Wenn ein Cyberangriff Schlagzeilen macht, liegt das meist an Ransomware, einem großen Datenleck oder einem betrügerischen Zahlungsverkehr. Was selten erwähnt wird, ist, wie der Angreifer ursprünglich hineingelangt ist. Zunehmend lautet die Antwort: Infostealer-Malware – eine leise, unscheinbare Software, die darauf ausgelegt ist, eine Sache extrem gut zu erledigen: Benutzernamen, Passwörter, Browser-Cookies und Finanzdaten von einem infizierten Gerät zu ernten, ohne dass das Opfer je etwas bemerkt.

Zu verstehen, wie Infostealer-Malware funktioniert und warum sie zum bevorzugten Einstiegspunkt für Cyberkriminelle geworden ist, ist der erste Schritt, um sich gegen die Welle von credential-gesteuerten Sicherheitsverletzungen zu schützen, die derzeit die Sicherheitsberichte dominieren.

Wie Infostealer-Malware tatsächlich Ihre Daten stiehlt

Infostealer sind nicht auffällig. Sie sperren keine Dateien und verlangen auch nicht sofort Lösegeld. Stattdessen gelangen sie über einen Download gecrackter Software, einen bösartigen E-Mail-Anhang, ein gefälschtes Browser-Update oder eine kompromittierte Werbung auf ein Gerät und verrichten dann lautlos im Hintergrund ihre Arbeit.

Einmal installiert, durchsucht die Malware den gespeicherten Passwort-Tresor des Browsers, zwischengespeicherte Login-Cookies, Autofill-Daten und sogar Kryptowährungs-Wallet-Dateien. Sie packt alles, was sie findet, in das, was Sicherheitsforscher einen „Stealer-Log“ nennen, und überträgt diesen Log an den Angreifer, der ihn oft massenhaft auf kriminellen Marktplätzen weiterverkauft. Ein einziger infizierter Rechner kann Dutzende aktiver Sitzungen preisgeben – von E-Mails und Bankkonten bis hin zu firmeneigenen VPN- und Cloud-Admin-Panels – und das ohne einen einzigen Antivirus-Alarm auszulösen, wenn die Malware gut gemacht ist.

Genau dieses Muster wurde bei der Offenlegung des SunCloudNew-Stealer-Logs beobachtet, wo fast 6.000 Datensätze mit Klartext-Passwörtern, E-Mail-Adressen und Login-URLs aus einem einzigen kompromittierten Datensatz auftauchten. Die Opfer in diesem Fall haben wahrscheinlich nie auf einen Phishing-Link geklickt, der mit einem bestimmten Konto verknüpft war; die Malware hat einfach aufgesaugt, was an Zugangsdaten in ihren Browsern herumlag.

Warum gestohlene Zugangsdaten heute die meisten Sicherheitsverletzungen und Ransomware-Fälle antreiben

Jahrelang waren Phishing-E-Mails und ungepatchte Software-Schwachstellen die bevorzugten Einstiegspunkte für Angreifer, die in Unternehmensnetzwerke eindringen wollten. Das hat sich geändert. Wie in der Berichterstattung darüber, dass Infostealer-Logs Phishing als Hauptursache für Sicherheitsverletzungen überholt haben, sehen Sicherheitsforscher, wie gültige, gestohlene Anmeldedaten genutzt werden, um einfach durch die Vordertür hereinzuspazieren, anstatt einen Einbruch zu erzwingen.

Aus der Perspektive eines Angreifers ist diese Verschiebung sinnvoll. Phishing erfordert, ein Ziel in Echtzeit zu einer Handlung zu bewegen, und die Ausnutzung einer Software-Schwachstelle setzt voraus, eine zu finden, die noch nicht gepatcht wurde. Einen Stapel bereits geernteter Zugangsdaten aus einem Stealer-Log zu kaufen, ist schneller, billiger und weckt viel weniger Verdacht, insbesondere wenn diese Zugangsdaten aktive Sitzungs-Cookies enthalten, die Login-Aufforderungen komplett umgehen können.

Diese Dynamik ist inzwischen auch in Ransomware-Operationen eingebettet. Laut Berichterstattung, die feststellte, dass vier von fünf Ransomware-Angriffen mit gestohlenen Identitäten beginnen und nicht mit der Ausnutzung einer Netzwerkschwachstelle, melden sich Angreifer zunehmend wie ein Mitarbeiter an, anstatt wie ein klischeehafter Kapuzenpulli-Täter einzubrechen. Der Vorfall bei Stewart Home & School, bei dem 3.677 Datensätze offengelegt wurden, folgte demselben Drehbuch: ein Ransomware-Vorfall, der auf dem Diebstahl von Zugangsdaten beruhte und nicht auf einer ausgeklügelten technischen Ausnutzung.

