Wie Sie einen Trojaner erkennen, im Verdachtsfall richtig reagieren und betroffene Systeme unter Windows und auf dem Firmenhandy sauber bereinigen.
Der Virenscanner meldet einen Trojaner auf einem Firmenlaptop. Jetzt muss die IT zuerst klären: Hat der Endgeräteschutz die Datei vor dem Start blockiert, oder lief die Schadsoftware bereits? Je nach Befund beziehen Sie auch Konten, andere Geräte und Cloud-Dienste in die Untersuchung ein.
Dieser Leitfaden zeigt, wie Sie einen Trojaner erkennen, im Verdachtsfall richtig reagieren und betroffene Systeme sauber bereinigen. Er richtet sich an IT-Verantwortliche im Mittelstand und beschreibt den Ablauf unter Windows und auf dem Firmenhandy.
Ein Trojaner, kurz für Trojanisches Pferd, ist Schadsoftware, deren schädliche Funktion hinter einem scheinbar legitimen Programm verborgen ist. Typische Tarnungen sind gefälschte Updates, manipulierte Installationspakete oder ein Anhang in einer Phishing-Mail. Oft startet jemand das Programm im Glauben, ein Update oder eine Anwendung zu installieren. Schadsoftware kann aber auch auf anderem Weg auf das Gerät gelangen und dort starten. Den Trojaner macht also die Tarnung aus, nicht der Weg auf das Gerät.
Umgangssprachlich ist oft vom „Trojaner-Virus“ die Rede. Technisch beschreiben die drei Begriffe unterschiedliche Eigenschaften:
| Schadsoftware | Kennzeichnende Eigenschaft | Bekannte Beispiele |
|---|---|---|
| Trojaner | Verbirgt eine schädliche Funktion hinter einem scheinbar legitimen Programm. | Emotet, Zeus |
| Virus | Vervielfältigt sich, indem er ein Wirtsobjekt wie eine Datei infiziert. | CIH |
| Wurm | Verbreitet sich selbstständig, etwa über verwundbare Netzwerkdienste. | Sasser, WannaCry |
Ein Angriff kann mehrere dieser Eigenschaften verbinden, etwa wenn ein Wurm zusätzlich Schadsoftware nachlädt. Sasser ist ein Beispiel für einen Netzwerkwurm. Laut Microsoft verbreitete er sich über eine Schwachstelle in einem Windows-Systemdienst und brauchte dafür keine Aktion eines Nutzers.
Fachleute ordnen Trojaner meist nach ihrer Schadfunktion ein. Viele Familien kombinieren mehrere dieser Funktionen. Virenscanner nennen die Art oft gleich im Namen des Funds, etwa „Trojan“ oder „Backdoor“, gefolgt von Plattform und Familie.
Eine Backdoor öffnet Angreifern einen versteckten Zugang zum Rechner. Ein Fernzugriffstrojaner (Remote Access Trojan, RAT) erlaubt zusätzlich die Steuerung aus der Ferne. Was Angreifer dort tun können, hängt unter anderem davon ab, mit welchen Rechten das Programm läuft. Mit passenden Rechten lesen sie zum Beispiel Tastatureingaben mit, sehen den Bildschirm oder laden weitere Werkzeuge nach. Ein bekanntes Beispiel ist Blackshades.
Banking-Trojaner zielen auf Zahlungs- und Zugangsdaten. Sie manipulieren etwa Eingabemasken im Browser oder fangen Bestätigungscodes ab. Zu den bekannten Familien zählen Zeus und SpyEye.
Andere Trojaner dienen vor allem als Türöffner. Sie laden weitere Schadsoftware nach, darunter Programme, die Daten verschlüsseln. Emotet war lange das bekannteste Beispiel. Europol nannte Emotet bei der Zerschlagung der Infrastruktur im Januar 2021 die gefährlichste Schadsoftware der Welt.
Botnetz-Trojaner binden den Rechner in ein Netz ferngesteuerter Geräte ein. Angreifer nutzen solche Netze etwa für Überlastungsangriffe (DDoS) oder für den Versand von Spam.
Ein Fund auf einem Laptop verrät für sich genommen wenig darüber, was danach passiert ist. Hinweise auf weitere betroffene Geräte oder Cloud-Dienste liefern erst die Protokolle und Alarme dieser Systeme.
