Obfuscation ist eine Verschleierungstechnik, bei der der Inhalt von Dateien, Skripten oder Befehlen so ver\u00e4ndert wird, dass Erkennung und Analyse erschwert werden, die beabsichtigte Funktion aber erhalten bleibt. Laut MITRE ATT&CK k\u00f6nnen Angreifer versuchen, eine ausf\u00fchrbare Datei schwer auffindbar oder analysierbar zu machen, indem sie ihren Inhalt verschl\u00fcsseln, kodieren oder anderweitig verschleiern. Laut MITRE ATT&CK ist Befehlszeilen-Verschleierung ein Verfahren, das es erschwert, Zeichenketten und Muster in Befehlen und Skripten mit Erkennungssignaturen zu erfassen und zu analysieren. Auf verschiedenen Plattformen und im Netzwerk l\u00e4sst sich dieses Vorgehen einsetzen, um Abwehrma\u00dfnahmen zu umgehen. Verschleierungstechniken f\u00fcr PowerShell-Skripte k\u00f6nnen sich gegen statische, signaturbasierte Erkennung<\/strong> als recht wirksam erweisen.<\/p>\n Weil Obfuscation die tats\u00e4chliche Funktionsweise eines Programms verbirgt, kann verschleierter Schadcode Antivirenprogramme und Sicherheitsanalysten eines Versicherers t\u00e4uschen, ohne dass sich seine beabsichtigte Funktionalit\u00e4t \u00e4ndert. Ein unauff\u00e4lliger Scan-Befund schlie\u00dft deshalb nicht aus, dass eine Datei verschleierten Schadcode enth\u00e4lt. F\u00fcr die IT-Sicherheit z\u00e4hlt deshalb nicht nur, wie eine Datei aussieht, sondern auch, was sie beim Ausf\u00fchren bewirkt. Manche Schadprogramme verraten sich durch ihr Verhalten<\/strong>, sobald sie auf dem Rechner aktiv werden.<\/p>\n Obfuscation wirkt \u00fcber unterschiedliche Verfahren, die lesbare Merkmale einer Datei oder eines Befehls verdecken, ohne den Zweck des Codes zu ver\u00e4ndern. Laut MITRE ATT&CK k\u00f6nnen Nutzlasten komprimiert, archiviert oder verschl\u00fcsselt werden, um eine Erkennung zu vermeiden. Teile von Dateien lassen sich zudem kodieren, sodass Klartext-Zeichenketten verborgen bleiben, die Verteidigern sonst bei der Entdeckung helfen w\u00fcrden. Nutzlasten k\u00f6nnen au\u00dferdem in mehrere, scheinbar harmlose Dateien<\/strong> aufgeteilt werden, die ihre sch\u00e4dliche Funktion erst beim Zusammensetzen offenbaren.<\/p>\n Eingef\u00fcgter Junk-Code soll die Funktionsweise von Schadsoftware verschleiern; gemeint ist Code, der entweder nicht ausgef\u00fchrt wird oder die Funktionalit\u00e4t des Codes nicht ver\u00e4ndert. Das macht die Analyse schwieriger und zeitaufwendiger, weil der Analyst nicht funktionalen Code<\/strong> durchgeht, statt den eigentlichen Code zu untersuchen. Bei Befehlen unterst\u00fctzen laut MITRE ATT&CK viele Sprachen eine eingebaute Verschleierung in Form von Base64- oder URL-Kodierung, und Tricks wie Directory Traversal k\u00f6nnen Verweise auf die aufgerufene Programmdatei verschleiern.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33714","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Obfuscation verbirgt den Inhalt von Dateien, Skripten oder Befehlen, damit sie sich schwerer entdecken und analysieren lassen.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Obfuskation"},{"value":"Verschleierung"}],"lead_definition":"Obfuscation bezeichnet im Zusammenhang mit Angriffen das absichtliche Verschleiern von Dateien, Skripten oder Befehlen, damit Abwehrma\u00dfnahmen und Analysten sie nur schwer entdecken oder auswerten k\u00f6nnen, ohne dass sich die beabsichtigte Funktion \u00e4ndert.","at_a_glance":[{"bullet":"Obfuscation ist ein Vorgehen, kein einzelnes Schadprogramm: Dieselbe Methode kann ganze Dateien, Teile davon oder einzelne Befehlszeilen betreffen."