Anzeichen, dass Ihre Zugangsdaten bereits kompromittiert sein könnten

Weil Infostealer-Malware unsichtbar arbeiten soll, bemerken die meisten Menschen erst dann, dass sie infiziert sind, wenn der Schaden bereits angerichtet ist. Einige Warnsignale sind zu beachten: Unbekannte Login-Benachrichtigungen oder Passwort-Zurücksetzungs-E-Mails, die Sie nicht angefordert haben, neue Geräte oder Browser-Sitzungen, die in der aktiven Login-Historie Ihres Kontos auftauchen, unerwartete Änderungen an den Wiederherstellungsinformationen Ihres Kontos oder plötzliche Verlangsamungen und unbekannte Prozesse, die auf Ihrem Gerät laufen.

Dienste zur Überwachung von Zugangsdaten und Benachrichtigungstools für Sicherheitsverletzungen können ebenfalls melden, wenn Ihre E-Mail-Adresse oder Passwörter in einem geleakten Stealer-Log auftauchen – oft bevor Sie selbst etwas Ungewöhnliches bemerken. Angesichts der Regelmäßigkeit, mit der diese Logs auftauchen, von kleinen Vorfällen in Schulbezirken bis hin zu größeren Pannen bei Gesundheitsportalen, ist die Überprüfung, ob Ihre Daten in einem solchen Log aufgetaucht sind, eine vernünftige Gewohnheit und keine Paranoia.

Praktische Schutzmaßnahmen: Passwortmanager, 2FA und sicheres Surfverhalten

Die gute Nachricht ist, dass Infostealer-Malware bei all ihrer Heimlichkeit durch eine ziemlich grundlegende, konsequent angewandte Hygiene besiegt wird. Ein Passwortmanager eliminiert die im Browser gespeicherten Passwörter, auf die Stealer gezielt ausgelegt sind, und macht es realistisch, ein einzigartiges Passwort für jedes Konto zu verwenden, anstatt erschöpfend zu sein. Die Aktivierung von Zwei-Faktor-Authentifizierung, idealerweise über eine Authentifizierungs-App anstelle von SMS, bedeutet, dass ein gestohlenes Passwort allein keinen Zugang gewährt. Software und Browser auf dem neuesten Stand zu halten, verschließt einige der Verbreitungskanäle, auf die Malware angewiesen ist, und das Vermeiden von raubkopierter Software, inoffiziellen Browser-Erweiterungen und unerwünschten Anhängen beseitigt die häufigsten Infektionsvektoren vollständig.

Was das für Sie bedeutet

Der Diebstahl von Zugangsdaten durch Infostealer-Malware erfordert nicht, dass Sie eine Führungskraft eines großen Unternehmens oder ein hochwertiges Ziel sind. Stealer-Logs sind oft wahllos und erfassen, was auch immer an Zugangsdaten auf einem infizierten Rechner liegt, ob dieser nun einem Krankenhausverwalter, einem Schulangestellten oder einem ganz normalen Verbraucher gehört. Der Vorfall beim HUSKY Medicaid-Portal von Hartford HealthCare zeigte, wie selbst alltägliche Gesundheits-Logins einen echten Wert für Angreifer haben, sobald sie in einem gestohlenen Zugangsdatensatz landen. Die Lehre ist nicht, dass eine einzelne Person etwas falsch gemacht hat, sondern dass Zugangsdaten selbst zur Währung geworden sind, mit der Kriminelle handeln.

Die wirksamste Reaktion ist nicht, jedes Mal in Panik zu geraten, wenn ein neuer Stealer-Log auftaucht, sondern Ihre eigenen Konten für denjenigen, der einen solchen kauft, weniger nützlich zu machen. Nutzen Sie einen Passwortmanager, schalten Sie überall, wo angeboten, die Zwei-Faktor-Authentifizierung ein und behandeln Sie unbekannte Login-Benachrichtigungen als etwas, das es wert ist, überprüft zu werden, anstatt sie zu ignorieren. Infostealer-Malware lebt von Unsichtbarkeit und wiederverwendeten Passwörtern. Beides zu beseitigen, ist eine der einfachsten und wirkungsvollsten Sicherheitsentscheidungen, die jedem mit einem Online-Konto zur Verfügung steht.