Banking-Trojaner 2026: Wie Anatsa, Crocodilus und Hook Konten leerräumen – und wie du dich schützt

Die neue Generation der Banking-Malware klaut keine Passwörter mehr. Sie übernimmt dein Smartphone und überweist selbst – mit deiner App, deinem Gerät, deiner TAN. Der Bildschirm bleibt dabei schwarz, weil du gerade „abgestürzt" bist. Hier steht, wie diese Schädlinge arbeiten, woran du einen Befall erkennst und was in den ersten dreißig Minuten zu tun ist.

Warum diese Angriffe funktionieren: die Bedienungshilfen

Die Accessibility-Dienste in Android sind ein Segen – für Menschen mit Seh- oder Motorikeinschränkung. Sie erlauben einer App, Bildschirminhalte vorzulesen, Eingaben zu erfassen, Schaltflächen zu bedienen und Gesten auszuführen. Genau diese Fähigkeiten sind aber auch alles, was ein Angreifer braucht:

• Mitlesen: alles, was auf dem Bildschirm steht – auch in der Banking-App.
• Mittippen: Passwörter, IBAN, TAN, PIN – während du sie eingibst.
• Selbst bedienen: Apps öffnen, Felder ausfüllen, Buttons klicken.
• Überlagern: ein gefälschtes Eingabefenster exakt über das echte legen (Overlay).
• Verstecken: Warn-SMS der Bank abfangen, bevor du sie siehst.

Der Kern des Problems: Nichts davon ist ein Hack im klassischen Sinn. Es ist eine Berechtigung, die der Nutzer selbst erteilt – nach einer Aufforderung, die aussieht wie ein harmloser Einrichtungsschritt.

Die drei aktuell gefährlichsten Familien

Anatsa (TeaBot) – der aus dem Play Store

Das Perfide an Anatsa ist der Vertriebsweg: Die Schadsoftware schafft es immer wieder in den offiziellen Google Play Store. Die App, die du installierst, ist zunächst harmlos – ein Dokumenten-Reader, ein Scanner. Der Schadcode wird erst später nachgeladen, oft getarnt als Update. Anatsa zielt auf hunderte Banking-Apps weltweit, legt gefälschte Login-Masken über die echten und liest TANs und SMS mit. Auch Bezahldienste stehen auf der Liste.

Crocodilus – der Fernsteuerer mit dem schwarzen Bildschirm

Crocodilus ist die technisch fortgeschrittenste Variante. Er begnügt sich nicht mit dem Abgreifen von Daten, sondern übernimmt das Gerät komplett. Der typische Ablauf ist unangenehm elegant: Dein Bildschirm wird schwarz, es sieht aus wie ein Absturz oder ein normaler Standby – während im Hintergrund der Angreifer in Echtzeit dein Handy bedient und die Überweisung selbst durchführt. Krypto-Wallet-Apps gehören ausdrücklich zu seinen Zielen.

Hook – der Alleskönner

Hook vereint praktisch alles: gefälschte Oberflächen, Abfangen von SMS und TANs, Aushebeln der Zwei-Faktor-Abfragen, Auslesen von Kontakten und Dateien, Fernsteuerung des Geräts. Er imitiert unter anderem Bezahl-Oberflächen, um an Kreditkartendaten zu kommen. Sein Ziel ist die vollständige Kontoübernahme – nicht der einzelne Datensatz.

Woran du einen Befall erkennst

Die Symptome sind unspezifisch – und genau das ist die Absicht. Trotzdem gibt es Muster, die zusammen ein deutliches Bild ergeben:

Anzeige

Eine Erkennungs-Engine stoppt den Dropper, bevor er installiert ist – das ist der Moment, in dem Schutzsoftware das Rennen gewinnt. Bei Lizenzexpress (deutscher Shop, Sofort-Download) im Bereich Antivirus.

Die ersten 30 Minuten nach dem Verdacht

Wenn der Verdacht besteht, zählt Reihenfolge – nicht Panik. Und ganz wichtig: Bediene das verdächtige Gerät so wenig wie möglich, und melde dich auf keinen Fall darauf in der Banking-App an.