},{"bullet":"Laut MITRE ATT&CK k\u00f6nnen verhaltensbasierte Erkennungen helfen, b\u00f6sartige Dateien zu identifizieren, die stark auf Junk-Code setzen, statt sich auf statische Code-Analyse zu verlassen."},{"bullet":"Verschleierte PowerShell-Skripte in Malspam-Kampagnen k\u00f6nnen von VBA-Makros in Office-Dokumenten gestartet werden und als Download-Cradle weiteren Schadcode nachladen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein PowerShell-Skript aus einer Malspam-Kampagne, die den Infostealer Azorult auslieferte, ist zun\u00e4chst in zwei Schichten Base64 kodiert; erst nach dem Dekodieren beider Schichten werden die Klartext-Zeichenketten sichtbar."},{"example":"Ein Befehl wird mit Base64- oder URL-Kodierung so umgeformt, dass seine Muster in der Befehlszeile schwerer mit Erkennungssignaturen zu erfassen sind, seine beabsichtigte Funktionalit\u00e4t aber erhalten bleibt."},{"example":"Laut MITRE ATT&CK hat die Gruppe APT32 das Invoke-Obfuscation-Framework eingesetzt, um ihren PowerShell-Code zu verschleiern."},{"example":"Ein Mitarbeiter eines Versicherers \u00f6ffnet eine Datei mit verschleiertem Schadcode: Weil die tats\u00e4chliche Funktionsweise verborgen bleibt, k\u00f6nnen Antivirenprogramm und Sicherheitsanalyst get\u00e4uscht werden, ohne dass sich die beabsichtigte Funktionalit\u00e4t des Programms \u00e4ndert."}],"misconception":[{"myth":"Ein Antivirenprogramm mit Signaturabgleich erkennt Schadsoftware auch dann zuverl\u00e4ssig, wenn ihr Code ver\u00e4ndert oder verschleiert wurde.","reality":"Signaturbasierte Scans funktionieren nur bei bekannter Malware und erfordern eine vorherige Analyse der Datei; mit Tricks wie polymorphen Sch\u00e4dlingen lassen sie sich t\u00e4uschen."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Code-Obfuskation","inline_description":"Code-Obfuskation bezeichnet das Verschleiern von Programmcode, damit er schwer lesbar und analysierbar ist.","description":"Schadsoftware nutzt Verfahren wie Umbenennen, Verschl\u00fcsseln oder Umstrukturieren von Code, um Analyse und signaturbasierte Erkennung zu erschweren. Das Verhalten des Programms bleibt dabei unver\u00e4ndert.","source":"","key":""},{"title":"Dead-Code-Insertion","inline_description":"Dead-Code-Insertion ist das Einf\u00fcgen von funktionslosem Code, um die Analyse eines Programms zu erschweren.","description":"Der zus\u00e4tzliche Code ver\u00e4ndert das Verhalten nicht, vergr\u00f6\u00dfert aber das Programm und verschleiert den eigentlichen Ablauf. Dadurch weichen Signaturen ab und manuelle Analysen werden aufwendiger.","source":"","key":""},{"title":"Dynamische Payload","inline_description":"Dynamische Payload bezeichnet Schadcode, der erst zur Laufzeit erzeugt, nachgeladen oder entschl\u00fcsselt wird.","description":"Weil der eigentliche Schadteil nicht im Ausgangsprogramm liegt, findet eine statische Pr\u00fcfung zun\u00e4chst nur harmlos wirkenden Code. Die Nutzlast kann sich zudem je nach Umgebung unterscheiden.","source":"","key":""},{"title":"Java-Code-Obfuskation","inline_description":"Java-Code-Obfuskation ist das Verschleiern von Java-Programmen, sodass sich ihr Aufbau schwer nachvollziehen l\u00e4sst.","description":"Typische Mittel sind das Umbenennen von Klassen, Methoden und Variablen sowie das Umstrukturieren des Kontrollflusses. Sie sch\u00fctzt geistiges Eigentum, wird aber auch von Schadsoftware verwendet.","source":"","key":""},{"title":"JavaScript-Obfuskation","inline_description":"JavaScript-Obfuskation ist das gezielte Unleserlichmachen von JavaScript-Code, damit er