Was ist ein Infostealer? Definition, Risiken & Funktionsweise

Was ist ein Infostealer?

Ein Infostealer – auch Information Stealer oder kurz Stealer genannt – ist eine Schadsoftware, die darauf ausgelegt ist, sensible Informationen möglichst unbemerkt von einem infizierten Gerät zu sammeln. Anders als zerstörerische Malware will ein Infostealer das System meist nicht sichtbar beschädigen, sondern verwertbare Daten stehlen, ohne Aufmerksamkeit zu erregen.

Nach der Infektion können je nach Stealer unter anderem Zugangsdaten, Browserdaten, Cookies, Zahlungsinformationen und weitere persönliche Daten ausgelesen und an die Angreifer übertragen werden. Ein aktuelles Beispiel ist VoidStealer: Diese Malware kann unbemerkt Passwörter und Sitzungsdaten aus Chrome und Edge entwenden, indem sie Schutzmechanismen für gespeicherte Browserdaten umgeht.

Besonders problematisch ist, dass eine Infektion oft keine eindeutigen Symptome verursacht. Viele Betroffene bemerken den Datendiebstahl erst, wenn fremde Anmeldungen auftauchen, Sitzungen übernommen werden oder Konten bereits missbraucht wurden.

Welche Daten können Infostealer stehlen?

• ① Im Browser gespeicherte Zugangsdaten: Dazu gehören Benutzernamen und Passwörter, die beispielsweise in Google Chrome oder Microsoft Edge gespeichert sind – etwa für E-Mail-, Cloud-, Shopping-, Banking- oder Social-Media-Konten.
• ② Autofill- und persönliche Daten: Über die Autofill-Funktion gespeicherte Angaben wie Name, Telefonnummer, Anschrift oder Zahlungsdaten können ebenfalls zum Ziel werden.
• ③ Sitzungscookies und Authentifizierungstoken: Gestohlene Sitzungscookies oder Tokens können es Angreifern ermöglichen, bereits authentifizierte Sitzungen zu übernehmen und dadurch in bestimmten Fällen eine erneute Passwortabfrage zu umgehen.
• ④ Finanz- und Zahlungsdaten: Je nach Schadsoftware können Kreditkartendaten, Banking-Zugangsdaten und andere in Browsern oder Anwendungen gespeicherte Finanzinformationen ausgelesen werden.
• ⑤ Daten von Krypto-Wallets: Dazu können Wallet-Dateien, private Schlüssel sowie Daten aus Browser-Erweiterungen gehören, die den Zugriff auf Kryptowährungen ermöglichen.
• ⑥ Daten aus E-Mail- und Messenger-Konten: Zugangsdaten und aktive Sitzungen von E-Mail- oder Messaging-Diensten können für Kontoübernahmen, Betrug und weitere Phishing-Angriffe missbraucht werden.
• ⑦ System- und Geräteinformationen: Infostealer erfassen häufig auch Informationen zum Betriebssystem, installierten Programmen, zur IP-Adresse und zur Hardware, um das Gerät zu profilieren und weitere Angriffe vorzubereiten.
• ⑧ Lokal gespeicherte Dateien: Einige Stealer durchsuchen zusätzlich lokale Dokumente und Dateien nach sensiblen Informationen, etwa Zugangsdaten, Notizen, Entwicklergeheimnissen oder vertraulichen Geschäftsdaten.

Wie verbreiten sich Infostealer?

Phishing-E-Mails

Angreifer versenden gefälschte E-Mails, die scheinbar von bekannten Unternehmen, Behörden oder Diensten stammen. Enthaltene Links oder Anhänge führen zu manipulierten Webseiten oder Dateien, über die ein Infostealer installiert werden kann.

Schädliche Werbung (Malvertising)

Cyberkriminelle schalten manipulierte Anzeigen oder imitieren Downloadseiten bekannter Programme. Solche Anzeigen können auch in Suchergebnissen auftauchen und Nutzer zu gefälschten Installationsdateien führen.

Crack-Software und Game-Cheats

Cracks, Keygens und Cheat-Tools für Spiele werden häufig als Köder eingesetzt. Wer solche inoffiziellen Programme herunterlädt, installiert mitunter zusätzlich einen Stealer, ohne es zu bemerken.

