Malware-Forensik ist die methodische Untersuchung von Schadsoftware und der digitalen Spuren, die eine mögliche Infektion auf einem Computer, Server oder anderen IT-System hinterlassen hat. Ziel ist nicht nur festzustellen, ob eine verdächtige Datei vorhanden ist. Malware-Forensik versucht zu rekonstruieren, was ausgeführt wurde, wann dies geschah, welche Veränderungen am System entstanden, welche Daten betroffen sein könnten und ob Verbindungen zu externen Systemen bestanden.

Der entscheidende Unterschied zu einem gewöhnlichen Virenscan liegt in der Fragestellung. Ein Virenscanner soll Schadsoftware möglichst erkennen und unschädlich machen. Eine forensische Untersuchung soll dagegen den technischen Sachverhalt erhalten, analysieren und nachvollziehbar dokumentieren. Dabei können Dateien, Prozesse, Systemartefakte, Benutzeraktivitäten, Speicherinhalte, Netzwerkspuren und Protokolldaten gemeinsam ausgewertet werden.

Malware-Forensik ist damit ein spezialisierter Teil der digitalen Forensik. Sie überschneidet sich mit Computer-Forensik, Incident Response, Speicherforensik, Netzwerkanalyse und teilweise Malware-Reverse-Engineering. Welche Methoden tatsächlich erforderlich sind, hängt vom konkreten Sicherheitsvorfall ab.

Was bedeutet Malware?

Malware ist ein Sammelbegriff für Software, die schädliche, unerwünschte oder missbräuchliche Funktionen ausführt.

Dazu können beispielsweise Trojaner, Ransomware, Spyware, Infostealer, Keylogger, Remote-Access-Trojaner, Downloader, Backdoors oder Wiper gehören.

Die Bezeichnung allein sagt jedoch noch wenig darüber aus, was eine konkrete Schadsoftware tatsächlich auf einem System gemacht hat.

Was untersucht Malware-Forensik genau?

Malware-Forensik untersucht zwei miteinander verbundene Ebenen.

Die erste Ebene betrifft die verdächtige Datei oder Software selbst. Hier kann untersucht werden, um welchen Dateityp es sich handelt, welche technischen Eigenschaften vorliegen, welche Funktionen erkennbar sind und ob bekannte Schadsoftwaremerkmale vorhanden sind.

Die zweite Ebene betrifft das kompromittierte System. Hier geht es darum, welche Spuren durch Ausführung, Installation oder Kommunikation entstanden sind.

Gerade diese zweite Ebene ist für die Rekonstruktion eines realen Sicherheitsvorfalls häufig entscheidend.

Was ist der Unterschied zwischen Malware-Analyse und Malware-Forensik?

Malware-Analyse konzentriert sich häufig stärker auf die Schadsoftware selbst.

Dabei können Aufbau, Funktionen, Kommunikationsmechanismen und Verhalten einer verdächtigen Datei untersucht werden.

Malware-Forensik betrachtet zusätzlich den Zusammenhang mit einem konkreten betroffenen System: Wann erschien die Datei? Wurde sie ausgeführt? Welche Persistenzmechanismen entstanden? Welche Benutzerkonten waren betroffen? Welche Netzwerkverbindungen wurden aufgebaut? Welche weiteren Systeme könnten beteiligt sein?

Malware-Analyse kann deshalb Bestandteil einer Malware-forensischen Untersuchung sein, ist aber nicht mit ihr identisch.

Was ist der Unterschied zwischen Malware-Forensik und einem Virenscan?

Ein Virenscanner beantwortet hauptsächlich die Frage, ob Dateien oder Aktivitäten zu bekannten oder verdächtigen Schadsoftwaremustern passen.

Malware-Forensik stellt weitergehende Fragen.

Eine Untersuchung kann beispielsweise klären, ob eine als schädlich erkannte Datei tatsächlich ausgeführt wurde, wann die Ausführung stattgefunden haben könnte, welche Folgeaktivitäten entstanden und ob weitere Spuren zum selben Ereignis gehören.

Ein positiver Virenscanner-Treffer ist deshalb nicht automatisch die vollständige Rekonstruktion eines Angriffs.

Kann ein Computer gehackt sein, obwohl der Virenscanner nichts findet?

Ja.

Ein negativer Virenscan schließt einen Sicherheitsvorfall nicht sicher aus.

Angreifer können beispielsweise legitime Systemprogramme verwenden, gestohlene Zugangsdaten einsetzen oder Techniken nutzen, die nicht auf einer klassischen Schadsoftwaredatei beruhen.

Auch bereits entfernte Schadsoftware kann Spuren hinterlassen, obwohl die ursprüngliche Datei nicht mehr vorhanden ist.

Kann ein Virenscanner einen Fehlalarm erzeugen?

Ja.

Sicherheitssoftware kann legitime Dateien oder Programme als verdächtig einstufen. Solche Treffer werden häufig als False Positive bezeichnet.

Deshalb sollte ein einzelner Erkennungstreffer nicht ohne weitere Prüfung automatisch als vollständiger Nachweis einer erfolgreichen Kompromittierung interpretiert werden.

Wann ist Malware-Forensik sinnvoll?

Eine Malware-forensische Untersuchung kann sinnvoll sein, wenn konkrete Hinweise auf Schadsoftware oder einen unbefugten Systemzugriff bestehen.

Typische Anlässe sind verdächtige Dateien, unerklärliche Fernzugriffe, Phishing-Vorfälle, ungewöhnliche Benutzeranmeldungen, Ransomware, Infostealer-Verdacht, verdächtige Netzwerkverbindungen oder Sicherheitswarnungen auf einem Computer.

Auch bei einem privaten Computer kann eine Untersuchung sinnvoll sein, wenn sensible persönliche Daten, E-Mail-Konten, Online-Banking oder andere Zugangsdaten betroffen sein könnten.

Was sollte bei Malware-Verdacht nicht vorschnell gemacht werden?

Wenn eine spätere Rekonstruktion wichtig ist, sollten verdächtige Dateien nicht sofort gelöscht und der Computer nicht vorschnell neu installiert werden.

Auch das unkontrollierte Ausführen verschiedener Reinigungsprogramme kann bestehende Spuren verändern.

Bei einem laufenden Angriff kann gleichzeitig eine schnelle Isolation erforderlich sein. Beweissicherung und Schadensbegrenzung müssen deshalb gegeneinander abgewogen werden.

Warum kann ein laufender Computer forensisch besonders wichtig sein?

Ein eingeschaltetes System enthält flüchtige Informationen, die beim Ausschalten verloren gehen können.

Dazu können laufende Prozesse, aktive Netzwerkverbindungen, geladene Module und weitere Arbeitsspeicherinformationen gehören.

Bei Malware-Verdacht kann deshalb eine Sicherung flüchtiger Daten erforderlich sein, bevor ein System kontrolliert heruntergefahren oder anderweitig gesichert wird.

Warum sollte ein infizierter Computer nicht einfach neu installiert werden?

