SICHER
Fernwartungsbetrug erkennen und stoppen
Ein unerwarteter Anruf kündigt angeblich verdächtige Kontobewegungen an, ein Warnfenster meldet einen schweren Computerfehler oder eine vermeintliche Supportseite bietet sofortige Hilfe an. Kurz darauf soll eine Fernwartungssoftware installiert und eine Sitzungsnummer mitgeteilt werden, damit ein Mitarbeiter das Problem aus der Ferne lösen könne. Wer Fernwartungsbetrug erkennen und stoppen möchte, muss deshalb vor allem den Moment erkennen, in dem eine gewöhnliche Hilfestellung in die Übergabe der Gerätekontrolle kippt. Die Reihe Digital sicher ordnet eine Betrugsform ein, bei der nicht zwingend Schadsoftware eine technische Schutzbarriere durchbrechen muss: Häufig öffnen Betroffene den Zugang selbst, weil der angebliche Anlass glaubwürdig und dringend erscheint.
Die dafür verwendeten Fernwartungsprogramme sind nicht grundsätzlich gefährlich. Unternehmen, IT-Abteilungen und private Helfer setzen solche Werkzeuge täglich ein, um Bildschirminhalte zu sehen, Einstellungen zu ändern oder technische Probleme zu beheben. Genau diese legitimen Fähigkeiten machen sie jedoch für Betrüger attraktiv. Wer eine Verbindung zulässt, kann dem Gegenüber je nach Programm und Freigabe ermöglichen, den Mauszeiger zu steuern, Dateien zu übertragen, Anwendungen zu installieren und Eingaben auf dem Bildschirm zu verfolgen.
Der entscheidende Schutz beginnt daher nicht bei der Frage, ob ein bestimmtes Programm seriös ist, sondern beim Auftrag dahinter. Ein echtes Fernwartungswerkzeug bleibt ein mächtiger Zugang zum Gerät. Wird die Sitzung von einem unerwarteten Anrufer, einem bedrohlichen Browserfenster oder einer nur scheinbar offiziellen Serviceseite veranlasst, besteht ein erhebliches Risiko. Nach einem bereits gewährten Zugriff müssen Verbindung, Gerät, Konten und mögliche Zahlungen getrennt betrachtet werden, denn das Schließen des Supportfensters beendet nicht automatisch jede Folge des Vorfalls.
Wie falscher Support Vertrauen aufbaut
Fernwartungsbetrug kann mit einem unangekündigten Telefonat beginnen. Der Anrufer gibt sich beispielsweise als Mitarbeiter einer Bank, eines Computerherstellers, eines Versandhändlers oder eines Zahlungsdienstes aus und behauptet, ein Konto sei gefährdet oder der Computer verbreite Schadsoftware. Eine andere Variante beginnt im Browser: Eine bildschirmfüllende Warnmeldung, ein lauter Signalton oder eine angeblich nicht schließbare Fehlerseite fordert dazu auf, eine eingeblendete Telefonnummer anzurufen.
Daneben existieren gefälschte Kundenservice-Einträge in Suchmaschinen, sozialen Netzwerken und Onlineanzeigen. Wer selbst nach einer Telefonnummer für ein technisches Problem sucht, kann dadurch bei einem betrügerischen Callcenter landen, obwohl der Kontakt zunächst eigenständig aufgenommen wurde. Die Polizeiliche Kriminalprävention warnt vor solchen Fake-Kundenservices und beschreibt ausdrücklich Fälle, in denen angebliche Mitarbeiter die Installation von AnyDesk, TeamViewer oder einer vergleichbaren Fernwartungslösung verlangen.
Die Gesprächsführung wirkt häufig professionell. Namen, Kundennummern oder einzelne Kontodaten können aus früheren Datenlecks, öffentlich sichtbaren Profilen oder einer vorausgegangenen Phishingseite stammen. Auch die im Telefondisplay angezeigte Rufnummer ist kein sicherer Beweis, weil Absenderinformationen manipuliert werden können. Entscheidend bleibt, ob der Kontakt erwartet wurde und über einen zuvor selbst eröffneten, nachvollziehbaren Supportvorgang zustande kam.
