SICHER
Infostealer erkennen und beseitigen: Wenn gespeicherte Logins gestohlen wurden
Infostealer erkennen und beseitigen – beides ist schwieriger als bei Schadsoftware, die den Bildschirm sperrt, Dateien verschlüsselt oder den Computer sichtbar ausbremst. Ein solches Schadprogramm soll gerade nicht auffallen. Es durchsucht das Gerät nach verwertbaren Zugangsdaten, überträgt seine Beute und kann anschließend wieder verschwinden, während Browser, E-Mail und andere Programme scheinbar unverändert funktionieren. In der Serie Digital sicher gehört der Infostealer deshalb zu den besonders tückischen Gefahren: Der eigentliche Angriff dauert möglicherweise nur wenige Minuten, seine Folgen tauchen aber erst Tage oder Wochen später in unterschiedlichen Konten auf.
Ein unerklärlicher Anmeldeversuch bei einem Onlineshop wirkt zunächst wie ein einzelnes Problem. Folgen kurz darauf eine Sicherheitswarnung des Mailanbieters, eine fremde Sitzung in einem sozialen Netzwerk oder eine Änderung an einem Spielekonto, deutet das jedoch auf eine gemeinsame Ursache hin. Statt eines einzigen erratenen Passworts könnte ein vollständiger Datensatz vom Computer abgeflossen sein. Das verändert die richtige Reaktion grundlegend, denn dann müssen nicht nur ein Konto und ein Kennwort, sondern das betroffene Gerät, sämtliche gespeicherten Anmeldungen und bereits bestehende Sitzungen betrachtet werden.
Wie real dieser Markt ist, zeigte 2026 eine internationale Maßnahme gegen mehrere Schadsoftware-Infrastrukturen. Europol beschrieb StealC dabei als Stealer, der Passwörter, gespeicherte Zugangsdaten und digitale Identitäten aus kompromittierten Computern entwendet. Die Daten bleiben nicht zwangsläufig bei den ursprünglichen Angreifern. Sie können weiterverkauft, mit anderen Informationen verknüpft und von verschiedenen Tätergruppen für Kontodiebstahl oder Betrug verwendet werden.
Der Diebstahl bleibt häufig unsichtbar
Ransomware will bemerkt werden, weil ihre Geldforderung nur funktioniert, wenn das Opfer von der Verschlüsselung erfährt. Ein Infostealer verfolgt das entgegengesetzte Ziel. Er sammelt Informationen möglichst geräuschlos und hat keinen Grund, eine Warnmeldung einzublenden. Der Computer kann nach dem Angriff normal starten, der Browser öffnet weiterhin alle Seiten, und selbst ein späterer Virenscan muss nicht mehr zwingend eine aktive Schadsoftware finden.
Ein Fachgespräch des Bundesamts für Sicherheit in der Informationstechnik macht genau diese Schwierigkeit deutlich: Viele Infostealer werden einmal ausgeführt, sammeln Daten und sind danach nicht mehr aktiv. Ein unauffälliger Scan beweist daher nicht, dass zuvor nichts gestohlen wurde. Das Fehlen einer aktuellen Infektion und das Fehlen eines früheren Datendiebstahls sind zwei unterschiedliche Aussagen.
Auch typische Symptome einer Schadsoftwareinfektion sind nicht eindeutig. Ein langsamer Rechner, häufige Abstürze, eine ungewöhnlich hohe Auslastung oder unbekannte Programme können einen Verdacht begründen, passen aber ebenso zu harmlosen technischen Problemen. Umgekehrt kann ein leistungsfähiger Computer völlig unauffällig bleiben, obwohl Zugangsdaten bereits übertragen wurden. Aussagekräftiger ist eine Kombination aus einem verdächtigen Download, einer Warnung des Virenschutzes und anschließenden ungewöhnlichen Kontoaktivitäten.
Was ein Infostealer auf dem Computer sucht
Das Ziel besteht nicht darin, jede Datei vollständig zu kopieren. Interessant sind vor allem Informationen, die sich schnell verwerten lassen. Dazu gehören im Browser gespeicherte Benutzernamen und Passwörter, automatisch ausgefüllte Angaben, Kontoinformationen, Anmeldedaten anderer Programme und je nach Schadsoftware auch Informationen zu Kryptowallets. Das BSI beschreibt Information Stealer als Programme, die solche Daten zu einem verwertbaren Paket zusammenstellen und an Angreifer übertragen.