1. Flugmodus einschalten. Das kappt die Verbindung des Angreifers zum Gerät sofort.
2. Konto sperren lassen – vom anderen Gerät oder Telefon. Der Sperr-Notruf 116 116 ist rund um die Uhr erreichbar und sperrt Karten und Online-Banking-Zugang.
3. Bank informieren und Überweisungen prüfen lassen. Unautorisierte Zahlungen müssen nach den §§ 675u ff. BGB grundsätzlich erstattet werden – entscheidend ist, dass du unverzüglich reagierst.
4. Passwörter ändern – von einem sauberen Gerät aus, nicht vom befallenen.
5. Verdächtige App entfernen (notfalls im abgesicherten Modus, weil sie sich sonst nicht löschen lässt). Bei ernstem Verdacht ist der Werksreset die einzige verlässliche Reinigung.
6. Anzeige erstatten. Das ist die Grundlage für die Erstattung und für Ermittlungen.

Anzeige

Bei einer Hardware-Wallet wird jede Transaktion auf dem Gerät selbst bestätigt – ein fernsteuernder Trojaner kann sie nicht auslösen.

Warum der Werksreset so weh tut – und wie du ihm den Schrecken nimmst

Der Werksreset ist die einzige verlässliche Reinigung eines befallenen Geräts. Er ist aber auch der Moment, in dem viele zögern – weil Fotos, Dokumente und Zugänge daran hängen. Genau deshalb entscheidet sich schon vorher, wie teuer ein Befall wird: Wer eine aktuelle Sicherung hat, setzt das Gerät ohne Zögern zurück. Wer keine hat, zögert – und lässt den Angreifer währenddessen weiterarbeiten.

Anzeige

Im Sortiment von Lizenzexpress findest du unter Backup & Recovery die gängigen Lösungen – die Voraussetzung dafür, dass ein Werksreset für dich keine Katastrophe ist.

Die Schutzregeln, die tatsächlich wirken

1. Bedienungshilfen sind tabu. Wenn eine App danach fragt und kein Barrierefreiheits-Werkzeug ist: abbrechen, deinstallieren, fertig. Diese eine Regel verhindert die überwiegende Mehrheit aller Angriffe.
2. Keine Apps aus Links. Kein Download aus SMS, WhatsApp, Telegram oder E-Mail – auch nicht, wenn der Absender bekannt wirkt.
3. Play Store ist kein Gütesiegel. Prüfe den Entwickler, das Alter der App, die Zahl echter Bewertungen. Nachgeladener Schadcode ist genau deshalb so wirksam, weil die App bei der Prüfung sauber war.
4. Berechtigungen regelmäßig aufräumen. In den Einstellungen nachsehen, welche Apps Bedienungshilfen, SMS-Zugriff oder Geräteadministrator-Rechte haben – und alles entziehen, was dort nichts zu suchen hat.
5. Updates installieren. Android-Sicherheitspatches schließen genau die Lücken, über die Rechte erschlichen werden.
6. Banking und Krypto trennen. Schlüssel gehören auf ein separates Gerät oder eine Hardware-Wallet, nicht neben zwanzig Apps unbekannter Herkunft.

Der Weg zur infizierten App führt fast immer über Werbung und Weiterleitungen

Kaum jemand sucht gezielt nach einem Trojaner. Man landet dort: über eine aggressive Werbeeinblendung, eine Weiterleitungskette, eine gefälschte Update-Meldung auf einer dubiosen Seite, einen Link in einer SMS. Ein Werbe- und Tracker-Blocker auf DNS-Ebene kappt genau diese Kette – er verhindert nicht den Trojaner, aber er verhindert, dass du überhaupt auf der Seite landest, die ihn dir anbietet. Das ist Prävention an der richtigen Stelle: eine Etage früher, bevor du klickst.

Anzeige

Blockiert Werbe-, Tracking- und Schadseiten geräteweit über AdGuard DNS. Wichtig zur Einordnung: Gegen einen bereits installierten Trojaner hilft auch das nicht – es schützt die Wege dorthin.

