Schadsoftware erkennen und loswerden

Kriminelle finden immer raffiniertere Methoden, um Computer mit Viren, Trojanern und anderen PC-Schädlingen zu infizieren. Was können Sie tun, wenn Sie einen Befall mit Schadsoftware vermuten? 

Bewahren Sie Ruhe und vermeiden Sie vorschnelle Reaktionen.

• Analysieren Sie mit unserer Anleitung Ihre Situation und vermeiden Sie unnötige Fehler durch vorschnelles oder unüberlegtes Handeln.
• Solange Sie den Verdacht haben, dass etwas nicht stimmt, kümmern Sie sich nur um dieses Problem. Bis das Problem behoben ist, sollten Sie den Computer nicht weiter für Arbeit oder Freizeit nutzen.
• Nicht jede Fehlfunktion oder abweichendes Verhalten hat etwas mit einer Schadsoftware zu tun.
• Ist der PC doch befallen, kann je nach Schadsoftware unterschiedliches Handeln notwendig sein. Versuchen Sie zunächst den Schädlingstyp präzise zu bestimmen. 

Auf Schadsoftware prüfen

Ziehen Sie immer Ihren eigenen installierten Anti-Virenscanner zu Rate. So besteht nicht die Gefahr auf Scareware hereinzufallen. Solche meldet zum Beispiel vermeintliche Virenfunde in Browser-Fenstern und drängt auf das Herunterladen weiterer Software – gegen Geld. Eine weitere Täuschungsmethode sind einfache Erpresser-E-Mails, in denen behauptet wird, der Rechner sei infiziert.

• Aktualisieren Sie den auf Ihrem Computer installierten Virenscanner und starten Sie im Anschluss eine komplette Analyse Ihres Systems.
• Wird der Virenscanner fündig, listet er gefundene Programme sowie eine eventuell bereits durchgeführte Bereinigung auf. Notieren Sie sich den Namen des gefundenen Schädlings und der Aktion des Virenscanners oder machen Sie ein Foto mit ihrem Smartphone.
• Konnte die Schadsoftware nicht komplett durch den Virenscanner entfernt werden, dann recherchieren Sie auf einem anderen Computer oder mit Ihrem Smartphone im Internet, welche Hinweise zum Entfernen dieses Schädlings gegeben werden.
• Auch wenn der Virenscanner die direkte Gefahr beseitigen konnte, empfehlen wir anschließend eine Sicherung Ihrer wichtigen Dateien durchzuführen. Dann bitte den PC neu installieren, da eine weitere unentdeckte Infektion nicht ausgeschlossen werden kann. 
• Findet der lokale Virenscanner nichts, kann es nützlich sein noch einen zweiten Scanner zusätzlich zu Hilfe zu nehmen – zum Beispiel durch das Booten von einer Rettungs-CD – und von dort einen weiteren Scan vorzunehmen. (siehe dazu den Abschnitt „Das System mit einem Rettungs-Medium untersuchen“)

Verdacht auf Ransomware

Besteht der Verdacht, dass Ransomware Ihren PC befallen hat, zum Beispiel weil sich Word-Dokumente nicht mehr öffnen lassen, die Dateiendungen bekannter Dateien nicht mehr stimmen und/oder ein Erpresserschreiben in Form einer Text-Datei auf Ihrem Desktop liegt, sollten Sie Folgendes unbedingt beachten:

• Entfernen Sie umgehend alle angeschlossenen externen Geräte (z. B. USB-Sticks, externe Festplatten). Es besteht die geringe Chance, dass die Daten auf diesen Geräten noch nicht verschlüsselt sind.
• Schließen Sie keine weiteren externen Geräte (z. B. USB-Sticks) an den Computer an, da diese sonst auch verschlüsselt werden könnten. Auch keine Backup-Festplatten.
• Kappen Sie die Netzwerkverbindung des betroffenen Systems, um eine weitere Ausbreitung im Heimnetzwerk zu vermeiden (Netzwerkkabel ziehen, WLAN deaktivieren).
• Lassen Sie den PC laufen, schließen Sie keine Anwendungen. Booten Sie auch nicht von einer CD oder einem USB-Stick – ein Neustart kann die „nächste Stufe der Erpressung“ zur Folge haben und dann ist es weitaus schwieriger Daten zu retten.
• Ab hier muss ein Experte unterstützen.

Je nach Ransomware-Variante, kann es sein, dass Ihr PC automatisch neugestartet wurde und nur eine Text-Nachricht über die Erpressung erscheint, aber kein Betriebssystem mehr erreichbar ist. Genauso gut kann es sein, dass nur bestimmte Dateitypen (z. B. Word- oder Excel-Dokumente) verschlüsselt worden sind.

In dem Fall, dass nur einige Dateitypen verschlüsselt wurden, versuchen Sie noch geöffnete wichtige Dokumente unter einer anderen Dateiendung lokal zu speichern (z. B. als „DokumentXY.meins“), um einer möglichen Verschlüsselung zu entgehen. 