Dabei muss nicht jedes gespeicherte Element im Klartext vorliegen. Browser und Betriebssysteme schützen sensible Daten mit unterschiedlichen technischen Verfahren. Läuft die Schadsoftware jedoch im Benutzerkonto einer bereits angemeldeten Person, kann sie möglicherweise genau auf jene Informationen zugreifen, die der Browser für den laufenden Betrieb entschlüsseln oder verwenden muss. Wie erfolgreich das gelingt, hängt vom Betriebssystem, dem Browser, den Sicherheitseinstellungen, der konkreten Schadsoftware und dem Zustand des Benutzerkontos ab.
Besonders kritisch ist ein Infostealer auf einem Rechner, der gleichzeitig privat und beruflich genutzt wird. Zwischen Streamingkonto und Cloudspeicher kann sich dann auch eine aktive Anmeldung an einem Unternehmensdienst befinden. Aus einem Angriff auf einen einzelnen PC kann dadurch ein Sicherheitsvorfall beim Arbeitgeber entstehen. Dienstliche Konten, VPN-Zugänge oder Verwaltungsoberflächen dürfen deshalb nicht als bloßer Nebenschaden einer privaten Infektion behandelt werden.
Weshalb ein gestohlenes Sitzungstoken so wertvoll ist
Nach einer erfolgreichen Anmeldung muss ein Onlinedienst nicht bei jedem Seitenaufruf erneut nach Passwort und zweitem Faktor fragen. Stattdessen erhält der Browser ein Sitzungstoken, häufig in Form eines Cookies. Dieses Token teilt dem Dienst vereinfacht mit, dass die Anmeldung bereits geprüft wurde. Dadurch bleiben Konten über Stunden, Tage oder noch länger geöffnet, ohne dass ständig ein neuer Code eingegeben werden muss.
Gelangt ein Angreifer an ein verwendbares Sitzungstoken, kann er unter bestimmten Voraussetzungen versuchen, eine bereits bestätigte Sitzung zu übernehmen. Die Zwei-Faktor-Authentifizierung wurde in diesem Fall nicht mathematisch geknackt. Sie fand lediglich zu einem früheren Zeitpunkt statt, bevor die anschließend ausgestellte Sitzungsinformation gestohlen wurde. Moderne Dienste prüfen zusätzliche Merkmale, begrenzen die Gültigkeit oder verlangen bei empfindlichen Änderungen eine erneute Anmeldung. Ein kopiertes Token funktioniert deshalb nicht automatisch und nicht unbegrenzt, darf aber dennoch nicht unterschätzt werden.
Genau hier liegt der Unterschied zu einem gewöhnlichen Passwortleck. Ein neues Passwort verhindert weitere Anmeldungen mit dem alten Kennwort, beendet jedoch je nach Dienst nicht zwangsläufig jede bereits aktive Sitzung. Fremde Geräte und Sitzungen müssen daher ausdrücklich kontrolliert und abgemeldet werden. Microsoft weist bei seiner Funktion zum Abmelden eines Kontos auf allen Geräten sogar darauf hin, dass die Abmeldung außerhalb einer Xbox bis zu 24 Stunden dauern kann.
Häufig beginnt der Angriff mit scheinbar nützlicher Software
Infostealer können über schädliche Mailanhänge und Links verteilt werden, sie verstecken sich aber ebenso in Programmen, die einen glaubwürdigen Nutzen versprechen. Das kann ein vermeintliches Installationspaket, ein kostenlos angebotenes Werkzeug, eine manipulierte Erweiterung oder eine nachgebaute Downloadseite sein. Besonders gefährlich sind Situationen, in denen eine Software schnell benötigt wird und die Herkunft deshalb kaum geprüft wird.
