16.2 Malware, Ransomware und Schadsoftware im Detail
Malware ist ein Sammelbegriff für Schadsoftware.
Malware kann Systeme beschädigen, Daten ausspähen, Zugänge stehlen, Dateien verschlüsseln, Systeme fernsteuern oder Dienste stören.
Typische Malware-Arten:
- Virus
- Wurm
- Trojaner
- Ransomware
- Spyware
- Keylogger
- Rootkit
- Botnet-Client
- Cryptominer
- Adware
- Backdoor
Merksatz:
Malware ist Software mit schädlicher oder unerwünschter Funktion.
Warum Malware gefährlich ist
Malware kann verschiedene Schutzziele verletzen.
Vertraulichkeit:
Daten werden ausgespäht.
Passwörter werden gestohlen.
interne Informationen fließen ab.
Integrität:
Dateien werden verändert.
Systeme werden manipuliert.
Logs werden gelöscht.
Verfügbarkeit:
Systeme werden verschlüsselt.
Dienste fallen aus.
Dateien sind nicht mehr nutzbar.
Merksatz:
Malware kann Vertraulichkeit,
Integrität
und Verfügbarkeit gleichzeitig angreifen.
Typische Infektionswege
Malware gelangt häufig auf Systeme durch:
E-Mail-Anhänge
Phishing-Links
manipulierte Webseiten
unsichere Downloads
gecrackte Software
infizierte USB-Sticks
ungepatchte Schwachstellen
kompromittierte Updates
unsichere Makros
Remote-Zugänge
gestohlene Zugangsdaten
Supply-Chain-Angriffe
Merksatz:
Malware kommt oft über Menschen,
Schwachstellen
oder unsichere Softwarequellen ins System.
Virus
Ein Virus ist Schadsoftware, die sich an Dateien oder Programme anhängt.
Er wird meist aktiv, wenn die infizierte Datei ausgeführt wird.
Typische Merkmale:
braucht oft eine Wirtsdatei
verbreitet sich durch Weitergabe infizierter Dateien
kann Dateien verändern oder beschädigen
kann weitere Schadfunktionen nachladen
Merksatz:
Ein Virus hängt sich an Dateien oder Programme.
Wurm
Ein Wurm ist Schadsoftware, die sich selbstständig verbreiten kann.
Er nutzt häufig:
Netzwerkschwachstellen
unsichere Dienste
offene Ports
ungepatchte Systeme
schwache Zugangsdaten
Gefahr:
sehr schnelle Ausbreitung im Netzwerk
Merksatz:
Ein Wurm verbreitet sich selbstständig über Systeme oder Netzwerke.
Virus und Wurm vergleichen
| Merkmal | Virus | Wurm |
|---|---|---|
| Verbreitung | meist über infizierte Datei | selbstständig über Netzwerk |
| braucht Wirtsdatei | häufig ja | nicht zwingend |
| Tempo | oft langsamer | oft schnell |
| typisches Risiko | Dateiinfektion | Massenausbreitung |
Merksatz:
Virus braucht oft Hilfe.
Wurm verbreitet sich selbst.
Trojaner
Ein Trojaner tarnt sich als nützliches oder harmloses Programm.
Beispiele:
angeblicher Installer
gefälschtes Update
gecrackte Software
scheinbares Tool
manipuliertes Dokument
vermeintlicher Codec
Mögliche Schadfunktionen:
Zugangsdaten stehlen
Backdoor öffnen
weitere Malware nachladen
System fernsteuerbar machen
Daten ausspähen
Merksatz:
Ein Trojaner täuscht Nützlichkeit vor,
enthält aber Schadfunktionen.
Backdoor
Eine Backdoor ist ein versteckter Zugang zu einem System.
Angreifer nutzen Backdoors, um später erneut Zugriff zu bekommen.
Beispiele:
versteckter Benutzer
geöffneter Port
manipulierte Systemdatei
geheimer Fernzugriff
Schadsoftware mit Steuerkanal
Merksatz:
Backdoor = versteckter Hintereingang.
Ransomware
Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und anschließend Lösegeld fordert.
