Ist ein Trojaner dasselbe wie ein Computervirus?

Nein. Trojaner beschreibt die Tarnung als legitime Anwendung oder Datei. Er muss sich nicht selbst replizieren, kann aber weitere Malware laden, Daten stehlen, Fernzugriff öffnen oder Ransomware vorbereiten.

Entfernt Antivirus einen Trojaner immer vollständig?

Antivirus kann einige Infektionen erkennen und blockieren. Das Löschen einer Datei belegt jedoch nicht den Abschluss des Vorfalls. Prüfen Sie Persistenz, Konten, Logs, Verbindungen, andere Geräte und möglichen Datenabfluss.

Was ist nach einem Trojaner-Alarm zuerst zu tun?

System und Alarm bestätigen, das Gerät nach Verfahren isolieren, Telemetrie sichern und klären, ob Angreifer auf Konten, Daten oder weitere Systeme zugegriffen haben.

Wie hilft Virtline nach einer Malware-Infektion?

Virtline unterstützt Triage, Log- und Umfangsanalyse, Isolierung, sichere Wiederherstellung, die Stärkung von EDR, MFA, E-Mail und Backup sowie die Erstellung eines Berichts und Maßnahmenplans.

Wie Trojaner funktionieren und wie Sie reagieren

Wie Trojaner funktionieren und was Unternehmen nach einem Fund tun sollten

Ein Trojaner tarnt sich als legitime Datei oder Anwendung und kann nach dem Start Daten stehlen oder Fernzugriff öffnen. Der Leitfaden behandelt Infektionswege, Triage-Signale, Isolierung, Beweissicherung sowie EDR, MFA, E-Mail-Schutz und Backups.

Erstellt und aktualisiert von: Virtline-Team 2026-10-23

Was ist ein Trojaner?

Ein Trojaner ist Schadsoftware, die sich als nützliche Datei, Anwendung oder Prozesskomponente ausgibt. Der Name stammt vom Trojanischen Pferd: Nutzer lassen ein scheinbar sicheres Objekt selbst in die Umgebung. Dateigröße und Symbol entscheiden nicht über das Risiko; maßgeblich sind Code, Verhalten und Quelle.

Loader oder Downloader

Das erste Modul startet auf dem Gerät und lädt anschließend die eigentliche Schadkomponente oder weitere Werkzeuge.

RAT-Aktivitäten erkennen

Ein Fernzugriffstrojaner (RAT) ermöglicht Angreifern, Befehle auszuführen, Dateien zu übertragen und die Kontrolle über ein Gerät zu behalten. SOC-Monitoring und SIEM-Ereignisanalyse helfen, diese Aktivitäten zu erkennen und Alarme an das Reaktionsteam weiterzuleiten.

Informationsdiebstahl

Ziele können Passwörter, Browsersitzungen, E-Mails, Dokumente, Kundendaten oder Zugriffsschlüssel sein.

NIST SP 800-83 - Malware-Prävention und -Behandlung

Der offizielle NIST-Leitfaden behandelt Malware-Prävention, Reaktionsvorbereitung, Erkennung und Vorfallbearbeitung.

Wie ein Trojaner ins Unternehmen gelangt

Gemeinsam ist meist der Anschein von Legitimität oder die Nutzung eines vertrauenswürdigen Kanals. Ein E-Mail-Filter reicht nicht, wenn Nutzer eine Datei aus einem Messenger, von einer gefälschten Website, aus einer privaten Cloud oder von einem kompromittierten Lieferantenkonto laden.

Anhang oder Link in einer Phishing-Nachricht, die Rechnung, Dokument, Bewerbung oder Benachrichtigung imitiert.
Gefälschtes Installationsprogramm, Crack, Browsererweiterung, Update oder Software aus nicht vertrauenswürdiger Quelle.
Messenger, freigegebenes Laufwerk, USB-Datenträger oder aktives Dokument mit Aufforderung, Kontrollen zu umgehen.
Kompromittiertes Partner- oder Administratorkonto, das aus einem echten Postfach und vertrauten Verlauf sendet.
Ausgenutzte Schwachstelle in Anwendung oder Gerät, durch die der Trojaner ohne bewussten Klick installiert wird.

Was ein Trojaner nach der Ausführung tut

Das Verhalten hängt von der Kampagne ab. Ein Trojaner kann Persistenz einrichten, also den Zugriff auch nach einem Neustart erhalten, einen Command-and-Control-Server (C2) kontaktieren, Zugangsdaten stehlen, Schutz deaktivieren oder Ransomware vorbereiten. Deshalb darf die Analyse nicht mit dem Löschen einer Datei enden.