Die einzige Zwei-Faktor-Methode, die diese Trojaner nicht knacken

Wenn SMS-TAN mitgelesen und die Authenticator-App auf demselben befallenen Gerät bedient werden kann, bleibt nur eine Konsequenz: Der zweite Faktor muss das Gerät verlassen. Ein physischer Sicherheitsschlüssel nach FIDO2 tut genau das – er bestätigt die Anmeldung durch eine Berührung an einem Stück Hardware, das der Angreifer nicht fernsteuern kann. Welcher Schlüssel zu welchem Nutzer passt und worauf du beim Kauf achten musst, steht in Sicherheitsschlüssel kaufen: welcher YubiKey (FIDO2) passt zu dir. Für Konten, an denen wirklich Geld hängt, ist das der stärkste Schutz, den ein Privatanwender überhaupt bekommen kann. Und er kostet einmalig weniger als ein Jahr Virenschutz.

Wenn die Zugangsdaten schon weg sind

Banking-Trojaner sind nur eine Familie. Die andere heißt Infostealer: Sie greifen keine Überweisungen ab, sondern räumen still den Passwortspeicher deines Browsers leer – Zugänge, Cookies, Sitzungen. Wie weitreichend das ist und warum ein einziger befallener Rechner Jahre alte Passwörter offenlegt, zeigt Infostealer: die Schadsoftware, die sogar FBI-Gesuchte entlarvte. Wer dort betroffen ist, muss anschließend systematisch neue Passwörter setzen – der schnellste Weg dahin ist unser Passwort-Generator. Und wer beides ordnen will, findet die Grundausstattung in Cybersecurity für zuhause: was wirklich schützt.

Warum iPhones nicht automatisch sicher sind

Die genannten Trojaner sind Android-Schädlinge – Apples restriktivere Rechtevergabe macht diese Art der Übernahme deutlich schwerer. Sicher heißt das nicht: Auf dem iPhone laufen die Angriffe stattdessen über Phishing, gefälschte Profile, manipulierte Konfigurationen und Social Engineering. Das Ergebnis ist dasselbe – nur der Weg ist ein anderer.

Anzeige

Das vollständige Sicherheitssystem für Selbstverwahrung, Backups, Reisesicherheit und Nachlass – für alle, die mehr als nur eine App absichern wollen.

Häufige Fragen

Woran erkenne ich einen Banking-Trojaner am schnellsten?

An der Frage nach den Bedienungshilfen. Eine App, die diese Rechte verlangt, ohne ein Barrierefreiheits-Werkzeug zu sein, ist das deutlichste Warnsignal überhaupt.

Sind Apps aus dem Play Store sicher?

Nicht automatisch. Mehrere Trojaner-Familien haben es wiederholt in den offiziellen Store geschafft, weil der Schadcode erst nach der Installation nachgeladen wird.

Bekomme ich mein Geld zurück, wenn Geld abgebucht wurde?

Bei nicht autorisierten Zahlungen ist die Bank grundsätzlich zur Erstattung verpflichtet. Entscheidend ist, dass du unverzüglich meldest und keine grobe Fahrlässigkeit vorliegt. Anzeige erstatten und alles dokumentieren.

Hilft ein VPN gegen Banking-Trojaner?

Nein. Ein VPN schützt die Übertragung, nicht das Gerät. Läuft der Trojaner auf dem Smartphone, liest er die Eingaben, bevor überhaupt etwas verschlüsselt wird.

Ist mein Krypto-Guthaben in Gefahr?

Wenn die Schlüssel in einer App auf dem befallenen Handy liegen: ja – und anders als bei der Bank gibt es keine Rückbuchung. Deshalb gehören Schlüssel auf eine Hardware-Wallet, bei der jede Transaktion am Gerät selbst bestätigt werden muss.

