{"id":33738,"date":"2026-10-22T17:11:57","date_gmt":"2026-10-22T15:11:57","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/cryptominer\/"},"modified":"2026-10-26T14:38:45","modified_gmt":"2026-10-26T13:38:45","slug":"cryptominer","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/cryptominer\/","title":{"rendered":"Cryptominer"},"content":{"rendered":"

Was ist Cryptominer?<\/h2>\n

Cryptominer erzeugen Kryptow\u00e4hrung f\u00fcr Angreifer, indem sie auf fremden Systemen Berechnungen im Proof-of-Work-Verfahren ausf\u00fchren. Die dabei anfallenden Berechnungen verbrauchen Rechenleistung des befallenen Systems, w\u00e4hrend die erzielten Ertr\u00e4ge bei den Angreifern landen. Daf\u00fcr kommen Kryptow\u00e4hrungen infrage, die sich mit gew\u00f6hnlicher Hardware noch rentabel sch\u00fcrfen lassen, etwa Monero. Ein auf dem System installierter Miner l\u00e4uft als eigenst\u00e4ndiger Prozess<\/strong>, der sich als legitimer Systemdienst tarnen kann. Als Cryptominer kann auch ein legitimes Open-Source-Mining-Programm dienen, das Kriminelle auf fremde Rechner schleusen, um dauerhaft von deren Rechenleistung zu profitieren.<\/p>\n

Ein Cryptominer missbraucht die Rechenleistung kompromittierter Systeme eines Versicherers zum Sch\u00fcrfen von Kryptow\u00e4hrungen; dadurch k\u00f6nnen Energieverbrauch steigen, Hardware belastet und die Systemleistung beeintr\u00e4chtigt werden. Auch Cloud-Ressourcen k\u00f6nnen betroffen sein, wenn Angreifer Fehlkonfigurationen und Softwaresicherheitsl\u00fccken ausnutzen. Der Befall bleibt wom\u00f6glich lange unentdeckt, weil die Sch\u00e4den gering erscheinen und Cryptojacking oft als geringf\u00fcgiges Problem betrachtet wird. Stellen sich die Angreifer geschickt an, bleiben ihnen Tage bis Wochen oder gar Monate<\/strong>, bevor die Opfer das Problem erkennen. Die Angreifer nutzen daf\u00fcr die Rechenkapazit\u00e4t der Opfer, die auch die Stromkosten tragen.<\/p>\n

Wie funktioniert Cryptominer?<\/h2>\n

Ein Cryptominer gelangt \u00fcber Fehlkonfigurationen, Softwaresicherheitsl\u00fccken oder manipulierte Komponenten auf ein System und rechnet dort im Hintergrund f\u00fcr die Angreifer. Dokumentierte Zugangswege sind offen erreichbare Verwaltungsoberfl\u00e4chen<\/strong> wie Dashboards und Schnittstellen, \u00fcber die eine Kampagne den quelloffenen Miner XMRig aus \u00f6ffentlichen Release-Archiven nachlud, statt eigene Schadsoftware einzusetzen. In einer anderen Kampagne wurde ein von Webseiten eingebundenes Plugin um ein verstecktes Mining-Skript erg\u00e4nzt, das auf den Rechnern der Besucher lief. Auch ungesch\u00fctzte Workflow-Instanzen in Kubernetes-Umgebungen wurden genutzt. Anders als fr\u00fchere Kampagnen mit JavaScript im Browser nistete sich der Schadcode in einem dokumentierten Fall dauerhaft auf den Rechnern ein.<\/p>\n

Nach der Infektion belegt der Miner CPU oder GPU. Cryptojacking-Malware kann wurmartige Eigenschaften besitzen und sich im Netzwerk ausbreiten. Eine dokumentierte Variante stoppt das Mining, sobald der PC im Akkubetrieb l\u00e4uft oder ein Task-Manager entdeckt wird. Dauerhaft hohe Auslastung kann die Hardware abnutzen, besonders bei Systemen, die rund um die Uhr<\/strong> nahe der Kapazit\u00e4tsgrenze laufen; mehrere ausgelastete Systeme lassen die Stromkosten einer Organisation steigen.<\/p>\n

