Als Trojaner gilt ein Schadprogramm, das sich als nützliche Software ausgibt und neben der scheinbar nützlichen Funktion nicht dokumentierte, schädliche Funktionen unabhängig vom Anwender und ohne dessen Wissen ausführt.
Auf einen Blick
Der Name geht auf das Trojanische Pferd der griechischen Mythologie zurück: Wie das hölzerne Pferd verbirgt ein Trojaner seine wahre Absicht hinter einer harmlosen Fassade.
Trojaner treten in mehreren Formen auf, etwa als Backdoor-Trojaner, Banking-Trojaner oder Remote-Access-Trojaner.
Zur Bereinigung eines bereits installierten Trojaners gilt das Zurückspielen eines sauberen Abbilds der Festplatte als ratsam, weil ein Virenscanner diese Aufgabe nur bedingt zuverlässig erledigen kann.
Was ist Trojaner?
Ein Trojaner setzt für die Verbreitung auf Täuschung: Die Schadsoftware ist als nützliches Programm getarnt, das Nutzer zum Beispiel eigenhändig installieren. Laut BSI verfügen Trojaner anders als Viren und Würmer über keinen Mechanismus zur Selbst-Reproduktion. Aufgrund ihrer Vielseitigkeit und Multifunktionalität lassen sich heutige Schadprogramme laut BSI kaum noch eindeutig einer Kategorie wie Virus, Wurm oder Trojaner zuordnen: Die Ransomware WannaCry und der Banking-Trojaner TrickBot besitzen etwa auch die Fähigkeit, sich selbständig innerhalb von Netzwerken auszubreiten. Laut BSI bezeichnet der Begriff eine versteckte Schadkomponente von Software, die Nutzer eigenständig, aber unbemerkt installieren, zum Beispiel beim Download von kostenlosen Software-Angeboten.
Welchen Schaden ein Trojaner anrichtet, hängt von der versteckten Funktion ab, die er mitbringt, und kann von Datendiebstahl bis zum Fernzugriff reichen. Führt ein Mitarbeiter eines Versicherers ein als nützliches Programm getarntes Schadprogramm aus, kann der Trojaner Zugangsdaten ausspähen, weitere Malware nachladen oder eine Hintertür für Angreifer einrichten. Wie weit sich der Funktionsumfang entwickeln kann, zeigt Emotet: Es wandelte sich von einem eigenständigen Banking-Trojaner zu einem Dropper für andere Schadprogramme.
Wie funktioniert Trojaner?
Ein Trojaner gelangt etwa dadurch auf ein System, dass der Nutzer die versteckte Schadkomponente eigenständig, aber unbemerkt zusammen mit scheinbar nützlicher Software installiert. Laut BSI kommen Trojaner häufig in fingierter Software vor, die von Cyber-Kriminellen manipuliert wurde und zumeist als Download in unseriösen Quellen verfügbar ist. Der Weg über Downloads und E-Mail-Anhänge ist nicht der einzige: NotPetya kam laut BSI nicht wie viele andere Trojaner als E-Mail-Anhang auf ein System, sondern über die Update-Funktion der Buchhaltungssoftware M.E.Doc, die besonders in der Ukraine eingesetzt wird.
Was nach der Installation geschieht, hängt von der Form des Trojaners ab. Backdoor-Trojaner erstellen versteckte Einstiegspunkte im System, sodass Hacker Sicherheitsmaßnahmen umgehen und Fernzugriff auf das Gerät erhalten können. Dropper-Trojaner installieren unbemerkt weitere Malware, sobald das Trojanische Pferd ausgeführt wird. Einmal im System, können Backdoor-Trojaner Daten stehlen, zusätzliche Malware installieren oder die volle Kontrolle ohne Wissen des Nutzers übernehmen.
Woran erkenne ich Trojaner?