Fernwartungssoftware ist ein Werkzeug, kein Sicherheitsnachweis
Eine Anwendung wird nicht dadurch ungefährlich, dass sie aus einem offiziellen App-Store oder von der echten Herstellerseite stammt. Bei Fernwartungsbetrug kann gerade die unveränderte Originalsoftware eingesetzt werden. Der Angreifer benötigt dann keinen präparierten Download, solange eine Sitzungskennung, ein Kennwort oder eine Zugriffsbestätigung freiwillig weitergegeben wird.
Der sichtbare Fernzugriff kann unterschiedliche Rechte besitzen. Manche Sitzungen erlauben zunächst nur das Betrachten des Bildschirms, andere unmittelbar die vollständige Bedienung. Zusätzliche Freigaben können Dateiübertragungen, Zwischenablage, Neustarts oder administrative Änderungen ermöglichen. Bei einigen Programmen lässt sich außerdem ein unbeaufsichtigter Zugang einrichten, der spätere Verbindungen ohne eine erneute, bewusst bestätigte Sitzung erlaubt. Welche Möglichkeiten tatsächlich bestanden, hängt von Anwendung, Betriebssystem und den während des Gesprächs erteilten Berechtigungen ab.
Deshalb wäre sowohl eine pauschale Entwarnung als auch die sofortige Annahme eines vollständig übernommenen Systems falsch. Nach dem Vorfall muss rekonstruiert werden, was freigegeben, eingegeben, geöffnet, installiert oder bestätigt wurde. Ein lediglich angezeigter Bildschirm erfordert eine andere Bewertung als eine Sitzung mit Administratorrechten, Dateitransfer und geöffnetem Onlinebanking.
Fernwartungsbetrug erkennen und stoppen: Diese Warnzeichen zählen
Ein einzelnes Merkmal beweist noch keinen Betrug, mehrere zusammen ergeben jedoch ein deutliches Muster. Besonders auffällig ist ein unerwarteter Kontakt, bei dem ein angeblich bereits erkanntes Problem nur durch sofortigen Fernzugriff gelöst werden könne. Seriöser Support kennt nicht ohne Weiteres den Zustand eines privaten Computers und erzeugt keinen künstlichen Zeitdruck, um eine Installation oder Zahlung durchzusetzen.
Microsoft erklärt auf seiner offiziellen Seite zu Supportbetrug, dass das Unternehmen nicht unaufgefordert anruft, um technischen Support anzubieten. Echte Microsoft-Fehlermeldungen enthalten zudem keine Telefonnummer, die zur Behebung eines Computerproblems angerufen werden soll. Ein nachweislich selbst angeforderter Rückruf innerhalb eines bereits eröffneten Supportfalls ist davon zu unterscheiden.
Weitere Warnzeichen sind die Bitte, Sicherheitssoftware vorübergehend auszuschalten, eine Anwendung außerhalb der üblichen Quelle zu laden oder Warnhinweise des Fernwartungsprogramms zu ignorieren. Besonders eindeutig wird die Lage, wenn der angebliche Helfer Zugangsdaten, Karteninformationen, PIN, TAN oder die Freigabe eines Bankingauftrags verlangt. Banken benötigen keinen Fernzugriff auf einen privaten Computer, um verdächtige Buchungen zu untersuchen, und eine Zahlungsbestätigung macht keinen angeblichen Sicherheitsvorgang rückgängig.
Auch die Aufforderung, während einer vermeintlichen Rückzahlung selbst Geld zu überweisen, Guthabenkarten zu kaufen oder Kryptowährungen zu übertragen, gehört zum typischen Muster. Gleiches gilt für die Behauptung, der Bildschirm müsse während des Onlinebankings schwarz bleiben, weil angeblich eine sichere Verbindung hergestellt werde. Eine solche Verdeckung kann gerade dazu dienen, Eingaben und ausgelöste Vorgänge vor der betroffenen Person zu verbergen.