Suchergebnisse sind dabei kein automatisches Qualitätssiegel. Angreifer können Anzeigen schalten, bekannte Downloadseiten nachahmen oder manipulierte Angebote so platzieren, dass sie wie die offizielle Bezugsquelle wirken. Auch ein plausibler Dateiname und ein professionell gestaltetes Installationsfenster sagen wenig über den tatsächlichen Inhalt aus. Die Polizeiliche Kriminalprävention empfiehlt, Programme möglichst direkt von vertrauenswürdigen Herstellerseiten zu beziehen und Downloads vor der Ausführung mit einem aktuellen Schutzprogramm zu prüfen.
Eine weitere Möglichkeit sind Anhänge oder Nachrichten aus bereits übernommenen Konten. Stammt ein Link scheinbar von einer bekannten Person, sinkt die natürliche Skepsis. Der Absender kann jedoch selbst betroffen sein, oder die sichtbare Absenderangabe wurde manipuliert. Erwartbarkeit und Kontext sind deshalb wichtiger als der angezeigte Name allein.
Infostealer erkennen und beseitigen beginnt bei den Konten
Ein eindeutiger Beweis ist im Alltag selten vorhanden. Möglich sind Sicherheitsmeldungen über neue Anmeldungen, unbekannte Geräte, unerwartete Passwortänderungen, fremde Bestellungen oder Nachrichten, die ohne eigenes Zutun verschickt wurden. Auch eine Warnung des Virenschutzes mit Begriffen wie „Stealer“, „Password Stealer“, „Credential Theft“ oder „Trojan“ ist ernst zu nehmen, selbst wenn die Datei anschließend als entfernt gemeldet wird.
Nicht jede fremd wirkende Sitzung gehört allerdings einem Angreifer. Mobilfunkverbindungen, VPN-Dienste und die technische Standortbestimmung können einen ungenauen Ort anzeigen. Ein Smartphone erscheint mitunter mehrfach, nachdem Apps, Browser und private Fenster eigene Sitzungen angelegt haben. Google erklärt in seiner Übersicht angemeldeter Geräte und Sitzungen, dass mehrere Sitzungen auf demselben Gerät normal sein können. Entscheidend sind daher das Zusammenspiel aus Zeitpunkt, Gerätetyp, Browser, Standort und den anschließend ausgeführten Aktionen.
Ein besonders starker Verdacht entsteht, wenn kurz nach einem fragwürdigen Download mehrere voneinander unabhängige Dienste ungewöhnliche Aktivitäten melden. Ebenso auffällig sind neue Wiederherstellungsadressen, unbekannte Sicherheitsverfahren, veränderte Weiterleitungen oder Zahlungen, die nicht erklärt werden können. In einer solchen Situation sollte nicht abgewartet werden, ob noch eine weitere Warnung eintrifft.
Das betroffene Gerät muss zuerst aus dem Verkehr
Besteht ein begründeter Verdacht, sollte der Computer nicht mehr für E-Mail, Banking, Passwortänderungen oder andere sensible Vorgänge verwendet werden. WLAN und Netzwerkkabel werden getrennt, damit eine möglicherweise noch aktive Schadsoftware keine weiteren Daten überträgt oder zusätzliche Komponenten nachlädt. Das Ausschalten kann sinnvoll sein, wenn zunächst Unterstützung organisiert oder der Zustand für eine professionelle Untersuchung erhalten werden soll.
Die Kontosicherung erfolgt parallel über ein anderes, vertrauenswürdiges Gerät. Das kann ein aktuelles Smartphone oder ein Computer sein, der nicht mit dem verdächtigen Download in Berührung gekommen ist. Dadurch landet das neu gesetzte Passwort nicht sofort wieder auf demselben möglicherweise kompromittierten System. Auch die Polizeiliche Kriminalprävention empfiehlt nach einem Schadsoftwarevorfall, betroffene Kennwörter über einen nicht infizierten Rechner zu ändern.
Wichtige Beweise sollten vor überstürzten Aufräumversuchen dokumentiert werden. Dazu gehören der Name und die Herkunft der verdächtigen Datei, Warnmeldungen des Schutzprogramms, unbekannte Anmeldungen, Zeitpunkte, Bestellbestätigungen und auffällige Transaktionen. Die Schadsoftware selbst sollte jedoch nicht erneut geöffnet, verschickt oder auf weitere Geräte kopiert werden.
