Verborgen bleiben Programme, Dateien, Netzwerkverbindungen, Dienste und Treiber, wenn ein Rootkit sie vor Betriebssystem und Nutzern versteckt. Laut MITRE ATT&CK verbergen Rootkits die Existenz von Schadsoftware, indem sie Betriebssystemaufrufe abfangen und ver\u00e4ndern, die Systeminformationen liefern. Rootkits k\u00f6nnen laut MITRE ATT&CK auf Benutzer- oder Kernel-Ebene des Betriebssystems oder darunter liegen, bis hin zu einem Hypervisor oder zur System-Firmware<\/strong>. Beobachtet wurden sie laut MITRE ATT&CK f\u00fcr Windows, Linux und Mac OS X.<\/p>\n Installieren Angreifer nach einem Einbruch ein Rootkit, soll es ihnen unbemerkten Zugriff auf Systeme eines Versicherers sichern, indem es Prozesse und Dateien vor Betriebssystem und Antivirenprogrammen verbirgt. Laut MITRE ATT&CK l\u00e4sst sich diese Technik mit vorbeugenden Kontrollen nicht leicht<\/strong> entsch\u00e4rfen, da sie auf dem Missbrauch von Systemfunktionen beruht. Verwandt ist das Bootkit: Laut MITRE ATT&CK ver\u00e4ndert es die Bootsektoren einer Festplatte, sodass Schadcode vor dem Betriebssystem ausgef\u00fchrt wird. Bootkits arbeiten auf so niedriger Ebene, dass sie mit herk\u00f6mmlicher Antiviren- und Sicherheitssoftware sehr schwer zu erkennen sind, und k\u00f6nnen auch nach einer Neuformatierung oder einer Neuinstallation des Betriebssystems auf dem System bleiben.<\/p>\n Ein Rootkit setzt auf unterschiedlichen Ebenen an: im Benutzermodus, im Kernel oder unterhalb des Betriebssystems. Skidmap, ein Kernel-Mode-Rootkit, kann laut MITRE ATT&CK Systemaufrufe abfangen<\/strong>, um bestimmte Dateien zu verbergen und Netzwerk- und CPU-Statistiken so zu f\u00e4lschen, dass die CPU-Last des infizierten Rechners niedrig erscheint. Carberp hat laut MITRE ATT&CK Rootkit-Techniken im Benutzermodus genutzt, um auf dem System verborgen zu bleiben.<\/p>\n Unterhalb des Betriebssystems hat die Gruppe APT28 laut MITRE ATT&CK ein UEFI-Rootkit namens LoJax<\/strong> eingesetzt. Daneben gibt es Rootkits, die nur im Arbeitsspeicher des laufenden Systems existieren. Bootkits liegen laut MITRE ATT&CK unterhalb des Betriebssystems und k\u00f6nnen eine vollst\u00e4ndige Bereinigung erschweren, solange eine Organisation nicht vermutet, dass eines im Einsatz war. Wie tief sich Rootkit-Funktionen verankern k\u00f6nnen, zeigte eine Kopierschutz-Software auf Audio-CDs, die selbst im abgesicherten Modus gestartet wurde. Welche dieser Ebenen betroffen ist, entscheidet daher dar\u00fcber, wie tief die IT-Sicherheit bei der Pr\u00fcfung ansetzen muss.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33706","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Rootkits verbergen Prozesse, Dateien und weitere Systemkomponenten vor Betriebssystem und Nutzern, damit Schadsoftware unentdeckt bleibt.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Rootkit bezeichnet Werkzeuge, die nach einem Einbruch auf einem kompromittierten System Schadsoftware, Prozesse und Dateien vor Betriebssystem, Antivirenprogrammen und dem Nutzer verbergen und Angreifern damit unbemerkten Zugriff sichern sollen.","at_a_glance":[{"bullet":"Rootkit-Funktionen k\u00f6nnen auch in Software stecken, die keine klassische Schadsoftware ist: Ein 2005 aufgedeckter Kopierschutz auf Audio-CDs bildete sie nach."},{"bullet":"Laut MITRE ATT&CK sollen Trusted-Platform-Module-Technik und ein gesicherter Boot-Prozess verhindern, dass die Systemintegrit\u00e4t kompromittiert wird; die Empfehlung richtet sich gegen Bootkits."},{"bullet":"Hinweise liefern Abweichungen zwischen Soll und Ist: nicht autorisiert geladene Treiber oder DLLs, verborgene Dienste und ver\u00e4nderte Boot-Komponenten."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Skidmap, ein Kernel-Mode-Rootkit, kann laut MITRE ATT&CK Systemaufrufe abfangen, um bestimmte Dateien zu verbergen und die CPU-Last des infizierten Rechners niedrig erscheinen zu lassen."