Ein Remote Access Trojan stellt Angreifern eine M\u00f6glichkeit zur Fernsteuerung des infizierten Ger\u00e4ts bereit. Mit den sogenannten Fakem-RATs konnten Angreifer aus der Ferne auf den PCs der Opfer Ordner durchsuchen, Screenshots anfertigen, Webcams und Mikrofone steuern und Daten abgreifen. Ein weiteres dokumentiertes RAT ist gh0st RAT, dessen Quellcode laut MITRE ATT&CK \u00f6ffentlich ist und von mehreren Gruppen genutzt wurde. Beim BalkanRAT war der Angreifer nicht an eingebaute Befehle oder seine Programmierkenntnisse beschr\u00e4nkt: Er konnte Aktionen manuell ausf\u00fchren<\/strong>, was bei einer Backdoor Unmengen an Code bedeuten w\u00fcrde. In der BalkanRAT-Kampagne bedrohten eine Backdoor und ein Remote Access Trojan gemeinsam Unternehmen in der Balkan-Region.<\/p>\n
Gelangt ein Remote Access Trojan auf den Rechner eines Mitarbeiters, kann der Angreifer etwa aus der Ferne Ordner durchsuchen, Screenshots anfertigen und Daten eines Versicherers abgreifen. Laut BSI \u00f6ffnen Schadprogramme mit Backdoor-Funktion eine Hintert\u00fcr f\u00fcr Cyber-Kriminelle, die einen heimlichen Fernzugriff<\/strong> auf das betroffene System erm\u00f6glicht. Dieselbe Technik der Fernsteuerung dient in legitimer Form der Fernwartung und Remoteverwaltung von Computern: Rechner werden dabei von entfernten Orten aus angemeldet und f\u00fcr Reparatur- oder Wartungsarbeiten ferngesteuert.<\/p>\n
Wie funktioniert Remote Access Trojan?<\/h2>\n
Ein Remote Access Trojan kann \u00fcber E-Mails auf ein Ger\u00e4t gelangen, die mit Social Engineering arbeiten. Bei der BalkanRAT-Kampagne wurden sch\u00e4dliche E-Mails verschickt, in denen in der Mehrzahl der F\u00e4lle Links auf eine ausf\u00fchrbare Datei (.exe) als Links zu einer PDF-Datei getarnt waren. Diese E-Mails verteilten BalkanRAT und BalkanDoor auf den Rechnern der Opfer. Das Ziel des Remote Access Trojans war dort die Bereitstellung einer Kopie einer kommerziellen Remote-Utilities-Software. Die Malware-Tools konnten Ausnahmen zur Firewall<\/strong> hinzuf\u00fcgen, das Fenster und das Taskleistensymbol der Fernwartungssoftware ausblenden und das Vorhandensein aktiver Prozesse im Task-Manager verbergen.<\/p>\n
Laut MITRE ATT&CK kann gh0st RAT eine Remote-Shell \u00f6ffnen, um Befehle auszuf\u00fchren. Laut MITRE ATT&CK kann gh0st RAT au\u00dferdem den Bildschirm des Opfers aus der Ferne erfassen und hat einen Registry-Run-Key hinzugef\u00fcgt, um Persistenz herzustellen<\/strong>. Die Fakem-RATs tarnten ihre Kommunikation mit dem Angreifer, indem sie g\u00e4ngige Chat-Protokolle wie die von Microsofts oder Yahoos Messenger nachahmten.<\/p>\n
Remote Access Trojan im Vergleich<\/h2>\n
\n\n
\n
Kriterium<\/th>\n
Remote Access Trojan<\/th>\n
Trojaner<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Einordnung<\/td>\n
Eine Form des Trojaners<\/td>\n
Tritt in mehreren Formen auf, darunter Backdoor-Trojaner, Banking-Trojaner und Remote-Access-Trojaner<\/td>\n<\/tr>\n
\n
Kernfunktion<\/td>\n
Angreifer k\u00f6nnen infizierte Ger\u00e4te aus der Ferne \u00fcberwachen und steuern<\/td>\n
H\u00e4ngt von der Form ab, etwa versteckter Fernzugriff bei Backdoor-Trojanern oder das Nachladen weiterer Malware<\/td>\n<\/tr>\n
\n
Weg auf das System<\/td>\n
In der BalkanRAT-Kampagne \u00fcber sch\u00e4dliche E-Mails mit getarnten Links<\/td>\n