Eine Neuinstallation kann das System für die weitere Nutzung bereinigen, zerstört aber möglicherweise gleichzeitig einen erheblichen Teil der ursprünglichen Spuren.

Wenn geklärt werden soll, wie die Schadsoftware auf das System gelangte, welche Aktivitäten stattfanden oder welche Daten betroffen waren, sollte eine mögliche forensische Sicherung vorher berücksichtigt werden.

Was ist eine forensische Sicherung bei Malware-Verdacht?

Je nach Ausgangslage kann ein relevanter Datenträger oder Datenbestand kontrolliert gesichert werden, damit die spätere Analyse nicht ausschließlich auf dem Originalsystem erfolgt.

Ein forensisches Image kann dabei eine definierte Untersuchungsgrundlage schaffen.

Bei einem laufenden System können zusätzlich flüchtige Informationen relevant sein. Die geeignete Sicherungsstrategie hängt daher vom konkreten Zustand des Computers ab.

Warum ist das erste Drittel der Untersuchung so wichtig?

Bereits die ersten Maßnahmen können darüber entscheiden, welche Daten später noch verfügbar sind.

Wird ein laufender Rechner ausgeschaltet, gehen Arbeitsspeicherinformationen verloren. Wird er dagegen unkontrolliert weiterbetrieben, kann eine Schadsoftware weitere Aktivitäten durchführen.

Deshalb sollte die Vorgehensweise nicht nach einem einzigen starren Schema erfolgen.

Wo bietet LB Forensik Malware-bezogene Untersuchungen an?

Die Untersuchung kompromittierter Computer und anderer digitaler Systeme wird bundesweit durchgeführt. Regional bestehen unter anderem Angebote für IT-Forensik für Augsburg, IT-Forensik für Hannover und IT-Forensik für Dresden. Die technische Vorgehensweise richtet sich unabhängig vom Einsatzort nach Systemzustand, Datenquelle und konkreter Untersuchungsfrage.

Was ist die Leistungsseite Malware-Forensik?

Dieser Wissensartikel erklärt den Fachbegriff und die technischen Grundlagen. Informationen zur konkreten Untersuchung und Beauftragung finden Sie im Leistungsbereich Malware-Forensik.

Welche Datenquellen können bei Malware-Forensik untersucht werden?

Je nach Vorfall können zahlreiche Datenquellen relevant sein.

Dazu gehören insbesondere Dateisysteme, Systemprotokolle, Benutzerprofile, installierte Programme, Autostartbereiche, geplante Aufgaben, Dienste, Browserdaten, Downloads, E-Mail-Anhänge und Netzwerkspuren.

Bei laufenden Systemen kann zusätzlich der Arbeitsspeicher eine wichtige Datenquelle darstellen.

Welche Rolle spielen Windows-Ereignisprotokolle?

Windows-Ereignisprotokolle können Informationen zu Anmeldungen, Diensten, Prozessen, Sicherheitsereignissen und anderen Systemvorgängen enthalten.

Welche Ereignisse tatsächlich verfügbar sind, hängt von Windows-Version, Protokollierung, Konfiguration und Aufbewahrungsdauer ab.

Ein fehlender Logeintrag beweist deshalb nicht automatisch, dass ein bestimmter Vorgang nicht stattgefunden hat.

Welche Rolle spielt die Windows Registry?

Die Windows Registry enthält zahlreiche Konfigurations- und Systeminformationen.

Abhängig vom Schadsoftwaretyp können dort Hinweise auf Autostartmechanismen, installierte Software, Benutzeraktivitäten oder andere relevante Veränderungen vorhanden sein.

Ein einzelner Registry-Eintrag sollte jedoch immer im Zusammenhang mit weiteren Artefakten bewertet werden.

Was sind Persistenzmechanismen?

Persistenz bezeichnet Techniken, mit denen Schadsoftware oder ein Angreifer versucht, auch nach einem Neustart weiterhin Zugriff auf ein System zu behalten.

Mögliche Mechanismen können Autostart-Einträge, Dienste, geplante Aufgaben oder andere Betriebssystemfunktionen sein.

Welche Mechanismen relevant sind, hängt vom konkreten Angriff ab.

Was bedeutet Autostart bei Malware?

Schadsoftware kann versuchen, automatisch beim Systemstart oder bei einer Benutzeranmeldung ausgeführt zu werden.

Dazu können unterschiedliche legitime Betriebssystemmechanismen missbraucht werden.

Ein Autostart-Eintrag allein beweist jedoch keine Schadsoftware, weil zahlreiche legitime Programme dieselben Mechanismen verwenden.

Was sind Scheduled Tasks?

Geplante Aufgaben ermöglichen es Betriebssystemen und Anwendungen, Programme zu bestimmten Zeiten oder bei bestimmten Ereignissen auszuführen.

Sie werden regulär von Windows und zahlreichen Anwendungen genutzt.

Angreifer können dieselbe Funktion jedoch für Persistenz oder automatisierte Ausführung missbrauchen.

Welche Rolle spielen Windows-Dienste?

Dienste laufen häufig im Hintergrund und können bereits beim Systemstart aktiv werden.

Schadsoftware kann versuchen, eigene Dienste einzurichten oder bestehende Mechanismen zu missbrauchen.

Auch hier muss zwischen normalen Systemdiensten und tatsächlich verdächtigen Veränderungen unterschieden werden.

Was ist statische Malware-Analyse?

Bei einer statischen Analyse wird eine verdächtige Datei untersucht, ohne sie bewusst auszuführen.

Analysiert werden können beispielsweise Dateiformat, kryptografische Hashwerte, eingebettete Zeichenketten, importierte Funktionen, Dateistrukturen oder andere technische Eigenschaften.

Statische Analyse kann erste Hinweise liefern, zeigt aber nicht zwangsläufig das gesamte Verhalten einer Datei.

Was ist dynamische Malware-Analyse?

Bei einer dynamischen Analyse wird das Verhalten einer verdächtigen Datei in einer kontrollierten Umgebung beobachtet.

Dabei kann beispielsweise untersucht werden, welche Dateien erzeugt oder verändert werden, welche Prozesse gestartet werden und welche Netzwerkverbindungen entstehen.

Eine solche Analyse sollte nicht auf einem produktiv verwendeten System durchgeführt werden.

Was ist eine Sandbox?

Eine Sandbox ist eine kontrollierte Analyseumgebung, in der verdächtige Software ausgeführt werden kann, ohne sie unmittelbar auf einem produktiven System zu starten.

Sie kann dabei helfen, bestimmte Verhaltensweisen sichtbar zu machen.

Eine Sandbox ist jedoch kein perfektes Abbild jedes realen Zielsystems. Manche Schadsoftware verändert ihr Verhalten, wenn sie eine Analyseumgebung erkennt.

Was ist Malware-Reverse-Engineering?

Reverse Engineering untersucht den Aufbau und die Funktionsweise einer Software auf einer tieferen technischen Ebene.

Dabei können beispielsweise Maschinencode, Programmabläufe, Verschlüsselungsroutinen oder Kommunikationsmechanismen analysiert werden.