Ein langsam laufender Rechner, ein hoher Datenverbrauch oder ein schnell entladener Akku können viele Ursachen haben. Aussagekräftiger ist ein konkreter Alarm des Endgeräteschutzes oder ein unerwarteter Prozess, der zeitgleich mit einer verdächtigen Verbindung auffällt. Auch deaktivierte Schutzfunktionen oder eine unbekannte Anmeldung nach einem Malware-Fund verdienen Aufmerksamkeit. Treffen mehrere Auffälligkeiten auf demselben Gerät oder Konto zusammen, sollte die IT sie gemeinsam prüfen.
Lesen Sie zuerst nach, was der Endgeräteschutz mit der Datei gemacht hat. Ein blockierter Download vor der Ausführung wiegt anders als ein Fund in einem laufenden Prozess. Eine Quarantäne-Meldung allein beantwortet noch nicht, ob die Datei zuvor gelaufen ist. Notieren Sie Gerät, Konto, Uhrzeit und Wortlaut des Alarms. Damit kann die IT den Fund mit anderen Ereignissen abgleichen.
Auch auf dem Smartphone sind Akku- und Datenverbrauch nur schwache Hinweise. Ernster nehmen sollten Sie eine unbekannte App, ein neues Verwaltungsprofil oder Berechtigungen, die niemand bewusst erteilt hat. Melden Sie solche Funde der IT, bevor Sie selbst etwas löschen.
Melden Sie den Verdacht über den Notfallkanal und lassen Sie das betroffene Gerät möglichst schnell vom Firmennetz trennen. Bei einem Bürorechner gelingt das über die Endgeräteschutzlösung oder indem Sie die Netzwerkverbindungen trennen. Bei einem kritischen Server entscheidet die Einsatzleitung über die Isolation. Sie muss wissen, welche Anwendungen und Arbeitsabläufe daran hängen.
Lassen Sie das Gerät nach der Isolation zunächst eingeschaltet, sofern die Lage das zulässt. Ein Neustart oder Abschalten kann flüchtige Spuren im Arbeitsspeicher vernichten. Die Einsatzleitung entscheidet über Ausnahmen und dokumentiert sie.
Beginnen Sie mit einer Zeitleiste. Wann tauchte die Datei auf, wann lief sie und mit welchen Rechten? Sichern Sie die dazugehörigen Protokolle. Suchen Sie anschließend im gleichen Zeitraum nach Warnmeldungen auf anderen Geräten und nach Auffälligkeiten in den Anmeldeprotokollen.
Fehlen dem Unternehmen die nötigen Protokolle oder Fachkenntnisse, sollte die Einsatzleitung früh externe Unterstützung anfordern. Das gilt besonders bei Hinweisen auf privilegierte Konten, mehrere betroffene Systeme oder einen möglichen Datenabfluss.
Fällt ein Rechner in der Buchhaltung aus, kann ein vorbereitetes Ersatzgerät helfen. Hängt die Buchhaltung dagegen an einem betroffenen Server, muss die IT wissen, welche weiteren Abteilungen ihn nutzen. Die Geschäftsleitung sollte wissen, welche Dienste vorübergehend gesperrt sind, welche Entscheidungen anstehen und wann sie die nächste Lageeinschätzung erhält.
Schreiben Sie getrennt auf, was feststeht, was noch offen ist und was Sie bereits entschieden haben. Bei einem vermuteten Datenabfluss gehört auch dazu, worauf sich der Verdacht stützt. Benennen Sie eine Person, die Beschäftigte oder externe Partner informiert. Gerade wenn das Firmenpostfach betroffen sein könnte, hilft ein vorab vereinbarter Kommunikationsweg.
Lief der Trojaner, behandeln Sie die auf dem Gerät gespeicherten oder danach eingegebenen Zugangsdaten als gefährdet. Ändern Sie betroffene Passwörter von einem vertrauenswürdigen Gerät aus. Je nach Dienst bleiben laufende Sitzungen auch nach dem Passwortwechsel bestehen.