Aus dem Gerätezugriff kann ein Kontoschaden werden
Während einer aktiven Sitzung können Betrüger sichtbare Dateien durchsuchen, gespeicherte Zugangsdaten suchen oder den Browser zu einer Anmeldeseite lenken. Teilweise werden normale Systemanzeigen geöffnet und als Beleg für eine angebliche Infektion präsentiert. Ereignisprotokolle, laufende Prozesse oder harmlose Warnmeldungen wirken ohne technischen Zusammenhang schnell bedrohlich, obwohl sie für sich genommen keinen Angriff beweisen.
Besonders kritisch wird eine Sitzung, sobald E-Mail, Passwortmanager, Cloudspeicher oder Onlinebanking geöffnet werden. Auch wenn Kennwörter nur als Punkte erscheinen, können Zugangsdaten auf andere Weise abgegriffen, neue Anmeldeverfahren eingerichtet oder bereits angemeldete Konten unmittelbar verwendet werden. Ein Betrüger kann außerdem versuchen, Dateien zu übertragen, Browsererweiterungen hinzuzufügen oder einen dauerhaften Fernzugriff einzurichten.
Nicht jede Handlung muss während des Gesprächs sichtbar werden. Wurde Schadsoftware installiert oder ein fremdes Benutzerkonto angelegt, kann ein späterer Zugriff möglich sein. Wurden dagegen weder administrative Rechte erteilt noch Daten eingegeben, Zahlungen bestätigt oder Dateien übertragen, ist das Risiko geringer. Die Bewertung richtet sich deshalb nach den tatsächlich eingeräumten Möglichkeiten und darf weder allein am Namen der Fernwartungssoftware noch an der Gesprächsdauer festgemacht werden.
Eine laufende Verbindung muss zuerst enden
Besteht der Fernzugriff noch, hat die Unterbrechung Vorrang vor einer ausführlichen Diskussion mit dem angeblichen Support. Das Gerät sollte vom Internet getrennt werden, etwa durch Ausschalten der WLAN-Verbindung oder Entfernen des Netzwerkkabels. Bei einem Smartphone oder Tablet lässt sich die Datenverbindung ebenfalls deaktivieren. Die Polizei empfiehlt bei einem bereits gewährten Zugang ausdrücklich, die Verbindung zu trennen und anschließend sachkundige Hilfe zu suchen.
Parallel sollte das Telefongespräch beendet werden. Weitere Anweisungen, Zahlungen oder Freigaben dürfen nicht mehr ausgeführt werden. Das bloße Schließen des sichtbaren Fernwartungsfensters ist zwar sinnvoll, reicht aber nicht in jeder Konfiguration aus. Wurde ein Dienst im Hintergrund installiert oder ein unbeaufsichtigter Zugang eingerichtet, kann die Anwendung später erneut erreichbar sein.
Soweit es ohne Verzögerung der Trennung möglich ist, helfen Bildschirmfotos der geöffneten Anwendung, der angezeigten Sitzungskennung und des Gesprächsverlaufs bei der späteren Rekonstruktion. Beweise sind wichtig, doch der Schutz des noch laufenden Systems wiegt schwerer. Eine verdächtige Verbindung sollte nicht absichtlich aktiv bleiben, nur um weitere Aufnahmen anzufertigen.
Das Gerät nach dem Fernzugriff sorgfältig prüfen
Nach der Trennung sollte das betroffene Gerät zunächst nicht mehr für E-Mail, Banking, Einkäufe oder Passwortänderungen verwendet werden. Diese Schritte gehören auf ein anderes, vertrauenswürdiges Gerät, solange unklar ist, ob Eingaben mitgelesen oder neue Zugänge eingerichtet wurden.
