Malware von Android entfernen (8 Schritte, Werksreset zuletzt)

Kurze Antwort: Die meiste Android-Malware lässt sich ohne Zurücksetzen auf Werkseinstellungen entfernen. Starten Sie im abgesicherten Modus neu, damit Drittanbieter-Apps nicht mehr laufen, finden Sie die App, die zu Beginn der Probleme auf das Gerät kam, entziehen Sie ihr die Berechtigungen, mit denen sie sich gegen das Löschen wehrt (Geräteadministrator, Bedienungshilfen, Über anderen Apps einblenden), deinstallieren Sie sie, bereinigen Sie Ihren Browser und führen Sie dann Google Play Protect sowie einen seriösen Scanner aus dem Play Store aus. Ändern Sie die Passwörter, die Sie eingegeben haben, während sie lief. Heben Sie sich das Zurücksetzen auf Werkseinstellungen für den Schluss auf, und lesen Sie den Hinweis zu Billig-Telefonen, deren Malware in der Firmware steckt, bevor Sie sich darauf verlassen.

Android-Malware ist selten ein dramatischer „Virus”. Meist handelt es sich um Adware, gefälschte Hilfs-Apps und aggressive Werbe-SDKs, die über Apps von außerhalb des Play Store, geknackte APKs oder einen Link in einer SMS auf das Gerät gelangen. Die gefährlichere Minderheit sind Banking-Trojaner, die die Bedienungshilfen-Berechtigung verlangen, um Ihren Bildschirm zu lesen und für Sie zu tippen. Beide Arten werden auf dieselbe Weise entfernt, denn Android gibt Ihnen zwei Werkzeuge, die ein PC nicht hat: einen Startmodus, der jede von Ihnen installierte App deaktiviert, und Berechtigungsbildschirme, die genau zeigen, was jede App durfte.

Triage in 60 Sekunden: Welcher Fall liegt bei Ihnen vor?

Anzeichen, dass Ihr Android infiziert sein könnte

• Pop-up-Werbung erscheint außerhalb jeder App, auf dem Start- oder Sperrbildschirm, oder Vollbildwerbung öffnet sich ohne erkennbare Quelle.
• Der Browser leitet ständig auf Seiten um, die Sie nicht aufgerufen haben, oder Ihre Startseite oder Suchmaschine hat sich von selbst geändert.
• Akkuverbrauch und mobiler Datenverbrauch steigen sprunghaft, ohne dass Sie das Telefon anders nutzen.
• Apps, an deren Installation Sie sich nicht erinnern, tauchen in der App-Übersicht auf, manchmal mit leerem oder generischem Symbol.
• Eine App hat direkt nach der Installation Zugriff auf die Bedienungshilfen verlangt oder wollte Geräteadministrator werden.
• Ihre Bank oder Google schickt Anmeldecodes oder Warnungen über eine „neue Anmeldung”, die Sie nicht ausgelöst haben, oder von Ihrem Telefon gehen SMS ab, die Sie nie geschrieben haben.
• Eine App taucht nach jedem Löschen wieder auf.

Jedes einzelne Anzeichen kann harmlos sein. Mehrere zusammen bedeuten meist, dass Adware oder eine schädliche App läuft. Haben Sie hauptsächlich Akku- und Hitzesymptome, lesen Sie zuerst Ist mein Handy gehackt?, denn diese beiden Anzeichen sind die am wenigsten aussagekräftigen von allen.

Schritt 1 - Im abgesicherten Modus neu starten

Der abgesicherte Modus startet Android mit nur den Apps, die mit dem Telefon geliefert wurden. Alles, was Sie selbst installiert haben, ist vorübergehend deaktiviert, sodass Malware die Einstellungen-App nicht blockieren, keinen eigenen Bildschirm darüberlegen und sich nicht neu installieren kann, während Sie arbeiten.

1. Halten Sie die Ein-/Aus-Taste gedrückt (bei neueren Samsung- und Pixel-Telefonen drücken Sie Ein/Aus + Leiser gleichzeitig, weil ein kurzer Druck auf Ein/Aus allein den Assistenten öffnet).
2. Tippen und halten Sie „Ausschalten”, bis die Aufforderung „Im abgesicherten Modus neu starten” erscheint, und bestätigen Sie.
3. Das Telefon startet neu, mit „Abgesicherter Modus” in einer Ecke des Bildschirms.