},{"example":"Eine Kopierschutz-Software auf einzelnen Audio-CDs von Sony BMG bildete Rootkit-Funktionen nach: In der Softwareliste der Systemsteuerung tauchte sie nicht auf, und \u00fcber ein Deinstallationsprogramm lie\u00df sie sich nicht entfernen."},{"example":"Laut MITRE ATT&CK hat die Gruppe APT28 ein UEFI-Rootkit namens LoJax eingesetzt, das unterhalb des Betriebssystems ansetzt."},{"example":"Haben Angreifer nach einem Einbruch ein Rootkit auf einem System eines Versicherers installiert, soll es ihnen unbemerkten Zugriff sichern, indem es Prozesse und Dateien vor Betriebssystem und Antivirenprogrammen verbirgt."}],"misconception":[{"myth":"Ein Rootkit ist in jedem Fall nur ein einzelnes Schadprogramm.","reality":"Ein Rootkit kann auch als ganze Sammlung von Sch\u00e4dlingen auf den Rechner gelangen; eine solche Sammlung kann Werkzeuge enthalten, die unentdeckt installiert werden, um dem Urheber der Schadsoftware Zugriff zu verschaffen."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Firmware-Rootkit","inline_description":"Firmware-Rootkit nistet sich au\u00dferhalb des Betriebssystems ein und \u00fcbersteht deshalb h\u00e4ufig eine Neuinstallation.","description":"Weil die Firmware au\u00dferhalb des Betriebssystems liegt, \u00fcbersteht ein Firmware-Rootkit h\u00e4ufig eine Neuinstallation des Systems und l\u00e4sst sich mit gew\u00f6hnlichen Scans der Festplatte kaum erkennen.","source":"","key":""},{"title":"Funktions-Hooking","inline_description":"Funktions-Hooking bezeichnet das Umleiten von Funktionsaufrufen auf eigenen Code, um Ergebnisse zu ver\u00e4ndern.","description":"Rootkits setzen diese Technik ein, um Systemaufrufe abzufangen und Antworten zu filtern, sodass Prozesse, Dateien oder Verbindungen in Auflistungen nicht mehr erscheinen. Auch legitime Software nutzt Hooking.","source":"","key":""},{"title":"GPU-Rootkit","inline_description":"GPU-Rootkit nutzt Speicher oder Ausf\u00fchrungsumgebung der Grafikkarte, um sch\u00e4dliche Komponenten zu verbergen.","description":"Die Grafikkarte wird von vielen Sicherheitsprodukten kaum \u00fcberwacht, weshalb ein GPU-Rootkit Schadcode dort vor g\u00e4ngigen Pr\u00fcfungen des Hauptspeichers verbergen und Prozessorbefehle der Grafikkarte nutzen kann.","source":"","key":""},{"title":"Jailbreak-Rootkit","inline_description":"Jailbreak-Rootkit nutzt die durch einen Jailbreak erweiterten Rechte eines Mobilger\u00e4ts, um sich dauerhaft einzunisten.","description":"Beim Jailbreak werden Schutzmechanismen des Betriebssystems aufgehoben, wodurch Code tiefere Systemebenen erreicht; ein Jailbreak-Rootkit nutzt dies, um sich dauerhaft einzunisten und Spuren auf dem Ger\u00e4t zu verbergen.","source":"","key":""},{"title":"Kernel-Rootkit","inline_description":"Kernel-Rootkit arbeitet mit h\u00f6chsten Privilegien auf der Ebene des Systemkerns, was Erkennung und Entfernung erschwert.","description":"Da es auf derselben Ebene wie der Systemkern l\u00e4uft, kann ein Kernel-Rootkit Systemfunktionen ver\u00e4ndern und sich selbst vor Sicherheitssoftware verbergen; Entfernung und Erkennung sind dadurch besonders aufwendig.","source":"","key":""},{"title":"Linux-Rootkit","inline_description":"Linux-Rootkit verbirgt Prozesse, Dateien und Verbindungen \u00fcber Kernelmodule oder gemeinsam genutzte Bibliotheken.","description":"Es nutzt Besonderheiten dieser Systeme, etwa Kernelmodule oder gemeinsam genutzte Bibliotheken, um Prozesse, Dateien und Netzwerkverbindungen zu verbergen, und ist daher an die jeweilige Systemumgebung gebunden.","source":"","key":""},{"title":"Netzwerk-Rootkit","inline_description":"Netzwerk-Rootkit blendet Verbindungen und Datenpakete aus, sodass der Datenaustausch mit Angreifern unsichtbar