Auf dem betroffenen Computer sind die installierte Fernwartungssoftware, kürzlich hinzugekommene Programme, Browsererweiterungen, Benutzerkonten und automatisch gestartete Anwendungen zu kontrollieren. Auch die Einstellungen des Fernwartungsprogramms verdienen Aufmerksamkeit: Ein gespeichertes Zugangskennwort, ein aktivierter Systemdienst oder eine Freigabe für unbeaufsichtigten Zugriff kann wichtiger sein als das sichtbare Programmsymbol. Unbekannte Anwendungen und Zugänge müssen entfernt beziehungsweise deaktiviert werden.
Anschließend empfiehlt sich eine vollständige Prüfung mit der aktualisierten Sicherheitssoftware des Betriebssystems. System- und Programmupdates sollten ebenfalls installiert werden. Die Deinstallation des Fernwartungsprogramms beweist allerdings nicht, dass das Gerät sauber ist. Falls der Angreifer administrative Rechte besaß, Dateien übertragen hat, Sicherheitsfunktionen deaktivierte oder längere Zeit unbeobachtet arbeiten konnte, ist eine fachkundige Untersuchung sinnvoll. Bleiben Zweifel, kann eine saubere Neuinstallation des Betriebssystems die verlässlichere Lösung sein.
Das BSI weist in seinen Basistipps zur IT-Sicherheit darauf hin, dass beim Neuaufsetzen nach einer Schadsoftwareinfektion keine ungeprüften Programme aus einer möglicherweise betroffenen Sicherung übernommen werden sollten. Persönliche Dokumente und Fotos lassen sich getrennt sichern, während Anwendungen aus vertrauenswürdigen Quellen neu installiert werden. Ein Backup ist in diesem Zusammenhang eine Datenquelle, aber kein automatischer Beweis für einen sauberen Systemzustand.
Konten und Zahlungswege getrennt absichern
Wurden während der Sitzung Passwörter eingegeben, im Browser gespeichert oder möglicherweise sichtbar gemacht, müssen die betroffenen Konten von einem vertrauenswürdigen Gerät aus abgesichert werden. Besonders wichtig sind das zentrale E-Mail-Postfach, ein verwendeter Passwortmanager sowie Apple-, Google- oder Microsoft-Konten, weil sie häufig weitere Anmeldungen, synchronisierte Zugangsdaten und Wiederherstellungswege kontrollieren.
Neben einem neuen, ausschließlich für den jeweiligen Dienst verwendeten Passwort gehören unbekannte Sitzungen und Geräte auf den Prüfstand. Ebenso wichtig sind Wiederherstellungsadressen, Telefonnummern, neu hinzugefügte Anmeldeverfahren und erstellte App-Passwörter. Der bereits veröffentlichte Ratgeber zum gehackten E-Mail-Kontoerklärt diese Kontrollen ausführlicher, denn ein Angreifer kann über Weiterleitungen oder veränderte Wiederherstellungsdaten Zugriff behalten, obwohl das Hauptkennwort bereits ersetzt wurde.
War Onlinebanking geöffnet, wurden Karteninformationen genannt oder erschien eine unbekannte Freigabe, ist die Bank unverzüglich über einen selbst ermittelten offiziellen Kontaktweg zu informieren. Dabei zählen Zeitpunkt, Betrag, Empfänger und die genaue Art der Bestätigung. Bereits ausgelöste Zahlungen lassen sich nicht durch eine weitere TAN „stornieren“. Ob ein Auftrag noch gestoppt, zurückgerufen oder beanstandet werden kann, muss das Institut anhand des konkreten Zahlungswegs prüfen.
Für angeschlossene Karten, Onlinebanking-Zugänge und weitere elektronische Berechtigungen steht außerdem der Sperr-Notruf 116 116 zur Verfügung. Welche Sperrung dort möglich ist, hängt vom jeweiligen Herausgeber und dessen Teilnahme ab. Die direkte Bankverbindung bleibt deshalb ebenfalls wichtig. Konten und Karten sollten anschließend weiter beobachtet werden, weil eine Sperre nicht rückwirkend erklärt, welche Vorgänge bereits stattgefunden haben.
