Infostealer entdeckt: Erst bereinigen, dann Passwörter ändern

Die sichere Reihenfolge lautet: betroffenes Gerät isolieren, Schadsoftware beseitigen, bei verbleibendem Zweifel neu installieren und erst danach von einem vertrauenswürdigen Gerät aus die Konten absichern. Solange ein Infostealer noch aktiv sein könnte, dürfen auf dem Rechner keine neuen Passwörter oder anderen Zugangsdaten eingegeben werden.

Nach der technischen Bereinigung folgen Passwortwechsel, Mehrfaktor-Authentifizierung, das Abmelden alter Sitzungen und die Kontrolle wichtiger Kontoeinstellungen. Dringende Sperren können Sie vorher von einem sauberen Zweitgerät aus veranlassen; den möglicherweise infizierten Rechner verwenden Sie dafür nicht.

1. Das betroffene Gerät isolieren

Trennen Sie den Rechner vom WLAN, vom Ethernet und von verbundenen Netzlaufwerken. Öffnen Sie darauf vorerst weder E-Mail und Onlinebanking noch den Passwortmanager, Unternehmenszugänge oder andere Konten.

Notieren Sie, was den Verdacht ausgelöst hat: den Fundnamen des Schutzprogramms, den ungefähren Zeitpunkt, einen verdächtigen Download oder auffällige Kontoaktivitäten. Daraus lässt sich später ableiten, welche Zugangsdaten möglicherweise auf dem Gerät gespeichert oder während der Infektion eingegeben wurden. Bei einem Firmenrechner sollte die zuständige IT- oder Sicherheitsstelle übernehmen, bevor Dateien gelöscht oder das System zurückgesetzt werden.

Für eine unvermeidbare Kontosperre nutzen Sie ein anderes, aktualisiertes Gerät, das nicht mit demselben verdächtigen Installationspaket, Browserprofil oder Datenträger in Kontakt gekommen ist. Ändern Sie dort zunächst nur, was zur unmittelbaren Schadensbegrenzung nötig ist; die vollständige Kontoabsicherung folgt nach der Entscheidung über den Zustand des Rechners.

2. Vollständig prüfen und gefundene Schadsoftware entfernen

Aktualisieren Sie das installierte Schutzprogramm und führen Sie einen vollständigen Systemscan aus. Entfernen oder isolieren Sie die gefundenen Komponenten nach den Anweisungen des Programms. Falls das Betriebssystem einen Offline-Scan anbietet, ist er bei hartnäckigen oder während des normalen Betriebs nicht entfernbaren Funden ein sinnvoller zusätzlicher Prüfschritt.

Die Reihenfolge schützt die neuen Zugangsdaten: Die Malware-Empfehlungen der US-Handelsbehörde FTC raten dazu, keine Konten mehr zu öffnen, zunächst die Sicherheitssoftware zu aktualisieren und die Schadsoftware per Scan zu entfernen; erst danach folgen Passwortwechsel und Zwei-Faktor-Authentifizierung. Das bestätigt den Kern des Ablaufs, ersetzt aber nicht die Bewertung, ob der konkrete Rechner wieder vertrauenswürdig ist.

Starten Sie das Gerät nach der Entfernung neu, installieren Sie verfügbare Sicherheitsupdates und scannen Sie erneut. Prüfen Sie außerdem unbekannte Programme und Browser-Erweiterungen sowie unerwartete Ausnahmen in der Sicherheitssoftware. Ein zweiter Scan ohne Fund ist ein positives Signal, aber kein allgemeingültiger Beweis dafür, dass jede Manipulation beseitigt wurde.

3. Bei Restzweifeln neu installieren

Ob eine Bereinigung genügt, hängt vom verbleibenden Vertrauen in das System ab. Für ein privat genutztes Gerät ist sie eher vertretbar, wenn der Fund nachvollziehbar entfernt wurde, die Schutzfunktionen normal arbeiten und nach dem Neustart weder weitere Funde noch dieselben Auffälligkeiten auftreten.

