Ein Keylogger ist eine Software oder Hardware, die Tastatureingaben eines Nutzers aufzeichnet, um etwa an Passwörter oder PINs zu gelangen, und die sowohl Kriminelle als auch Geheimdienste und Ermittler einsetzen.
Auf einen Blick
Keylogger können auch außerhalb von Angriffen eingesetzt werden, etwa in Software zur Kindersicherung.
Hardware-Keylogger setzen physischen Zugang zum Zielgerät voraus und können herkömmlichen Antiviren- oder Softwareprüfungen entgehen.
Ein erfasstes Passwort muss nicht zum Zugriff führen: Mehrfaktor-Authentifizierung kann unbefugten Zugang auch dann blockieren.
Was ist Keylogger?
Ein Keylogger protokolliert, was auf der Tastatur eines Computers oder mobilen Geräts eingegeben wird, und macht so Passwörter, PINs und andere schützenswerte Daten für Angreifer greifbar. Laut MITRE ATT&CK dient die Aufzeichnung dazu, Zugangsdaten abzufangen, während der Nutzer sie eintippt. Kriminelle setzen Keylogger ein, um sich zu bereichern; Geheimdienste und Ermittler nutzen sie, um Zugang zu Rechnern oder Daten von Verdächtigen zu erhalten. Software-Keylogger arbeiten auf Softwareebene, etwa indem sie sich zwischen Tastatur und Betriebssystem schalten, die Tastendrücke mitlesen und an das Betriebssystem weitergeben. Hardware-Keylogger sitzen zwischen Tastatur und Rechner, etwa als USB-Stick, und setzen physischen Zugang zum Gerät voraus.
Gelangt ein Keylogger auf das Gerät eines Mitarbeiters und zeichnet dort heimlich dessen Tastenanschläge auf, lassen sich daraus Passwörter oder andere sensible Daten eines Versicherers extrahieren. Auf das Gerät kann er etwa über präparierte Dateien, raubkopierte Software oder manipulierte Browser-Erweiterungen gelangen. Manche Varianten erfassen zusätzlich die Zwischenablage, Screenshots oder besuchte Webseiten. Zu den dokumentierten Fällen zählt laut MITRE ATT&CK der Einsatz eines Keyloggers namens GEARSHIFT durch APT41.
Wie funktioniert Keylogger?
Keylogger greifen Eingaben auf verschiedenen Ebenen ab: Software setzt etwa im Betriebssystem oder im Browser an, Hardware zwischen Tastatur und Rechner. Software-Keylogger können Systemhooks nutzen, etwa die Windows-Schnittstelle SetWindowsHookEx, um Tastaturereignisse abzufangen, bevor sie die Anwendungen erreichen. Fortgeschrittene Varianten arbeiten auf Kernel-Ebene und lesen Rohdaten direkt von der Hardware, wodurch sie Schutzmechanismen im Benutzermodus umgehen können. Hardware-Keylogger greifen die Eingaben dagegen zwischen Tastatur und Rechner ab und müssen dafür physisch angebracht werden. Form-Grabber erfassen statt einzelner Tastenanschläge den gesamten Inhalt eines Webformulars, sobald ein Nutzer es abschickt.
Um unentdeckt zu bleiben, können sich Keylogger als legitime Prozesse tarnen, Rootkit-Techniken einsetzen oder nur im Arbeitsspeicher laufen, um dateibasierte Virenscans zu umgehen. Manipulierte Browser-Erweiterungen können alles mitschneiden, was in Webformulare getippt wird, und dabei Schutzmaßnahmen wie Passwortmanager oder virtuelle Tastaturen umgehen. Wie ein Keylogger ankommt und wo er ansetzt, bestimmt damit auch, welche Prüfung ihn finden kann.
Woran erkenne ich Keylogger?
| Signal | Woran erkennbar |
|---|---|
| Zwischengeschaltetes Gerät an der Tastatur | Bei der Sichtprüfung von Tastatur und Verbindungskabel fällt ein zusätzliches Gerät auf, das zwischen Tastatur und Rechner gesteckt ist |
| Nicht freigegebene Browser-Erweiterung | Im Browser ist eine Erweiterung installiert, die weder bestellt noch von der IT freigegeben wurde |
| Befund einer Anti-Malware- oder Anti-Keylogger-Prüfung | Das Prüfwerkzeug meldet einen Fund; ein unauffälliger Scan schließt Varianten, die nur im Arbeitsspeicher laufen, nicht aus |
Schutz im Ernstfall
Vorbeugen
- Mehrfaktor-Authentifizierung für Zugänge einführen, damit ein erfasstes Passwort allein den Zugriff nicht öffnen kann.