Konten müssen in einer sinnvollen Reihenfolge gesichert werden
An erster Stelle steht das zentrale E-Mail-Konto, weil darüber häufig die Wiederherstellung anderer Zugänge läuft. Danach folgen der verwendete Passwortmanager sowie das Apple-, Google- oder Microsoft-Konto, wenn diese Dienste Passwörter, Browserdaten oder Anmeldeschlüssel synchronisieren. Anschließend sind Banking, Zahlungsdienste, Onlineshops mit hinterlegten Zahlungsmitteln, Cloudspeicher, soziale Netzwerke, Messenger, Spieleplattformen und weitere wichtige Zugänge an der Reihe.
Für jedes betroffene Konto wird ein neues, einzigartiges Passwort benötigt. Wiederverwendete Kennwörter gelten ebenfalls als gefährdet, auch wenn der jeweilige Dienst noch keine verdächtige Aktivität meldet. Wer eine detaillierte Kontrolle des wichtigsten Wiederherstellungskontos benötigt, findet im gadgetChecks-Ratgeber zum gehackten E-Mail-Konto zusätzliche Hinweise zu Weiterleitungen, Filtern und veränderten Kontodaten.
Der Passwortwechsel ist nur ein Teil der Bereinigung. Unbekannte Geräte und Sitzungen müssen abgemeldet, hinterlegte Telefonnummern und Wiederherstellungsadressen kontrolliert sowie fremde Passkeys, Sicherheitsschlüssel und verbundene Apps entfernt werden. Bei Diensten mit einer Funktion zum Abmelden aller Sitzungen ist diese nach einem möglichen Token-Diebstahl vorzuziehen. Danach kann die Anmeldung auf den tatsächlich verwendeten Geräten neu erfolgen.
Eine Zwei-Faktor-Authentifizierung oder ein Passkey verbessert den künftigen Schutz, heilt aber keine bereits gestohlene Sitzung. Zuerst müssen bestehende Zugänge widerrufen werden. Erst danach verhindern stärkere Anmeldeverfahren, dass ein bekannt gewordenes Passwort allein erneut genügt.
Ein Virenscan ist wichtig, aber nicht immer der Schlusspunkt
Ein aktueller Offline- oder vollständiger Virenscan kann bekannte Schadsoftware und weitere Komponenten finden. Microsoft empfiehlt bei einem kompromittierten Konto ausdrücklich, den PC vor dem Passwortwechsel auf Schadsoftware zu prüfen. Bei akutem Kontomissbrauch bleibt dennoch der sofortige Zugriff über ein sauberes Zweitgerät sinnvoll, während der betroffene Computer vom Netz getrennt ist.
Ein negatives Scanergebnis kann beruhigen, liefert aber keine vollständige Rekonstruktion der Vergangenheit. Wurde der Infostealer nur einmal ausgeführt und hat sich danach entfernt, bleibt möglicherweise nichts mehr übrig, was das Schutzprogramm eindeutig erkennen kann. Ebenso kann eine gefundene Datei zwar gelöscht sein, während die gestohlenen Daten längst außerhalb des Computers zirkulieren.
Die belastbarste Bereinigung besteht deshalb im Neuaufsetzen des Systems. Die gemeinsam von BSI und Polizei veröffentlichte Checkliste für Schadsoftwareinfektionen empfiehlt grundsätzlich eine Neuinstallation des Betriebssystems beziehungsweise das Zurücksetzen mobiler Geräte. Persönliche Dokumente und Fotos können zuvor gesichert werden, müssen aber anschließend geprüft werden. Programme, Installationsdateien und Browserprofile aus einer möglicherweise betroffenen Sicherung sollten nicht ungeprüft wiederhergestellt werden, weil damit auch die Ursache zurückkehren könnte.
Finanzielle und berufliche Folgen brauchen eigene Maßnahmen
Sind Zahlungsdaten, Onlinebanking oder Kryptowallets auf dem Gerät verwendet worden, sollte das zuständige Institut über einen selbst ermittelten offiziellen Kontaktweg informiert werden. Kontobewegungen, neue Zahlungsempfänger, Kartenregistrierungen und hinterlegte Zahlungsmittel verdienen besondere Aufmerksamkeit. Unbekannte Transaktionen müssen unverzüglich gemeldet werden; bei Bedarf kommen zusätzlich eine Sperrung und eine Strafanzeige infrage.