sich schwer analysieren l\u00e4sst.","description":"Skripte werden etwa durch Kodierung von Zeichenketten, Umbenennung und verschachtelte Funktionen ver\u00e4ndert. Der Browser f\u00fchrt sie unver\u00e4ndert aus, w\u00e4hrend Analysten den Zweck erst nach Entschl\u00fcsselung erkennen.","source":"","key":""},{"title":"JavaScript-Polymorphismus","inline_description":"JavaScript-Polymorphismus bezeichnet Skripte, die ihre Gestalt bei jeder Verbreitung \u00e4ndern, aber gleich funktionieren.","description":"Durch automatisch erzeugte Varianten desselben Codes entgehen die Skripte signaturbasierter Erkennung. Das Prinzip entspricht dem polymorpher Malware, angewandt auf Web-Skripte.","source":"","key":""},{"title":"Junk-Byte-Padding","inline_description":"Junk-Byte-Padding ist das Anf\u00fcgen bedeutungsloser Bytes an eine Datei, um ihren Fingerabdruck zu ver\u00e4ndern.","description":"Die F\u00fcllbytes beeinflussen die Ausf\u00fchrung nicht, ver\u00e4ndern aber Gr\u00f6\u00dfe und Hashwert. So k\u00f6nnen Pr\u00fcfungen umgangen werden, die auf bekannten Dateisignaturen beruhen.","source":"","key":""},{"title":"LNK-Obfuscation","inline_description":"LNK-Obfuscation bezeichnet das Verschleiern von Befehlen in Windows-Verkn\u00fcpfungsdateien mit der Endung LNK.","description":"Die Verkn\u00fcpfung enth\u00e4lt verschleierte Aufrufe, die beim \u00d6ffnen Skripte oder Programme starten. Weil Verkn\u00fcpfungen harmlos wirken, werden sie h\u00e4ufig als Ausl\u00f6ser in Infektionsketten eingesetzt.","source":"","key":""},{"title":"Metamorphe Malware","inline_description":"Metamorphe Malware ist Schadsoftware, die bei jeder Vervielf\u00e4ltigung ihren eigenen Code vollst\u00e4ndig umschreibt.","description":"Anders als bei einfacher Verschl\u00fcsselung bleibt kein gleichbleibender Kern erkennbar, da sich Struktur und Befehlsfolge neu zusammensetzen. Die Erkennung per Signatur wird dadurch stark erschwert.","source":"","key":""},{"title":"NTFS-ADS-Missbrauch","inline_description":"NTFS-ADS-Missbrauch bezeichnet das Verstecken von Daten oder Code in alternativen Datenstr\u00f6men des Dateisystems NTFS.","description":"Alternative Datenstr\u00f6me h\u00e4ngen an einer Datei, ohne in \u00fcblichen Verzeichnisansichten sichtbar zu sein. Angreifer nutzen sie, um Nutzlasten zu verbergen und Spuren zu verwischen.","source":"","key":""},{"title":"Oligomorphe Malware","inline_description":"Oligomorphe Malware ist Schadsoftware, die aus wenigen Entschl\u00fcsselungsroutinen jeweils eine ausw\u00e4hlt.","description":"Sie wechselt ihre Routine zwischen Infektionen, jedoch nur in wenigen Auspr\u00e4gungen. Damit steht sie zwischen einfach verschl\u00fcsselter und polymorpher Malware und l\u00e4sst sich leichter erkennen als diese.","source":"","key":""},{"title":"Quellcode-Verschleierung","inline_description":"Quellcode-Verschleierung ist das absichtliche Ver\u00e4ndern von Quelltext, sodass er schwer lesbar bleibt.","description":"Sie sch\u00fctzt Programme vor Nachbau oder Analyse, etwa bei kommerzieller Software, und wird in Lieferketten gelegentlich f\u00fcr sch\u00e4dlichen Code missbraucht. Die Programmlogik bleibt dabei unver\u00e4ndert.","source":"","key":""},{"title":"Schadsoftware-Variante","inline_description":"Schadsoftware-Variante bezeichnet eine abgewandelte Fassung einer bereits bekannten Schadsoftware.","description":"Varianten entstehen, wenn Autoren Code, Verpackung oder Verschleierung anpassen, damit bestehende Erkennungsmuster nicht mehr greifen. Die Grundfunktion bleibt meist erhalten, w\u00e4hrend