Typische Folgen:
Dateien nicht mehr nutzbar
Server nicht verfügbar
Produktionsausfall
Datenabfluss
Erpressung
hohe Wiederherstellungskosten
Vertrauensverlust
Merksatz:
Ransomware greift besonders die Verfügbarkeit an
und oft zusätzlich die Vertraulichkeit.
Ransomware-Ablauf vereinfacht
Ein typischer Ablauf:
1. Erstzugriff über Phishing,
Schwachstelle
oder Zugangsdaten.
2. Angreifer verschafft sich weitere Rechte.
3. Angreifer bewegt sich im Netzwerk.
4. Backups werden gesucht oder gelöscht.
5. Daten werden kopiert.
6. Systeme und Dateien werden verschlüsselt.
7. Lösegeldforderung erscheint.
Merksatz:
Ransomware ist oft kein einzelner Moment,
sondern eine Angriffskette.
Double Extortion
Double Extortion bedeutet:
Angreifer verschlüsseln Daten
und
drohen zusätzlich mit Veröffentlichung gestohlener Daten.
Dadurch wird nicht nur Verfügbarkeit, sondern auch Vertraulichkeit angegriffen.
Merksatz:
Double Extortion kombiniert Verschlüsselung und Datenabfluss.
Schutz vor Ransomware
Wichtige Schutzmaßnahmen:
regelmäßige Backups
Immutable Backups
Offline-Backups
Restore-Tests
Patchmanagement
EDR
MFA
Least Privilege
Netzwerksegmentierung
Makros einschränken
keine lokalen Adminrechte
E-Mail-Schutz
Monitoring
schnelle Isolation infizierter Systeme
Merksatz:
Gegen Ransomware helfen vor allem Backups,
Rechtebegrenzung,
Segmentierung
und schnelle Reaktion.
Warum Backups gegen Ransomware wichtig sind
Wenn Daten verschlüsselt wurden, ist Wiederherstellung oft der wichtigste Weg zurück.
Aber Backups helfen nur, wenn sie:
vorhanden sind
aktuell genug sind
nicht mitverschlüsselt wurden
nicht gelöscht wurden
wiederherstellbar sind
regelmäßig getestet wurden
getrennt geschützt sind
Merksatz:
Backup ist nur dann Schutz,
wenn Restore funktioniert.
Immutable Backup bei Ransomware
Immutable Backup bedeutet:
Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden.
Vorteile:
Schutz vor Angreifern mit Adminzugang
Schutz vor versehentlicher Löschung
Schutz vor Ransomware
bessere Wiederherstellungschance
Merksatz:
Immutable Backups erschweren das Löschen oder Manipulieren von Sicherungen.
Spyware
Spyware ist Schadsoftware, die Informationen heimlich sammelt.
Mögliche Ziele:
Passwörter
Browserdaten
E-Mails
Tastatureingaben
Bildschirmaufnahmen
Dateien
Nutzungsverhalten
Zugangstokens
Merksatz:
Spyware spioniert Daten und Verhalten aus.
Keylogger
Ein Keylogger zeichnet Tastatureingaben auf.
Ziele:
Passwörter
Zugangsdaten
Kreditkartendaten
Nachrichten
interne Informationen
Keylogger können sein:
Software
Hardware
Bestandteil anderer Malware
Merksatz:
Keylogger stehlen Eingaben direkt an der Tastatur.
Rootkit
Ein Rootkit versteckt Schadsoftware oder Angreiferaktivitäten tief im System.
Ziele:
Erkennung verhindern
Kontrolle behalten
Prozesse verstecken
Dateien verstecken
Logs manipulieren
Sicherheitssoftware umgehen
Rootkits sind besonders kritisch, weil sie schwer zu erkennen und zu entfernen sein können.
Merksatz:
Rootkits verstecken Angriffe tief im System.
Botnet-Client
Ein Botnet-Client ist ein infiziertes System, das von Angreifern ferngesteuert wird.
Viele solcher Systeme bilden ein Botnet.