Ein gestohlenes Sitzungstoken kann unter bestimmten Voraussetzungen eine bereits bestätigte Anmeldung weiter nutzbar machen. Das gilt auch dann, wenn zuvor eine Mehrfaktor-Authentifizierung (MFA) stattfand. Widerrufen Sie verdächtige Sitzungen nach den Möglichkeiten des jeweiligen Dienstes. Prüfen Sie außerdem, ob jemand unbekannte Anmeldemethoden, Weiterleitungen oder zusätzliche Berechtigungen eingerichtet hat.
Legen Sie vorab fest, bei welchen Befunden der normale IT-Support den Vorfall an die Einsatzleitung übergibt. Beispiele sind Treffer auf mehreren Geräten, Zugriffe mit einem Administratorkonto oder Hinweise darauf, dass sensible Daten das Unternehmen verlassen haben.
Sind die Protokolle lückenhaft, gehört das in den Bericht. Protokolliert ein Dienst keine Anmeldedaten, hilft das Ausbleiben eines Alarms bei der Bewertung wenig. Die Einsatzleitung muss dann anhand der möglichen Folgen und der verfügbaren Hinweise entscheiden, wie weit die Untersuchung geht.
Im Unternehmen ist das Entfernen eines Trojaners Teil der Untersuchung und ersetzt sie nicht. Ein Neustart im abgesicherten Modus mit anschließendem Scan reicht deshalb nicht als alleinige Maßnahme. Entscheidend ist, ob die Schadsoftware lief und was sie in dieser Zeit erreichen konnte.
Ein Virenscan mit Microsoft Defender oder einer anderen Endgeräteschutzlösung unterstützt die Untersuchung. Das Windows-Tool zum Entfernen bösartiger Software heißt auf Englisch Malicious Software Removal Tool (MSRT). Es deckt laut Microsoft nur ausgewählte verbreitete Schadsoftware ab. Ein sauberer Scan lässt offen, ob der Trojaner vorher lief oder ob jemand bereits auf ein Firmenkonto zugegriffen hat.
Für tatsächlich infizierte lokale Systeme empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) grundsätzlich ein Neuaufsetzen. Beseitigen Sie bekannte Angriffswege, bevor das Gerät wieder ins produktive Netz kommt.
Beim Neuaufsetzen kommt es darauf an, was Sie vom alten Gerät übernehmen. Installieren Sie Programme aus den freigegebenen Quellen und prüfen Sie Arbeitsdateien und Einstellungen vor der Übernahme. Vor der Freigabe sollte die IT sehen, dass der Endgeräteschutz wieder aktiv ist und das Gerät wieder Protokolle liefert. Jeder offene Punkt bekommt einen Verantwortlichen.
Bei einem Firmenhandy prüft die IT in der Geräteverwaltung, welche Apps und Profile vorgesehen sind und ob sich zuletzt etwas geändert hat. Stimmen Sie ein Zurücksetzen vorher mit der IT ab, damit benötigte Hinweise erhalten bleiben. Bei Verdacht auf missbrauchte Zahlungsdaten kontaktieren Sie parallel die Bank über eine bekannte Telefonnummer. Nutzen Sie für die Klärung und für Änderungen an Zugangsdaten ein vertrauenswürdiges Gerät.
Bei privaten Geräten ohne Geräteverwaltung entfernen Sie unbekannte Apps und Profile selbst und spielen alle Updates ein. Bestehen die Auffälligkeiten weiter, setzen Sie das Gerät als letzten Schritt auf die Werkseinstellungen zurück.
Das jüngste Backup ist nicht automatisch das richtige. Entscheidend ist, wann der Angriff begonnen haben könnte, denn die erste Warnmeldung kann deutlich später kommen. Testen Sie in einer getrennten Umgebung, ob sich die benötigten Daten und Anwendungen vollständig wiederherstellen lassen.
Halten Sie fest, wer die Rückkehr in den Betrieb freigibt und welche Prüfungen dafür erfüllt sein müssen. Überwachen Sie anschließend insbesondere die zuvor betroffenen Geräte und Konten. Ein Backup kann verlorene Daten wieder verfügbar machen. Bereits abgeflossene Daten bleiben ein eigenes Problem.
Angenommen, der Endgeräteschutz meldet einen Trojaner auf dem Laptop einer Mitarbeiterin aus der Buchhaltung. Kurz danach meldet der Cloud-Dienst eine ungewöhnliche Anmeldung mit ihrem Konto. Die IT isoliert den Laptop und sichert die relevanten Geräte- und Anmeldeprotokolle. Sie prüft, ob die Anmeldung zeitlich zum Fund passt und was danach über das Konto passiert ist.
