Einen Trojaner von Windows entfernen (Schritt für Schritt)
Ein Trojaner ist Schadsoftware, die sich als etwas Legitimes tarnt - ein geknacktes Spiel, ein gefälschtes Installationsprogramm, ein „Codec”, den Sie angeblich für ein Video brauchten. Sobald er ausgeführt wird, kann er eine Hintertür öffnen, Daten stehlen oder weitere Schadsoftware nachladen. Die gute Nachricht: Die meisten Trojaner für Endverbraucher lassen sich unter Windows mit integrierten und kostenlosen Tools entfernen, wenn Sie die Schritte der Reihe nach befolgen. So gehen Sie sorgfältig vor.
Anzeichen dafür, dass Sie einen Trojaner haben könnten
- Ihr PC ist plötzlich langsam, die Lüfter drehen im Leerlauf hoch.
- Unbekannte Programme starten beim Hochfahren, oder Ihre Firewall meldet ausgehende Verbindungen, die Sie nicht hergestellt haben.
- Sicherheitstools werden deaktiviert oder lassen sich nicht öffnen.
- Dateien tauchen auf oder verschwinden, oder Einstellungen ändern sich von selbst.
Keines dieser Anzeichen bestätigt für sich allein einen Trojaner, aber zusammen sind sie ein starker Hinweis, dass ein Scan überfällig ist.
Schritt 1 - Trennen Sie die Internetverbindung
Wenn Sie einen aktiven Trojaner vermuten, trennen Sie das WLAN oder ziehen Sie das Ethernet-Kabel. Viele Trojaner melden sich bei einem Command-and-Control-Server, um Anweisungen zu empfangen oder Daten abzuführen. Das Kappen der Verbindung begrenzt den Schaden während der Bereinigung. Verbinden Sie sich erst wieder, wenn Sie Tools oder Updates herunterladen müssen.
Schritt 2 - Starten Sie in den abgesicherten Modus mit Netzwerktreibern
Der abgesicherte Modus lädt Windows mit einem Minimum an Treibern und Diensten, was die Schadsoftware oft am Ausführen hindert und das Entfernen erleichtert.
- Öffnen Sie Einstellungen → System → Wiederherstellung und klicken Sie unter Erweiterter Start auf Jetzt neu starten.
- Gehen Sie nach dem Neustart zu Problembehandlung → Erweiterte Optionen → Starteinstellungen → Neu starten.
- Wenn die Liste erscheint, drücken Sie 5 (oder F5) für Abgesicherter Modus mit Netzwerktreibern.
Mit Netzwerkverbindung können Sie Ihre Scanner aktualisieren; wenn Sie bereits alles heruntergeladen haben, reicht der einfache abgesicherte Modus.
Schritt 3 - Führen Sie einen vollständigen Microsoft-Defender-Scan durch
Windows enthält Microsoft Defender Antivirus, das gegen gängige Trojaner durchaus etwas ausrichten kann.
- Öffnen Sie Windows-Sicherheit → Viren- & Bedrohungsschutz.
- Klicken Sie auf Scanoptionen, wählen Sie Vollständige Überprüfung und führen Sie sie aus.
- Bei hartnäckigen Infektionen nutzen Sie die Microsoft Defender Offlineüberprüfung - sie startet neu und scannt, bevor Windows vollständig geladen ist, und erwischt so Schadsoftware, die sich zur Laufzeit versteckt.
Stellen Sie alles unter Quarantäne oder entfernen Sie es, was erkannt wird.
Schritt 4 - Holen Sie eine Zweitmeinung mit Malwarebytes Free ein
Keine einzelne Engine erkennt alles, führen Sie also einen zweiten Scanner aus. Malwarebytes Free ist ein bekannter On-Demand-Reiniger, der gut darin ist, das zu erwischen, was allgemeine Virenschutzprogramme übersehen.
- Laden Sie es von der offiziellen Website herunter (malwarebytes.com).
- Führen Sie einen Scan durch, prüfen Sie die Funde und stellen Sie sie unter Quarantäne. Ob Sie diese Quarantäneliste danach leeren sollten und was das Löschen wirklich kostet, behandelt sollte ich Dateien in Quarantäne löschen?.