In jedem Fall sollten Sie einen Experten konsultieren, um einen möglichen weiteren Datenverlust zu minimieren. In einigen Fällen lässt sich mit Hilfe digitaler Forensik noch etwas retten. Für bestimmte Ransomware-Familien existieren auch sogenannte Dekryptoren, mit denen sich die Verschlüsselung wieder umkehren lässt.

In den meisten Fällen sind die Daten jedoch unwiederbringlich verloren. Deswegen ist es wichtig, für diesen Fall vorzusorgen und täglich wichtige Daten auf externen Datenträgern zu speichern.

Schadsoftware entfernen

Wie Sie die Infektion eines Computers beseitigen, ist stark vom Typ der Schadsoftware abhängig. Um sicher zu sein, dass alle Spuren der Schadsoftware restlos entfernt wurden, hilft nur eine komplette Neuinstallation Ihres Systems. Mit einer guten Backup-Strategie ist das einfacher als es klingt.

Das System mit einem Rettungs-Medium untersuchen

Viele Hersteller von Antiviren-Lösungen bieten kostenlos Rettungs-CDs zum Download an. Diese enthalten in der Regel ein separates Betriebssystem sowie Werkzeuge, mit denen der Computer untersucht wird:

• Laden Sie sich die Daten der Rettungs-CD auf einen anderen, nicht infizierten Computer herunter.
• Erstellen Sie damit nach Anweisung des Herstellers eine (Wiederherstellungs-)CD oder einen startfähigen USB-Stick.
• Fahren Sie den infizierten Computer herunter und starten Sie diesen mit eingelegter Rettungs-CD oder USB-Stick neu.
• Folgen Sie den Anweisungen, die auf dem Computerbildschirm angezeigt werden. Die Wiederherstellungssoftware untersucht Ihren PC und wird die gefundenen Schädlinge entfernen. Hierzu kann es notwendig sein, den PC temporär wieder ans Internet anzuschließen.

Wurde Schadsoftware von Ihrem Computer entfernt, entnehmen Sie die Wiederherstellungs-CD bzw. den USB-Stick und führen Sie einen Neustart Ihres PCs aus. Zur Sicherheit sollten Sie abschließend noch einmal einen vollständigen Virenscan ausführen, um mögliche weitere Schadsoftware zu finden. 

Entfernen Sie Spyware oder Trojaner

Auf das Aufspüren von Trojanern und Spionageprogrammen ist beispielsweise das Programm Malwarebytes Anti-Malware spezialisiert. Es wird oft empfohlen und ist in einer kostenlosen Variante verfügbar. Haben Sie den Verdacht, dass Ihr PC von einem Trojaner infiziert wurde, kann Malwarebytes Anti-Malware die Schadsoftware möglicherweise identifizieren und entfernen.

• Laden Sie sich die kostenfreie Version von der Website des Herstellers auf Ihren Rechner und installieren Sie das Programm. Nach dem Start führt Malwarebytes Anti-Malware zunächst eine Aktualisierung der eigenen Signaturen durch.
• Nach dem Update startet Malwarebytes Anti-Malware. Klicken Sie auf „Jetzt durchsuchen“.
• Damit startet Malwarebytes Anti-Malware den Scan Ihres Computers. Dieser Vorgang kann einige Minuten dauern. 
• Findet die Software infizierte Elemente, werden diese in einer Liste zusammengefasst. Markieren Sie diese Elemente in der Liste.
• Wählen Sie aus den Befehlen „Auswahl entfernen“, um die Schädlinge zu beseitigen. 

Bei wirklich kritischen Schadsoftware-Varianten, die Daten ausspionieren und/oder einem Angreifer Zugang zum PC gewähren, sollte man auf Nummer sicher gehen und eine Neuinstallation des Betriebssystems vornehmen. Während der Neuinstallation werden alle auf dem System gespeicherten Daten gelöscht. Genau deswegen ist es wichtig, seine Daten regelmäßig zu sichern. Denn ein aktuelles Back-up minimiert den Datenverlust im Falle einer Neuinstallation. 

Bedenken Sie, dass Schadsoftware, die Zugriff auf Ihr System hatte, möglicherweise auch persönliche Daten wie Passwörter, Bankdaten und Kontakte eingesammelt hat. Ändern Sie daher unbedingt Ihre Zugangsdaten (Passwörter) aller auf dem betroffenen PC gespeicherten oder im Zeitraum der Infektion eingegebenen Zugänge. Auch sollten Sie Ihre Kontobewegungen im Auge behalten, um rechtzeitig reagieren zu können.

Informieren Sie Freunde und BekannteHaben Sie die Infektion des Systems erfolgreich beseitigt, informieren Sie alle Personen, mit denen Sie in den vergangenen Tagen Daten ausgetauscht haben. Denn es ist denkbar, dass Ihr Rechner zur Verbreitung des Virus beigetragen hat.