Bis zur Klärung sichert die IT das Konto ab und widerruft verdächtige Sitzungen. Erst nach der Prüfung gibt sie ein Ersatzgerät frei und entscheidet über die weitere Untersuchung des ursprünglichen Laptops. Ein bloßer Austausch des Laptops hätte die Frage nach dem Kontozugriff offengelassen.
Stellen Sie Software über einen zentralen, freigegebenen Weg bereit. Begrenzen Sie lokale Administratorrechte und priorisieren Sie Sicherheitsupdates für exponierte oder geschäftskritische Systeme. Eine Netzwerksegmentierung kann den Zugriff eines kompromittierten Geräts auf andere Bereiche begrenzen.
Ergänzen Sie den Endgeräteschutz durch einen einfachen Meldeweg, den Beschäftigte auch bei einem Ausfall der Firmen-IT erreichen. Nutzen Sie Security Awareness Training, um genau diesen Meldeweg zu üben, etwa anhand eines vermeintlichen Updates oder eines unerwarteten Anhangs. Wer Alarme nicht selbst rund um die Uhr auswerten kann, findet im Leitfaden zu MDR Security eine Alternative.
Als Ausgangspunkt für Backups eignet sich die 3-2-1-Regel. Sie sieht drei Kopien einschließlich des Originals vor, zwei unterschiedliche Medientypen und eine Kopie an einem getrennten Ort. Sorgen Sie zusätzlich dafür, dass mindestens eine Sicherung gegen Änderungen aus dem Produktivnetz geschützt ist, etwa durch Offline-Aufbewahrung oder unveränderbare Speicherung.
Legen Sie fest, welche Dienste zuerst wieder verfügbar sein müssen. Testen Sie regelmäßig, ob die Sicherungen dafür ausreichen und ob sie sich im vorgesehenen Zeitfenster zurückspielen lassen. Weitere Maßnahmen bündelt der IT-Dock-Leitfaden zum Ransomware-Schutz.
Planen Sie die ersten Schritte auch für Zeiten außerhalb der regulären Arbeitszeit. Wer kann einen Rechner isolieren, wer erreicht den externen Dienstleister und wer darf eine Wiederherstellung freigeben? Gehen Sie den Ablauf regelmäßig anhand eines konkreten Szenarios durch.
Für den Anfang reicht ein einfacher Test. Rufen Sie die Notfallnummer an und lassen Sie das Team ohne Firmenpostfach einen Vorfall melden. Prüfen Sie anschließend, ob die zuständige Person an die Anmeldeprotokolle kommt. Jede Lücke bekommt einen Verantwortlichen und einen Termin. Wiederholen Sie die Übung nach größeren Änderungen, etwa nach einem Wechsel des IT-Dienstleisters. Prüfen Sie dann auch, ob Vertretungen die nötigen Rechte und Kontaktdaten haben.
Binden Sie bei einem möglichen Verlust, einer Offenlegung oder einer anderen Verletzung des Schutzes personenbezogener Daten früh die zuständige Datenschutzstelle ein. Nach Art. 33 der Datenschutz-Grundverordnung (DSGVO) muss der Verantwortliche eine solche Verletzung grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden. Die Meldung entfällt, wenn voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen besteht.
Für Einrichtungen im Anwendungsbereich von § 32 des BSI-Gesetzes (BSIG) gelten bei erheblichen Sicherheitsvorfällen zusätzliche Meldepflichten. Wer darunter fällt, erklärt der Leitfaden zum NIS-2-Umsetzungsgesetz. Prüfen Sie die Anwendbarkeit parallel zur technischen Untersuchung.
Bei einem Trojaner-Fund sollte die IT drei Fragen beantworten können. Ist die Ausbreitung gestoppt? Sind die betroffenen Geräte und Konten eingegrenzt? Kann der Betrieb mit geprüften Systemen wieder anlaufen? Legen Sie im Notfallplan fest, wer diese Fragen beantwortet und wer die Freigabe erteilt.
Üben Sie den Ablauf mit einem konkreten Szenario, damit die Zuständigkeiten im Ernstfall klar sind. Fehlt intern die Erfahrung, finden Sie über den IT-Lotsen passende IT-Security-Dienstleister für Ihr Unternehmen.