Eine Neuinstallation ist die robustere Entscheidung, wenn Schadsoftware erneut erscheint, Scans abbrechen, Sicherheitsfunktionen deaktiviert bleiben oder Herkunft und Umfang der Infektion unklar sind. Für Windows nennt Microsofts Übersicht der Wiederherstellungsoptionen bei vermuteter Infektion ausdrücklich die Neuinstallation über ein Installationsmedium und erklärt, dass diese die Schadsoftware entfernt.

Sichern Sie vorher nur benötigte persönliche Dokumente, Fotos und vergleichbare Daten. Übernehmen Sie keine unbekannten Programme, Installationsdateien, Makros, Browserprofile oder Erweiterungen ungeprüft. Erstellen Sie das Installationsmedium möglichst auf einem sauberen Rechner; für macOS, Linux und Mobilgeräte gelten die Wiederherstellungsanweisungen des jeweiligen Herstellers.

4. Passwörter von einem vertrauenswürdigen Gerät aus erneuern

Beginnen Sie mit dem primären E-Mail-Konto, weil darüber häufig weitere Zugänge zurückgesetzt werden können. Danach folgen Passwortmanager, zentrale Plattformkonten, Finanzdienste, berufliche Zugänge und andere Konten, die während der möglichen Infektion genutzt wurden oder deren Zugangsdaten im Browser gespeichert waren.

Vergeben Sie für jedes Konto ein neues, einzigartiges Passwort. Wurde ein altes Passwort mehrfach verwendet, ändern Sie es bei allen betroffenen Diensten – auch wenn bisher nur bei einem Konto Missbrauch sichtbar ist. Aktivieren Sie, wo verfügbar, eine Mehrfaktor-Authentifizierung und bewahren Sie Wiederherstellungscodes nicht ausschließlich auf dem zuvor infizierten Rechner auf.

Beziehen Sie auch Wiederherstellungsschlüssel, App-Passwörter und andere Anmeldegeheimnisse ein, wenn sie auf dem Gerät gespeichert oder während der Infektion eingegeben wurden. Ein lokaler Geräte-PIN ist nicht automatisch mit dem Online-Passwort des zugehörigen Kontos identisch; behandeln Sie beide nach ihrer tatsächlichen Verwendung.

5. Sitzungen beenden und Kontoeinstellungen kontrollieren

Verlassen Sie sich nicht darauf, dass ein Passwortwechsel jede bestehende Anmeldung beendet. Die Anbieter behandeln aktive Sitzungen unterschiedlich. Öffnen Sie deshalb nach dem Passwortwechsel die Geräte- oder Sitzungsverwaltung und melden Sie unbekannte sowie nicht mehr benötigte Zugriffe ab; eine vorhandene Funktion zum Abmelden auf allen Geräten ist nach einem bestätigten Infostealer-Fund die eindeutigste Variante.

Bei Google lassen sich laut der Geräte- und Sitzungsverwaltung des Google-Kontos aktuelle und kürzlich verwendete Anmeldungen prüfen und zweifelhafte Sitzungen abmelden. Bei anderen Diensten heißen die entsprechenden Bereiche etwa „Sicherheitsaktivität“, „Geräte“, „Apps“ oder „Aktive Anmeldungen“; übernehmen Sie Googles Menüführung daher nicht ungeprüft.

Kontrollieren Sie anschließend Weiterleitungsregeln im E-Mail-Postfach, Wiederherstellungsadressen, Telefonnummern, App-Passwörter, verbundene Anwendungen und neu hinzugefügte Anmeldeverfahren. Entfernen Sie unbekannte Einträge. Bleiben nach neuen Passwörtern und widerrufenen Sitzungen verdächtige Aktivitäten bestehen, behandeln Sie das betreffende Konto weiterhin als kompromittiert und verwenden Sie den offiziellen Wiederherstellungsprozess des Anbieters.