Infostealer: Die Schadsoftware, die sogar FBI-Gesuchte entlarvte – und was das über deine Passwörter verrät

Es klingt wie Ironie, ist aber ein Lehrstück: Zwei Männer, die auf der Fahndungsliste des FBI stehen, weil sie jahrelang gefälschte Ausweise verkauften, wurden durch genau die Art von Schadsoftware aufgedeckt, die sonst normale Internetnutzer trifft. Auf den Rechnern ihrer Mitarbeiter saß ein Infostealer – und der spülte die komplette Infrastruktur des Betrugs nach außen. Wenn diese Malware sogar Profis erwischt, lohnt sich die Frage: Was hätte sie auf deinem Rechner gefunden?

Was ist ein Infostealer?

Ein Infostealer ist eine Schadsoftware, die einen infizierten Rechner einmal komplett „durchsaugt" und alle brauchbaren Daten an den Angreifer schickt. Anders als Erpressungs-Software, die laut auf sich aufmerksam macht, arbeitet ein Infostealer leise. Oft ist er nach wenigen Sekunden mit seiner Arbeit fertig und verschwindet wieder – das Opfer merkt nichts.

Gesammelt wird vor allem das, was im Browser liegt: gespeicherte Logins und Passwörter, aktive Sitzungen (Cookies), automatisch ausgefüllte Adressen und Kontodaten sowie der gesamte Verlauf. Diese Datenpakete werden anschließend in großen Mengen im kriminellen Untergrund gehandelt. Genau deshalb sind sie so gefährlich: Ein einziger befallener Rechner liefert einen kompletten digitalen Fingerabdruck einer Person – oder eines Unternehmens.

Der Fall: Wie sich Betrüger selbst überführten

Aufgedeckt wurde der Fall von den Sicherheitsforschern von Hudson Rock (infostealers.com). Sie pflegen eine Datenbank mit Daten aus rund 29,5 Millionen mit Infostealern infizierten Rechnern – und stießen darin auf zwei Maschinen, die zu einem Betrugsnetzwerk gehörten.

Hinter dem Netzwerk stehen laut FBI zwei Brüder aus Karachi in Pakistan, die auf der Fahndungsliste der Behörde stehen. Ihr Geschäft – über Jahre unter den Namen „SecondEye Solution" und „Forwarderz" betrieben – verkaufte seit etwa 2011 gefälschte digitale Dokumente: Pässe, Führerscheine, Kontoauszüge und Ausweise für mehr als 200 Länder. Kunden nutzten diese Fälschungen, um sich bei Zahlungsdienstleistern, Online-Shops und sozialen Netzwerken als jemand anderes auszugeben.

Die beiden befallenen Rechner gehörten nicht den Chefs selbst, sondern engen Mitarbeitern. Doch das reichte: Über die gestohlenen Zugangsdaten ließ sich die komplette technische Infrastruktur des Betrugs nachzeichnen – Zugänge zu Webmail, Server-Verwaltung und den Content-Management-Systemen der Tarnseiten. Dazu kamen Autofill-Daten mit Adressen und Ausweisnummern, der vollständige Browser-Verlauf und sogar ein Screenshot, der zum Infektionszeitpunkt entstand und laufende Chats zeigte. Allein einer der beiden Rechner enthielt mehrere Hundert gespeicherte Zugangsdaten.

Die eigentliche Pointe: Dieselbe Datensorte, mit der die Betrüger ihre Opfer ausnehmen wollten, wurde ihnen zum Verhängnis. Wer fremde Identitäten verkauft, aber die eigene nicht schützt, hinterlässt eine perfekte Beweiskette.

Was ein Infostealer von deinem Rechner mitnimmt

Das Beunruhigende an dem Fall ist nicht die kriminelle Energie, sondern wie alltäglich die gestohlenen Daten sind. Genau dieselben Dinge liegen auf fast jedem privaten und geschäftlichen Rechner:

• Browser-Passwörter. Alle Logins, die du „im Browser speichern" lässt – inklusive der zugehörigen Webadressen.
• Sitzungs-Cookies. Kleine Dateien, die dich eingeloggt halten. Wer sie hat, ist eingeloggt wie du – ganz ohne Passwort.
• Autofill-Daten. Name, Anschrift, Telefonnummer, teils Konto- und Ausweisnummern, die der Browser automatisch ausfüllt.
• Browser-Verlauf. Welche Seiten du besuchst, bei welchen Banken, Börsen und Diensten du Kunde bist.
• System-Infos. IP-Adresse, Rechnername und weitere Details, die eine Person eindeutig zuordnen lassen.

