malware Web-Malware ist Schadsoftware, die über Webseiten und Webanwendungen verbreitet oder ausgeführt wird.
Dazu zählen manipulierte Seiten, eingeschleuste Skripte und schädliche Weiterleitungen, die Besucher im Browser angreifen. Auch Webserver selbst können Ziel sein, wenn Schadcode in Anwendungen eingeschleust wird.
Werbe-Malware Werbe-Malware gelangt per Malvertising über Anzeigennetzwerke oder blendet selbst Werbung ein und sammelt Nutzungsdaten.
Ein Weg ist Malvertising, bei dem Angreifer Schadcode in Anzeigennetzwerke einschleusen. Bei Adware-artigen Programmen steht dagegen das Einblenden von Werbung und das Sammeln von Nutzungsdaten im Vordergrund.
YouTube-Malware YouTube-Malware wird in Videos als angebliches Programm oder Aktivierungshilfe mit Download-Link beworben.
Angreifer bewerben dort angebliche Programme, Anleitungen oder Aktivierungshilfen und verlinken auf schädliche Downloads. Die vermeintlich vertrauenswürdige Plattform soll Zuschauer zum Herunterladen der Dateien bewegen.
Zero-Click-Malware Zero-Click-Malware infiziert Geräte über Schwachstellen in Messengern oder Mail-Programmen, ohne dass geklickt wird.
Der Angriff nutzt Schwachstellen in Diensten, die eingehende Daten automatisch verarbeiten, etwa in Messengern oder Mail-Programmen. Ein Klick oder Öffnen einer Datei ist nicht nötig, weshalb die Erkennung besonders schwierig ist.
Zerstörerische Malware Zerstörerische Malware löscht oder überschreibt Daten und beschädigt Startbereiche, sodass Systeme nicht hochfahren.
Anders als bei Erpressungsprogrammen steht nicht der Gewinn im Vordergrund, sondern der Schaden selbst. Sie löscht oder überschreibt Daten und beschädigt Startbereiche, sodass Systeme nicht mehr hochfahren.
Häufiger Irrtum
Mythos „Virus ist ein anderes Wort für Malware.“
Richtig Ein Virus ist nur eine von mehreren Formen von Malware. Laut BSI fallen Trojaner, Virus und Wurm letztendlich alle in die Kategorie Schadsoftware. In der breiten Öffentlichkeit wird dennoch eine breite Masse an Bedrohungen als „Viren“ bezeichnet.