Cryptominer im Vergleich<\/h2>\n\n\n\n\n\n\n
Kriterium<\/th>\nCryptominer<\/th>\nRansomware<\/th>\n<\/tr>\n<\/thead>\n
Wahrnehmung als Bedrohung<\/td>\nWird oft als geringf\u00fcgiges Problem betrachtet, weil die Sch\u00e4den gering erscheinen.<\/td>\nWird als Bedrohung wahrgenommen.<\/td>\n<\/tr>\n
Zugangsweg<\/td>\nGelangt etwa \u00fcber Fehlkonfigurationen und Softwaresicherheitsl\u00fccken auf das System; ein eingebauter Miner kann anzeigen, dass das System f\u00fcr Angreifer erreichbar ist.<\/td>\n\u00dcber dieselben Schwachstellen k\u00f6nnen auch Ransomware-Akteure Systeme infizieren.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Woran erkenne ich einen Cryptominer?<\/h2>\n\n\n\n\n\n\n\n\n
Signal<\/th>\nWoran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
Dauerhaft hohe CPU-Auslastung<\/td>\nDie Auslastung kann hoch bleiben, auch wenn keine Anwendungen laufen.<\/td>\n<\/tr>\n
Starke W\u00e4rmeentwicklung<\/td>\nDas System kann hei\u00df laufen, und die L\u00fcfter k\u00f6nnen mit voller Drehzahl laufen.<\/td>\n<\/tr>\n
Verd\u00e4chtige Prozesse und Verbindungen<\/td>\nAnhaltend hohe CPU-Last zusammen mit verd\u00e4chtigen Befehlszeilen (etwa Mining-Tools oder verschleierte Skripte) und ausgehenden Verbindungen zu Mining- oder Proxy-Netzwerken.<\/td>\n<\/tr>\n
\u00dcberm\u00e4\u00dfig lange laufende Workflows<\/td>\nIn Cluster-Umgebungen kann ein Workflow, der \u00fcberm\u00e4\u00dfig lange l\u00e4uft, auf einen bereitgestellten Miner hinweisen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Systeme und Cloud-Ressourcen richtig konfigurieren und Sicherheitsl\u00fccken schlie\u00dfen, weil Angreifer Fehlkonfigurationen und Schwachstellen f\u00fcr den Zugang nutzen.<\/li>\n
  • Das Netzwerk segmentieren; Segmentierung kann verhindern, dass sich Mining-Malware seitlich im Netz ausbreitet.<\/li>\n
  • DNS-Filter einsetzen, die Verbindungen zu bekannten Mining-Pools verhindern sollen.<\/li>\n
  • Laufzeiten von Workflows und die CPU-Auslastung von Servern durch die IT \u00fcberwachen lassen.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Das betroffene System vom Netzwerk trennen.<\/li>\n
    • Den Vorfall sofort der IT-Sicherheit melden.<\/li>\n
    • Das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen.<\/li>\n
    • Die Fehlkonfiguration oder Sicherheitsl\u00fccke, \u00fcber die der Miner eingedrungen ist, schlie\u00dfen lassen, bevor das System wieder ans Netz geht.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33738","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Ein Cryptominer verbraucht fremde CPU- oder GPU-Leistung zum Sch\u00fcrfen von Kryptow\u00e4hrung; Opfer erkennen das wom\u00f6glich erst nach Wochen.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Ein Cryptominer ist im Sicherheitskontext ein Programm oder Skript, das heimlich die Rechenleistung von CPU oder GPU fremder Ger\u00e4te zum Sch\u00fcrfen von Kryptow\u00e4hrungen nutzt, damit die Angreifer virtuelle W\u00e4hrung verdienen.","at_a_glance":[{"bullet":"Die Energiekosten der Opfer k\u00f6nnen den Gewinn der T\u00e4ter um ein Vielfaches \u00fcbersteigen."},{"bullet":"Bleibt die CPU-Auslastung auch ohne laufende Anwendungen hoch und laufen die L\u00fcfter auf voller Drehzahl, kann das auf einen Cryptominer hinweisen."},{"bullet":"Der Zugang gelingt etwa \u00fcber Fehlkonfigurationen und Softwaresicherheitsl\u00fccken."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"In einer dokumentierten Kampagne wurde der quelloffene Miner XMRig in Standardversionen aus \u00f6ffentlichen Release-Archiven auf Systeme mit offen erreichbaren Dashboards und Docker-Engine-Schnittstellen geladen."},{"example":"Im Jahr 2018 enthielten Tausende Webseiten, darunter Beh\u00f6rdenauftritte, \u00fcber ein manipuliertes Plugin ein verstecktes Mining-Skript namens CoinHive."