Infostealer

Ein Infostealer ist ein Schadprogramm, das sich unbemerkt auf einem Computer einnistet. Sein einziger Zweck ist es, gespeicherte Informationen einzusammeln und wegzuschicken. Dazu gehören Passwörter aus dem Browser, gespeicherte Kreditkartennummern, Cookies und Dateien mit Kryptowährungs-Schlüsseln. Anders als eine Erpressungssoftware zerstört oder sperrt ein Infostealer nichts. Er will gerade nicht auffallen, denn je länger er unentdeckt bleibt, desto mehr Daten sammelt er. Oft ist er nach wenigen Minuten fertig und löscht sich anschließend selbst.

Warum gestohlene Passwörter ganze Firmen treffen

Infostealer sind heute einer der wichtigsten Ausgangspunkte für große Angriffe. Kriminelle brauchen keine komplizierte Sicherheitslücke mehr, wenn sie einfach ein gültiges Passwort kaufen können. Diese Passwörter stammen häufig aus dem privaten Laptop eines Mitarbeiters. Wer dort seinen Firmenzugang gespeichert hat, öffnet Angreifern eine Tür ins Unternehmensnetzwerk.

Besonders heikel sind sogenannte Session-Cookies. Das sind kleine Dateien, die dem Browser bestätigen: Dieser Nutzer ist bereits angemeldet. Wer so ein Cookie stiehlt, kann sich als der Nutzer ausgeben, ohne das Passwort zu kennen. Auch die Zwei-Faktor-Anmeldung mit Code aufs Handy hilft dann oft nicht mehr, weil dieser Schritt für die laufende Sitzung bereits erledigt war.

Hinzu kommt der Umfang. Aus einzelnen Infektionen entstehen Sammlungen mit Milliarden Datensätzen, die in Untergrundforen gehandelt werden. Sicherheitsfirmen berichten regelmäßig von solchen Funden. Für einen einzelnen Zugang zahlen Käufer dort teilweise nur wenige Euro.

Der Weg vom Download bis zum Datenpaket

Die Infektion beginnt fast immer damit, dass jemand eine Datei selbst ausführt. Typische Köder sind geknackte Software, angebliche Spiel-Cheats, gefälschte Update-Meldungen oder Anhänge in E-Mails. Verbreitet sind auch Videos auf Plattformen wie YouTube, die ein Gratisprogramm versprechen und auf einen Downloadlink verweisen. Manche Kampagnen fordern Nutzer sogar auf, einen kopierten Befehl in ein Systemfenster einzufügen.

Danach arbeitet das Programm eine Liste bekannter Speicherorte ab. Browser legen Passwörter und Cookies in festen Dateien ab, ebenso Chat-Programme, E-Mail-Clients und Krypto-Wallets. Der Infostealer kopiert diese Dateien, macht oft noch einen Bildschirmfoto und packt alles zusammen. Das fertige Paket geht an einen Server der Angreifer, im Fachjargon Command-and-Control-Server genannt.

Auffällig ist, wie professionell dieses Geschäft organisiert ist. Viele Infostealer werden als Abo vermietet, für einige hundert Euro im Monat, inklusive Bedienoberfläche und Support. Diese Dienstleistung heißt Malware-as-a-Service. Der Käufer muss also nicht programmieren können, sondern nur die Datei verbreiten.

Woran man einen Befall merkt und was hilft

In den Nachrichten tauchen Infostealer meist indirekt auf. Wenn von einem Datenleck bei einem Cloud-Anbieter oder einem gehackten Firmennetzwerk berichtet wird, waren die verwendeten Zugangsdaten oft Monate zuvor auf einem Privatrechner abgegriffen worden. Bekannte Namen aus solchen Berichten sind RedLine, Lumma oder Vidar. Auch Meldungen über beschlagnahmte Server bei Polizeiaktionen betreffen häufig genau diese Programme.

Im Alltag bemerkt man den Diebstahl selten sofort. Erste Hinweise sind Anmeldungen aus fremden Ländern, Nachrichten, die man nicht geschrieben hat, oder Warnungen eines Dienstes über neue Geräte. Manche Passwortmanager und Browser melden auch, wenn eigene Zugangsdaten in einer bekannten Sammlung auftauchen.

Der beste Schutz ist unspektakulär. Software nur aus offiziellen Quellen laden, Systemupdates zeitnah installieren und Passwörter in einem Passwortmanager statt direkt im Browser speichern. Ein verbreiteter Irrtum ist, dass ein Passwortwechsel allein genügt. Solange das Schadprogramm noch aktiv ist, wird auch das neue Passwort abgegriffen. Zuerst muss das Gerät bereinigt werden, danach folgen neue Passwörter und das Abmelden aller aktiven Sitzungen.