Nutzung:
DDoS-Angriffe
Spamversand
Credential Stuffing
Malware-Verteilung
Cryptomining
Proxy-Missbrauch
Merksatz:
Botnet = viele fremdgesteuerte infizierte Systeme.
Cryptominer
Ein Cryptominer missbraucht Rechenleistung, um Kryptowährung zu berechnen.
Folgen:
hohe CPU- oder GPU-Last
hohe Stromkosten
langsame Systeme
Überhitzung
Cloud-Kostenanstieg
verringerte Systemleistung
Merksatz:
Cryptominer stiehlt Rechenleistung.
Adware
Adware zeigt unerwünschte Werbung an oder verändert Browser- und Systemeinstellungen.
Mögliche Folgen:
störende Werbung
Browserumleitungen
Tracking
Installation weiterer unerwünschter Software
reduzierte Benutzerfreundlichkeit
Merksatz:
Adware ist oft weniger zerstörerisch,
aber trotzdem unerwünscht und riskant.
Malware-Erkennung
Malware kann erkannt werden durch:
Antivirus
EDR
ungewöhnliche Prozesse
ungewöhnliche Netzwerkverbindungen
hohe CPU-Last
geänderte Dateien
verdächtige Autostarts
Warnungen im SIEM
auffällige DNS-Anfragen
ungewöhnliche Loginversuche
bekannte Signaturen
Verhaltensanalyse
Merksatz:
Malware-Erkennung kombiniert Signaturen,
Verhalten
und Monitoring.
Signaturbasierte Erkennung
Signaturbasierte Erkennung nutzt bekannte Muster.
Beispiel:
bekannte Schadsoftware-Datei
bekannte Hashwerte
bekannte Codebestandteile
bekannte Angriffsmuster
Vorteil:
gut gegen bekannte Malware
Nachteil:
schwächer gegen neue oder veränderte Malware
Merksatz:
Signaturen erkennen Bekanntes.
Verhaltensbasierte Erkennung
Verhaltensbasierte Erkennung achtet auf verdächtiges Verhalten.
Beispiele:
viele Dateien werden schnell verändert
Prozess startet ungewöhnliche Befehle
Programm öffnet unbekannte Netzwerkverbindung
Benutzerkonto greift plötzlich auf viele Systeme zu
Skript lädt ausführbare Datei nach
Vorteil:
kann auch neue oder veränderte Angriffe erkennen
Merksatz:
Verhaltenserkennung erkennt Auffälligkeiten,
auch wenn die Datei noch unbekannt ist.
Antivirus
Antivirus-Software erkennt und blockiert bekannte Schadsoftware.
Typische Funktionen:
Dateiprüfung
Echtzeitschutz
Signaturprüfung
Quarantäne
Scans
Erkennung bekannter Malware
Grenze:
Antivirus allein reicht nicht als Sicherheitskonzept.
Merksatz:
Antivirus ist wichtig,
aber nur eine Schutzschicht.
EDR
EDR steht für:
Endpoint Detection and Response
EDR überwacht Endgeräte stärker als klassischer Antivirus.
Typische Funktionen:
Prozessüberwachung
Verhaltensanalyse
Angriffserkennung
Isolation eines Endgeräts
Untersuchung von Vorfällen
zentrale Auswertung
Reaktionsmaßnahmen
Merksatz:
EDR hilft,
Angriffe auf Endgeräten zu erkennen und darauf zu reagieren.
Quarantäne
Quarantäne bedeutet:
Eine verdächtige oder schädliche Datei wird isoliert.
Ziel:
Datei kann nicht weiter ausgeführt werden.
Schaden wird begrenzt.
Datei kann später untersucht werden.
Merksatz:
Quarantäne isoliert verdächtige Dateien.
Isolation eines Endgeräts
Wenn ein Gerät infiziert ist, sollte es schnell isoliert werden.
Isolation bedeutet:
vom Netzwerk trennen
WLAN deaktivieren
Netzwerkkabel ziehen
EDR-Isolation nutzen
VPN trennen
Zugriff auf Server sperren
Wichtig:
Nicht unüberlegt ausschalten,
wenn forensische Analyse benötigt wird.