},{"example":"Dokumentiert ist, dass Angreifer ungesch\u00fctzte Workflow-Instanzen in Kubernetes-Umgebungen missbrauchen, um Cryptominer bereitzustellen; ungesch\u00fctzte Instanzen fanden sich bei Organisationen aus Technologie, Finanzwesen und Logistik."},{"example":"L\u00e4uft auf Systemen eines Versicherers ein Cryptominer, k\u00f6nnen Energieverbrauch und Hardwarebelastung steigen und die Leistung der Systeme leiden."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Kryptomining-Malware","inline_description":"Kryptomining-Malware ist Schadsoftware, die heimlich Rechenleistung f\u00fcr das Sch\u00fcrfen von Kryptow\u00e4hrung nutzt.","description":"Sie gelangt \u00fcber manipulierte Downloads, Sicherheitsl\u00fccken oder Browser-Skripte auf Ger\u00e4te. Sp\u00fcrbar wird sie durch hohe Auslastung, L\u00fcfterl\u00e4rm und steigenden Stromverbrauch, w\u00e4hrend Daten meist unangetastet bleiben.","source":"","key":""},{"title":"Rogue-Kryptominer","inline_description":"Rogue-Kryptominer ist ein Miner, der ohne Wissen und Einwilligung der Eigent\u00fcmer auf Systemen l\u00e4uft.","description":"Das Wort rogue grenzt ihn von bewusst betriebenem Mining ab. Der Erl\u00f6s flie\u00dft an die Angreifer, die Kosten f\u00fcr Strom und Verschlei\u00df tragen die betroffenen Ger\u00e4te- oder Cloud-Betreiber.","source":"","key":""},{"title":"XMRig-Miner","inline_description":"XMRig-Miner ist eine quelloffene Mining-Software, die h\u00e4ufig missbr\u00e4uchlich in Schadprogramme eingebunden wird.","description":"Das Programm selbst ist legitim und frei verf\u00fcgbar. Angreifer nutzen es als fertigen Baustein, um infizierte Rechner ohne eigenen Entwicklungsaufwand zum Sch\u00fcrfen einzusetzen, weshalb Sicherheitsl\u00f6sungen es als potenziell unerw\u00fcnscht einstufen.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33690],"pillar_link":null,"sources":[{"publisher":"","name":"What is Cryptojacking? Types & Real World Examples","url":"https:\/\/www.sentinelone.com\/cybersecurity-101\/cybersecurity\/cryptojacking\/","doc_type":"2025","group":"used"},{"publisher":"","name":"Cryptojacking ist Energiediebstahl","url":"https:\/\/www.trendmicro.com\/de_de\/research\/24\/a\/cryptojacking-ist-energiediebstahl.html","doc_type":"2024","group":"used"},{"publisher":"","name":"Mitigate cryptocurrency mining attacks on Google Cloud | Security","url":"https:\/\/cloud.google.com\/architecture\/security\/bps-for-protecting-against-crytocurrency-attacks","doc_type":"2023","group":"used"},{"publisher":"","name":"Threat Actors Target Kubernetes Clusters via Argo Workflows","url":"https:\/\/www.securityweek.com\/threat-actors-target-kubernetes-clusters-argo-workflows\/","doc_type":"2021","group":"used"},{"publisher":"","name":"Malware installiert Krypto-Mining-Tool XMRig auf Millionen PCs","url":"https:\/\/www.heise.de\/security\/meldung\/Malware-installiert-Krypto-Mining-Tool-XMRig-auf-Millionen-PCs-3952276.html","doc_type":"2018","group":"used"},{"publisher":"","name":"Cryptojackers Caught Mining Monero via Exposed DevOps Infrastructure","url":"https:\/\/www.securityweek.com\/cryptojackers-caught-mining-monero-via-exposed-devops-infrastructure\/","doc_type":"2025","group":"used"},{"publisher":"","name":"Cryptocurrency mining takes new twist as government websites attacked","url":"https:\/\/www.welivesecurity.com\/2018\/02\/12\/government-websites-mine-cryptocurrency\/","doc_type":"2018","group":"used"},{"publisher":"","name":"Stantinko Botnet nun mit Coinminer ausgestattet","url":"https:\/\/www.welivesecurity.com\/deutsch\/2019\/11\/26\/stantinko-botnet-coinminer\/","doc_type":"2019","group":"used"},{"publisher":"","name":"Resource Hijacking, Technique T1496 - Enterprise | MITRE ATT&CK\u00ae","url":"https:\/\/attack.mitre.org\/techniques\/T1496\/","doc_type":"2025","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-07"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t