Hören die Pop-ups und das Ruckeln im abgesicherten Modus auf, ist mit großer Sicherheit eine heruntergeladene App die Ursache. Der abgesicherte Modus löscht nichts: Sind Sie fertig, bringt ein normaler Neustart jede App zurück. Genau deshalb deinstallieren Sie den Verursacher, bevor Sie ihn verlassen.

Schritt 2 - Die verantwortliche App finden

Raten kostet Zeit. Android führt drei Listen, die auf den Verursacher zeigen.

• Zuletzt installiert. Öffnen Sie Einstellungen → Apps → Alle Apps anzeigen. Auf den meisten Telefonen bietet das Überlaufmenü (⋮) an, nach Installationszeitpunkt zu sortieren oder zu filtern. Alles, was in den Tagen vor Beginn der Probleme installiert wurde, kommt ganz oben auf Ihre Verdächtigenliste.
• Akku und Daten. Einstellungen → Akku → Akkunutzung und Einstellungen → Netzwerk & Internet (Samsung: Verbindungen) → Datennutzung ordnen Apps nach Verbrauch. Eine App, die Sie nie öffnen und die trotzdem weit oben steht, ist ein starkes Signal.
• Wer Apps installieren darf. Einstellungen → Apps → Spezieller App-Zugriff → Unbekannte Apps installieren listet jede App, der Sie einmal erlaubt haben, andere Apps zu installieren. Ein Dateimanager, eine Messaging-App oder ein „Downloader” mit eingeschaltetem Schalter ist der Weg, über den die Malware hereinkam, und könnte die nächste Schadlast nachladen. Schalten Sie den Schalter für alles aus, was ihn nicht zwingend braucht.

Gefälschte „Cleaner”-, „Akkusparer”-, „QR-Scanner”-, „Taschenlampen”-, „Systemupdate”- und „Chrome-Update”-Apps sind die üblichen Tarnungen. Sind Sie sich bei einem Namen unsicher, suchen Sie ihn von einem anderen Gerät aus, bevor Sie die App entfernen.

Schritt 3 - Verdächtige Apps deinstallieren

Öffnen Sie, weiterhin im abgesicherten Modus, Einstellungen → Apps, tippen Sie auf die verdächtige App und dann auf Deinstallieren. Arbeiten Sie Ihre Verdächtigenliste App für App durch. Ist die Schaltfläche „Deinstallieren” ausgegraut oder taucht die App wieder auf, gehen Sie zu Schritt 4; genau dafür ist er da.

Schritt 4 - Lässt sie sich nicht deinstallieren? Die Berechtigungen entziehen, hinter denen sie sich versteckt

Malware überlebt das Entfernen, indem sie eine oder mehrere von vier Berechtigungen hält. Nehmen Sie sie ihr in dieser Reihenfolge weg, kehren Sie dann zu Einstellungen → Apps zurück und deinstallieren Sie.

1. Geräteadministrator. Öffnen Sie Einstellungen und suchen Sie nach Geräteadministrator-Apps (oft unter Sicherheit → Weitere Sicherheitseinstellungen). Schalten Sie den Schalter neben der verdächtigen App aus. Das ist der klassische Trick, der die Schaltfläche „Deinstallieren” ausgraut.
2. Bedienungshilfen. Öffnen Sie Einstellungen → Bedienungshilfen und sehen Sie unter Heruntergeladene Apps nach (Samsung: Installierte Apps). Eine App mit eingeschaltetem Bedienungshilfen-Dienst kann alles auf Ihrem Bildschirm lesen, Schaltflächen antippen und Felder ausfüllen. Genau so überwinden Banking-Trojaner wie Rokarolla Ihre Bank-App. Schalten Sie jeden Dienst aus, den Sie nicht kennen.
3. Über anderen Apps einblenden. Einstellungen → Apps → Spezieller App-Zugriff → Über anderen Apps einblenden. Diese Berechtigung lässt einen gefälschten Anmeldebildschirm über dem echten erscheinen. Entziehen Sie sie allem, dem Sie sie nicht bewusst gewährt haben.
4. Benachrichtigungszugriff. Einstellungen → Apps → Spezieller App-Zugriff → Benachrichtigungszugriff (oder Geräte- und App-Benachrichtigungen). Eine App, die hier steht, kann Ihre SMS-Bestätigungscodes lesen, sobald sie eintreffen. Schalten Sie unbekannte Einträge aus.

