Hinweise von Veeam für Kunden, die vom Content-Update von CrowdStrike betroffen sind

Was ist ein Infostealer?

Ein „Infostealer“, kurz für Information Stealer, ist eine Art Malware, die darauf ausgelegt ist, heimlich sensible Daten von einem infizierten Gerät zu erfassen und sie anschließend an einen Angreifer zu übertragen. Infostealer zielen auf gespeicherte Passwörter, Browser-Cookies, Session-Tokens, Autofill-Daten und Kryptowährungs-Wallets – oft, ohne dass das Opfer etwas davon bemerkt.

Infostealer haben sich in kurzer Zeit zur treibenden Kraft hinter dem modernen Diebstahl von Anmeldedaten entwickelt. Allein in der ersten Hälfte des Jahres 2025 stahlen sie schätzungsweise 1,8 Milliarden Anmeldedaten – ein Anstieg um 800 % gegenüber den vorangegangenen sechs Monaten. Diese gestohlenen Zugangsdaten liegen nicht einfach in einem Dark-Web-Forum herum. Sie bilden den ersten Schritt bei der Übernahme von Konten, bei Betrug und bei einem schnell wachsenden Anteil von Ransomware-Angriffen.

Quellen: Flashpoint Global Threat Intelligence Index, 2025 Midyear Edition; Verizon 2025 Data Breach Investigations Report.

Funktionsweise von Infostealern

Ein Infostealer arbeitet still im Hintergrund eines infizierten Geräts, scannt wertvolle Daten und leitet sie an den Angreifer weiter. Die meisten folgen demselben dreistufigen Ablauf: Infizieren, Sammeln und Exfiltrieren.

Sobald die Malware auf einem Rechner aktiv wird, scannt sie die üblichen Speicherorte: im Browser gespeicherte Passwörter, Cookies und Session-Tokens, Felder für die automatische Ausfüllfunktion, E-Mail-Clients, Messenger-Apps und Kryptowallet-Dateien. Es bündelt sämtliche Daten in einem „Log“ und sendet sie innerhalb von Sekunden an einen Command-and-Control-Server. Viele Infostealer löschen sich anschließend selbst, um ihre Spuren zu verwischen.

Die meisten werden als „Malware-as-a-Service“ (MaaS) angeboten. Für nur 200 USD im Monat kann ein unerfahrener Angreifer ein professionelles Infostealer-Kit mieten, inklusive Dashboards und Support. Diese niedrige Einstiegshürde ist ein Hauptgrund dafür, dass die Bedrohung so stark gewachsen ist. Zu den bekannten Familien zählen Lumma Stealer, RedLine und Raccoon.

Was Infostealer stehlen

Infostealer haben es auf alles abgesehen, was sich verkaufen oder zur Kontoübernahme wiederverwenden lässt. Die häufigsten Ziele:

  • Anmeldedaten: In Browsern und Apps gespeicherte Benutzernamen und Passwörter.
  • Session-Cookies und -Tokens: Die digitalen Zugangspässe, die Sie eingeloggt halten und es Angreifern ermöglichen, eine laufende Session zu kapern und Passwort sowie MFA vollständig zu umgehen.
  • Autofill- und Formulardaten: Namen, Adressen und Zahlungsdaten, zur Bequemlichkeit gespeichert.
  • Kryptowährungs-Wallets: Wallet-Dateien und Schlüssel, mit denen Angreifer Gelder direkt abziehen können.
  • System- und App-Details: Screenshots, installierte Software und Gerätedaten, die zum Fingerprinting des Opfers verwendet werden.