Merksatz:
Infizierte Systeme schnell vom Netz trennen,
aber Vorgehen dokumentieren.
Malware und Rechte
Malware hat oft nur die Rechte des Benutzers, unter dem sie ausgeführt wird.
Wenn Benutzer lokale Adminrechte haben, kann Malware mehr Schaden anrichten.
Schutz:
keine lokalen Adminrechte für Alltag
Least Privilege
getrennte Admin-Konten
Applikationskontrolle
Rechteprüfung
Merksatz:
Weniger Benutzerrechte bedeuten weniger Malware-Schaden.
Malware und Netzwerksegmentierung
Wenn ein System infiziert ist, darf sich Malware nicht frei im Netzwerk bewegen können.
Segmentierung hilft durch Trennung von:
Clientnetz
Servernetz
Managementnetz
Backupnetz
Produktionsnetz
Gastnetz
IoT-Netz
Merksatz:
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung
Laterale Bewegung bedeutet:
Angreifer oder Malware bewegen sich nach dem ersten Zugriff weiter im Netzwerk.
Beispiele:
Zugriff von Client auf Dateiserver
Zugriff auf weitere Clients
Auslesen von Zugangsdaten
Angriff auf Domain Controller
Zugriff auf Backups
Angriff auf Managementsysteme
Merksatz:
Laterale Bewegung ist Ausbreitung nach dem Erstzugriff.
Schutz vor lateraler Bewegung
Maßnahmen:
Netzwerksegmentierung
Firewall zwischen Netzbereichen
Least Privilege
keine lokalen Adminrechte
getrennte Admin-Konten
MFA
EDR
Monitoring
sichere Passworthygiene
Zugriff auf Adminfreigaben begrenzen
Merksatz:
Nach dem ersten kompromittierten System darf nicht das ganze Netz offen sein.
Makros als Risiko
Office-Makros können nützlich sein, werden aber oft für Malware missbraucht.
Risiken:
Makro lädt Schadsoftware nach
Makro führt Befehle aus
Makro startet Skripte
Benutzer aktiviert Inhalt aus Täuschung
Schutz:
Makros aus dem Internet blockieren
nur signierte Makros erlauben
Benutzer schulen
E-Mail-Anhänge prüfen
Office-Härtung nutzen
Merksatz:
Makros nur erlauben,
wenn sie wirklich benötigt und vertrauenswürdig sind.
Skripte als Risiko
Skripte können für Administration nützlich sein, aber auch von Angreifern missbraucht werden.
Beispiele:
PowerShell
Bash
JavaScript
VBScript
Python
Batch-Dateien
Risiken:
Malware nachladen
Dateien verschlüsseln
Systeme ausspähen
Befehle automatisieren
Sicherheitssoftware umgehen
Merksatz:
Skripte sind mächtig und brauchen Kontrolle.
Application Control
Application Control bedeutet:
Es wird gesteuert,
welche Programme ausgeführt werden dürfen.
Beispiele:
nur freigegebene Anwendungen
keine Ausführung aus Download-Ordner
keine unbekannten Skripte
keine unsignierten Programme
Blockierung bekannter Risikopfade
Merksatz:
Application Control verhindert,
dass beliebige Programme starten.
Allowlisting
Allowlisting bedeutet:
Nur ausdrücklich erlaubte Programme oder Aktionen sind zugelassen.
Vorteil:
sehr restriktiv
reduziert unbekannte Schadsoftware
Nachteil:
höherer Verwaltungsaufwand
kann Benutzer einschränken
muss gut gepflegt werden
Merksatz:
Allowlisting erlaubt nur Bekanntes und Freigegebenes.
Blocklisting
Blocklisting bedeutet:
Bekannte schädliche Programme oder Aktionen werden verboten.
Vorteil:
einfacher einzuführen
Nachteil:
neue oder unbekannte Malware kann durchkommen
Merksatz:
Blocklisting verbietet Bekanntes,
erlaubt aber Unbekanntes oft weiterhin.