- Starten Sie neu, wenn Sie dazu aufgefordert werden.
Schritt 5 - Entfernen Sie verdächtige Programme und Autostart-Einträge
Prüfen Sie nach dem Scan auf Überreste:
- Apps: Gehen Sie zu Einstellungen → Apps → Installierte Apps und deinstallieren Sie alles, was Sie nicht kennen oder nicht installiert haben.
- Autostart: Öffnen Sie Task-Manager → Autostart-Apps und deaktivieren Sie unbekannte Einträge, die beim Hochfahren starten.
Löschen Sie nichts, bei dem Sie unsicher sind - suchen Sie zuerst nach dem genauen Namen, damit Sie keine legitime Windows-Komponente deaktivieren.
Schritt 5b - Prüfen Sie die Persistenzmechanismen, die Scanner oft zurücklassen
Das ist der Schritt, den die meisten Anleitungen überspringen, und er ist der Grund, warum Infektionen eine Woche später zurückkommen. Die Schaddatei zu entfernen ist nicht dasselbe, wie das zu entfernen, was sie neu startet. Ein Trojaner installiert in der Regel mindestens einen Mechanismus, dessen einzige Aufgabe darin besteht, ihn zurückzuholen.
Vier Stellen lohnen sich für eine Prüfung von Hand, in dieser Reihenfolge.
Geplante Aufgaben. Öffnen Sie die Aufgabenplanung (taskschd.msc) und gehen Sie die Aufgabenplanungsbibliothek durch. Achten Sie auf Aufgaben mit sinnlosen Namen, auf Aufgaben, die ein Programm aus einem Benutzerordner wie AppData oder Temp starten, und auf Aufgaben, die alle paar Minuten auslösen. Auch legitime Software plant Aufgaben ein, lesen Sie also die Registerkarte Aktionen, um genau zu sehen, was eine Aufgabe startet, bevor Sie sie anfassen.
Dienste. Öffnen Sie services.msc und sortieren Sie nach Namen. Ein Dienst, der auf eine ausführbare Datei außerhalb von C:\Windows oder C:\Program Files zeigt, verdient einen zweiten Blick. Notieren Sie den Namen und suchen Sie danach, bevor Sie irgendetwas deaktivieren, denn Windows selbst betreibt sehr viele Dienste mit wenig aussagekräftigen Namen.
Run-Schlüssel in der Registrierung. Prüfen Sie in regedit den Pfad HKCU\Software\Microsoft\Windows\CurrentVersion\Run und das Gegenstück unter HKLM. Diese starten bei jeder Anmeldung ein Programm. Exportieren Sie den Schlüssel, bevor Sie etwas löschen, damit Sie ihn wiederherstellen können, falls Sie den falschen Eintrag entfernen.
Browser-Erweiterungen. Ein Trojaner, der Ihre Sitzungs-Cookies abgegriffen hat, installiert oft eine Erweiterung, um den Datenverkehr weiter mitzulesen. Sehen Sie die Erweiterungsliste in jedem Browser durch, den Sie nutzen, nicht nur im Hauptbrowser.
Wenn Ihnen das alles zu weit geht, hören Sie hier auf und gehen Sie zum Abschnitt über die saubere Neuinstallation. Das Löschen des falschen Dienstes oder Registrierungsschlüssels kann Windows nicht mehr startfähig machen, was ein schlechteres Ergebnis ist als der Trojaner.
Schritt 6 - Neu starten, neu verbinden und erneut scannen
Starten Sie in den normalen Modus, verbinden Sie sich wieder mit dem Internet, installieren Sie die neuesten Windows-Updates und führen Sie einen weiteren vollständigen Scan mit Defender durch. Ein sauberes Ergebnis bei einem frischen Scan nach einem Neustart ist Ihre Bestätigung, dass der Trojaner weg ist.
Schritt 7 - Sichern Sie Ihre Konten
Trojaner stehlen häufig gespeicherte Passwörter und Sitzungs-Cookies. Sobald Ihr PC als sauber bestätigt ist:
- Ändern Sie die Passwörter für Ihre wichtigen Konten (zuerst die E-Mail - sie ist die Wiederherstellungszentrale für alles andere) von einem Gerät aus, dem Sie vertrauen.