Wie sich Infostealer verbreiten

Infostealer erreichen ihre Opfer über dieselben alltäglichen Kanäle, denen die Menschen bereits vertrauen. Zu den gängigen Verbreitungsmethoden gehören:

  • Phishing-E-Mails mit schädlichen Anhängen oder Links.
  • Gefälschte oder geknackte Software, darunter raubkopierte Apps, Cheat-Programme für Spiele und gefälschte Installationsprogramme.
  • Malvertising und manipulierte Suchergebnisse, die Nutzer auf nachgemachte Download-Seiten leiten.
  • Kompromittierte Webseiten, die Drive-by-Downloads initiieren.
  • Gefälschte Browser-Updates und CAPTCHA-Eingabeaufforderungen, die Nutzer dazu verleiten, selbst schädliche Befehle auszuführen.

Warum Infostealer so gefährlich sind

Ein einziger infizierter Laptop kann eine vollständige Organisation gefährden. Infostealer sind deshalb so relevant, weil die eigentliche Gefahr erst nach dem Diebstahl entsteht.

Gestohlene Anmeldedaten begünstigen schwerwiegendere Angriffe. Laut dem Verizon Data Breach Investigations Report 2025 tauchten die Domains von 54 % der Ransomware-Opfer bereits vor dem Angriff in Protokollen von Infostealern auf. Erstzugangsbroker kaufen diese Protokolle, filtern daraus Unternehmens-VPN-, RDP- und Cloud-Anmeldedaten heraus und verkaufen den Ransomware-Gruppen fertige Zugangsdaten. Die Zeitspanne zwischen einem gestohlenen Zugangsdaten-Log und einem schwerwiegenden Ransomware-Vorfall kann unter 48 Stunden liegen.

Sie umgehen auch die Multi-Faktor-Authentifizierung. Durch das Stehlen aktiver Session-Cookies können Angreifer eine angemeldete Session wiederverwenden und sich Zugang zu Konten verschaffen, ohne jemals ein Passwort oder einen Einmal-Code eingeben zu müssen. Die herkömmliche Multi-Faktor-Authentifizierung allein wird sie nicht aufhalten.

Für ein Business bedeutet das, dass der Diebstahl von Anmeldedaten kein geringfügiges IT-Problem ist. Oft ist es der erste Dominostein bei Datenlecks, Finanzbetrug und Ransomware, der die Geschäftsabläufe zum Stillstand bringen kann.

Erkennung von Infostealern

Infostealer sind so konzipiert, dass sie verborgen bleiben, hinterlassen jedoch Spuren. Achten Sie auf Folgendes:

  • Unerwartete Anmeldungen oder Kontoaktivitäten von unbekannten Standorten oder Geräten aus.
  • Sicherheitswarnungen oder Aufforderungen zur Passwortzurücksetzung, die Sie nicht angefordert haben.
  • Ihre Anmeldedaten erscheinen in einer Warnmeldung aus einem Datenleck-Monitoring oder werden im Dark Web entdeckt.
  • Neue Browser-Erweiterungen, Prozesse oder Autostart-Einträge, die Ihnen unbekannt sind.
  • Endgerät-Tools, die verdächtige ausgehende Netzwerkverbindungen melden.

Da sich die Malware häufig selbst löscht, werden Infostealer durch das Monitoring der Anmeldedaten und die Erkennung am Endgerät meist schneller entdeckt, als wenn man auf offensichtliche Symptome wartet.

Best Practices für den Schutz vor Infostealern

Sie können sowohl das Infektionsrisiko als auch den Wirkungsradius verringern, falls eine Infektion doch einmal durchkommt. Starke Schutzmaßnahmen umfassen:

  • Verwenden Sie phishing-resistente Multi-Faktor-Authentifizierung: Passkeys und Hardware-Schlüssel sind deutlich weniger anfällig für das Replay von Session-Cookies als SMS- oder OTP-Codes.
  • Nutzen Sie Endgerät-Erkennung und -Reaktion (EDR): Moderne EDR-Systeme identifizieren Infostealer-Aktivität selbst bei brandneuen Dateien.
  • Sensibilisieren Sie Ihre Mitarbeiter dafür, die Köder zu erkennen: Die meisten Infektionen beginnen mit einem Klick. Bringen Sie Ihren Teams bei, unerwartete Anhänge, „kostenlose“ Software und gefälschte Update-Aufforderungen kritisch zu prüfen.
  • Verwenden Sie einen Passwortmanager mit einzigartigen Anmeldedaten: Einzigartige Anmeldedaten begrenzen die Wiederverwendung und reduzieren, was ein einzelner gestohlener Zugang freischalten kann.
  • Patchen Sie Software und schränken Sie Zugriffsrechte ein: Weniger Sicherheitslücken und eingeschränkte Zugriffsrechte bedeuten, dass Angreifern weniger Angriffsflächen geboten werden.
  • Erstellen Sie sichere, unveränderliche Backups. Wenn gestohlene Anmeldedaten zu Ransomware oder Datenzerstörung führen, sorgen saubere Backups dafür, dass Ihr Betrieb wieder läuft.

FAQ

Ist ein Infostealer ein Virus?
Nicht ganz. Ein Infostealer ist eine Art Malware, die darauf spezialisiert ist, Daten zu stehlen, während ein Virus Malware ist, die sich verbreitet, indem sie sich in andere Dateien kopiert. Ein Infostealer kann von einem Virus eingeschleust werden, aber beides ist nicht dasselbe.
Was ist der Unterschied zwischen einem Infostealer und Ransomware?
Ein Infostealer entwendet heimlich Daten, wie Passwörter und Cookies, und versucht, unentdeckt zu bleiben. Ransomware verhält sich genau umgekehrt, macht auf sich aufmerksam, indem es Daten sperrt oder verschlüsselt und eine Zahlung fordert. Beides hängt oft zusammen: Gestohlene Anmeldedaten sind eine gängige Methode, mit der Angreifer sich Zugang verschaffen, um Ransomware einzusetzen.
Kann ein Infostealer die Multifaktorauthentifizierung umgehen?
Ja. Durch das Stehlen aktiver Session-Cookies kann ein Infostealer es einem Angreifer ermöglichen, eine angemeldete Session wiederzugeben und ohne Passwort oder Einmalcode auf ein Konto zuzugreifen. Phishing-resistente MFA, wie Passkeys und Hardware-Schlüssel, bietet einen besseren Schutz.
Was soll ich tun, wenn ich den Verdacht habe, dass ein Gerät infiziert ist?
Trennen Sie das Gerät vom Netzwerk, führen Sie einen vollständigen Endgerät-Scan durch und behandeln Sie alle gespeicherten Anmeldedaten als kompromittiert. Ändern Sie Passwörter von einem uninfizierten Gerät aus, widerrufen Sie aktive Sessions und aktivieren oder stärken Sie die Multi-Faktor-Authentifizierung. Bei einem Arbeitsgerät wenden Sie sich umgehend an Ihr Sicherheitsteam.

So kann Veeam unterstützen

Infostealer sind in der Regel der erste Schritt, nicht der letzte. Die von ihnen gestohlenen Anmeldedaten führen im weiteren Verlauf häufig zu Ransomware oder zur Vernichtung von Daten. Veeam kann zwar nicht verhindern, dass Malware auf einem Endgerät landet, sorgt jedoch dafür, dass ein gestohlenes Passwort nicht zu einer Business-Katastrophe wird.

Mit sicheren, unveränderlichen Backups und schneller, zuverlässiger Wiederherstellung hilft Veeam Ihnen, sich von Ransomware und Datenverlust zu erholen, sodass Ihr Business weiterhin läuft. Die Veeam Data Platform bietet außerdem proaktive Erkennung von Bedrohungen über Ihre Backups und deckt verdächtige Aktivitäten frühzeitig auf, sodass Sie reagieren können, bevor sich der Schaden ausbreitet. Mehr erfahren über Ransomware-Schutz und den Aufbau echter Datenresilienz mit Veeam.

Verwandte Themen

Was ist Ransomware?   ·   Was ist Malware?   ·   Was ist Phishing?