Seit Android 13 werden Apps, die von außerhalb eines App-Stores installiert wurden, durch eine Funktion namens Eingeschränkte Einstellungen von den Bildschirmen für Bedienungshilfen und Benachrichtigungszugriff ausgesperrt: Die Schalter sind einfach ausgegraut, bis Sie die Infoseite der App öffnen und in deren Menü „Eingeschränkte Einstellungen zulassen” wählen. Malware führt Sie deshalb mit Anweisungen auf dem Bildschirm genau durch diesen Vorgang. Wenn Sie sich erinnern, solchen Anweisungen gefolgt zu sein, haben Sie Ihre App gefunden.

Schritt 5 - Browser bereinigen

Adware sitzt oft im Browser statt in einer eigenen App, und eine Website, bei der Sie einmal auf „Zulassen” getippt haben, kann Benachrichtigungen verschicken, die wie Systemwarnungen aussehen. In Chrome (oder dem Browser, den Sie nutzen):

• Öffnen Sie Einstellungen → Website-Einstellungen → Benachrichtigungen und blockieren Sie jede Seite, die Sie nicht kennen. Dieser eine Bildschirm behebt die meisten „Virenwarnung”-Pop-ups auf Android.
• Löschen Sie Cache und Cookies (Einstellungen → Datenschutz und Sicherheit → Browserdaten löschen).
• Setzen Sie Ihre Startseite und Standardsuchmaschine zurück, falls sie sich geändert haben.
• Prüfen Sie Einstellungen → Apps → Standard-Apps → Browser-App: Adware installiert manchmal einen eigenen Browser und macht ihn zum Standard, sodass Links dort geöffnet werden.

Schritt 6 - Google Play Protect und einen seriösen Scanner ausführen

Starten Sie normal neu und lassen Sie den integrierten Scanner von Android einen Durchlauf machen:

1. Öffnen Sie den Google Play Store, tippen Sie auf Ihr Profilsymbol und wählen Sie Play Protect.
2. Tippen Sie auf Scannen. Play Protect prüft installierte Apps, auch seitlich geladene, und bietet an, gemeldete Apps zu deaktivieren oder zu entfernen. Aktivieren Sie „Apps mit Play Protect scannen” und „Erkennung schädlicher Apps verbessern”, damit unbekannte seitlich geladene Apps auch zur Analyse an Google geschickt werden. Auf Pixel-Telefonen mit Android 15 und neuer beobachtet die Live-Bedrohungserkennung von Play Protect zusätzlich, wie sich installierte Apps verhalten, nicht nur, was sie enthalten.

Für eine zweite Meinung installieren Sie eine bekannte Anti-Malware-App nur aus dem Play Store, etwa Malwarebytes oder Bitdefender, führen einen vollständigen Scan durch und entfernen, was sie meldet. Bleiben Sie bei Namen, die Sie bereits kennen: Eine Suche nach „Antivirus” liefert in jedem App-Store Dutzende Apps, die selbst Adware sind.

Schritt 7 - Die Konten absichern, an die die Malware herankam

Das Entfernen der App macht nicht ungeschehen, was sie gesehen hat. Erledigen Sie Folgendes vom bereinigten Telefon oder, besser, von einem Computer aus:

• Ändern Sie das Passwort Ihres Google-Kontos und führen Sie den Google-Sicherheitscheck durch: Melden Sie unbekannte Geräte ab, entfernen Sie unter „Zugriff durch Drittanbieter” Apps, die Sie nicht kennen, und prüfen Sie, ob Telefonnummer und E-Mail-Adresse zur Kontowiederherstellung wirklich Ihnen gehören.
• Ändern Sie jedes Passwort, das Sie am Telefon eingegeben haben, während die Malware aktiv war, angefangen bei Banking, E-Mail und jedem Konto, das SMS-Codes empfängt. Aktivieren Sie die Bestätigung in zwei Schritten mit einer Authenticator-App statt per SMS, wo der Dienst es erlaubt.
• Prüfen Sie Ihre Bank. Hat sich eine Banking-App seltsam verhalten oder haben Sie Bestätigungscodes erhalten, die Sie nicht angefordert haben, rufen Sie die Bank an, prüfen Sie die letzten Umsätze und fragen Sie, ob ein neues Gerät oder ein neuer Zahlungsempfänger registriert wurde.
• Sehen Sie nach Weiterleitungen. Prüfen Sie in Ihrer SMS-App und in Ihrem E-Mail-Konto, ob eine Weiterleitungsregel oder ein verknüpftes Gerät hinzugefügt wurde. Eine Weiterleitung überlebt jede noch so gründliche Bereinigung des Telefons. Genau deshalb verstecken hartnäckige Angreifer sie dort.