Eine vollständige Reverse-Engineering-Analyse ist nicht bei jedem Malware-Vorfall erforderlich.

Was sind Indicators of Compromise?

Indicators of Compromise, kurz IOCs, sind technische Merkmale, die auf eine mögliche Kompromittierung hinweisen können.

Dazu gehören beispielsweise bestimmte Dateihashes, Domains, IP-Adressen, Dateinamen oder andere technische Artefakte.

Ein IOC ist jedoch nicht automatisch ein Beweis. Kontext und Zeitpunkt müssen berücksichtigt werden.

Was ist ein Malware-Hash?

Ein kryptografischer Hashwert kann eine bestimmte Datei mathematisch charakterisieren.

Ist der Hashwert einer bekannten Schadsoftware bekannt und liegt eine bitidentische Datei vor, kann dies einen starken Hinweis auf die Identität dieser Datei liefern.

Schon kleine Veränderungen der Datei erzeugen jedoch normalerweise einen anderen kryptografischen Hashwert.

Warum reicht Hash-Erkennung allein nicht aus?

Schadsoftware kann verändert, neu kompiliert oder gepackt werden. Dadurch kann sich der Hashwert ändern, obwohl Funktion und Herkunft eng verwandt bleiben.

Außerdem können völlig neue Schadsoftwarevarianten noch keinen bekannten Referenzhash besitzen.

Deshalb werden bei professionellen Untersuchungen häufig mehrere Erkennungs- und Analyseansätze kombiniert.

Was sind YARA-Regeln?

YARA-Regeln können verwendet werden, um Dateien oder Speicherinhalte anhand definierter Muster zu untersuchen.

Die Regeln können beispielsweise charakteristische Zeichenfolgen, Bytefolgen oder andere Merkmale kombinieren.

Ein YARA-Treffer muss fachlich bewertet werden. Die Aussagekraft hängt von Qualität und Spezifität der verwendeten Regel ab.

Was bedeutet heuristische Erkennung?

Heuristische Verfahren versuchen verdächtige Eigenschaften oder Verhaltensmuster zu erkennen, ohne dass zwingend eine exakt bekannte Schadsoftwarevariante vorliegen muss.

Dadurch können unter Umständen auch bisher unbekannte oder veränderte Bedrohungen auffallen.

Heuristische Treffer können jedoch auch Fehlalarme erzeugen.

Was ist Verhaltensanalyse?

Verhaltensanalyse betrachtet, welche Aktionen eine Datei oder ein Prozess tatsächlich ausführt.

Dazu können beispielsweise das Erzeugen neuer Prozesse, Änderungen an Systembereichen, Netzwerkkommunikation oder Persistenzmechanismen gehören.

Diese Informationen können besonders wertvoll sein, wenn reine Dateisignaturen keine eindeutige Aussage erlauben.

Was bedeutet Dateireputation?

Reputationsdienste vergleichen Dateien, Hashwerte, Domains oder andere Merkmale mit bekannten Datenbeständen.

Damit kann festgestellt werden, ob ein Objekt bereits als bekannt, verbreitet oder verdächtig eingestuft wurde.

Reputation ist jedoch eine zusätzliche Informationsquelle und kein Ersatz für die forensische Untersuchung des konkreten Systems.

Kann Malware komplett unbekannt sein?

Ja.

Eine Schadsoftwarevariante kann neu, individuell verändert oder nur gegen ein bestimmtes Ziel eingesetzt worden sein.

Deshalb wäre eine Untersuchung, die ausschließlich bekannte Hashwerte oder Signaturen prüft, methodisch zu eng.

Was bedeutet Zero-Day-Malware?

Der Begriff wird häufig für Schadsoftware oder Angriffe verwendet, die eine bislang unbekannte oder noch nicht behobene Sicherheitslücke ausnutzen.

Nicht jede unbekannte Malware nutzt jedoch automatisch eine Zero-Day-Schwachstelle.

Die Begriffe sollten deshalb nicht gleichgesetzt werden.

Was ist ein Trojaner?

Ein Trojaner ist Schadsoftware, die sich häufig als legitime Datei oder Anwendung tarnt beziehungsweise über scheinbar legitime Inhalte ausgeführt wird.

Nach der Ausführung können je nach Variante weitere schädliche Funktionen folgen.

Was ist ein Remote-Access-Trojaner?

Ein Remote-Access-Trojaner, kurz RAT, kann einem Angreifer Funktionen zur Fernsteuerung eines kompromittierten Systems bereitstellen.

Welche Möglichkeiten bestehen, hängt von der konkreten Schadsoftware ab.

Ein RAT kann beispielsweise Dateizugriffe, Prozesssteuerung oder weitere Fernzugriffsfunktionen ermöglichen.

Was ist ein Infostealer?

Infostealer sind Schadprogramme, die auf das Sammeln bestimmter Informationen ausgerichtet sind.

Betroffen sein können beispielsweise Browserdaten, gespeicherte Zugangsinformationen, Cookies, Wallet-Daten oder andere lokal zugängliche Informationen.

Der tatsächliche Umfang hängt von der jeweiligen Schadsoftware und vom betroffenen System ab.

Warum sind gestohlene Browser-Cookies gefährlich?

Bestimmte Sitzungscookies können einen bereits authentifizierten Zustand repräsentieren.

Werden solche Informationen erfolgreich missbraucht, kann eine reine Passwortänderung je nach Dienst nicht immer die einzige erforderliche Sicherheitsmaßnahme sein.

Aktive Sitzungen und Sicherheitsinformationen des jeweiligen Kontos sollten deshalb ebenfalls geprüft werden.

Was ist Spyware?

Spyware ist Software, die darauf ausgelegt sein kann, Informationen über ein System oder dessen Benutzer zu sammeln.

Welche Daten tatsächlich erfasst werden können, hängt von Schadsoftware, Berechtigungen und Systemzugriff ab.

Was ist ein Keylogger?

Ein Keylogger zeichnet Tastatureingaben auf.

Software-Keylogger können unter anderem zum Diebstahl von Passwörtern oder anderen eingegebenen Informationen eingesetzt werden.

Es existieren auch hardwarebasierte Keylogger, die eine andere Untersuchungsmethodik erfordern.

Was ist Ransomware?

Ransomware sperrt oder verschlüsselt typischerweise Daten beziehungsweise Systeme und ist häufig mit einer Lösegeldforderung verbunden.

Bei modernen Ransomware-Vorfällen kann die sichtbare Verschlüsselung nur die letzte Phase eines längeren Angriffs sein.

Deshalb kann die Malware-forensische Untersuchung weit vor dem eigentlichen Verschlüsselungszeitpunkt beginnen.

Kann Ransomware vorher Daten gestohlen haben?

Ja, bestimmte Angriffe kombinieren Datenexfiltration und Verschlüsselung.

Die Tatsache, dass Dateien verschlüsselt wurden, beweist jedoch nicht automatisch, dass zuvor Daten abgeflossen sind.

