Infostealer: Wie Zugangsdaten abfließen und wie Sie den Diebstahl nachweisen

Ein Mitarbeiter lädt zu Hause ein vermeintlich kostenloses Programm herunter. Kurz darauf landen seine gespeicherten Passwörter und Browser-Sitzungen bei Kriminellen – darunter der Zugang zum Firmen-Postfach. So arbeiten Infostealer. Dieser Beitrag zeigt, welche Daten abfließen, wie daraus ein Firmeneinbruch entsteht und wie Sie den Diebstahl nachweisen.

Was ist ein Infostealer?

Ein Infostealer ist Schadsoftware, die gezielt Zugangsdaten und andere wertvolle Informationen von einem Gerät stiehlt. Dazu gehören gespeicherte Passwörter, Browser-Cookies, Krypto-Wallets und Systemdaten. Die Software bündelt alles in einem Paket, dem sogenannten Stealer-Log, und schickt es an die Angreifer. Dabei läuft sie meist unauffällig im Hintergrund.

Viele Infostealer funktionieren als Malware-as-a-Service. Entwickler vermieten die Software im Abo an andere Kriminelle und liefern Updates gleich mit. Der Einstieg kostet wenig Geld und kaum technisches Wissen.

Für Unternehmen ist der Infostealer selten das eigentliche Ziel. Er ist der Türöffner. Laut Verizon DBIR 2025 tauchten die Domains von 54 Prozent untersuchter Ransomware-Opfer in Infostealer-Logs auf. Gemeint sind Logs und Marktplatzangebote mit gestohlenen Zugangsdaten.

Welche Daten stehlen Infostealer?

Infostealer greifen alles ab, was sich zu Geld machen lässt. Im Fokus stehen Daten, die Türen öffnen:

• Gespeicherte Passwörter: Wer Passwörter im Browser speichert, liefert sie dem Infostealer gesammelt aus. Die Software liest die Passwort-Datenbanken von Chrome, Edge, Firefox und anderen Browsern aus.
• Browser-Cookies und Session-Token: Ein Session-Cookie belegt, dass sich ein Nutzer bereits angemeldet hat. Mit diesem Cookie übernehmen Angreifer die Sitzung – ohne Passwort und ohne zweiten Faktor.
• Krypto-Wallets und Zahlungsdaten: Wallet-Dateien und gespeicherte Kreditkarten sind ein direkter Gewinn.
• Dokumente und Screenshots: Manche Varianten kopieren Dateien mit bestimmten Endungen und fotografieren den Bildschirm.
• Systeminformationen: Betriebssystem, IP-Adresse und installierte Software helfen Käufern bei der Auswahl lohnender Ziele.

Einige Infostealer zeichnen zusätzlich Tastatureingaben auf, ähnlich wie ein klassischer Keylogger. Der eigentliche Wert liegt heute aber in den Cookies. Microsoft beschreibt den Diebstahl solcher Token als wachsende Taktik, um die Multi-Faktor-Authentifizierung zu umgehen.

Ein typisches Stealer-Log ist ein Archiv mit Textdateien und Ordnern. Es enthält Listen aus Webadresse, Benutzername und Passwort, dazu Cookie-Dateien je Browser. Hinzu kommen oft ein Screenshot und ein Steckbrief des Geräts. Käufer durchsuchen diese Archive automatisiert nach lohnenden Zugängen, etwa nach VPN-Portalen oder Microsoft-365-Anmeldungen.

Für die IT-Forensik bedeutet das: Ein geändertes Passwort allein reicht nicht. Solange die gestohlene Sitzung gültig bleibt, bleibt auch der Angreifer drin.

Wie gelangen Infostealer auf den Rechner?

Infostealer brauchen meist die Mithilfe des Opfers. Die häufigsten Wege:

1. Gefälschte Software und Cracks: Kostenlose Versionen bezahlter Programme, Spiele-Cheats oder angebliche Updates enthalten oft den Infostealer.
2. Malvertising: Angreifer schalten Suchmaschinen-Anzeigen, die auf gefälschte Download-Seiten bekannter Tools führen.
3. Phishing: E-Mails mit Anhängen oder Links laden den Infostealer nach.
4. Gefälschte Captchas („ClickFix“): Eine Webseite fordert zur „Bestätigung“ auf, einen Befehl zu kopieren und auszuführen. Dieser Befehl startet die Schadsoftware direkt im Arbeitsspeicher.
5. Missbrauch legitimer Plattformen: Angreifer legen Schadcode in Code-Repositorys oder Video-Beschreibungen ab.

Warum schlägt der Virenscanner nicht an? Infostealer ändern ständig ihr Erscheinungsbild. Viele laden den eigentlichen Schadcode erst nach dem Start nach oder führen ihn nur im Arbeitsspeicher aus. Bis eine Signatur vorliegt, ist der Diebstahl oft schon passiert. Verhaltensbasierte Erkennung hat hier bessere Chancen als reine Signaturen.