Gefälschte Webseiten und CAPTCHA-Betrug

Gefälschte Webseiten sehen seriösen Angeboten oft täuschend ähnlich. Besonders sogenannte ClickFix- oder CAPTCHA-Maschen versuchen Nutzer dazu zu bringen, Befehle zu kopieren, auszuführen oder eine vermeintliche Verifizierung zu starten – tatsächlich wird dabei Malware nachgeladen.

Schädliche Browser-Erweiterungen

Manche Erweiterungen tarnen sich als nützliche Browser-Tools, sammeln nach der Installation jedoch Browseraktivitäten, gespeicherte Zugangsdaten oder Sitzungscookies.

Manipulierte Software-Installer

Infostealer können auch in scheinbar legitimen Installationspaketen stecken. Nach dem Start des Programms wird die versteckte Schadkomponente im Hintergrund aktiviert.

Infostealer vs. andere Malware: Was unterscheidet Stealer?

Infostealer sind nur eine Form von Malware. Ihr Hauptzweck unterscheidet sich jedoch deutlich von vielen anderen Schadprogrammen: Statt Dateien sichtbar zu verschlüsseln oder das System sofort lahmzulegen, konzentrieren sich Stealer auf den möglichst unauffälligen Diebstahl verwertbarer Daten.

Woran erkennt man eine Infostealer-Infektion?

Infostealer sind bewusst auf unauffälliges Arbeiten ausgelegt. Deshalb gibt es selten das eine eindeutige Symptom. Mehrere Warnzeichen zusammen können jedoch darauf hindeuten, dass Zugangsdaten oder Sitzungen bereits kompromittiert wurden.

Mögliche Anzeichen für eine Infektion:

• Ungewöhnliche Anmeldewarnungen oder Kontoaktivitäten von unbekannten Geräten oder Standorten.
• Plötzlicher Verlust des Zugriffs auf häufig genutzte Konten.
• Browser-Sitzungen werden unerwartet beendet oder verlangen auffällig häufig eine erneute Anmeldung.
• Unbekannte Hintergrundprozesse oder eine ohne erkennbaren Grund verschlechterte Systemleistung.
• Sicherheitssoftware meldet verdächtige Aktivitäten, Prozesse oder unbekannte Dateien.
• Ungewöhnlich hoher Netzwerkverkehr oder auffällige Hintergrund-Datenübertragungen.

So überprüfen Sie, ob Ihr Gerät betroffen sein könnte:

Prüfen Sie bei E-Mail-, Social-Media-, Cloud- und Finanzkonten die letzten Anmeldungen sowie aktive Sitzungen. Melden Sie unbekannte Geräte ab und notieren Sie verdächtige Zugriffe.

Kontrollieren Sie in Chrome und Edge gespeicherte Passwörter, Sicherheitswarnungen und bekannte Datenlecks. Wichtig: Dass gespeicherte Einträge unverändert aussehen, beweist nicht, dass sie nicht bereits kopiert wurden.

Führen Sie mit einer aktuellen und vertrauenswürdigen Antiviren- oder Anti-Malware-Lösung einen vollständigen Systemscan durch, um verdächtige Dateien und Prozesse zu erkennen.

Überprüfen Sie im Task-Manager unbekannte Prozesse, ungewöhnliche Autostart-Einträge und auffällige Ressourcen- oder Netzwerkaktivitäten.

Entfernen Sie unbekannte oder kürzlich installierte Erweiterungen, denen Sie nicht vertrauen. Kontrollieren Sie insbesondere Erweiterungen mit weitreichenden Zugriffsrechten auf Webseiten und Browserdaten.

Auffällige Verbindungen oder Datenübertragungen können auf eine Exfiltration hindeuten. Ein einzelner Traffic-Peak ist allerdings noch kein Beweis für einen Infostealer.

Was tun bei einer Infostealer-Infektion?

Wenn Sie einen Infostealer auf Ihrem Gerät vermuten, sollten Sie zügig handeln. Da Stealer häufig Zugangsdaten, Cookies und Sitzungstoken abgreifen, kann eine Verzögerung zu Kontoübernahmen, finanziellen Schäden oder dem Verlust weiterer sensibler Daten führen.