Warum schon eine einzige Infektion so gefährlich ist

Viele unterschätzen, was ein einzelner gekaperter Rechner auslöst. Die gestohlenen Logins öffnen reihenweise weitere Konten – E-Mail, Online-Banking, Krypto-Börsen, Shops. Besonders heikel sind die Sitzungs-Cookies: Mit ihnen umgeht ein Angreifer in vielen Fällen sogar die Zwei-Faktor-Anmeldung, weil er sich gar nicht erst neu anmelden muss. Er übernimmt schlicht deine bereits offene Sitzung.

Für Krypto-Besitzer ist das brandgefährlich. Ähnliche Schadsoftware wird gezielt eingesetzt, um Wallets und Zugangsdaten zu stehlen. Wer dann nicht weiß, woran man eine kompromittierte Wallet erkennt, verliert sein Vermögen oft, bevor er überhaupt etwas bemerkt. Und es bleibt nicht beim digitalen Schaden: Geleakte Adressen und Kontaktdaten können dazu führen, dass aus einem Datenleck ein reales Sicherheitsrisiko wird.

Wie man sich überhaupt infiziert

Infostealer verstecken sich fast immer dort, wo Menschen unvorsichtig klicken oder Geld sparen wollen. Die häufigsten Wege sind:

• Raubkopien und „Cracks". Kostenlose Vollversionen teurer Programme sind ein Klassiker – die Schadsoftware ist gleich mit eingepackt.
• Gefälschte Downloads und Updates. Nachgebaute Seiten bekannter Programme oder vermeintliche Update-Hinweise, die in Wahrheit Malware installieren.
• Manipulierte Werbung. Anzeigen, die auf täuschend echte Download-Seiten führen, teils ganz oben in Suchergebnissen.
• Phishing-Anhänge. E-Mails mit präparierten Dateien, die beim Öffnen den Stealer nachladen.

Der gemeinsame Nenner: Es braucht nur einen unbedachten Moment. Genau deshalb hilft kein einzelnes Wundermittel, sondern eine Handvoll solider Gewohnheiten.

So schützt du dich als Privatperson

Diese Schritte senken dein Risiko drastisch – ohne technisches Vorwissen:

1. Passwörter raus aus dem Browser. Speichere Logins nicht im Browser, sondern in einem Passwort-Manager. Was nicht im Browser liegt, kann ein Stealer dort auch nicht abgreifen.
2. Zwei-Faktor-Anmeldung einschalten. Sichere wichtige Konten mit einer App-basierten Zwei-Faktor-Anmeldung ab – sicherer als ein Code per SMS.
3. Für die wichtigsten Konten einen Hardware-Schlüssel. Ein physischer Sicherheitsschlüssel schützt E-Mail- und Finanzkonten am stärksten, weil er sich nicht aus der Ferne stehlen lässt.
4. Keine Cracks, keine dubiosen Downloads. Software nur von der echten Herstellerseite oder offiziellen Stores. Das eingesparte Geld ist das Risiko nie wert.
5. System und Virenschutz aktuell halten. Updates und ein laufender Schutz fangen einen Großteil der gängigen Stealer ab.
6. Spuren verkleinern. Je weniger persönliche Daten über dich im Netz kursieren, desto weniger lässt sich kombinieren. Daten lassen sich teils gezielt aus dem Netz entfernen.

Wer tiefer einsteigen möchte, findet die wichtigsten Grundlagen kompakt im Überblick zur persönlichen Cybersicherheit und digitalen Privatsphäre.

Für Selbstständige und kleine Unternehmen

Der Fall zeigt überdeutlich, was ein einziger infizierter Mitarbeiter-Rechner anrichtet: Genau hier flossen Zugänge zu Webmail, Server-Verwaltung und den Webseiten ab. In einem normalen Betrieb wären das die Schlüssel zu Kundendaten, Shop, Buchhaltung und Cloud.