Bei einem dienstlich verwendeten Gerät oder Arbeitskonto gehört der Vorfall sofort an die zuständige IT- oder Sicherheitsstelle. Ein selbstständiger Bereinigungsversuch kann dort wichtige Spuren zerstören oder eine noch laufende Untersuchung erschweren. Außerdem kann ein gestohlener Zugang nicht nur das persönliche Konto, sondern gemeinsame Dateien, Kundendaten und interne Systeme betreffen.
Auch nach der unmittelbaren Bereinigung bleibt eine Beobachtungsphase sinnvoll. Gestohlene Datensätze werden nicht zwingend sofort verwendet. Ungewöhnliche Anmeldungen, Nachrichten zu Passwortzurücksetzungen und neue Zahlungsaktivitäten können noch Wochen später auftauchen. Geschlossene, nicht mehr benötigte Konten reduzieren dabei sowohl die Angriffsfläche als auch den Umfang der notwendigen Kontrolle.
Vorbeugung beginnt lange vor dem nächsten Download
Aktuelle Betriebssysteme, Browser und Schutzprogramme schließen bekannte Sicherheitslücken und erhöhen die Chance, schädliche Dateien vor der Ausführung zu erkennen. Für alltägliche Arbeiten ist zudem ein Benutzerkonto ohne Administratorrechte sinnvoll. Schadsoftware erhält zunächst die Rechte des Kontos, unter dem sie ausgeführt wird; unnötige Administratorrechte vergrößern daher ihren möglichen Handlungsspielraum.
Software sollte aus offiziellen Stores oder direkt von der tatsächlich geprüften Herstellerseite stammen. Suchanzeigen, Downloadportale und Links aus Videos oder Chatgruppen ersetzen diese Herkunftsprüfung nicht. Unbekannte Browser-Erweiterungen benötigen besondere Aufmerksamkeit, weil sie innerhalb des Browsers weitreichende Berechtigungen erhalten können. Nicht mehr verwendete Erweiterungen und Programme sollten entfernt werden.
Ein Passwortmanager bleibt sinnvoll, obwohl er nicht jede Infektion neutralisieren kann. Er ermöglicht einzigartige Kennwörter und verhindert damit, dass ein einziges bekannt gewordenes Passwort bei zahlreichen Diensten funktioniert. Der Tresor sollte automatisch gesperrt werden und nicht dauerhaft offen bleiben. Passkeys und physische Sicherheitsschlüssel reduzieren zusätzlich das klassische Phishingrisiko, ersetzen aber weder ein sauberes Endgerät noch die Kontrolle aktiver Sitzungen.
Regelmäßige Backups schützen persönliche Dateien, falls ein kompromittiertes System vollständig neu installiert werden muss. Entscheidend ist eine saubere Trennung: Dokumente und Bilder werden gesichert, während alte Programme, fragwürdige Installationspakete und ungeprüfte Browserprofile nicht automatisch auf das neue System zurückkehren. Weitere Beiträge aus Digital sicher zeigen denselben Grundsatz in anderen Situationen: Ein Konto ist erst dann wieder vertrauenswürdig, wenn nicht nur das sichtbare Symptom, sondern auch der ursprüngliche Zugangsweg beseitigt wurde.
Fazit: Der Computer und die Konten bilden einen gemeinsamen Vorfall
Ein Infostealer macht aus einer einzelnen verdächtigen Datei ein Problem, das über den Computer hinausreicht. Passwörter, Browserdaten, Sitzungstoken und weitere Kontoinformationen können in einem Durchlauf entwendet und später von unterschiedlichen Angreifern genutzt werden. Deshalb genügt es nicht, die erkannte Datei zu löschen oder nur das zuerst auffällige Passwort zu ändern.
Die richtige Reaktion besteht aus zwei parallelen Aufgaben: Das verdächtige Gerät wird vom Netz getrennt und belastbar bereinigt, während wichtige Konten über ein vertrauenswürdiges Zweitgerät abgesichert werden. Passwortwechsel, das Beenden aller Sitzungen, die Kontrolle von Wiederherstellungsdaten und stärkere Anmeldeverfahren gehören dabei zusammen. Bei Bank-, Krypto- oder Arbeitszugängen kommen die jeweils zuständigen Stellen hinzu.