Wo ein Virenscanner tatsächlich hilft – und wo nicht

Oben steht, dass ein Scanner die Übernahme nicht mehr stoppt, wenn der Trojaner erst einmal Accessibility-Rechte hat. Das bleibt richtig. Es beschreibt aber nur die letzte Phase. Davor gibt es zwei Momente, in denen eine gute Sicherheitslösung sehr wohl den Unterschied macht:

• Vor der Installation. Die meisten dieser Apps sind sogenannte Dropper: äußerlich harmlos, der Schadcode wird nachgeladen. Erkennungs-Engines kennen die verbreiteten Dropper-Familien und schlagen an, bevor du sie startest. Genau hier – und nur hier – gewinnt der Scanner das Rennen.
• Beim Nachladen. Aktuelle Suiten überwachen, wenn eine App plötzlich Code aus dem Netz zieht oder eine gefälschte Oberfläche über deine Banking-App legt. Das ist der zweite Punkt, an dem eine Warnung noch etwas nützt.

Und für den PC gilt es ohnehin: Wer sein Online-Banking am Rechner erledigt, hat es dort mit Keyloggern, manipulierten Browser-Erweiterungen und klassischen Trojanern zu tun – gegen die ein Virenschutz das zentrale Werkzeug ist, nicht die Rückfalllinie.

Reicht der Windows Defender?

Für den durchschnittlichen Heimgebrauch ist der eingebaute Schutz von Windows heute solide – das muss man ehrlich sagen, statt es zu verschweigen. Kaufsoftware lohnt sich, wenn du mehr willst als reine Malware-Erkennung: Schutz vor Phishing-Seiten im Browser, Absicherung des Online-Bankings in einer abgeschotteten Umgebung, Schutz mehrerer Geräte inklusive Android, Ransomware-Schutz für deine Dateien.

Ein Wort zur Herkunft, weil danach oft gefragt wird: Nach der Warnung des BSI vor Kaspersky im Jahr 2022 haben viele Nutzer auf europäische Anbieter umgestellt. G DATA ist der bekannteste deutsche Hersteller in diesem Feld – Sitz in Bochum, deutscher Support, deutsche Datenverarbeitung. Wer Wert darauf legt, findet dort die naheliegende Wahl; technisch spielen auch Bitdefender und ESET regelmäßig vorn mit.

Für die hier beschriebene Bedrohung ist allerdings nur eines der Pakete wirklich einschlägig: G DATA Mobile Security für Android. Anatsa, Crocodilus und Hook sind Android-Schädlinge – auf dem Desktop-Virenscanner richten sie keinen Schaden an. Die Android-App prüft installierte Anwendungen und Downloads auf bekannte Schadfamilien, warnt vor gefährlichen Berechtigungen und blockiert Phishing-Seiten im Browser. Genau an diesen drei Punkten wird der Angriff aufgehalten, solange er noch aufzuhalten ist. Der eingebaute Diebstahlschutz ist ein Nebeneffekt, aber ein nützlicher – ein verlorenes Handy ist der zweitschnellste Weg zum leeren Konto.

Am Rechner ist der Schwerpunkt ein anderer: Dort geht es um Keylogger, manipulierte Browser-Erweiterungen und Ransomware. Was G DATA Internet Security dafür mitbringt – Firewall, abgesicherter Banking-Modus, Schutz über alle Geräte hinweg –, haben wir separat aufgeschlüsselt, ebenso die Frage, welches Paket überhaupt zu welchem Nutzer passt: G DATA Antivirus 2026 im Überblick. Wer zusätzlich Backup und Passwortmanager unter einem Dach will, findet die Einordnung inklusive der Grenzen in G DATA Total Security. Die Grenzen stehen dort bewusst mit drin – ein Komplettpaket ist kein Freibrief.

Anzeige

Bei Lizenzexpress (deutscher Shop, Sofort-Download per E-Mail) findest du die gängigen Marken im Bereich Antivirus – viele davon ohne Abo-Bindung.