- Als Regel für Mitarbeiter: keine Software aus inoffiziellen Quellen installieren und keine Makros in unerwartet erhaltenen oder heruntergeladenen Dokumenten aktivieren, auch nicht bei bekannten Absendern.
- Browser-Erweiterungen auf Dienstgeräten nur nach Freigabe durch die IT-Sicherheit zulassen.
- Physischen Zugang zu Rechnern und Anschlüssen beschränken, weil Hardware-Keylogger physischen Zugang voraussetzen.
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen.
- Den Verdacht der internen IT-Sicherheit melden, bevor selbst etwas deinstalliert oder bereinigt wird.
- Alle auf dem Gerät eingegebenen Passwörter und PINs sofort von einem nicht betroffenen Gerät aus ändern, nicht erst nach der Prüfung des Geräts.
- Anschließend das Gerät durch die IT-Sicherheit mit Anti-Malware-Werkzeugen prüfen und Tastatur und Verbindungskabel auf zwischengeschaltete Geräte untersuchen lassen; lässt sich ein Software-Keylogger nicht ausschließen, das System neu aufsetzen lassen und Daten erst danach aus einer geprüften Sicherung wiederherstellen.
Beispiele aus der Praxis
- Wer Zugang zu einem Arbeitsplatz hat, kann einen Hardware-Keylogger, etwa einen USB-Stick zwischen Tastatur und Rechner, anbringen und später unbemerkt wieder entfernen.
- Eine präparierte Datei, etwa ein Word-Dokument mit aktivierten Makros, kann beim Öffnen unbemerkt einen Keylogger installieren.
- Laut MITRE ATT&CK sammelte die Gruppe Sandworm Team bei einem Angriff auf die ukrainische Stromversorgung Zugangsdaten über ein Keylogger-Plugin von BlackEnergy.
- Hat ein Keylogger den Arbeitsrechner eines Mitarbeiters erreicht, lassen sich aus den aufgezeichneten Tastenanschlägen Passwörter oder andere sensible Daten eines Versicherers extrahieren.
Die Varianten im Detail (6)
In-Memory-Keylogger In-Memory-Keylogger ist ein Keylogger, der nur im Arbeitsspeicher läuft und keine Datei auf dem Datenträger anlegt.
Da kaum Spuren im Dateisystem entstehen, erkennen dateibasierte Prüfungen ihn schwerer. Nach einem Neustart des Systems ist er in der Regel nicht mehr aktiv, sofern er sich nicht erneut einnistet.
JavaScript-Keylogger JavaScript-Keylogger erfasst als Skript im Browser Eingaben in Anmeldeformularen und anderen Webformularen.
Der Code wird über eine manipulierte oder eingebundene Seite ausgeführt und erfasst etwa Eingaben in Anmeldeformularen. Er benötigt keine Installation auf dem Rechner, sondern wirkt nur innerhalb der geladenen Seite.
Remote-Keylogger Remote-Keylogger übermittelt erfasste Eingaben per E-Mail oder Server-Upload, ohne dass physischer Zugriff nötig ist.
Die Daten werden per E-Mail, Server-Upload oder andere Verbindung abgeführt, sodass kein physischer Zugriff auf das Gerät nötig ist. Im Gegensatz dazu müssen lokale Varianten ausgelesen werden.
Tastatur-Protokollierung Tastatur-Protokollierung ist das Aufzeichnen von Tastenanschlägen, also die Tätigkeit eines Keyloggers.
Der Begriff entspricht dem englischen Keylogging und beschreibt den Vorgang, nicht das Werkzeug. Er wird für Software- wie Hardwarelösungen gebraucht und umfasst legitime wie missbräuchliche Einsätze.
Touch-Logger Touch-Logger ist ein Programm, das Berührungseingaben auf Touchscreens aufzeichnet.
Es überträgt das Prinzip des Keyloggers auf Mobilgeräte und Tablets, auf denen Eingaben über Bildschirmberührungen erfolgen. Erfasst werden etwa Tippposition und Wischgesten, aus denen sich Eingaben ableiten lassen.
Windows-Keylogger Windows-Keylogger fängt Tastaturereignisse über Betriebssystemfunktionen ab und läuft meist als Prozess oder Treiber.
Er nutzt Funktionen des Betriebssystems, um Tastaturereignisse abzufangen, und läuft meist unauffällig als Prozess oder Treiber. Die Bezeichnung nennt die Zielplattform, nicht die Art der Verbreitung.
Häufiger Irrtum
Mythos „Ein Keylogger kann nicht Bestandteil anderer Schadsoftware sein.“
Richtig Keylogger können Bestandteil anderer Schadsoftware sein: In einem Rootkit können unter anderem schädliche Programme wie Keylogger enthalten sein.