Patchmanagement gegen Malware
Viele Malware-Angriffe nutzen bekannte Sicherheitslücken.
Patchmanagement schützt, indem Updates geplant und eingespielt werden.
Betroffen sind:
Betriebssysteme
Browser
Office-Programme
Serverdienste
VPN-Gateways
Firewalls
Anwendungen
Firmware
Container-Images
Merksatz:
Ungepatchte Systeme sind leichte Ziele.
E-Mail-Schutz gegen Malware
Viele Malware-Angriffe beginnen per E-Mail.
Schutzmaßnahmen:
Spamfilter
Malware-Scanner
Linkprüfung
Anhangprüfung
Blockierung gefährlicher Dateitypen
Makroregeln
Absenderprüfung
SPF,
DKIM
und DMARC
Benutzerschulung
Merksatz:
E-Mail-Schutz ist eine wichtige erste Verteidigungslinie.
Download-Schutz
Downloads können Malware enthalten.
Schutzmaßnahmen:
nur vertrauenswürdige Quellen
Signaturen prüfen
Hashwerte prüfen
keine gecrackte Software
Browser-Schutz
EDR
Rechtebegrenzung
Softwareverteilung zentral steuern
Merksatz:
Software nur aus vertrauenswürdigen Quellen installieren.
USB-Geräte als Risiko
USB-Geräte können Malware verbreiten oder Daten stehlen.
Risiken:
infizierter USB-Stick
manipuliertes Eingabegerät
Datenabfluss
automatische Ausführung
unbekannte Geräte
Schutz:
USB-Richtlinien
Gerätekontrolle
AutoRun deaktivieren
Schulung
nur freigegebene Geräte
Verschlüsselung
DLP je nach Umgebung
Merksatz:
Unbekannte USB-Geräte nicht vertrauen.
DLP
DLP steht für:
Data Loss Prevention
DLP soll verhindern, dass sensible Daten unkontrolliert abfließen.
Beispiele:
Blockieren von Uploads
Warnung bei sensiblen Daten in E-Mail
Schutz vor Kopieren auf USB
Kontrolle von Cloud-Freigaben
Erkennung von Kreditkartennummern oder Personaldaten
Merksatz:
DLP schützt vor unerwünschtem Datenabfluss.
Malware und Cloud
Auch Cloud-Umgebungen können von Malware betroffen sein.
Beispiele:
infizierte VM
kompromittierter Container
Malware in Storage
gestohlene API-Schlüssel
Cryptomining in Cloud-Instanzen
Ransomware in synchronisiertem Cloud-Speicher
Schutz:
IAM
MFA
EDR für Cloud-VMs
sichere Images
Container-Scanning
Security Groups
Logging
Kostenalarme
Merksatz:
Cloud schützt nicht automatisch vor Malware.
Malware und Container
Container können Schadsoftware enthalten, wenn Images unsicher sind.
Risiken:
manipuliertes Image
veraltete Bibliothek
unsichere Registry
eingebettete Secrets
Container läuft mit zu vielen Rechten
unsichere Runtime-Konfiguration
Schutz:
Images scannen
nur vertrauenswürdige Registries
minimale Images
keine Secrets im Image
keine unnötigen Rechte
regelmäßige Updates
Merksatz:
Container-Images müssen wie Software geprüft werden.
Malware und Backups
Backups können ebenfalls Malware enthalten.
Problem:
Wenn ein Backup bereits infizierte Dateien enthält,
kann Malware nach Restore wieder aktiv werden.
Wichtig:
Backup-Zeitpunkt wählen
Infektionszeitpunkt bestimmen
Restore testen
Systeme vor Wiederanbindung prüfen
Backups nicht ungeprüft zurückspielen
Merksatz:
Restore nach Malware braucht sorgfältige Prüfung.