Ein möglicher Datenabfluss muss anhand eigener digitaler Spuren untersucht werden.

Was ist ein Downloader?

Ein Downloader ist Schadsoftware, deren wesentliche Funktion darin bestehen kann, weitere Dateien oder Schadsoftware aus dem Internet nachzuladen.

Die zunächst gefundene Datei muss deshalb nicht die einzige relevante Komponente eines Vorfalls sein.

Was ist eine Backdoor?

Eine Backdoor ist ein versteckter oder nicht vorgesehener Zugangsweg zu einem System.

Angreifer können versuchen, nach einem ersten erfolgreichen Zugriff eine solche Möglichkeit einzurichten, um später erneut auf das System zugreifen zu können.

Was ist ein Wiper?

Wiper-Malware ist darauf ausgerichtet, Daten oder Systeme gezielt zu zerstören beziehungsweise unbrauchbar zu machen.

Der Schwerpunkt liegt damit nicht auf finanzieller Erpressung, sondern auf Sabotage oder Datenvernichtung.

Kann Malware auf einem Mac vorkommen?

Ja.

macOS besitzt eigene Sicherheitsmechanismen, ist aber nicht grundsätzlich immun gegen Schadsoftware oder kompromittierte Benutzerkonten.

Die Untersuchung unterscheidet sich aufgrund von Betriebssystem, Dateisystem, Sicherheitsarchitektur und verfügbaren Artefakten von einer Windows-Untersuchung.

Kann Malware auf einem Smartphone vorkommen?

Ja, mobile Schadsoftware existiert ebenfalls.

Smartphones besitzen jedoch andere Betriebssystem-, App- und Sicherheitsmodelle als klassische Computer. Deshalb wird mobile Schadsoftware typischerweise im Rahmen spezialisierter Mobile- beziehungsweise Smartphone-Forensik untersucht.

Kann Malware auf einem Server vorkommen?

Ja.

Server können durch Schadsoftware, kompromittierte Dienste, gestohlene Zugangsdaten oder andere Angriffstechniken betroffen sein.

Bei Servervorfällen können zusätzlich zentrale Log-, Authentifizierungs- und Netzwerkdaten besonders wichtig sein.

Welche Rolle spielt der Arbeitsspeicher bei Malware?

Arbeitsspeicher kann laufende Prozesse, geladene Module, Netzwerkzustände und andere flüchtige Informationen enthalten.

Bestimmte Schadsoftware kann im Speicher deutlich erkennbarer sein als auf dem Datenträger.

Beim Ausschalten des Computers gehen diese flüchtigen Daten grundsätzlich verloren.

Was ist Memory Forensics?

Memory Forensics ist die forensische Analyse des Arbeitsspeichers eines Systems.

Dabei können unter anderem Prozesse, geladene Module, Verbindungen und andere flüchtige Strukturen untersucht werden.

Memory Forensics ist besonders relevant, wenn ein laufender Angriff oder speicherresidentes Verhalten vermutet wird.

Kann Malware nur im Arbeitsspeicher laufen?

Bestimmte Angriffstechniken versuchen, möglichst wenige klassische Dateien auf dem Datenträger zu hinterlassen.

Das wird häufig unter Begriffen wie fileless oder memory-resident attack zusammengefasst.

Diese Begriffe bedeuten jedoch nicht, dass zwangsläufig überhaupt keine anderen Systemspuren entstehen.

Was bedeutet Fileless Malware?

Fileless bezeichnet Angriffstechniken, bei denen klassische dauerhaft gespeicherte Schadsoftwaredateien eine geringere Rolle spielen können.

Stattdessen können beispielsweise legitime Betriebssystemfunktionen und Arbeitsspeicher verwendet werden.

Die Bezeichnung sollte deshalb nicht als „spurlos“ verstanden werden.

Was bedeutet Living off the Land?

Bei Living-off-the-Land-Techniken werden legitime, bereits vorhandene Systemwerkzeuge für missbräuchliche Zwecke eingesetzt.

Dadurch kann ein Angriff stattfinden, ohne dass klassische unbekannte Malwaredateien in jedem Schritt erforderlich sind.

Die forensische Analyse muss deshalb auch Benutzer-, Prozess- und Systemaktivitäten berücksichtigen.

Welche Rolle spielt PowerShell?

PowerShell ist ein legitimes administratives Werkzeug von Windows.

Es kann sowohl für normale Administration als auch missbräuchlich von Angreifern verwendet werden.

Die Existenz oder Nutzung von PowerShell allein ist daher kein Angriffsnachweis. Entscheidend sind konkrete Befehle, Zusammenhang und weitere Spuren.

Kann Malware Sicherheitssoftware deaktivieren?

Bestimmte Schadsoftware oder Angreifer können versuchen, Sicherheitsmechanismen zu verändern oder zu deaktivieren.

Eine unerwartet deaktivierte Sicherheitsfunktion kann daher relevant sein, besitzt aber auch andere mögliche Ursachen und muss im Zusammenhang untersucht werden.

Kann Malware Logs löschen?

Angreifer können versuchen, Protokolle zu löschen oder deren Erfassung zu beeinflussen.

Das vollständige Entfernen aller Spuren ist jedoch nicht garantiert, weil relevante Informationen auf mehreren Systemen vorhanden sein können.

Lokale Logs, zentrale Serverprotokolle, Firewalls, Cloud-Dienste und andere Systeme können sich gegenseitig ergänzen.

Kann Malware Dateien löschen?

Ja, abhängig von Funktion und Berechtigungen kann Schadsoftware Dateien verändern oder löschen.

Ob gelöschte Dateien später wiederhergestellt werden können, hängt vom Speichermedium, Dateisystem und der weiteren Nutzung ab.

Kann Malware Dateien verschlüsseln?

Ja. Dies ist insbesondere für Ransomware charakteristisch.

Verschlüsselung durch Schadsoftware muss jedoch von regulärer Datenträgerverschlüsselung oder legitimen verschlüsselten Dateien unterschieden werden.

Kann Malware Passwörter stehlen?

Bestimmte Schadprogramme sind gezielt auf Zugangsdaten ausgerichtet.

Betroffen sein können beispielsweise eingegebene Passwörter, gespeicherte Browserinformationen oder andere Authentifizierungsdaten.

Welche Daten technisch erreichbar waren, muss für den konkreten Vorfall untersucht werden.

Kann Malware Online-Banking-Daten stehlen?

Bestimmte Schadsoftware kann versuchen, Zugangsinformationen oder andere für Finanzdienste relevante Daten zu erfassen.

Wenn nach einem Sicherheitsvorfall unbekannte Banktransaktionen auftreten, hat die sofortige Kontaktaufnahme mit Bank oder Zahlungsdienstleister Vorrang vor einer rein forensischen Untersuchung.

Kann Malware meine E-Mails lesen?

Wenn Schadsoftware ausreichenden Zugriff auf ein System oder entsprechende Zugangsdaten besitzt, können E-Mail-Daten betroffen sein.