Vollständige Gewissheit über bereits kopierte Daten lässt sich nachträglich kaum herstellen. Eine klare Priorisierung, das Neuaufsetzen des Systems und die längerfristige Kontrolle wichtiger Konten begrenzen den Schaden jedoch erheblich. Gerade weil Infostealer leise arbeiten, muss die Reaktion gründlicher sein als das Schadprogramm sichtbar erscheint.
Häufige Fragen zu Infostealern
Was ist ein Infostealer?
Ein Infostealer ist eine Schadsoftware, die verwertbare Informationen von einem Gerät sammelt und an Angreifer überträgt. Dazu können gespeicherte Zugangsdaten, Browserinformationen, Sitzungstoken, automatisch ausgefüllte Angaben und Daten anderer Programme gehören.
Ist der Computer nach dem Löschen der gefundenen Datei wieder sicher?
Nicht zwangsläufig. Weitere Komponenten oder Veränderungen können unentdeckt bleiben, und gestohlene Daten befinden sich bereits außerhalb des Geräts. BSI und Polizei empfehlen bei einer bestätigten Schadsoftwareinfektion grundsätzlich eine Neuinstallation des Betriebssystems beziehungsweise ein Zurücksetzen des Geräts.
Reicht ein neues Passwort nach einem Infostealer-Angriff aus?
Nein. Zusätzlich müssen aktive Sitzungen, unbekannte Geräte, Wiederherstellungsdaten, verbundene Apps und weitere Anmeldeverfahren kontrolliert werden. Alle auf dem betroffenen Gerät gespeicherten oder verwendeten Kennwörter sollten als möglicherweise kompromittiert gelten.
Schützt die Zwei-Faktor-Authentifizierung vor Infostealern?
Sie erschwert neue Anmeldungen mit einem gestohlenen Passwort erheblich. Ein bereits ausgestelltes Sitzungstoken kann jedoch unter bestimmten Bedingungen einen Zugriff ermöglichen, ohne dass eine neue Zwei-Faktor-Abfrage erscheint. Deshalb müssen nach einem Vorfall auch bestehende Sitzungen widerrufen werden.
Kann ein Virenscan einen früheren Infostealer sicher ausschließen?
Nein. Ein Scan kann aktive oder bekannte Schadsoftware finden, doch manche Infostealer werden nur einmal ausgeführt und hinterlassen später keine leicht erkennbare aktive Komponente. Ein unauffälliges Ergebnis beweist daher nicht, dass zuvor keine Daten abgeflossen sind.
Welche Passwörter sollten zuerst geändert werden?
Priorität besitzen das zentrale E-Mail-Konto, der Passwortmanager und synchronisierende Plattformkonten. Danach folgen Bank- und Zahlungsdienste, Cloudspeicher, soziale Netzwerke, Onlineshops und weitere wichtige Konten. Die Änderungen sollten über ein nachweislich vertrauenswürdiges Gerät erfolgen.
Quellenbasis und Transparenz
Der Beitrag beruht auf Veröffentlichungen des Bundesamts für Sicherheit in der Informationstechnik, der Polizeilichen Kriminalprävention, Europol sowie aktuellen Hilfeseiten von Google und Microsoft. Es wurde kein eigener Infostealer ausgeführt und kein praktischer Infektionsversuch vorgenommen.
Stand der Recherche: 3. September 2026.
Hauptquellen
- Europol: Internationale Maßnahmen gegen StealC und weitere Schadsoftware-Infrastrukturen
- BSI: Die Lage der IT-Sicherheit – Information Stealer und gestohlene Sitzungscookies
- BSI: Podcast-Transkript zu Datenlecks und Infostealern
- BSI und Polizeiliche Kriminalprävention: Checkliste bei Schadsoftwareinfektionen
- Google: Geräte und aktive Kontositzungen überprüfen
- Microsoft: Ein gehacktes oder kompromittiertes Konto wiederherstellen
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