Schritt 8 - Letzter Ausweg: sichern, dann auf Werkseinstellungen zurücksetzen

Kehren Pop-ups immer wieder zurück, installiert sich eine App selbst neu oder melden Scans immer wieder dieselbe Bedrohung, versetzt ein Zurücksetzen auf Werkseinstellungen das Telefon in einen sauberen Zustand.

• Sichern Sie zuerst Fotos, Kontakte und wichtige Dateien in Ihrem Google-Konto oder auf einem Computer. Stellen Sie keine Sicherung wieder her, die die infizierte App enthält.
• Gehen Sie dann zu Einstellungen → System → Optionen zum Zurücksetzen → Alle Daten löschen (auf Werkseinstellungen zurücksetzen) (Samsung: Einstellungen → Allgemeine Verwaltung → Zurücksetzen → Auf Werkseinstellungen zurücksetzen).
• Beim erneuten Einrichten installieren Sie Apps einzeln aus dem Play Store. Überspringen Sie die Option „Alle Apps wiederherstellen”, die die Malware sofort zurückbringen würde.

Eine ehrliche Warnung. Ein Zurücksetzen auf Werkseinstellungen löscht die Datenpartition, nicht die Systempartition. Auf manchen billigen No-Name-Android-Telefonen und TV-Boxen wurde Malware direkt in der Firmware vorinstalliert gefunden; Googles eigenes Sicherheitsteam hat 2019 dokumentiert, dass die Triada-Familie genau das tut. Eine solche Infektion kehrt nach dem Zurücksetzen zurück, weil das Zurücksetzen sie nie berührt hat. Zeigt ein Telefon unmittelbar nach einem sauberen Reset ohne installierte Apps dieselben Symptome, hilft nur ein Firmware-Update des Herstellers oder, realistisch betrachtet, ein anderes Telefon.

So verhindern Sie eine Rückkehr

FAQ

Braucht Android eine Antivirus-App? Nicht unbedingt. Google Play Protect ist integriert und scannt Apps automatisch. Ein seriöser On-Demand-Scanner aus dem Play Store ist eine nützliche zweite Meinung, wenn Sie Apps seitlich laden oder bereits eine Infektion vermuten. Die ausführlichere Antwort finden Sie unter Brauche ich ein Antivirenprogramm?.

Löscht der abgesicherte Modus etwas? Nein. Der abgesicherte Modus hindert Drittanbieter-Apps nur für diese Sitzung am Laufen. Ihre Apps und Daten bleiben unberührt, und ein normaler Neustart bringt alles zurück, einschließlich der Malware, falls Sie sie nicht deinstalliert haben.

Woher weiß ich, welche App die Pop-ups verursacht? Prüfen Sie, was kurz vor Beginn der Probleme installiert wurde, welche Apps die Listen für Akku- und Datenverbrauch anführen und welche Apps Bedienungshilfen- oder „Über anderen Apps einblenden”-Rechte halten. Eine App, die auf zwei dieser Listen auftaucht und an deren Installation Sie sich nicht erinnern, ist Ihr Verursacher.

Entfernt ein Zurücksetzen auf Werkseinstellungen die gesamte Malware? Ein Zurücksetzen auf Werkseinstellungen entfernt jede App und alle Daten, die Sie installiert haben, was die große Mehrheit der Android-Malware beseitigt. Die Ausnahmen sind Malware, die in der Firmware mancher Billiggeräte vorinstalliert ist, und Malware, die Sie selbst zurückbringen, indem Sie eine vollständige App-Sicherung wiederherstellen. Installieren Sie Apps einzeln aus dem Play Store.

Kann ich mir Malware allein durch den Besuch einer Website einfangen? Eine Website kann auf einem aktuellen Android-Telefon keine App still installieren, aber sie kann gefälschte „Ihr Telefon ist infiziert”-Pop-ups zeigen, als Systemwarnungen getarnte Push-Benachrichtigungen schicken oder Sie zum Download eines APK verleiten. Installieren Sie nichts, wozu eine Webseite Sie drängt, und blockieren Sie die Benachrichtigungen der Seite in Ihrem Browser.

Warum ist die Schaltfläche „Deinstallieren” ausgegraut? Die App hat Geräteadministrator-Rechte erhalten. Entziehen Sie sie unter Einstellungen → Geräteadministrator-Apps und deinstallieren Sie dann normal. Wehrt sich der Schalter selbst, erledigen Sie es im abgesicherten Modus.

Weiterführende Lektüre: Rokarolla · Ist mein Handy gehackt? Diese Anzeichen zählen wirklich, und diese nicht · Virus vom iPhone entfernen