Alternativ kann auch ausschließlich das E-Mail-Konto kompromittiert worden sein, ohne dass Malware auf dem Computer vorhanden ist.

Kann Malware meine Webcam oder mein Mikrofon verwenden?

Abhängig von Schadsoftware, Betriebssystem und Berechtigungen sind solche Funktionen grundsätzlich technisch möglich.

Die bloße technische Möglichkeit beweist jedoch nicht, dass sie bei einem konkreten System tatsächlich genutzt wurde.

Kann Malware meine Dateien ins Internet übertragen?

Bestimmte Schadsoftware kann Daten exfiltrieren.

Ob dies tatsächlich geschah, muss anhand von Dateiaktivitäten, Netzwerkdaten und weiteren Systemspuren untersucht werden.

Der bloße Malware-Fund beweist keinen konkreten Datenabfluss.

Wie lässt sich feststellen, wann Malware auf einen Computer gelangte?

Hierzu können mehrere Zeitinformationen miteinander verglichen werden.

Relevant können beispielsweise Downloadspuren, E-Mails, Dateizeitstempel, Programmausführungen, Logs und Netzwerkaktivitäten sein.

Ein einzelner Dateizeitstempel sollte nicht automatisch als Infektionszeitpunkt interpretiert werden.

Wie lässt sich feststellen, ob Malware ausgeführt wurde?

Die Existenz einer Datei auf einem Datenträger beweist noch keine Ausführung.

Abhängig vom Betriebssystem können verschiedene Ausführungsartefakte, Prozessinformationen, Systemlogs oder andere Daten Hinweise darauf liefern, ob eine Datei tatsächlich gestartet wurde.

Warum ist dieser Unterschied so wichtig?

Eine schädliche Datei im Download-Ordner kann völlig andere Bedeutung besitzen als dieselbe Datei, die nachweisbar ausgeführt wurde und anschließend Systemveränderungen verursachte.

Forensik muss deshalb zwischen Vorhandensein, Ausführung und tatsächlicher Wirkung unterscheiden.

Kann festgestellt werden, woher Malware kam?

Teilweise.

Browserdownloads, E-Mail-Anhänge, Dateipfade, Benutzeraktivitäten und andere Artefakte können Hinweise auf die Herkunft liefern.

Eine vollständige Rekonstruktion des ursprünglichen Eintrittswegs ist jedoch nicht in jedem Fall möglich.

Kann Malware über eine Phishing-Mail kommen?

Ja.

Phishing-E-Mails können beispielsweise schädliche Anhänge oder Links enthalten.

Allerdings zielt nicht jedes Phishing auf Malware. Viele Angriffe versuchen ausschließlich, Zugangsdaten auf gefälschten Webseiten zu erlangen.

Kann Malware über einen USB-Stick übertragen werden?

Schadsoftware kann grundsätzlich über externe Speichermedien verbreitet werden.

Ob ein konkreter USB-Datenträger tatsächlich Ursprung eines Vorfalls war, muss anhand von Geräte-, Datei- und Zeitinformationen geprüft werden.

Kann Malware über eine Softwareinstallation kommen?

Ja. Manipulierte Installationspakete, unerwünschte Zusatzsoftware oder kompromittierte Downloads können mögliche Verbreitungswege darstellen.

Auch hier ist entscheidend, welche Datei tatsächlich heruntergeladen und ausgeführt wurde.

Was bedeutet Initial Access?

Initial Access bezeichnet den ersten erfolgreichen Zugang eines Angreifers zu einem System oder Netzwerk.

Malware kann dabei eine Rolle spielen, muss aber nicht zwingend der ursprüngliche Eintrittsweg sein.

Auch gestohlene Zugangsdaten oder ausgenutzte Sicherheitslücken können den Erstzugriff ermöglichen.

Was bedeutet Lateral Movement?

Lateral Movement bezeichnet die Bewegung eines Angreifers von einem bereits kompromittierten System zu weiteren Geräten oder Konten innerhalb einer Umgebung.

Bei Unternehmensvorfällen kann deshalb die Untersuchung eines einzelnen infizierten Computers möglicherweise nicht ausreichen.

Was bedeutet Command and Control?

Command-and-Control-Kommunikation beschreibt Verbindungen, über die kompromittierte Systeme Befehle empfangen oder Informationen übertragen können.

Solche Verbindungen können über unterschiedliche Protokolle und Infrastrukturen erfolgen.

Netzwerk- und DNS-Daten können dabei wichtige Untersuchungsquellen sein.

Welche Rolle spielen Netzwerkspuren?

Netzwerkdaten können Hinweise darauf liefern, mit welchen externen Systemen ein kompromittierter Rechner kommuniziert hat.

Dazu können Firewall-, DNS-, Proxy- oder Endpoint-Daten gehören.

Eine einzelne Verbindung zu einer unbekannten IP-Adresse ist jedoch noch kein ausreichender Malware-Nachweis.

Kann eine IP-Adresse den Angreifer identifizieren?

Nein, jedenfalls nicht automatisch.

Eine IP-Adresse dokumentiert zunächst eine technische Verbindung.

VPN-Dienste, Proxyserver, kompromittierte Fremdsysteme, Hosting-Infrastruktur oder gemeinsam genutzte Netze können die Zuordnung zu einer natürlichen Person erheblich erschweren.

Kann Malware einen Angriff verbergen?

Bestimmte Schadsoftware versucht, Prozesse, Dateien oder andere Aktivitäten weniger sichtbar zu machen.

Forensische Analyse verlässt sich deshalb nicht ausschließlich auf die normale Benutzeroberfläche des Betriebssystems.

Was bedeutet Rootkit?

Rootkit-Techniken sollen unter anderem dazu dienen, unerwünschte Aktivitäten oder Komponenten zu verbergen beziehungsweise privilegierten Zugriff zu unterstützen.

Die genaue technische Umsetzung unterscheidet sich erheblich zwischen Betriebssystemen und Schadsoftwarefamilien.

Kann Malware nach dem Löschen noch nachgewiesen werden?

Unter bestimmten Voraussetzungen ja.

Auch wenn die ursprüngliche Datei nicht mehr vorhanden ist, können Ausführungsartefakte, Logs, Persistenzeinträge, Netzwerkdaten oder andere technische Spuren zurückbleiben.

Eine vollständige Rekonstruktion ist jedoch nicht garantiert.

Kann Malware nach einem Neustart verschwinden?

Das hängt von der konkreten Schadsoftware ab.

Bestimmte speicherbasierte Komponenten können nach einem Neustart nicht mehr aktiv sein. Andere Schadsoftware richtet Persistenzmechanismen ein und startet erneut.

Kann ein Werksreset oder eine Neuinstallation Malware entfernen?

Eine vollständige Neuinstallation kann viele lokale Schadsoftwarekomponenten beseitigen.

Sie beantwortet anschließend jedoch möglicherweise nicht mehr, wie der Angriff stattfand oder welche Daten betroffen waren.

Außerdem können kompromittierte Online-Konten unabhängig vom neu installierten Computer bestehen bleiben.

Kann Malware ein Backup infizieren?