Er startet Prozesse, geplante Aufgaben, Dienste oder Autostart-Einträge, die einen Neustart überstehen.
Er verbindet sich mit einer C2-Domain oder Adresse, lädt Befehle und übermittelt Geräteinformationen.
Er liest Passwörter, Cookies, Sitzungstoken, Zwischenablage, Dateien oder Konfiguration von Geschäftsanwendungen.
Er versucht Rechte zu erweitern, Antivirus zu deaktivieren, Ausnahmen anzulegen oder gespeicherte Administratorkonten zu nutzen.
Er scannt Netzwerk und Zugriffe nach Servern, Freigaben, Backups und weiteren Geräten.

Signale, die eine erste Bewertung erfordern

Ein einzelnes Symptom beweist keine Infektion, eine Gruppe von Anomalien sollte jedoch das Verfahren auslösen. Den besten Kontext liefert die Verbindung von EDR-Telemetrie mit E-Mail-, Firewall-, DNS-, Konto- und Ticket-Logs.

Ungewöhnlicher Prozess oder ungewöhnliche Verbindung

Ein Programm startet Systemwerkzeuge, schafft Persistenz oder kontaktiert direkt nach dem Öffnen einer Datei eine neue Domain.

Konto- oder Berechtigungsänderung

Ungewöhnliche Anmeldungen, MFA-Reset, neue Postfachregeln oder Aktivitäten außerhalb des Nutzerprofils treten auf.

Alarme aus mehreren Quellen

EDR, DNS, Firewall und Microsoft 365 weisen auf dieselbe Zeitachse oder dasselbe System hin.

MITRE ATT&CK - schädliche Datei

MITRE dokumentiert die Ausführung schädlicher Dateien durch Nutzer sowie zugehörige Erkennungs- und Schutzmaßnahmen.

Sichere Reaktion nach dem Fund eines Trojaners

Klicken Sie keine weiteren Meldungen an und entfernen Sie Spuren nicht unkoordiniert. Isolieren Sie das Gerät risikogerecht nach Verfahren, sichern Sie Telemetrie und untersuchen Sie den Umfang. Begrenzen Sie bestätigten oder glaubhaft vermuteten kompromittierten Zugriff unverzüglich: betroffenes Konto sperren, Sitzungen und Token widerrufen sowie Passwörter und Schlüssel von einem sauberen Gerät aus wechseln. Maßnahmen an Dienst und Geschäftsfolgen anpassen; nicht auf die vollständige Datenanalyse warten.

Bestätigen Sie Alarm, Nutzer, Gerät, Ausführungszeitpunkt sowie die auslösende Datei oder den auslösenden Prozess.
Isolieren Sie den Endpoint, bewahren Sie ihn aber zur Analyse auf; formatieren und löschen Sie Logs nicht vor der Beweissicherung.
Sammeln Sie EDR-Telemetrie sowie E-Mail-, Proxy-, DNS-, Firewall-, VPN-, Konto- und Ressourcenzugriffslogs.
Sperren Sie Indikatoren, Token und Sitzungen und ändern Sie gefährdete Passwörter und Schlüssel von einem vertrauenswürdigen Gerät.
Prüfen Sie weitere Endpoints, Freigaben, privilegierte Konten und Backups auf ähnliche Aktivitäten.
Vor der erneuten Verbindung Einfallsweg und Persistenz beseitigen oder isolieren. Das Gerät aus vertrauenswürdiger Quelle neu bereitstellen, Schutzmaßnahmen prüfen und auf erneute Aktivität überwachen; ein Abschluss erfordert verifizierte Behebung und Bericht.

Das Risiko einer weiteren Infektion senken

Schutz erfordert mehrere zusammenwirkende Maßnahmen. Endpoint Detection and Response (EDR) erkennt verdächtige Aktivitäten auf Computern und Servern und unterstützt die Reaktion; Antivirus erkennt Schadsoftware. E-Mail-Schutz begrenzt schädliche Zustellungen, Mehrfaktor-Authentifizierung (MFA) reduziert die Folgen gestohlener Passwörter und Backups unterstützen die Wiederherstellung. Die verantwortliche Person muss Alarme regelmäßig prüfen und das Verfahren testen.