Weiterlesen

Wer sein Smartphone gegen genau diese Übernahmen härten will, findet den größeren Zusammenhang in unserem Beitrag Erst gestohlen, dann gehackt. Er zeigt, was passiert, wenn Angreifer Zugriff auf das Gerät bekommen – und warum der eigentliche Schaden meist erst in der zweiten Phase entsteht, wenn Konten, Passwortspeicher und Wallet-Apps offenliegen. Die Schutzmaßnahmen dort greifen auch gegen Trojaner.

Für alle mit Kryptowährungen ist die Konsequenz aus Crocodilus und Hook eindeutig: Die Schlüssel dürfen nicht auf dem Telefon liegen. Worauf es bei der Wahl der Wallet-Software wirklich ankommt und warum überprüfbarer Code mehr wert ist als ein Werbeversprechen, erklären wir in Open Source oder Closed Source: Worauf Vertrauen wirklich beruht. Das ist die Grundlage jeder Entscheidung über die eigene Verwahrung.

Und wenn das Gerät weg oder kompromittiert ist, entscheidet die Vorbereitung über den Schaden. Wie du im Ernstfall wieder an deine Bestände kommst und welche Fehler die Wiederherstellung scheitern lassen, steht in Hardware-Wallet verloren oder defekt. Wer diesen Ablauf einmal getestet hat, gerät im Ernstfall nicht in Panik – und das ist der Unterschied zwischen Ärger und Totalverlust.

Der Einstieg in fast jeden dieser Angriffe ist eine Nachricht, die echt aussieht – eine SMS der Bank, eine Paketbenachrichtigung, eine angebliche Sicherheitswarnung. Woran du diese Nachrichten erkennst, bevor du klickst, steht in Phishing erkennen und abwehren. Der Beitrag zeigt die Muster, die sich trotz perfekter Optik nicht verstecken lassen: Zeitdruck, ein Link statt der App, eine ungewöhnliche Absenderadresse. Wer diese drei Reflexe hat, installiert die App gar nicht erst, um die es hier geht.

Eine besonders perfide Variante trifft Krypto-Anleger: Angebliche Berater bringen ihr Opfer dazu, eine Fernwartungs-App zu installieren – und sitzen dann live im Online-Banking. Wie dieser Ablauf funktioniert und an welcher Stelle du ihn stoppen kannst, steht in Fernzugriff-Betrug bei Krypto. Das Prinzip ist dasselbe wie bei Crocodilus, nur ohne Schadsoftware: Der Angreifer braucht keine Lücke, wenn du ihm die Tür aufhältst.

Dass Malware gezielt Wallets angreift, ist kein Einzelfall mehr. Microsoft warnte zuletzt vor einem Schädling, der Wallet-Adressen in der Zwischenablage austauscht – du kopierst die richtige Adresse und überweist an eine fremde. Der Fall steht in USB-Malware stiehlt Krypto-Wallets. Die Konsequenz ist immer dieselbe: Wer nennenswerte Beträge hält, gehört auf eine Hardware-Wallet, bei der die Zieladresse auf dem Gerät selbst bestätigt wird. Welche zu dir passt, klärt der Hardware-Wallet-Vergleich 2026.

Wer Virenschutz, VPN und Systemsoftware lieber gebündelt beziehen will, findet die Übersicht in 2GO Software: Sicherheit, VPN, Office und Betriebssysteme aus einer Hand. Weitere aktuelle Maschen, Warnungen und Einordnungen sammeln wir laufend in der Rubrik Digitale Sicherheit.

Über den Autor: Michael Radtke schreibt auf alarm.de über Finanzen, Kredit und digitale Sicherheit. Der Anspruch: keine Versprechen, die niemand halten kann – sondern die Wege benennen, die es wirklich gibt, und die Fallen, die dabei lauern.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Sicherheits- oder Rechtsberatung. Die Bedrohungslage ändert sich laufend; Namen und Funktionen der Schadsoftware entwickeln sich weiter. Eine vollständige Sicherheit kann niemand garantieren – Ziel ist die deutliche Reduktion vermeidbarer Risiken. Einzelne Links auf dieser Seite sind Werbelinks – klickst du darauf und schließt ab, erhalten wir eine Provision. Für dich ändert sich am Preis nichts.