Ein Backup kann schädliche Dateien enthalten, wenn diese bereits Bestandteil des gesicherten Datenbestands waren.

Das bedeutet nicht automatisch, dass die Schadsoftware beim bloßen Speichern des Backups aktiv ist.

Bei einer Wiederherstellung sollte jedoch geprüft werden, welche Dateien und Systemstände übernommen werden.

Kann ein forensisches Image Malware enthalten?

Ja.

Ein forensisches Image kann die Dateien eines kompromittierten Systems und damit auch Schadsoftware enthalten.

Solange die Schadsoftware lediglich als Datenbestand gespeichert und nicht ausgeführt wird, ist dies etwas anderes als ein aktiv infiziertes Betriebssystem.

Warum werden Malware-Dateien in isolierten Umgebungen untersucht?

Verdächtige Dateien sollten nicht unkontrolliert auf normalen Arbeitsplatzsystemen gestartet werden.

Isolierte Analyseumgebungen reduzieren das Risiko, dass Schadsoftware andere Systeme oder produktive Daten beeinflusst.

Kann Malware-Forensik den gesamten Angriff rekonstruieren?

Manchmal kann eine umfangreiche Angriffskette nachvollzogen werden. In anderen Fällen bleiben Lücken.

Die Aussage hängt davon ab, welche Datenquellen vorhanden sind, wie lange der Vorfall zurückliegt und welche Spuren gelöscht oder überschrieben wurden.

Was kann Malware-Forensik nicht beweisen?

Der Fund einer Schadsoftware beweist nicht automatisch, welche Person sie installiert hat.

Er beweist nicht automatisch, dass sämtliche theoretisch erreichbaren Daten tatsächlich gelesen oder übertragen wurden.

Und ein negativer Malware-Befund beweist nicht zwangsläufig, dass niemals ein Sicherheitsvorfall stattgefunden hat.

Warum ist die zeitliche Korrelation wichtig?

Eine Malware-Datei allein beschreibt keinen vollständigen Vorfall.

Erst wenn Download, Ausführung, Systemänderung, Benutzeranmeldung und Netzwerkkommunikation zeitlich miteinander verglichen werden, kann eine belastbare Rekonstruktion entstehen.

Was ist eine Malware-Timeline?

Eine Malware-Timeline verbindet relevante Ereignisse zu einem zeitlichen Ablauf.

Sie kann beispielsweise zeigen, wann eine Datei heruntergeladen, wann sie ausgeführt, wann ein Persistenzmechanismus eingerichtet und wann anschließend eine externe Verbindung aufgebaut wurde.

Eine solche Timeline ist häufig wesentlich aussagekräftiger als eine isolierte Trefferliste.

Warum sollte Malware-Forensik ergebnisoffen sein?

Der Auftrag einer forensischen Untersuchung besteht nicht darin, einen Verdacht um jeden Preis zu bestätigen.

Eine verdächtige Datei kann sich als Fehlalarm herausstellen. Eine ungewöhnliche Netzwerkverbindung kann eine legitime Anwendung erklären. Umgekehrt kann ein scheinbar unauffälliges System belastbare Spuren eines früheren Angriffs enthalten.

Die Bewertung muss sich deshalb an den tatsächlich vorhandenen Daten orientieren.

Malware-Forensik bei Privatpersonen

Malware-Forensik ist nicht ausschließlich ein Thema für große Unternehmen.

Privatpersonen können beispielsweise nach einem Phishing-Vorfall, unbekannten Fernzugriffen, gestohlenen Zugangsdaten, verdächtigen Programmen oder ungewöhnlichen Kontoaktivitäten betroffen sein.

Auch nach finanziellen Betrugsfällen kann die Frage entstehen, ob ein Computer kompromittiert wurde und welche digitalen Spuren noch vorhanden sind.

Mein Computer verhält sich merkwürdig – habe ich Malware?

Nicht zwangsläufig.

Langsame Leistung, Abstürze, hohe CPU-Auslastung oder ungewöhnliche Lüfteraktivität können zahlreiche technische Ursachen besitzen.

Solche Symptome allein reichen nicht für eine Malware-Diagnose.

Ich habe eine unbekannte Datei geöffnet – was bedeutet das?

Entscheidend sind Dateityp, Herkunft und das Verhalten nach der Ausführung.

Die bloße Tatsache, dass eine Datei unbekannt war, bedeutet nicht automatisch, dass sie schädlich ist.

Bei einem konkreten Verdacht sollte die Datei nicht wiederholt geöffnet oder ohne Beweisstrategie sofort gelöscht werden.

Ich habe einen E-Mail-Anhang geöffnet – ist mein PC jetzt infiziert?

Nicht automatisch.

Es muss geprüft werden, um welchen Dateityp es sich handelte, welche Software die Datei geöffnet hat und ob anschließend verdächtige Aktivitäten entstanden sind.

Eine forensische Untersuchung kann vorhandene Download-, Datei-, Ausführungs- und Systemspuren miteinander vergleichen.

Mein Virenscanner hat einen Trojaner gemeldet – was soll ich daraus schließen?

Der Treffer sollte zunächst dokumentiert werden.

Relevant sind Erkennungsname, Dateipfad, Zeitpunkt und die Maßnahme, die das Sicherheitsprogramm durchgeführt hat.

Anschließend muss geprüft werden, ob die Datei lediglich vorhanden war oder tatsächlich ausgeführt wurde und ob weitere Artefakte bestehen.

Mein Virenscanner hat die Datei gelöscht – ist der Fall erledigt?

Nicht zwingend.

Wenn die Datei bereits ausgeführt wurde, können weitere Komponenten, Kontozugriffe oder Systemveränderungen entstanden sein.

Ob eine weitere Untersuchung erforderlich ist, hängt vom konkreten Vorfall und dem Risiko ab.

Mein Virenscanner findet nichts – kann trotzdem etwas passiert sein?

Ja.

Der Vorfall könnte beispielsweise bereits beendet sein, über Benutzerkonten stattgefunden haben oder Techniken verwendet haben, die ein klassischer Scan nicht erkennt.

Welche Rolle spielt die Computer-Forensik?

Malware-Forensik baut häufig auf Methoden der Computer-Forensik auf.

Der bestehende Fachartikel Was ist Computer-Forensik? erklärt, welche System-, Datei-, Benutzer- und Datenträgerspuren grundsätzlich auf einem Computer untersucht werden können.

Bei Malware-Vorfällen werden diese Daten gezielt unter der Fragestellung eines möglichen Sicherheitsangriffs ausgewertet.

Welche Rolle spielt ein forensisches Abbild?

Bei geeigneten Datenträgern kann eine kontrollierte Sicherung die Grundlage für spätere Analysen bilden.

Weitere Hintergründe zur Abgrenzung von normaler Dateikopie und forensischer Sicherung erläutert der bestehende Wissensartikel Was ist ein forensisches Abbild?.

Welche Rolle spielen Hashwerte bei Malware-Forensik?

Hashwerte können unterschiedliche Funktionen besitzen.