Nein. Ein Virus vervielfältigt sich, indem er ein Wirtsobjekt wie eine Datei infiziert. Ein Trojaner verbirgt eine schädliche Funktion hinter einem scheinbar legitimen Programm. Umgangssprachlich fallen beide Begriffe oft zusammen, technisch beschreiben sie unterschiedliche Eigenschaften.
Microsoft Defender erkennt viele bekannte Trojaner und blockiert sie oft schon vor dem Start. Ein Fund oder ein sauberer Scan beantwortet aber nicht, ob die Schadsoftware vorher lief. Prüfen Sie deshalb im Alarm, ob der Schutz die Datei vor dem Start blockiert oder in einem laufenden Prozess gefunden hat.
Auf einem privaten Rechner helfen Bordmittel wie Microsoft Defender und das Malicious Software Removal Tool (MSRT). Das MSRT deckt laut Microsoft aber nur ausgewählte verbreitete Schadsoftware ab. Im Unternehmen geht es um mehr als das Löschen einer Datei: Die IT muss klären, ob Konten und weitere Systeme betroffen sind. Für tatsächlich infizierte Systeme empfiehlt das BSI grundsätzlich ein Neuaufsetzen. Meiden Sie Webseiten mit angeblichen Gratis-Online-Scans, dahinter steckt oft selbst Scareware.
Nur teilweise. Ein gestohlenes Sitzungstoken kann unter bestimmten Voraussetzungen eine bereits bestätigte Anmeldung weiter nutzbar machen. Ändern Sie nach einem Vorfall deshalb nicht nur Passwörter, sondern widerrufen Sie auch verdächtige Sitzungen.
Ja. Auch auf Smartphones tarnen sich Trojaner als nützliche Apps. Achten Sie auf unbekannte Apps, neue Verwaltungsprofile und ungewohnte Berechtigungen. Bei Firmenhandys stimmen Sie das weitere Vorgehen mit der IT ab, bevor Sie das Gerät zurücksetzen.
Das hängt vom Vorfall ab. Sind personenbezogene Daten betroffen, muss der Verantwortliche das nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden melden, außer es besteht voraussichtlich kein Risiko für die betroffenen Personen. Einrichtungen im Anwendungsbereich von § 32 BSIG haben bei erheblichen Sicherheitsvorfällen zusätzliche Meldepflichten.
Aktualisiert am 11. November 2026
Erfahrungen aus der Praxis, typische Fehler und konkrete Tipps: Worauf IT-Entscheider bei der Auswahl, Planung und Auswertung eines Penetrationstests achten sollten.
Was ein MDR Security Service leistet, wie die Preise zustande kommen und woran Sie passende Anbieter erkennen.
So schützen Sie Ihr Unternehmen vor Phishing, Deepfakes und Ransomware.
Das NIS2UmsuCG ist das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, mit dem Deutschland die europäische NIS-2-Richtlinie in nationales Recht überführt hat.
TISAX steht für Trusted Information Security Assessment Exchange. Das Verfahren ermöglicht Unternehmen, ihre Informationssicherheit nach einheitlichen Anforderungen prüfen zu lassen und die Ergebnisse mit Geschäftspartnern zu teilen.
Auffällige Nummern prüfen, Anrufe auf iPhone und Android blockieren und Betrugsversuche melden.
Wer Fehler vermeiden will, braucht einen strukturierten Auswahlprozess, der auf klaren Kriterien basiert.
Viele Unternehmen in Deutschland stehen vor der gleichen Frage: Wie läuft eine ISO-27001-Zertifizierung eigentlich ab?
Wer als KMU an Ausschreibungen größerer Unternehmen teilnehmen will, kommt an dem Thema schlicht nicht mehr vorbei.
EDR überwacht Endgeräte, XDR erweitert das Prinzip auf Netzwerk, Identitäten und Cloud. Was die Technik erkennt und was Ihre Organisation damit anfangen kann.
Informiert bleiben
Erhalten Sie wöchentlich die wichtigsten Tech-Trends, exklusive Analysen und Experteninterviews – speziell für IT-Entscheider.
Kommentare (0)
Noch keine Kommentare vorhanden.