Erste Maßnahmen bei Malware-Verdacht
Sinnvolle Schritte:
1. Ruhe bewahren.
2. System vom Netzwerk isolieren.
3. Zeitpunkt und Symptome dokumentieren.
4. IT-Sicherheit oder Verantwortliche informieren.
5. Keine Beweise unnötig löschen.
6. Logs sichern.
7. Betroffene Konten prüfen.
8. Ausbreitung prüfen.
9. Ursache analysieren.
10. Bereinigung oder Neuaufbau planen.
11. Wiederherstellung testen.
12. Maßnahmen verbessern.
Merksatz:
Bei Malware zählt schnelle Eindämmung und saubere Dokumentation.
Neuinstallation statt Bereinigung
Bei schwerer Kompromittierung ist Neuinstallation oft sicherer als reine Bereinigung.
Gründe:
Rootkits schwer erkennbar
Backdoors möglich
Systemdateien manipuliert
Rechte verändert
Logs gelöscht
Vertrauen ins System verloren
Merksatz:
Ein kompromittiertes System ist oft nicht mehr vollständig vertrauenswürdig.
Typische Malware-Symptome
Mögliche Anzeichen:
System wird sehr langsam
unbekannte Prozesse
hohe CPU-Last
viele Netzwerkverbindungen
Dateien verschwinden
Dateien werden verschlüsselt
Antivirus meldet Fund
ungewöhnliche Popups
Browser leitet um
Benutzerkonto verhält sich auffällig
neue Autostart-Einträge
unerklärliche Cloud-Kosten
Merksatz:
Malware zeigt sich oft durch ungewöhnliches Verhalten.
Typische Schutzmaßnahmen gegen Malware
Wichtige Maßnahmen:
Patchmanagement
Antivirus
EDR
E-Mail-Schutz
MFA
Least Privilege
keine lokalen Adminrechte
Makro-Schutz
Application Control
Netzwerksegmentierung
regelmäßige Backups
Immutable Backups
Restore-Tests
Monitoring
Logging
Benutzerschulung
Incident Response
Merksatz:
Malware-Schutz braucht mehrere Schutzschichten.
Typische IHK-Fragen
In AP1 und AP2 kann zum Beispiel gefragt werden:
- Was ist Malware?
- Was ist der Unterschied zwischen Virus und Wurm?
- Was ist ein Trojaner?
- Was ist Ransomware?
- Warum ist Ransomware besonders gefährlich?
- Was bedeutet Double Extortion?
- Wie schützt man sich vor Ransomware?
- Warum sind Backups gegen Ransomware wichtig?
- Was ist Spyware?
- Was ist ein Keylogger?
- Was ist ein Rootkit?
- Was ist ein Botnet?
- Was ist ein Cryptominer?
- Was ist der Unterschied zwischen Antivirus und EDR?
- Was bedeutet Quarantäne?
- Warum ist Netzwerksegmentierung gegen Malware wichtig?
- Was ist laterale Bewegung?
- Warum sind Makros ein Risiko?
- Was ist Application Control?
- Was ist DLP?
- Warum reicht Antivirus allein nicht aus?
Typische Prüfungsfallen
Malware ist ein Oberbegriff.
Virus und Wurm nicht verwechseln.
Wurm verbreitet sich selbstständig.
Trojaner tarnt sich als nützlich.
Ransomware betrifft Verfügbarkeit
und oft Vertraulichkeit.
Double Extortion bedeutet Verschlüsselung plus Datenabfluss.
Backup verhindert Ransomware nicht,
ermöglicht aber Wiederherstellung.
Replikation ersetzt kein Backup.
Backup muss vor Manipulation geschützt sein.
Antivirus allein reicht nicht.
EDR erkennt und reagiert umfassender.
Quarantäne bedeutet Isolation einer Datei.
Infiziertes Gerät schnell isolieren.
Lokale Adminrechte erhöhen Schaden.
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung ist Bewegung im Netzwerk nach Erstzugriff.
Makros und Skripte sind häufige Angriffsmittel.
Allowlisting ist strenger als Blocklisting.
Cloud ist nicht automatisch frei von Malware.
Container-Images müssen geprüft werden.
Restore nach Malware braucht Vorsicht.