Sie können zum einen zur Integritätskontrolle gesicherter Daten verwendet werden. Zum anderen können Dateihashes mit bekannten Schadsoftwareinformationen verglichen werden.

Diese beiden Anwendungsfälle sollten nicht miteinander verwechselt werden.

Warum ist die Chain of Custody wichtig?

Bei beweisrelevanten Vorfällen sollte nachvollziehbar dokumentiert sein, welches Gerät oder welcher Datenbestand übernommen, gesichert und untersucht wurde.

Die Beweismittelkette ergänzt technische Integritätskontrollen und ermöglicht eine nachvollziehbare Zuordnung der Untersuchungsschritte.

Kann Malware-Forensik gerichtlich relevant sein?

Ja.

Forensische Feststellungen können beispielsweise bei Betrugsfällen, Cyberangriffen, Datenschutzvorfällen, arbeitsrechtlichen Auseinandersetzungen oder Strafverfahren relevant werden.

Ob und in welcher Form ein Ergebnis rechtlich verwertbar ist, ist jedoch eine juristische Frage und nicht allein eine technische Eigenschaft des Untersuchungsberichts.

Was gehört in einen Malware-forensischen Bericht?

Ein nachvollziehbarer Bericht sollte die Untersuchungsfrage, die untersuchten Datenquellen, die verwendeten Methoden und die wesentlichen technischen Feststellungen erkennen lassen.

Ebenso wichtig sind Einschränkungen und alternative Erklärungen.

Ein Bericht sollte klar unterscheiden zwischen einem objektiv festgestellten Artefakt und einer daraus abgeleiteten fachlichen Bewertung.

Warum sollten Malware-Ergebnisse überprüfbar sein?

Automatisierte Forensik- und Sicherheitsprogramme können Fehler oder Fehlinterpretationen erzeugen.

Besonders relevante Befunde sollten deshalb anhand geeigneter Rohdaten, zusätzlicher Artefakte oder gegebenenfalls eines weiteren Analyseverfahrens überprüft werden.

Was bedeutet Cross-Tool-Validation?

Cross-Tool-Validation bedeutet, einen besonders wichtigen Befund mit einem zweiten unabhängigen Werkzeug oder einer anderen Methode zu überprüfen.

Das kann helfen, Parserfehler, Fehlalarme oder Unterschiede in der Interpretation zu erkennen.

Kann künstliche Intelligenz Malware erkennen?

KI-basierte Verfahren können bei Klassifikation, Mustererkennung, Priorisierung und anderen Analyseaufgaben unterstützen.

Ein KI-Ergebnis ist jedoch nicht automatisch eine forensische Tatsachenfeststellung.

Besonders bei beweisrelevanten Ergebnissen müssen Datenquelle, Methode und konkrete technische Artefakte nachvollziehbar bleiben.

Ersetzt KI einen Malware-Forensiker?

Nein.

Automatisierte Analyse kann große Datenmengen schneller strukturieren. Die fachliche Bewertung eines konkreten Vorfalls erfordert jedoch die Einordnung unterschiedlicher Datenquellen, möglicher Fehlalarme und technischer Grenzen.

Praxisbeispiel: Verdächtiger E-Mail-Anhang

Eine Privatperson erhält eine angebliche Rechnung per E-Mail und öffnet den Anhang. Zwei Tage später meldet das E-Mail-Konto eine unbekannte Anmeldung.

Eine Malware-forensische Untersuchung sollte diese Ereignisse nicht automatisch miteinander gleichsetzen.

Geprüft werden können die ursprüngliche E-Mail, die heruntergeladene Datei, mögliche Ausführungsartefakte, Systemveränderungen und vorhandene Kontoinformationen.

Erst wenn mehrere Spuren zeitlich und technisch zusammenpassen, entsteht eine belastbarere Rekonstruktion.

Praxisbeispiel: Virenscanner meldet einen Infostealer

Ein Sicherheitsprogramm meldet einen Infostealer und verschiebt eine Datei in Quarantäne.

Für die weitere Bewertung ist entscheidend, ob die Datei tatsächlich ausgeführt wurde und welche Informationen auf dem System zugänglich waren.

Zusätzlich können wichtige Benutzerkonten auf unbekannte Sitzungen oder sicherheitsrelevante Veränderungen geprüft werden.

Praxisbeispiel: Unternehmen entdeckt Ransomware

Mehrere Arbeitsplatzrechner und Server werden innerhalb kurzer Zeit verschlüsselt.

Die sichtbare Ransomware ist nur ein Teil des Vorfalls.

Untersucht werden müssen je nach Datenlage möglicherweise der ursprüngliche Eintrittsweg, verwendete Benutzerkonten, Bewegungen zwischen Systemen, Malware-Komponenten und Hinweise auf einen möglichen Datenabfluss.

Praxisbeispiel: Virenscanner findet nichts

Ein Computer zeigt unbekannte Fernzugriffe, obwohl mehrere Virenscanner keine Schadsoftware melden.

In diesem Fall sollte die Untersuchung nicht darauf beschränkt werden, weitere Scanner auszuführen.

Benutzerkonten, Fernzugriffssoftware, Ereignisprotokolle, laufende Prozesse und andere Systemartefakte können eine wesentlich bessere Untersuchungsgrundlage darstellen.

FAQ zur Malware-Forensik

Was ist Malware-Forensik einfach erklärt?

Malware-Forensik untersucht Schadsoftware und deren digitale Spuren, um einen möglichen Sicherheitsvorfall technisch zu rekonstruieren.

Was untersucht ein Malware-Forensiker?

Je nach Fall können verdächtige Dateien, Prozesse, Systemänderungen, Logs, Persistenzmechanismen, Arbeitsspeicher und Netzwerkspuren untersucht werden.

Ist Malware-Forensik dasselbe wie ein Virenscan?

Nein. Ein Virenscan konzentriert sich auf Erkennung und Bereinigung. Malware-Forensik untersucht zusätzlich Ablauf, Auswirkungen und digitale Spuren eines Vorfalls.

Kann Malware vorhanden sein, obwohl der Virenscanner nichts findet?

Ja. Ein negativer Scan kann einen Sicherheitsvorfall nicht vollständig ausschließen.

Kann ein Virenscanner einen Fehlalarm melden?

Ja. Deshalb sollte ein einzelner Treffer fachlich überprüft werden.

Kann festgestellt werden, ob eine Malware-Datei ausgeführt wurde?

Unter geeigneten Voraussetzungen können Ausführungs-, Prozess-, Log- und weitere Systemartefakte Hinweise darauf liefern.

Kann festgestellt werden, wann Malware auf den Computer gelangte?

Teilweise kann der Zeitraum anhand mehrerer Zeitinformationen eingegrenzt werden.

Kann festgestellt werden, woher die Malware kam?

Unter bestimmten Voraussetzungen können Browser-, E-Mail-, Datei- und andere Systemspuren den möglichen Ursprung eingrenzen.

Kann Malware über eine E-Mail kommen?