Beweise sichern und den Vorfall melden
Für eine nachvollziehbare Dokumentation sind Rufnummern, Anrufzeiten, Namen und Behauptungen der Kontaktperson hilfreich. Hinzu kommen E-Mails, SMS, verwendete Internetadressen, Namen der installierten Programme, Sitzungskennungen, Zahlungsbelege und Bildschirmfotos. Eine verdächtige Seite oder Fernverbindung muss dafür nicht erneut geöffnet werden.
Bei einem finanziellen Schaden, missbrauchten Daten, installierter Schadsoftware oder einem konkreten Betrugsversuch kommt eine Strafanzeige in Betracht. Das offizielle Portal der Onlinewachen leitet einfache Fälle von Internetbetrug zum zuständigen Bundesland weiter und erlaubt das Hochladen von Unterlagen. Komplexe Sachverhalte oder akute Bedrohungen gehören direkt zur örtlichen Polizei; der Notruf ist unmittelbaren Gefahrensituationen vorbehalten.
Auch der angeblich vertretene Anbieter kann informiert werden. Microsoft stellt beispielsweise eine Meldemöglichkeit für Supportbetrug bereit. Eine solche Meldung ersetzt weder die Bankkontaktaufnahme noch eine Anzeige, kann aber helfen, missbrauchte Telefonnummern, Internetseiten oder Kampagnen schneller zu erkennen.
Seriöse Fernhilfe beginnt mit einem selbst eröffneten Vorgang
Fernwartung bleibt ein nützliches Instrument, wenn Anlass, Kontakt und Berechtigungen nachvollziehbar sind. Der sicherere Ablauf beginnt mit einer selbst aufgerufenen Anbieterwebsite, einer bekannten Supportnummer oder einem bereits bestehenden Vertragspartner. Eine Sitzungskennung wird erst innerhalb dieses erwarteten Vorgangs ausgetauscht, und die Verbindung endet nach der konkreten Aufgabe.
Während einer seriösen Fernhilfe bleiben die ausgeführten Schritte sichtbar und erklärbar. Banking, Passwortmanager und private Dokumente müssen dafür nicht geöffnet sein. PIN, TAN, Wiederherstellungscode und vollständige Passwörter werden nicht an Supportmitarbeiter weitergegeben. Verlangt eine Person dennoch solche Angaben oder verhindert bewusst die Sicht auf den Bildschirm, ist der Supportvorgang abzubrechen und über einen unabhängigen Kontaktweg neu zu prüfen.
Auch private Hilfe aus Familie oder Freundeskreis sollte klar begrenzt bleiben. Ein einmaliger Zugang ist einer dauerhaft aktivierten Fernwartung vorzuziehen, sofern keine regelmäßige Betreuung bewusst eingerichtet werden soll. Nach Ende der Sitzung lässt sich kontrollieren, ob der Fernzugriff wirklich beendet und keine unnötige Dauerfreigabe zurückgeblieben ist. Weitere Beiträge aus Digital sicher zeigen denselben Grundsatz in anderen Situationen: Nicht der angekündigte Notfall bestimmt den sicheren Kontaktweg, sondern ein unabhängig überprüfter Zugang zum tatsächlichen Anbieter.
Fazit: Kontrolle endet nicht mit dem Schließen des Fensters
Fernwartungsbetrug wirkt überzeugend, weil eine echte Hilfstechnik mit einem erfundenen Problem verbunden wird. Ein bekanntes Firmenlogo, eine plausible Rufnummer oder ein unverändertes Fernwartungsprogramm bestätigt nicht, dass der Gesprächspartner berechtigt ist. Ausschlaggebend sind der erwartete Anlass, ein selbst eröffneter Supportweg und die Frage, welche Rechte tatsächlich verlangt werden.