T\u00e4uschung als n\u00fctzliches Programm, das Nutzer selbst installieren<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Woran erkenne ich Remote Access Trojan?<\/h2>\n
\n\n
\n
Signal<\/th>\n
Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
\n
\n
Link, der als PDF-Datei erscheint, aber auf eine ausf\u00fchrbare Datei (.exe) lenkt<\/td>\n
In der BalkanRAT-Kampagne waren die Links in der Mehrzahl der F\u00e4lle so getarnt<\/td>\n<\/tr>\n
\n
Handlungen am Ger\u00e4t, obwohl der Nutzer es gerade nicht benutzt<\/td>\n
Bei Fernsteuerung \u00fcber eine grafische Oberfl\u00e4che k\u00f6nnen Handlungen des Angreifers auffallen, auch wenn der Nutzer den Computer gerade nicht benutzt<\/td>\n<\/tr>\n
\n
Neuer, nicht freigegebener Registry-Run-Key f\u00fcr den Autostart<\/td>\n
Bei gh0st RAT als Mittel zur Persistenz dokumentiert<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Mitarbeiter anweisen, in unerwarteten E-Mails keine Links und Anh\u00e4nge anzuklicken, auch bei bekannten Absendern<\/li>\n
Mitarbeiter daf\u00fcr sensibilisieren, dass Links, die wie PDF-Dateien aussehen, auf ausf\u00fchrbare Dateien f\u00fchren k\u00f6nnen<\/li>\n
Verbindlich festlegen, welche Fernwartungssoftware im Unternehmen zugelassen ist<\/li>\n<\/ul>\n
Was tun im Ernstfall<\/h3>\n
\n
Das betroffene Ger\u00e4t vom Netzwerk trennen<\/li>\n
Die interne IT-Sicherheit informieren, bevor Mitarbeiter selbst etwas deinstallieren oder bereinigen<\/li>\n
Zugangsdaten, die auf dem Ger\u00e4t verwendet wurden, sofort und von einem nicht betroffenen Ger\u00e4t aus \u00e4ndern, da der Angreifer Fernzugriff hatte<\/li>\n
Das System anschlie\u00dfend durch die IT-Sicherheit analysieren und neu aufsetzen lassen und Daten erst danach aus gepr\u00fcften, vor dem Befall erstellten Backups wiederherstellen<\/li>\n<\/ul>\n
KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33708","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Remote Access Trojans geben Angreifern Fernzugriff auf infizierte Ger\u00e4te, um sie zu \u00fcberwachen und zu steuern.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"RAT"}],"lead_definition":"Remote Access Trojan (RAT) bezeichnet ein Schadprogramm, mit dem Angreifer infizierte Ger\u00e4te aus der Ferne \u00fcberwachen und steuern k\u00f6nnen, und gilt als eine Form des Trojaners neben Backdoor- und Banking-Trojanern.","at_a_glance":[{"bullet":"Die Fernsteuerung kann \u00fcber eine grafische Oberfl\u00e4che oder \u00fcber die Kommandozeile erfolgen: Beim BalkanRAT lief die Fernsteuerung \u00fcber eine grafische Oberfl\u00e4che, bei der zugeh\u00f6rigen Backdoor BalkanDoor \u00fcber die Kommandozeile."},{"bullet":"Fernzugriff ist nicht per se sch\u00e4dlich, denn dieselbe Funktionalit\u00e4t wird legitim f\u00fcr Remoteverwaltung und Fernwartung genutzt."},{"bullet":"Bei einer best\u00e4tigten Infektion sollte laut BSI das gesamte System neu aufgesetzt werden."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Die Fakem-RATs gelangten \u00fcber E-Mails auf die Rechner, die mit Social Engineering arbeiteten."},{"example":"Bei der BalkanRAT-Kampagne gingen die Forscher von einer finanziellen Motivation aus, obwohl Backdoors und RATs laut den Forschern gerne f\u00fcr Cyber-Spionage eingesetzt wurden."},{"example":"Laut MITRE ATT&CK ist der Quellcode von gh0st RAT \u00f6ffentlich und wurde von mehreren Gruppen genutzt."