Abgesicherter Modus zur Malware-Entfernung: warum er hilft, und wann nicht

Mitten in fast jeder Entfernungsanleitung - auch in denen dieser Seite - steht eine Zeile, die Ihnen sagt, Sie sollen in den abgesicherten Modus starten. Das ist ein guter Rat. Er wird auch fast nie erklärt, was es schwer macht zu wissen, was zu tun ist, wenn er nicht wirkt.

Was der abgesicherte Modus wirklich ändert

Microsofts eigene Beschreibung ist kurz und genau: „Der abgesicherte Modus startet Windows in einem Grundzustand mit einer begrenzten Anzahl von Dateien und Treibern.”

Das ist der ganze Mechanismus. Windows startet normalerweise eine lange Liste von Diensten, Treibern und Autostart-Programmen. Im abgesicherten Modus startet es nur eine kleine Teilmenge - genug, um das System zu betreiben, und wenig mehr.

Die Folge für Schadsoftware ist unmittelbar. Ein großer Teil davon übersteht einen Neustart, indem er sich mit Windows starten lässt: ein Run-Schlüssel in der Registrierung, eine geplante Aufgabe, ein Dienst, ein Eintrag im Autostart-Ordner. Im abgesicherten Modus werden die meisten dieser Startpfade schlicht nicht abgearbeitet. Die Datei liegt weiterhin auf der Platte, läuft aber nicht - und ein Prozess, der nicht läuft, kann sich nicht wehren, kann gelöschte Dateien nicht neu anlegen und Ihren Scanner nicht blockieren.

Das ist der ganze Nutzen: keine Entfernung, sondern Entwaffnung.

Abgesicherter Modus mit Netzwerktreibern, und wann man ihn will

Das Menü bietet zwei Varianten, und der Unterschied zählt. Microsoft: „Der abgesicherte Modus mit Netzwerktreibern fügt die Netzwerktreiber und -dienste hinzu, die Sie für den Zugriff auf das Internet und andere Computer im Netzwerk benötigen.”

Der einfache abgesicherte Modus ist der isoliertere der beiden. Wählen Sie ihn, wenn das benötigte Werkzeug bereits auf dem Rechner liegt und Ihnen lieber ist, dass nichts im System das Netz erreichen kann.

Den Modus mit Netzwerktreibern wollen Sie, wenn der Scanner Signaturen laden muss oder Sie das Werkzeug nicht mitgebracht haben. Der Preis ist, dass das Netz auch allem anderen zur Verfügung steht, was vorhanden sein könnte - es ist die weniger vorsichtige Wahl.

Warum er manchmal nichts ändert

Hier ist der Teil, den die Anleitungen überspringen, und er ist der Grund, den Mechanismus zu verstehen statt den Schritt zu wiederholen.

Nicht jede Persistenz läuft über die Startpfade, die der abgesicherte Modus auslässt. Etwas, das von einem Treiber geladen wird, den der abgesicherte Modus weiterhin braucht, oder das sich in eine immer startende Komponente eingehängt hat, kommt trotzdem hoch. Code auf Firmware- oder Bootkit-Ebene ist gleichgültig gegenüber dem gewählten Windows-Modus - er lief vor Windows.

Manche Schadsoftware ist bewusst so geschrieben, dass sie ihn übersteht. Windows führt eine Liste dessen, was im abgesicherten Modus starten darf, und eine Infektion mit genügend Rechten kann sich selbst eintragen. Tut sie das, bringt Ihnen der abgesicherte Modus exakt nichts.

Und er entfernt von sich aus nichts. Er ist ein Zustand, in dem das Entfernen leichter fällt, kein Entfernungsschritt. Hinein- und wieder herauszustarten ändert überhaupt nichts.

Die ehrliche Lesart lautet also: Findet und entfernt ein Scan im abgesicherten Modus die Sache, gut. Kehrt derselbe Fund nach einer Reinigung im abgesicherten Modus zurück, ist das ein Signal - die Persistenz sitzt dort, wo der abgesicherte Modus nicht hinreicht, und das Wiederholen des Schritts bringt Sie nicht weiter.

Wenn der Rechner den abgesicherten Modus nicht verlässt

Das ist eine häufige, alarmierend wirkende Lage mit einer banalen Ursache.

Normalerweise „sollte ein Neustart des Geräts genügen, um den abgesicherten Modus zu verlassen und in den normalen Modus zurückzukehren”. Genügt er nicht, liegt es meist daran, dass im Reiter Start von msconfig ein Häkchen bei Abgesicherter Start stehen geblieben ist - gesetzt von einem Werkzeug, von einer früheren Fehlersuche oder von Ihnen. Es zu entfernen und neu zu starten löst das Problem.

Das zu wissen lohnt sich vorher, denn ein Rechner, der nach einer Bereinigung immer wieder im abgesicherten Modus landet, sieht genau nach einer Infektion aus, die nicht sterben will - und ist es meist nicht.

Kurz gefasst

Der abgesicherte Modus startet Windows mit einer begrenzten Anzahl von Dateien und Treibern, was die meiste Schadsoftware am Laufen hindert und sie entfernbar macht. Er entfernt von sich aus nichts, er erreicht keine Persistenz außerhalb der üblichen Startpfade, und eine gut geschriebene Infektion kann sich einrichten, auch dort zu starten. Nutzen Sie ihn als den Zustand, in dem Sie scannen - und lesen Sie einen immer wiederkehrenden Fund als Zeichen, dass das Problem woanders liegt.

Die Beschreibung des abgesicherten Modus, die Unterscheidung zur Variante mit Netzwerktreibern und der Ausstiegsweg samt Häkchen „Abgesicherter Start” in msconfig stammen aus Microsofts eigener Support-Dokumentation, geprüft zum Zeitpunkt des Schreibens. Kommerzielle Links tragen das Attribut rel=“sponsored nofollow”; eine Affiliate-Provision kann anfallen, ohne Mehrkosten für Sie.