Lumma, RedLine, Vidar: die bekanntesten Infostealer

Der Markt für Infostealer ist groß und wechselt schnell. Einige Familien prägten die vergangenen Jahre besonders:

• Lumma Stealer (LummaC2): Europol bezeichnete Lumma 2025 als weltweit größten Infostealer. Zwischen März und Mai 2025 zählte Microsoft über 394.000 infizierte Windows-Rechner. Am 21. Mai 2025 beschlagnahmten Microsoft, das US-Justizministerium und Europol rund 2.300 Domains der Infrastruktur.
• RedLine und META: Im Oktober 2024 zerschlug die internationale Operation Magnus die Infrastruktur beider Infostealer. Beteiligt waren unter anderem niederländische Behörden, das FBI und Eurojust.
• Raccoon Stealer: Das FBI legte die Infrastruktur 2022 lahm. Die US-Behörden richteten anschließend die Seite Raccoon.IC3.gov ein, auf der Betroffene ihre E-Mail-Adresse prüfen konnten.
• Vidar: Seit 2018 aktiv und aus dem Code des Arkei-Stealers entstanden. Im Oktober 2025 kündigten die Entwickler Version 2.0 an.

Takedowns treffen die Infrastruktur, nicht das Geschäftsmodell. Neuauflagen wie Vidar 2.0 zeigen, dass das Geschäft weiterläuft. Für die Abwehr zählt deshalb weniger der Name der Familie als das Muster dahinter.

Vom Infostealer zum Firmeneinbruch

Ein einzelnes Stealer-Log wirkt harmlos. In der Praxis ist es oft der erste Schritt eines größeren Angriffs:

1. Infektion: Ein Gerät mit Firmenzugängen erhält den Infostealer.
2. Verkauf: Die Logs landen auf Darknet-Märkten oder in geschlossenen Kanälen. Käufer filtern gezielt nach Firmen-Domains.
3. Zugriff: Mit gestohlenen Cookies übernehmen Angreifer laufende Sitzungen (Session Hijacking). Mit Passwörtern probieren sie automatisiert weitere Dienste aus (Credential Stuffing).
4. Ausbreitung: Über VPN, Cloud-Dienste oder E-Mail-Konten erkunden sie das Unternehmen.
5. Schaden: Am Ende stehen Datenklau im großen Stil, Betrug mit gefälschten Rechnungen oder ein Ransomware-Angriff.

Ein Beispiel zeigt die Kette. Eine Assistentin der Buchhaltung installiert privat ein gefälschtes PDF-Programm. Ihr Browser speichert auch die Sitzung zum Firmen-Postfach. Zwei Wochen später meldet sich ein Unbekannter mit diesem Cookie an. Er liest Rechnungsverkehr mit und verschickt eine gefälschte Bankverbindung an Kunden.

Zwischen Infektion und Angriff können Wochen liegen. Gerade deshalb lohnt sich ein Darknet-Monitoring. Es zeigt, ob Zugangsdaten Ihres Unternehmens bereits im Umlauf sind – bevor jemand sie nutzt. Ergänzend begrenzen Regeln für Conditional Access die Nutzung gestohlener Sitzungen von fremden Geräten.

Wie weisen IT-Forensiker eine Infostealer-Infektion nach?

Ein Virenscanner meldet: Bedrohung entfernt. Für das Unternehmen beginnt die eigentliche Frage erst jetzt. Welche Daten sind abgeflossen, und wer könnte sie bereits nutzen?

Eine IT-forensische Analyse beantwortet diese Frage in mehreren Schritten:

• Sicherung des Geräts: Wir sichern Datenträger und, wenn möglich, den Arbeitsspeicher. Viele Infostealer hinterlassen dort mehr Spuren als auf der Festplatte.
• Spuren auf dem Endgerät: Ausführungsprotokolle, Autostart-Einträge, geplante Aufgaben und Download-Verläufe zeigen, wann und wie die Malware startete.
• Browser-Profile: Die Analyse klärt, welche Passwörter und Cookies zum Zeitpunkt der Infektion gespeichert waren. Daraus entsteht eine Liste gefährdeter Konten.
• Netzwerkverbindungen: Firewall- und Proxy-Logs zeigen, wohin Daten flossen und wie viel.
• Malware-Analyse: Eine Untersuchung der Probe bestimmt die Familie und ihre Fähigkeiten. Das zeigt, welche Datenarten überhaupt betroffen sein können.

Das Ergebnis ist ein belastbarer Befund: welches Gerät, welcher Zeitpunkt, welche Konten. Er bildet die Grundlage für Gegenmaßnahmen, für Meldungen an Behörden und für Gespräche mit dem Versicherer.

Wie lange dauert das? Den Aufwand bestimmen vor allem die Zahl der Geräte und die Qualität der vorhandenen Protokolle. Je früher die Sicherung beginnt, desto mehr Spuren sind noch vorhanden.

Zugangsdaten gestohlen: Was Unternehmen jetzt tun

Ob Fund im Virenscanner, Hinweis aus dem Darknet oder ein gehackter Account: Diese Schritte haben sich bewährt.