| Signal | Woran erkennbar |
|---|---|
| Plötzlicher Anstieg der Netzwerkaktivität, besonders im Leerlauf des Systems | Kann auf einen Trojaner hinweisen, der mit einem Befehls- und Steuerungsserver kommuniziert; für die IT-Sicherheit in den Netzwerkdaten sichtbar |
| Unerwartete Systemabstürze oder langsame Leistung | Kann auf eine Trojanerinfektion hinweisen; das Signal ist unspezifisch und allein kein Beleg |
| Wiederholt auftauchende Pop-ups | Kann auf eine Trojanerinfektion hinweisen; das Signal ist unspezifisch und allein kein Beleg |
Schutz im Ernstfall
Vorbeugen
- Virenschutzprogramm und Firewall auf den Arbeitsplatzrechnern einsetzen; der Virenschutz soll Schadprogramme möglichst schon beim ungewollten Download erkennen
- Mitarbeiter anweisen, in unerwarteten E-Mails keine Links und Anhänge anzuklicken, auch bei bekannten Absendern
- Mitarbeiter anweisen, Software nur aus seriösen Quellen zu beziehen und nicht aus unseriösen Download-Quellen
- Backups wichtiger Daten anlegen und getrennt aufbewahren, um Daten nach einer Verschlüsselung oder einem Verlust wiederherstellen zu können
Was tun im Ernstfall
- Das betroffene System vom Netzwerk trennen
- Die interne IT-Sicherheit informieren, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen
- Zugangsdaten, die auf dem System verwendet wurden, sofort und von einem nicht betroffenen Gerät aus ändern
- Das System anschließend durch die IT-Sicherheit analysieren und neu aufsetzen lassen, etwa über ein sauberes Abbild der Festplatte, und Daten erst danach aus geprüften, vor dem Befall erstellten Backups wiederherstellen
Beispiele aus der Praxis
- Ein Nutzer lädt kostenlose Software aus einer unseriösen Quelle herunter und installiert damit eigenständig, aber unbemerkt eine versteckte Schadkomponente.
- NotPetya kam laut BSI über die Update-Funktion einer Buchhaltungssoftware auf die Systeme; bei manchen betroffenen deutschen Firmen standen kritische Geschäfts- und Produktionsprozesse für mehr als eine Woche still.
- Im Arbeitsalltag eines Versicherers kann ein ausgeführtes, als Nutzprogramm getarntes Schadprogramm Zugangsdaten ausspähen, weitere Malware nachladen oder eine Hintertür öffnen.
Die Varianten im Detail (7)
Java-Trojaner Java-Trojaner nutzt Java-Code oder Java-Komponenten, tarnt sich als legitime Software und führt Schadfunktionen aus.
Weil Java-Programme auf verschiedenen Betriebssystemen laufen, kann eine solche Schadsoftware plattformübergreifend eingesetzt werden. Die Bezeichnung nennt die Ausführungsumgebung, keine eigene Schadfunktion.
Spionage-Trojaner Spionage-Trojaner ist ein Trojaner, der heimlich Daten und Aktivitäten auf einem infizierten System ausspäht.
Der Schwerpunkt liegt auf dem Mitlesen und Weiterleiten von Informationen wie Zugangsdaten, Dokumenten oder Eingaben an Dritte. Eine Zerstörung von Daten ist dabei nicht das Ziel.
Trojan-Clicker Trojan-Clicker ruft ohne Wissen des Nutzers Links, Anzeigen oder Webseiten auf und erzeugt künstliche Klicks.
Solche Programme erzeugen künstliche Zugriffe oder Klicks, etwa um Werbeeinnahmen zu manipulieren, Seitenaufrufe zu steigern oder das System mit unerwünschten Verbindungen zu belasten.
Trojan-Spy Trojan-Spy ist die Bezeichnung für einen Trojaner, der Informationen vom befallenen Rechner ausspäht.
Die Schadsoftware zeichnet etwa Tastatureingaben, Bildschirminhalte oder gespeicherte Zugangsdaten auf und übermittelt sie an den Angreifer. Der Begriff stammt aus der englischsprachigen Malware-Klassifikation.
Web-Trojaner Web-Trojaner bezeichnet einen Trojaner, der über Webseiten verbreitet wird oder Webanwendungen und Browser angreift.
Der Begriff beschreibt den Verbreitungs- oder Angriffsweg über das Web, etwa durch manipulierte Downloads oder präparierte Seiten, und nennt keine einheitliche Schadfunktion.
Wrapper-Trojaner Wrapper-Trojaner bündelt Schadcode mit einem funktionsfähigen legitimen Programm, das als unauffällige Hülle dient.
Die harmlose Anwendung dient als Hülle und bleibt funktionsfähig, während die Schadkomponente im Hintergrund installiert wird. So wirkt die Datei beim Start unauffällig.
Überwachungstrojaner Überwachungstrojaner ist ein Trojaner, der gezielt zur Überwachung der Kommunikation und Nutzung eines Geräts dient.
Die Software wird auf dem Zielgerät eingeschleust, um Nachrichten, Gespräche oder Eingaben mitzulesen, bevor sie verschlüsselt werden. Der Begriff betont den Überwachungszweck, nicht die Technik.
Häufiger Irrtum
Mythos „Ein Trojaner ist ein Virus, der sich selbst auf weitere Rechner kopiert.“
Richtig Laut BSI verfügen Trojaner anders als Viren und Würmer über keinen Mechanismus zur Selbst-Reproduktion. Stattdessen ist Täuschung ihre Verbreitungsstrategie. Aufgrund ihrer Vielseitigkeit lassen sich heutige Schadprogramme laut BSI allerdings kaum noch einer einzigen Kategorie wie Virus, Wurm oder Trojaner zuordnen.