},{"example":"Ein RAT auf dem Rechner eines Mitarbeiters eines Versicherers kann dem Angreifer etwa erlauben, aus der Ferne Ordner zu durchsuchen, Screenshots anzufertigen und Daten abzugreifen."}],"misconception":[{"myth":"Ein Remote Access Trojan nutzt nie kommerzielle Software, sondern nur eigens entwickelten Schadcode.","reality":"Remote Access Trojans sind nicht auf eigens entwickelten Schadcode beschr\u00e4nkt: In der BalkanRAT-Kampagne war das Ziel des Remote Access Trojans die Bereitstellung einer Kopie einer kommerziellen Remote-Utilities-Software. Diese Software stellt den Remotezugriff auf einen Computer her oder wird f\u00fcr die Remoteverwaltung gebraucht."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Fernzugriffs-Trojaner","inline_description":"Fernzugriffs-Trojaner ist eine andere Bezeichnung f\u00fcr Remote Access Trojan.","description":"Die deutsche Bezeichnung Fernzugriffs-Trojaner wird verwendet, wenn der englische Begriff vermieden werden soll, etwa in Berichten, Handb\u00fcchern oder Warnmeldungen in deutscher Sprache; inhaltlich ist dasselbe Schadprogramm gemeint.","source":"","key":""},{"title":"GravityRAT","inline_description":"GravityRAT ist ein namentlich bekannter Remote Access Trojan, der Fernzugriff auf befallene Ger\u00e4te erm\u00f6glicht.","description":"GravityRAT geh\u00f6rt als benannte Schadsoftware-Familie zu den Fernzugriffs-Trojanern. Wie andere Vertreter dieser Gruppe verschafft er Angreifern aus der Ferne Zugriff auf befallene Ger\u00e4te und deren Daten.","source":"","key":""},{"title":"JSOutProx-Malware","inline_description":"JSOutProx-Malware ist ein namentlich bekanntes, skriptbasiertes Schadprogramm mit Fernzugriffsfunktionen.","description":"JSOutProx-Malware ist eine benannte, skriptbasierte Schadsoftware-Familie aus der Gruppe der Fernzugriffs-Trojaner. Sie verschafft Angreifern Fernzugriff auf infizierte Systeme und deren Daten.","source":"","key":""},{"title":"JSSLoader","inline_description":"JSSLoader ist ein namentlich bekanntes Schadprogramm, das Fernzugriff auf infizierte Systeme bereitstellt.","description":"JSSLoader ist eine benannte Schadsoftware-Familie, die den Fernzugriffs-Trojanern zugeordnet wird. Sie stellt Angreifern einen Fernzugriff bereit, \u00fcber den sie infizierte Systeme aus der Ferne steuern k\u00f6nnen.","source":"","key":""},{"title":"Kamera-Spionage","inline_description":"Kamera-Spionage bezeichnet das heimliche Aktivieren der Kamera eines Ger\u00e4ts, um Bilder oder Videos abzugreifen.","description":"Kamera-Spionage z\u00e4hlt zu den typischen \u00dcberwachungsfunktionen eines Fernzugriffs-Trojaners: Die Angreifer greifen aus der Ferne auf die Kamera zu, ohne dass eine Anzeige oder Zustimmung auf dem Ger\u00e4t erfolgt.","source":"","key":""},{"title":"Loda RAT","inline_description":"Loda RAT ist ein namentlich bekannter Remote Access Trojan zur Fernsteuerung infizierter Ger\u00e4te.","description":"Loda RAT wird als benannte Familie unter den Fernzugriffs-Trojanern gef\u00fchrt und \u00fcber den Namen von anderen Vertretern der Gruppe unterschieden; er bietet die f\u00fcr diese Schadprogramme \u00fcblichen \u00dcberwachungsfunktionen.","source":"","key":""},{"title":"Mobile-RAT","inline_description":"Mobile-RAT ist ein Remote Access Trojan, der auf Smartphones und