- Aktivieren Sie überall, wo es angeboten wird, die Zwei-Faktor-Authentifizierung.
- Prüfen Sie Ihre E-Mail auf Regeln oder Weiterleitungen, die der Angreifer hinzugefügt haben könnte.
Ein Passwort-Manager macht das Erneuern Dutzender Zugangsdaten weit weniger mühsam, und einen zu verwenden bedeutet, dass Sie nicht dasselbe Passwort über mehrere Seiten hinweg wiederverwenden.
Woran Sie erkennen, dass er wirklich weg ist
„Der Scan war sauber” ist ein schwächerer Beleg, als es klingt, denn ein Scanner findet nur, was er kennt. Drei Kontrollen lohnen sich einige Tage später.
Beobachten Sie die ausgehenden Verbindungen. Schließen Sie Ihren Browser und alles andere, was möglich ist, und führen Sie dann netstat -bn in einer Eingabeaufforderung mit erhöhten Rechten aus. Sie suchen nach einem Prozess, den Sie nicht kennen und der eine Verbindung offen hält. Ein wirklich untätiger Rechner sollte nahezu still sein.
Prüfen Sie die Persistenzpunkte erneut. Gehen Sie die geplanten Aufgaben und Run-Schlüssel aus Schritt 5b noch einmal durch. Wenn ein Eintrag, den Sie gelöscht haben, wieder aufgetaucht ist, hat etwas auf dem Rechner ihn zurückgesetzt und die Infektion ist noch aktiv.
Behalten Sie die Konten im Blick, nicht nur den PC. Anmeldewarnungen von unbekannten Orten, E-Mail-Regeln, die Sie nicht angelegt haben, oder Passwort-Zurücksetzen-Mails, die Sie nicht angefordert haben, sind allesamt Hinweise darauf, dass vor der Bereinigung entwendete Zugangsdaten weiterhin genutzt werden. Dieser Schaden lebt auf Servern, nicht auf Ihrer Festplatte, und kein lokaler Scan wird ihn zeigen.
Warum die Bereinigung manchmal scheitert
Einige wenige Fehler erklären die meisten Fälle, in denen ein Trojaner sofort zurückkommt.
Zu früh wieder verbinden. Wenn Sie wieder online gehen, bevor die Bereinigung abgeschlossen ist, kann ein aktiver Trojaner einfach eine frische Kopie von sich selbst herunterladen.
Nur im normalen Modus scannen. Manche Schadsoftware schützt ihre eigenen Dateien, solange Windows normal läuft. Genau dafür sind der abgesicherte Modus und die Defender-Offlineüberprüfung da.
Die Infektion aus einer Sicherung wiederherstellen. Wenn Ihre Sicherung nach dem Beginn der Infektion angelegt wurde, stellt sie den Trojaner mit wieder her. Stellen Sie nach Möglichkeit einzelne Dokumente statt eines kompletten Systemabbilds wieder her und scannen Sie diese.
Passwörter vom infizierten Rechner aus ändern. Wenn noch ein Keylogger läuft, haben Sie soeben auch die neuen Passwörter übergeben. Nutzen Sie ein Telefon oder einen anderen Computer.
Beim ersten sauberen Scan aufhören. Führen Sie nach einem Neustart einen zweiten vollständigen Scan durch, wenn möglich mit einer anderen Engine.
Wann eine saubere Neuinstallation in Betracht kommt
Wenn Scans immer wieder dieselbe Bedrohung finden, Sicherheitstools nicht starten oder Sie einen Trojaner auf Rootkit-Ebene vermuten, ist der sicherste Weg, Ihre persönlichen Dateien zu sichern (nicht die Programme) und Windows dann von offiziellen Medien neu zu installieren. Das ist mehr Aufwand, garantiert aber einen sauberen Neuanfang, wenn Entfernungstools die Infektion nicht vollständig vertreiben können.
Befolgen Sie die Schritte der Reihe nach - Verbindung trennen, abgesicherter Modus, zweimal scannen, bereinigen, erneut scannen, Konten sichern - und die meisten Trojaner verschwinden ohne komplette Neuinstallation.
Weiterführende Lektüre: Brontok entfernen · 292 gefälschte GitHub-Repos verbreiten einen Infostealer