Ja. Schädliche Anhänge oder Links können Bestandteil eines Angriffs sein.

Kann Malware über einen USB-Stick kommen?

Ja. Ob dies in einem konkreten Fall tatsächlich geschah, muss anhand der vorhandenen Spuren geprüft werden.

Kann Malware Passwörter stehlen?

Bestimmte Schadsoftware kann Zugangsinformationen oder andere Authentifizierungsdaten erfassen.

Kann Malware Online-Banking-Daten stehlen?

Bestimmte Malwaretypen können auf Zugangsinformationen und andere sensible Daten ausgerichtet sein.

Kann Malware Fotos und Dokumente stehlen?

Wenn die Schadsoftware ausreichende Zugriffsrechte besitzt, können Dateien grundsätzlich betroffen sein.

Kann Malware meine Webcam einschalten?

Technisch kann dies bei entsprechendem Systemzugriff möglich sein. Die Möglichkeit allein beweist jedoch keinen konkreten Webcam-Zugriff.

Kann Malware mein Mikrofon benutzen?

Auch dies ist bei ausreichenden Rechten grundsätzlich möglich, muss aber im konkreten Fall technisch nachgewiesen werden.

Kann Malware meine Dateien verschlüsseln?

Ja. Ransomware ist ein bekanntes Beispiel dafür.

Kann Malware nach einem Neustart weiter aktiv sein?

Ja, wenn entsprechende Persistenzmechanismen eingerichtet wurden.

Kann Malware nach dem Löschen noch nachgewiesen werden?

Unter bestimmten Voraussetzungen können verbleibende System- und Ausführungsartefakte Hinweise liefern.

Kann Malware vollständig spurlos arbeiten?

Eine vollständige Spurenfreiheit kann nicht pauschal angenommen werden. Auch speicherbasierte oder dateiarme Angriffe können andere technische Artefakte erzeugen.

Was ist Fileless Malware?

Damit werden Angriffstechniken bezeichnet, bei denen klassische dauerhaft gespeicherte Schadsoftwaredateien eine geringere Rolle spielen.

Was ist ein Infostealer?

Ein Infostealer ist Schadsoftware, die gezielt Informationen wie Browser- oder Zugangsdaten sammeln kann.

Was ist ein Remote-Access-Trojaner?

Ein RAT kann einem Angreifer Funktionen zur Fernsteuerung eines kompromittierten Computers bereitstellen.

Was ist Ransomware?

Ransomware verschlüsselt oder sperrt typischerweise Daten und ist häufig mit einer Lösegeldforderung verbunden.

Was ist Spyware?

Spyware kann Informationen über ein System oder dessen Benutzer sammeln.

Was sind IOCs?

Indicators of Compromise sind technische Merkmale, die auf eine mögliche Kompromittierung hinweisen können.

Was sind YARA-Regeln?

YARA-Regeln suchen nach definierten technischen Mustern in Dateien oder anderen Datenbeständen.

Was ist statische Malware-Analyse?

Dabei wird eine verdächtige Datei untersucht, ohne sie bewusst auszuführen.

Was ist dynamische Malware-Analyse?

Dabei wird das Verhalten einer verdächtigen Datei in einer kontrollierten Umgebung beobachtet.

Was ist eine Sandbox?

Eine Sandbox ist eine isolierte Analyseumgebung zur kontrollierten Untersuchung verdächtiger Software.

Was ist Memory Forensics?

Memory Forensics untersucht den Arbeitsspeicher eines Systems auf flüchtige Prozesse, Module, Verbindungen und weitere relevante Informationen.

Soll ich einen verdächtigen Computer sofort ausschalten?

Nicht pauschal. Beim Ausschalten gehen flüchtige Daten verloren. Gleichzeitig kann ein laufendes kompromittiertes System weiteren Schaden verursachen.

Soll ich die Malware-Datei sofort löschen?

Bei einem späteren Beweisinteresse sollte sie nicht unkontrolliert gelöscht oder erneut ausgeführt werden.

Soll ich Windows nach einem Malware-Fund neu installieren?

Eine Neuinstallation kann später zur Bereinigung sinnvoll sein. Wenn der Vorfall untersucht werden soll, sollte eine mögliche Beweissicherung zuvor berücksichtigt werden.

Kann ein Werksreset beziehungsweise eine Neuinstallation alle Probleme lösen?

Nicht zwingend. Kompromittierte Online-Konten können unabhängig vom lokalen System fortbestehen.

Kann Malware-Forensik feststellen, welche Daten gestohlen wurden?

Unter geeigneten Voraussetzungen können Hinweise auf Datei- und Datenaktivitäten rekonstruiert werden. Ein vollständiger Nachweis ist nicht in jedem Fall möglich.

Kann Malware-Forensik den Täter identifizieren?

Nicht automatisch. Technische Spuren können Infrastruktur oder Zugriffswege zeigen, identifizieren aber nicht zwangsläufig die natürliche Person dahinter.

Kann Malware-Forensik einen Angriff hundertprozentig rekonstruieren?

Nein. Die Rekonstruktion ist auf die tatsächlich vorhandenen und technisch zugänglichen Daten beschränkt.

Wann sollte Malware-Forensik durchgeführt werden?

Bei konkretem Verdacht auf Schadsoftware, Phishing-Folgen, Ransomware, unbekannte Fernzugriffe oder andere sicherheitsrelevante Aktivitäten kann eine forensische Untersuchung sinnvoll sein.

Malware-Forensik untersucht nicht nur die Schadsoftware, sondern den gesamten technischen Zusammenhang

Der Fund einer verdächtigen Datei beantwortet noch nicht die entscheidenden Fragen eines Sicherheitsvorfalls.

War die Datei tatsächlich schädlich? Wurde sie ausgeführt? Wann geschah das? Welche Veränderungen entstanden? Wurde eine dauerhafte Zugriffsmöglichkeit eingerichtet? Gab es externe Netzwerkverbindungen? Waren Zugangsdaten oder Dateien betroffen?

Genau deshalb geht Malware-Forensik über einen klassischen Virenscan hinaus.

Eine belastbare Untersuchung verbindet Dateianalyse, Systemartefakte, Ausführungsinformationen, Benutzeraktivitäten, Arbeitsspeicher, Logdaten und gegebenenfalls Netzwerkspuren. Die einzelnen Befunde werden zeitlich und technisch miteinander abgeglichen.

Ebenso wichtig sind die Grenzen der Aussagekraft. Eine gefundene Malware-Datei beweist nicht automatisch ihre Ausführung. Eine erfolgreiche Ausführung beweist nicht automatisch einen Datenabfluss. Eine IP-Adresse identifiziert nicht automatisch den Täter. Und ein negativer Virenscan schließt einen früheren Sicherheitsvorfall nicht sicher aus.

Malware-Forensik ist deshalb keine Suche nach möglichst vielen Warnmeldungen. Ihr Ziel ist eine nachvollziehbare Rekonstruktion dessen, was anhand der vorhandenen digitalen Spuren tatsächlich festgestellt werden kann.

Zurück zur Wissensübersicht