Tablets statt auf Computern arbeitet.","description":"Mobile-RATs nutzen Funktionen mobiler Ger\u00e4te wie Kamera, Mikrofon, Nachrichten und Standortdaten f\u00fcr die \u00dcberwachung und unterscheiden sich damit von RATs, die auf Desktop-Systeme ausgelegt sind.","source":"","key":""},{"title":"QRAT","inline_description":"QRAT ist ein namentlich bekannter Remote Access Trojan zur Fernsteuerung infizierter Ger\u00e4te.","description":"QRAT wird als benannte Schadsoftware-Familie unter den Fernzugriffs-Trojanern gef\u00fchrt; der Name dient dazu, ihn in Analysen und Warnmeldungen von anderen RAT-Familien zu unterscheiden.","source":"","key":""},{"title":"Remote Access Trojaner","inline_description":"Remote Access Trojaner ist eine andere Schreibweise f\u00fcr Remote Access Trojan.","description":"Die Form mit der Endung -er folgt der deutschen Wortbildung, bei der Trojaner die Person oder Sache bezeichnet; sie erscheint in Flie\u00dftexten und Suchanfragen neben der Schreibweise ohne Endung.","source":"","key":""},{"title":"XtremeRAT","inline_description":"XtremeRAT bietet unter Windows Dateizugriff, Tastaturmitschnitt und Fernsteuerung und ist langj\u00e4hrig bekannt.","description":"XtremeRAT geh\u00f6rt zu den langj\u00e4hrig bekannten Fernzugriffs-Trojanern und bietet Funktionen wie Dateizugriff, Tastaturmitschnitt und Fernsteuerung. Er wird als eigene Schadsoftware-Familie gef\u00fchrt.","source":"","key":""},{"title":"Xworm-RAT","inline_description":"Xworm-RAT ist ein namentlich bekannter Remote Access Trojan zur Fernsteuerung infizierter Systeme.","description":"Xworm-RAT wird als benannte Familie unter den Fernzugriffs-Trojanern gef\u00fchrt; die Bezeichnung dient dazu, ihn in Berichten von anderen Schadprogrammen mit Fernzugriffsfunktionen zu unterscheiden.","source":"","key":""},{"title":"Yellow Cockatoo","inline_description":"Yellow Cockatoo ist die Bezeichnung f\u00fcr eine Bedrohung im Umfeld von Fernzugriffs-Trojanern.","description":"Der Name Yellow Cockatoo steht f\u00fcr eine von Sicherheitsforschern benannte Bedrohung, die mit einem Fernzugriffs-Trojaner in Verbindung gebracht wird; ob damit Malware oder eine Kampagne gemeint ist, h\u00e4ngt vom Bericht ab.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33704,33717,33728],"pillar_link":null,"sources":[{"publisher":"","name":"Unternehmen im Balkan durch Backdoor & RAT-Malware bedroht","url":"https:\/\/www.welivesecurity.com\/deutsch\/2019\/08\/14\/backdoor-rat-malware-balkan\/","doc_type":"2019","group":"used"},{"publisher":"","name":"Trojaner tarnen sich mit Chat-Protokollen","url":"https:\/\/www.heise.de\/news\/Trojaner-tarnen-sich-mit-Chat-Protokollen-1787747.html","doc_type":"","group":"used"},{"publisher":"","name":"gh0st RAT, Software S0032","url":"https:\/\/attack.mitre.org\/software\/S0032\/","doc_type":"","group":"used"},{"publisher":"","name":"Schadprogramme erkennen und sich sch\u00fctzen","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Cyber-Sicherheitslage\/Methoden-der-Cyber-Kriminalitaet\/Schadprogramme\/schadprogramme_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Formen von Malware","url":"https:\/\/www.trendmicro.com\/de_de\/what-is\/endpoint-security\/types-of-malware.html","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-05"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t