Wichtige Begriffe kurz erklärt
| Begriff | Kurze Erklärung |
|---|---|
| Malware | Schadsoftware |
| Virus | Schadsoftware mit Wirtsdatei |
| Wurm | selbstverbreitende Schadsoftware |
| Trojaner | getarnte Schadsoftware |
| Backdoor | versteckter Zugang |
| Ransomware | erpresserische Verschlüsselung oder Sperrung |
| Double Extortion | Verschlüsselung plus Datenabfluss |
| Spyware | Spionagesoftware |
| Keylogger | zeichnet Tastatureingaben auf |
| Rootkit | versteckt und verankert Schadsoftware |
| Botnet | Netzwerk fremdgesteuerter Systeme |
| Botnet-Client | infiziertes ferngesteuertes System |
| Cryptominer | missbraucht Rechenleistung |
| Adware | unerwünschte Werbesoftware |
| Antivirus | Schutz gegen bekannte Schadsoftware |
| EDR | Endpoint Detection and Response |
| Quarantäne | Isolation verdächtiger Dateien |
| Isolation | Trennung eines Systems vom Netzwerk |
| laterale Bewegung | Ausbreitung im Netzwerk |
| Makro | automatisierte Funktion in Dokumenten |
| Application Control | Steuerung erlaubter Programme |
| Allowlisting | nur Erlaubtes zulassen |
| Blocklisting | Bekanntes verbieten |
| DLP | Data Loss Prevention |
| Restore | Wiederherstellung |
| Immutable Backup | unveränderliches Backup |
| Incident Response | Reaktion auf Sicherheitsvorfall |
IHK-sichere Kurzformulierung
Malware ist ein Oberbegriff für Schadsoftware wie Viren, Würmer, Trojaner, Ransomware, Spyware, Keylogger, Rootkits, Botnet-Clients und Cryptominer. Ein Virus hängt sich häufig an Dateien oder Programme an, während sich ein Wurm selbstständig über Netzwerke verbreiten kann. Ein Trojaner tarnt sich als nützliches Programm, enthält aber Schadfunktionen. Ransomware verschlüsselt Daten oder sperrt Systeme und fordert Lösegeld. Schutzmaßnahmen gegen Malware sind Patchmanagement, Antivirus, EDR, MFA, Least Privilege, Netzwerksegmentierung, Makroschutz, Application Control, E-Mail-Schutz, Backups, Immutable Backups, Restore-Tests, Logging, Monitoring und Benutzerschulung.
Merksätze
Malware ist Schadsoftware.
Virus hängt sich an Dateien.
Wurm verbreitet sich selbstständig.
Trojaner täuscht Nützlichkeit vor.
Backdoor ist versteckter Zugang.
Ransomware verschlüsselt oder sperrt.
Double Extortion = Verschlüsselung plus Datenabfluss.
Spyware spioniert.
Keylogger stehlen Tastatureingaben.
Rootkits verstecken Angriffe.
Botnet besteht aus fremdgesteuerten Systemen.
Cryptominer stiehlt Rechenleistung.
Malware kann alle Schutzziele verletzen.
Infektionswege sind oft E-Mail,
Download,
Schwachstelle
oder Zugangsdaten.
Antivirus erkennt vor allem bekannte Malware.
EDR erkennt und reagiert tiefer.
Signaturen erkennen Bekanntes.
Verhaltenserkennung erkennt Auffälligkeiten.
Quarantäne isoliert verdächtige Dateien.
Infizierte Systeme schnell isolieren.
Weniger Rechte bedeuten weniger Schaden.
Segmentierung begrenzt Ausbreitung.
Laterale Bewegung verhindern.
Makros aus unsicheren Quellen blockieren.
Skripte kontrollieren.
Allowlisting ist strenger als Blocklisting.
Patchmanagement schließt bekannte Lücken.
E-Mail-Schutz ist wichtig.
USB-Geräte nicht blind vertrauen.
DLP schützt vor Datenabfluss.
Cloud braucht ebenfalls Malware-Schutz.
Container-Images prüfen.
Backups können infizierte Daten enthalten.
Restore nach Malware sorgfältig planen.
Neuaufbau kann sicherer sein als Bereinigung.
Malware-Schutz braucht mehrere Schichten.