bleibt.","description":"Der Schwerpunkt liegt auf der Kommunikation: Das Rootkit blendet Verbindungen und Datenpakete aus oder ver\u00e4ndert sie, sodass der Datenaustausch mit den Angreifern in \u00dcberwachungswerkzeugen nicht sichtbar wird.","source":"","key":""},{"title":"Tarnkappen-Rootkit","inline_description":"Tarnkappen-Rootkit bezeichnet ein Rootkit, das sich mit besonderem Aufwand vor Erkennung sch\u00fctzt.","description":"Der Begriff betont die Verschleierungsfunktion, die allen Rootkits zugrunde liegt. Im deutschen Sprachraum steht er f\u00fcr Rootkits, die sich besonders gut vor Betriebssystem und Scannern verbergen.","source":"","key":""},{"title":"User-Mode Rootkit","inline_description":"User-Mode Rootkit manipuliert Programme oder Bibliotheken im Benutzerbereich, um sch\u00e4dliche Aktivit\u00e4ten zu verbergen.","description":"Es ver\u00e4ndert Programme oder Bibliotheken im Benutzerbereich, um sich zu verbergen. Da es keine Kernel-Rechte besitzt, ist es leichter zu erkennen und zu entfernen als ein Rootkit auf Kernel-Ebene.","source":"","key":""},{"title":"Virtualisierungs-Rootkit","inline_description":"Virtualisierungs-Rootkit steuert das laufende Betriebssystem wie ein Hypervisor eine virtuelle Maschine.","description":"Das Rootkit setzt sich unterhalb des laufenden Betriebssystems fest und steuert dieses wie ein Hypervisor eine virtuelle Maschine. Das System selbst bemerkt den Eingriff kaum, weil er au\u00dferhalb seiner Sichtweite stattfindet.","source":"","key":""},{"title":"Windows-Rootkit","inline_description":"Windows-Rootkit setzt auf Treiber, Registrierung und Systemdienste, um Prozesse und Dateien zu verbergen.","description":"Es nutzt Eigenheiten dieses Systems wie Treiber, Registrierung und Systemdienste, um Prozesse und Dateien zu verbergen. Die Ausrichtung auf eine Plattform unterscheidet es von plattform\u00fcbergreifenden Techniken.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33705],"pillar_link":null,"sources":[{"publisher":"","name":"Rootkit, Technique T1014","url":"https:\/\/attack.mitre.org\/techniques\/T1014\/","doc_type":"","group":"used"},{"publisher":"","name":"Pre-OS Boot: Bootkit, Sub-technique T1542.003","url":"https:\/\/attack.mitre.org\/techniques\/T1542\/003\/","doc_type":"","group":"used"},{"publisher":"","name":"Sony BMGs Kopierschutz mit Rootkit-Funktionen","url":"https:\/\/www.heise.de\/news\/Sony-BMGs-Kopierschutz-mit-Rootkit-Funktionen-143366.html","doc_type":"2005","group":"used"},{"publisher":"","name":"Malware, Viren und Trojaner - Das Sch\u00e4dlings-ABC","url":"https:\/\/www.heise.de\/download\/blog\/Malware-Viren-und-Trojaner-Das-Schaedlings-ABC-3356219","doc_type":"","group":"used"},{"publisher":"","name":"LoJax, Software S0397","url":"https:\/\/attack.mitre.org\/software\/S0397\/","doc_type":"","group":"used"},{"publisher":"","name":"What is a Bootkit? Detection and Prevention Guide","url":"https:\/\/www.sentinelone.com\/cybersecurity-101\/cybersecurity\/bootkit\/","doc_type":"","group":"used"},{"publisher":"","name":"Rootkit \u2013 Wikipedia","url":"https:\/\/de.wikipedia.org\/wiki\/Rootkit","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-05"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Rootkit?<\/h2>\n
Woran erkenne ich Rootkit?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Nicht autorisiertes oder auff\u00e4lliges Laden von Kernel-Treibern oder DLLs<\/td>\n Ein Treiber oder eine DLL wird geladen, f\u00fcr die keine Freigabe vorliegt<\/td>\n<\/tr>\n \n Verborgene Dienste<\/td>\n Ein Dienst ist aktiv, taucht aber in den regul\u00e4ren \u00dcbersichten nicht auf<\/td>\n<\/tr>\n \n Auff\u00e4llig ver\u00e4nderte Boot-Komponenten<\/td>\n Bootsektor oder weitere Boot-Komponenten weichen vom Soll-Zustand ab<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n