Nach einem gewährten Zugriff führt eine feste Reihenfolge aus dem Vorfall: Verbindung unterbrechen, ein vertrauenswürdiges Zweitgerät verwenden, mögliche Dauerzugänge und Installationen prüfen, betroffene Konten absichern sowie Bank und Polizei einschalten, wenn Daten oder Geld gefährdet sind. Je weitreichender die erteilten Rechte waren, desto weniger verlässlich ist eine oberflächliche Bereinigung. Das Ziel besteht nicht darin, jedes Warnfenster als Katastrophe zu behandeln, sondern einen möglichen Kontrollverlust nüchtern und vollständig zu beenden.
Häufige Fragen zu Fernwartungsbetrug
Ist AnyDesk oder TeamViewer automatisch gefährlich?
Nein. Solche Programme werden für legitime Fernhilfe und Administration eingesetzt. Gefährlich wird die Verbindung, wenn ein nicht verifizierter Kontakt Zugriff verlangt, weitreichende Rechte erhält oder die Sitzung für Datendiebstahl, Zahlungen und unerwünschte Installationen nutzt.
Reicht es, das Fernwartungsprogramm zu deinstallieren?
Nicht immer. Eine Deinstallation beendet zwar das betreffende Programm, beseitigt aber keine zusätzlich installierte Schadsoftware, fremden Benutzerkonten oder bereits veränderten Zugangsdaten. Nach einem weitreichenden Zugriff ist daher eine umfassendere Geräte- und Kontoprüfung erforderlich.
Was ist zu tun, wenn nur die Sitzungsnummer genannt wurde?
Entscheidend ist, ob die Verbindung anschließend bestätigt und tatsächlich aufgebaut wurde. Eine Sitzungsnummer allein ermöglicht je nach Programm noch keinen Zugriff. Trotzdem sollte die Sitzung beendet, das Kennwort geändert oder die Anwendung geschlossen werden, damit kein späterer Verbindungsversuch gelingt.
Kann ein Betrüger das Onlinebanking trotz TAN-Verfahren missbrauchen?
Ein TAN-Verfahren schützt nur, wenn die angezeigten Auftragsdaten geprüft und keine fremden Vorgänge bestätigt werden. Eine TAN oder App-Freigabe autorisiert einen konkreten Auftrag und ist keine allgemeine Bestätigung, dass ein angeblicher Bankmitarbeiter vertrauenswürdig ist.
Muss ein Computer nach jedem Fernwartungsbetrug neu installiert werden?
Eine Neuinstallation ist nicht in jedem Fall zwingend. Sie wird jedoch umso sinnvoller, je länger der Zugriff bestand, je höhere Rechte eingeräumt wurden und je weniger nachvollziehbar die ausgeführten Änderungen sind. Bei übertragenen Dateien, deaktivierten Schutzfunktionen oder fortbestehenden Auffälligkeiten ist fachkundige Hilfe ratsam.
Darf ein echter Supportmitarbeiter Fernzugriff verlangen?
Ein legitimer Support kann Fernwartung anbieten, wenn zuvor ein nachvollziehbarer Vorgang eröffnet wurde und die Verbindung bewusst bestätigt wird. Unaufgeforderte Anrufe, überraschende Warnfenster sowie Forderungen nach Banking-Zugängen, TANs oder Zahlungen gehören nicht zu einem seriösen Ablauf.
Quellenbasis und Transparenz
Der Artikel beruht auf den aktuellen Informationen der Polizeilichen Kriminalprävention zu Fake-Kundenservices, den Microsoft-Hinweisen zu Online- und Supportbetrug, der Warnung der Verbraucherzentrale vor falschem Microsoft-Support, den Sicherheitsempfehlungen des BSI, den Informationen des Sperr-Notrufs sowie dem offiziellen Portal der Onlinewachen. Es wurde kein eigener Betrugsversuch und kein praktischer Fernzugriffstest durchgeführt. Stand der Recherche: 26. August 2026.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