sich \u00e4u\u00dfere Merkmale \u00e4ndern.","source":"","key":""},{"title":"Verschleierter Code","inline_description":"Verschleierter Code bezeichnet Programmcode, dessen Aufbau und Zweck durch Verschleierung verborgen wird.","description":"Der Ausdruck beschreibt das Ergebnis der Verschleierung: Programmtext, dessen Aufbau und Zweck f\u00fcr Analysten und Erkennungswerkzeuge nicht unmittelbar erkennbar ist. Er findet sich h\u00e4ufig in Skripten und nachgeladenen Modulen.","source":"","key":""},{"title":"Verschleierung","inline_description":"Verschleierung ist eine andere Bezeichnung f\u00fcr Obfuscation, also das Unkenntlichmachen von Code oder Daten.","description":"Der deutsche Begriff wird f\u00fcr das Unkenntlichmachen von Code, Dateien oder Befehlen verwendet, in der Malware-Analyse ebenso wie beim Schutz von Software. Er steht oft f\u00fcr Obfuscation im weiteren Sinn.","source":"","key":""},{"title":"XOR-Verschleierung","inline_description":"XOR-Verschleierung ist das Maskieren von Daten oder Code mit einer XOR-Verkn\u00fcpfung und einem Schl\u00fcsselwert.","description":"Die einfache Rechenoperation l\u00e4sst sich mit demselben Schl\u00fcssel umkehren und eignet sich daher f\u00fcr schnelles Ver- und Entschl\u00fcsseln. Malware setzt sie ein, um Zeichenketten oder Nutzlasten vor einfachen Pr\u00fcfungen zu verbergen.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33722,33729,33726],"pillar_link":null,"sources":[{"publisher":"","name":"Obfuscated Files or Information, Technique T1027","url":"https:\/\/attack.mitre.org\/techniques\/T1027\/","doc_type":"","group":"used"},{"publisher":"","name":"Virenschutz und falsche Antivirensoftware","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Cyber-Sicherheitsempfehlungen\/Virenschutz-Firewall\/Virenschutzprogramme\/virenschutzprogramme.html","doc_type":"","group":"used"},{"publisher":"","name":"Deconstructing PowerShell Obfuscation in Malspam Campaigns","url":"https:\/\/www.sentinelone.com\/blog\/deconstructing-powershell-obfuscation-in-malspam-campaigns\/","doc_type":"2024","group":"used"},{"publisher":"","name":"Obfuscated Files or Information: Command Obfuscation, Sub-technique T1027.010","url":"https:\/\/attack.mitre.org\/techniques\/T1027\/010\/","doc_type":"","group":"used"},{"publisher":"","name":"Obfuscated Files or Information: Junk Code Insertion, Sub-technique T1027.016","url":"https:\/\/attack.mitre.org\/techniques\/T1027\/016\/","doc_type":"","group":"used"},{"publisher":"","name":"Das Antivirus-Lexikon: Was bedeutet eigentlich\u2026","url":"https:\/\/www.heise.de\/ratgeber\/Das-Antivirus-Lexikon-Was-bedeutet-eigentlich-1105792.html","doc_type":"2010","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-05"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Obfuscation?<\/h2>\n
Woran erkenne ich Obfuscation?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n \u00dcberm\u00e4\u00dfiger Einsatz von Escape-Zeichen in Befehlszeilen<\/td>\n Muster der Befehlszeilen-Verschleierung in der Befehlszeilen-Aktivit\u00e4t<\/td>\n<\/tr>\n \n Base64-kodierte oder zusammengesetzte (konkatenierte) Befehle<\/td>\n Syntaktische Verschleierungsmuster in Befehlen und Skripten, etwa Base64-Kodierung oder aneinandergeh\u00e4ngte Befehlsteile; f\u00fcr sich genommen ein Hinweis, der zu pr\u00fcfen ist<\/td>\n<\/tr>\n \n Befehle mit ungew\u00f6hnlicher L\u00e4nge oder Entropie<\/td>\n Ausrei\u00dfer bei L\u00e4nge und Entropie im Vergleich zur \u00fcbrigen Befehlszeilen-Aktivit\u00e4t<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n