Kleine Firmen und Mittelständler haben oft eine IT, aber niemanden nur für Sicherheit. Die wirksamsten Maßnahmen sind trotzdem machbar: ein Passwort-Manager und Zwei-Faktor-Anmeldung für alle, möglichst kleine Berechtigungen pro Person, und das konsequente Schließen alter Zugänge. Diese oft vernachlässigte Grundhygiene bei Zugangsdaten lässt sich an einem Wochenende in Ordnung bringen. Wie ein Betrieb ohne eigene Security-Abteilung KI und Tools sicher nutzt, ohne den großen Konzernen hinterherzuhinken, zeigt der Leitfaden für Selbstständige und kleine Unternehmen.

Was tun, wenn du betroffen bist?

Wenn der Verdacht besteht, dass ein Rechner infiziert war, zählt Geschwindigkeit. Wichtig ist, die nächsten Schritte von einem sauberen Gerät aus zu machen, nicht vom möglicherweise befallenen:

• Passwörter ändern – zuerst E-Mail, Banking und Krypto-Konten, danach den Rest. Am besten von einem anderen, sicheren Gerät.
• Alle Sitzungen abmelden. Viele Dienste bieten „von allen Geräten abmelden". Das macht gestohlene Cookies wertlos.
• Zwei-Faktor-Anmeldung neu aufsetzen und vorhandene Wiederherstellungscodes erneuern.
• Finanzen prüfen. Konten, Karten und Krypto-Bestände auf unbekannte Aktivitäten kontrollieren.
• Den Rechner gründlich säubern oder im Zweifel neu aufsetzen, bevor du dich wieder anmeldest.

Für Krypto-Bestände gibt es einen eigenen Notfallplan mit den richtigen Sofortmaßnahmen nach einem Hack. Und weil dieselbe Schadsoftware-Familie auch deine Zwischenablage angreift, lohnt ein Blick darauf, wie manipulierte Zwischenablagen Überweisungen umleiten.

Häufige Fragen zu Infostealern

Die wichtigsten Fragen kurz beantwortet:

Was ist ein Infostealer einfach erklärt?

Ein Infostealer ist Schadsoftware, die einen Rechner einmal komplett ausliest und gespeicherte Passwörter, Sitzungs-Cookies, Autofill-Daten und den Browser-Verlauf an Kriminelle schickt. Das geschieht leise und oft in Sekunden, ohne dass das Opfer es bemerkt.

Hilft die Zwei-Faktor-Anmeldung gegen Infostealer?

Sie hilft, ist aber kein vollständiger Schutz. Stiehlt die Malware aktive Sitzungs-Cookies, kann ein Angreifer eine bereits offene Anmeldung übernehmen, ohne den zweiten Faktor erneut zu brauchen. Deshalb zählen zusätzlich ein Passwort-Manager, ein Hardware-Schlüssel und ein sauberes System.

Woran merke ich, dass ich infiziert wurde?

Oft gar nicht direkt. Warnzeichen sind unerwartete Logins, geänderte Passwörter, Sicherheitswarnungen von Diensten oder seltsame Aktivitäten auf Konten. Wer einen Verdacht hat, sollte Passwörter von einem sauberen Gerät ändern und alle Sitzungen abmelden.

Sind nur Windows-Rechner betroffen?

Nein. Der Schwerpunkt liegt zwar auf Windows, aber es gibt auch Stealer für macOS. Entscheidend sind weniger das Betriebssystem als die Gewohnheiten: keine Raubkopien, keine dubiosen Downloads, ein Passwort-Manager und ein aktuelles System.

Warum sind im Browser gespeicherte Passwörter ein Risiko?

Weil ein Infostealer genau diesen Speicher zuerst ausliest. Liegen die Logins stattdessen in einem separaten Passwort-Manager, sind sie für die Malware deutlich schwerer erreichbar. Das ist der wirksamste einzelne Schritt für die meisten Menschen.

Was sollten kleine Unternehmen aus dem Fall lernen?

Ein einziger infizierter Mitarbeiter-Rechner kann die Zugänge zu Webmail, Servern, Shop und Cloud offenlegen. Schutz bieten ein Passwort-Manager und Zwei-Faktor-Anmeldung für alle, kleine Berechtigungen pro Person und das konsequente Schließen alter Zugänge.

Mehr verständliche Sicherheits-Beiträge entdecken Schutz für Konten, Geräte und Krypto – praxisnah und ohne Hype