Internetverbindung trennen

Trennen Sie das betroffene Gerät zunächst vom Netzwerk, damit eine laufende Verbindung zu Command-and-Control-Servern unterbrochen wird und nicht weiterhin Daten übertragen werden können. Nutzen Sie für Kontosicherung und Passwortänderungen möglichst ein anderes, vertrauenswürdiges Gerät.

• Deaktivieren Sie WLAN am betroffenen Gerät oder trennen Sie die WLAN-Verbindung.
• Ziehen Sie bei einer kabelgebundenen Verbindung das Ethernet- bzw. LAN-Kabel ab.
• Deaktivieren Sie bei Mobilgeräten oder Geräten mit Mobilfunkverbindung die mobilen Daten.
• Deaktivieren Sie bei Bedarf auch Bluetooth, wenn Sie unbekannte oder verdächtige Verbindungen feststellen.

Vollständigen Systemscan ausführen

Nach der Netzwerktrennung sollten Sie die Schadsoftware identifizieren und entfernen. Ein vollständiger Scan kann versteckte Stealer-Komponenten aufspüren, die im normalen Betrieb kaum auffallen.

Aktualisieren Sie Ihre Sicherheitssoftware und führen Sie anschließend einen vollständigen Scan durch. Werden Infostealer oder weitere Schadkomponenten erkannt, folgen Sie den Bereinigungsanweisungen des Sicherheitsprogramms. Bei anhaltendem Verdacht kann eine saubere Neuinstallation des Systems die sicherere Option sein.

Passwörter ändern und Sitzungen widerrufen

Sobald das infizierte Gerät bereinigt oder neu aufgesetzt wurde, sichern Sie alle möglicherweise betroffenen Konten. Priorität haben E-Mail-, Banking-, Cloud-, Social-Media-, Shopping- und Arbeitskonten sowie Dienste, deren Zugangsdaten in Chrome, Edge oder anderen Browsern gespeichert waren.

Ändern Sie Passwörter von einem sauberen, nicht kompromittierten Gerät aus. Melden Sie unbekannte Geräte ab, widerrufen Sie aktive Sitzungen und Tokens und ersetzen Sie bei Bedarf API-Schlüssel oder andere Zugangsdaten.

Aktivieren Sie zusätzlich Mehrfaktor-Authentifizierung (MFA), wo immer sie verfügbar ist. Beachten Sie jedoch: Gestohlene Sitzungscookies können in manchen Angriffsszenarien eine bereits authentifizierte Sitzung übernehmen – deshalb ist das Abmelden aller Sitzungen ebenso wichtig.

Warnung:

⚠️ Lässt sich die Infektion nicht zuverlässig entfernen, kann eine saubere Neuinstallation erforderlich sein. Sichern Sie vorher nur benötigte persönliche Dateien und vermeiden Sie es, unbekannte Programme, Skripte oder verdächtige Installationsdateien wieder auf das neue System zu übertragen.

Wie kann man sich vor Infostealern schützen?

Das Risiko einer Infostealer-Infektion lässt sich deutlich senken, wenn Sie typische Verbreitungswege kennen und grundlegende Sicherheitsmaßnahmen konsequent umsetzen:

• Starke, einzigartige Passwörter und einen Passwortmanager verwenden: Verwenden Sie für jedes Konto ein eigenes starkes Passwort. Ein vertrauenswürdiger Passwortmanager erleichtert die Verwaltung und verhindert, dass ein gestohlenes Passwort direkt mehrere Konten gefährdet.
• Unbekannte Links und Anhänge in E-Mails meiden: Öffnen Sie keine verdächtigen Anhänge oder Links, insbesondere wenn unbekannte Absender zu dringenden Aktionen, Downloads oder Anmeldungen auffordern.
• Software nur aus offiziellen Quellen herunterladen: Vermeiden Sie Cracks, Keygens, inoffizielle Downloadseiten und gefälschte Installationsportale, da solche Quellen häufig zur Verbreitung von Stealern genutzt werden.
• System und Programme aktuell halten: Installieren Sie Sicherheits- und Browserupdates zeitnah, damit bekannte Schwachstellen geschlossen und aktuelle Schutzmechanismen genutzt werden.
• Seriöse Sicherheitssoftware einsetzen: Nutzen Sie eine vertrauenswürdige und aktuelle Sicherheitslösung wie Microsoft Defender, Malwarebytes oder Bitdefender, um bekannte Infostealer und verdächtiges Verhalten zu erkennen.
• Mehrfaktor-Authentifizierung (MFA) aktivieren: MFA erhöht den Schutz, falls ein Passwort kompromittiert wurde. Bei Verdacht auf gestohlene Cookies oder Sitzungstoken sollten Sie zusätzlich alle aktiven Sitzungen widerrufen.
• Browser-Erweiterungen kritisch prüfen: Installieren Sie Erweiterungen nur von vertrauenswürdigen Entwicklern, prüfen Sie deren Berechtigungen und entfernen Sie nicht benötigte oder unbekannte Add-ons.

Verlorene Daten nach einer Infostealer-Infektion wiederherstellen

Ein Infostealer selbst ist in erster Linie auf Datendiebstahl ausgerichtet. Datenverlust kann jedoch während der Bereinigung entstehen – etwa wenn Dateien versehentlich gelöscht, durch Sicherheitssoftware entfernt oder bei einer Neuinstallation nicht gesichert wurden.

Wenn nach der Malware-Bereinigung oder einer Systemwiederherstellung lokale Dateien fehlen, kann eine Datenrettungssoftware bei noch vorhandenen, aber gelöschten oder verlorenen Dateien helfen. 4DDiG Datenrettung durchsucht Speichermedien nach wiederherstellbaren Dateien, etwa nach versehentlichem Löschen, Formatieren oder einem Systemproblem. Wichtig: Eine Datenrettungssoftware entfernt keinen Infostealer und kann bereits gestohlene Passwörter oder Kontodaten nicht zurückholen.

• Laden Sie 4DDiG auf Ihrem Windows-PC oder Mac herunter und installieren Sie das Programm. Starten Sie die Software und wählen Sie das Laufwerk aus, auf dem sich die verlorenen oder nicht mehr zugänglichen Dateien vor der Malware-Bereinigung befanden.

  

• Die Software scannt das ausgewählte Laufwerk. Über den Filter „Dateityp“ können Sie die Treffer eingrenzen und bestimmte Dateien schneller finden.

  

• Nach dem Scan können Sie wiederherstellbare Dateien in der Vorschau prüfen. Markieren Sie die benötigten Dateien und klicken Sie anschließend auf „Wiederherstellen“.

  

• Wählen Sie zum Schluss einen sicheren Speicherort auf einem anderen Laufwerk und klicken Sie auf „Jetzt speichern“, um die Wiederherstellung abzuschließen.

  

Tipp:

Speichern Sie wiederhergestellte Dateien nicht auf derselben Partition, auf der die Daten ursprünglich verloren gegangen sind.

Fazit

Infostealer gehören zu den Schadprogrammen, bei denen der eigentliche Schaden oft erst nach dem Datendiebstahl sichtbar wird. Deshalb ist es wichtig, nicht nur die Malware selbst zu entfernen, sondern auch kompromittierte Konten, Sitzungen und Zugangsdaten abzusichern.

Ob allgemeine Stealer oder neuere Varianten wie VoidStealer: Ziel ist es, Passwörter, Cookies und andere sensible Daten möglichst unbemerkt zu entwenden. Laden Sie Software nur aus vertrauenswürdigen Quellen, reagieren Sie vorsichtig auf Phishing- und ClickFix-Maschen und halten Sie Browser, Betriebssystem und Sicherheitssoftware aktuell.

Fehlen nach der Malware-Bereinigung, Quarantäne oder Neuinstallation lokale Dateien, kann Tenorshare 4DDiG das betroffene Speichermedium nach gelöschten oder verlorenen Dateien durchsuchen. Verwenden Sie Datenrettung jedoch erst, nachdem das System bereinigt wurde, und sichern Sie wiederhergestellte Dateien auf einem separaten Laufwerk.