1. Gerät isolieren: Trennen Sie das betroffene Gerät vom Netz, lassen Sie es aber eingeschaltet.
2. Sitzungen widerrufen: Beenden Sie alle aktiven Sitzungen der betroffenen Konten zentral, etwa in Microsoft Entra ID. Ein neues Passwort allein entwertet gestohlene Cookies nicht.
3. Passwörter ändern: Ändern Sie alle Passwörter, die im Browser des Geräts gespeichert waren – von einem sauberen Gerät aus.
4. Konten priorisieren: Administratorkonten, VPN, E-Mail und Cloud-Dienste zuerst.
5. Anmeldungen prüfen: Suchen Sie in den Protokollen nach Anmeldungen von unbekannten Orten oder Geräten seit dem Infektionszeitpunkt.
6. Darknet prüfen: Ein Darknet-Scan zeigt, ob jemand Firmen-Zugangsdaten bereits anbietet. Für einzelne E-Mail-Adressen helfen der Identity Leak Checker des Hasso-Plattner-Instituts oder „Have I Been Pwned“. Damit lässt sich ein Datenleck prüfen, bevor Sie tiefer einsteigen.
7. Meldepflichten prüfen: Sind personenbezogene Daten betroffen, gilt die 72-Stunden-Frist der DSGVO. Mehr dazu in unserem Leitfaden zum Datenleck.

Bei Hinweisen auf einen Zugriff ins Firmennetz holen Sie frühzeitig ein Team für Incident Response dazu. Unser IT-Forensik-Team ist rund um die Uhr erreichbar.

Wie schützen Sie Ihr Unternehmen vor Infostealern?

Kein einzelnes Werkzeug stoppt jeden Infostealer. Diese Maßnahmen senken das Risiko und begrenzen den Schaden:

1. Keine Firmenpasswörter im Browser: Ein zentral verwalteter Passwort-Manager schützt Zugangsdaten besser als der Browser-Speicher.
2. Phishing-resistente Anmeldung: FIDO2-Schlüssel oder Passkeys binden die Anmeldung an ein Gerät.
3. Kurze Sitzungsdauer: Begrenzen Sie die Gültigkeit von Sitzungen und verlangen Sie bei Risiko eine erneute Anmeldung.
4. Software nur aus freigegebenen Quellen: Ein Verbot lokaler Administratorrechte verhindert viele Installationen.
5. Erkennung auf Endgeräten: Eine EDR-Lösung meldet verdächtige Prozesse und Datenabflüsse.
6. Regeln für private Geräte: Firmen-Dienste nur von verwalteten Geräten aus nutzen.

Überwachen Sie zudem die Anmeldungen bei Microsoft 365 und anderen Cloud-Diensten. Auffällig sind etwa Sitzungen, die plötzlich aus einem anderen Land oder von einem neuen Gerät kommen. Solche Warnungen erkennen gestohlene Cookies oft schneller als jeder Virenscanner.

Ergänzend gehört Passwortsicherheit in jede Schulung. Mitarbeitende, die ClickFix-Tricks und gefälschte Downloads kennen, fallen seltener darauf herein.

FAQs – Häufige Fragen zu Infostealern

Was ist ein Infostealer?

Ein Infostealer ist Schadsoftware, die Zugangsdaten und andere wertvolle Informationen von einem Gerät stiehlt. Dazu gehören gespeicherte Passwörter, Browser-Cookies, Krypto-Wallets und Systemdaten. Die Beute landet als Stealer-Log bei den Angreifern.

Reicht es, nach einem Infostealer-Fund das Passwort zu ändern?

Nein. Mit gestohlenen Session-Cookies übernehmen Angreifer laufende Sitzungen ohne Passwort und ohne zweiten Faktor. Widerrufen Sie deshalb zusätzlich alle aktiven Sitzungen der betroffenen Konten.

Warum erkennt der Virenscanner Infostealer oft nicht?

Infostealer ändern ständig ihr Erscheinungsbild, laden Schadcode nach oder führen ihn nur im Arbeitsspeicher aus. Bis eine Signatur vorliegt, ist der Diebstahl oft schon passiert.

Wie gelangen Infostealer auf den Rechner?

Häufige Wege sind gefälschte Software und Cracks, Malvertising, Phishing-Mails und gefälschte Captchas („ClickFix“). Besonders kritisch sind private Geräte, auf denen Mitarbeitende auch Firmen-Dienste nutzen.

Wie finde ich heraus, ob Firmen-Zugangsdaten im Umlauf sind?

Ein Darknet-Scan zeigt, ob jemand Zugangsdaten Ihres Unternehmens anbietet. Einzelne E-Mail-Adressen lassen sich über den Identity Leak Checker des Hasso-Plattner-Instituts oder „Have I Been Pwned“ prüfen.

Autorin Joanna Lang-Recht

Joanna Lang-Recht, M.Eng., M.A., arbeitet als Director IT-Forensics bei der intersoft consulting services AG. Als Vorfall-Expertin des Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie zertifizierte Cyber Security Expert (CSE) ist sie auf die Analyse und Aufklärung komplexer Cyberangriffe spezialisiert.