Malware ist der Oberbegriff für Schadsoftware jeder Art – Viren, Würmer, Trojaner, Ransomware, Spyware –, die ohne Wissen der Nutzenden Systeme kompromittiert oder Daten stiehlt.
Malware – kurz für „malicious software“ – ist jedes Programm, das entwickelt wurde, um Systeme ohne Zustimmung der Betroffenen zu kompromittieren, zu beschädigen oder auszuspähen. Der Begriff fasst sehr unterschiedliche Werkzeuge zusammen: klassische Viren und Würmer, die sich selbst verbreiten; Trojaner, die sich als legitime Software ausgeben; Ransomware, die Daten verschlüsselt; Spyware, die Eingaben und Bildschirminhalte mitschneidet; sowie Implantate, die einem Angreifer dauerhaften Fernzugriff verschaffen.
Malware ist fast nie das Ziel eines Angriffs, sondern Mittel zum Zweck. Sie verschafft Zugang, hält ihn aufrecht, sammelt Daten oder richtet Schaden an. In MITRE ATT&CK taucht sie deshalb nicht als eigene Technik auf, sondern verteilt sich über viele: die Ausführung durch Nutzende („User Execution“, T1204), das Nachladen von Werkzeugen („Ingress Tool Transfer“, T1105) oder die Kommunikation mit einer Command-and-Control-Infrastruktur.
So funktioniert es
Für Verteidiger ist es hilfreich, Malware entlang ihres Lebenszyklus zu betrachten, weil jede Stufe eigene Kontrollpunkte bietet:
- Zustellung: E-Mail-Anhang, Download-Link, kompromittierte Website, Wechseldatenträger oder manipuliertes Software-Update (Supply-Chain-Angriff). Kontrollpunkt: Mail- und Web-Filter, Sandbox.
- Ausführung: Durch Nutzerinteraktion oder durch Ausnutzen einer Schwachstelle (Exploit). Kontrollpunkt: Application Allowlisting, Makro-Richtlinien, Patch-Stand.
- Verankerung: Die Malware sichert sich einen Weg, Neustarts zu überleben (Persistence). Kontrollpunkt: Überwachung von Autostart-Mechanismen und neuen Diensten.
- Nutzlast: Fernsteuerung, Datendiebstahl, Verschlüsselung oder Sabotage. Kontrollpunkt: Verhaltenserkennung, Netzwerk-Monitoring, Segmentierung.
Professionelle Angreifer setzen Malware sparsam ein. Laut CrowdStrike Global Threat Report 2026 waren 82 Prozent der erkannten Angriffe malware-frei: Statt eigener Schadsoftware nutzen Angreifer gestohlene Zugangsdaten und Bordmittel des Betriebssystems (Living off the Land). Wo Malware zum Einsatz kommt, wird sie für das jeweilige Ziel angepasst und ist signaturbasierten Scannern zum Zeitpunkt des Angriffs unbekannt.
Bedeutung für Unternehmen
Viele Unternehmen setzen Schutz vor Malware mit dem Betrieb eines Virenscanners gleich. Diese Sicht ist überholt: Signaturbasierte Erkennung findet bekannte Familien, nicht die individuell angepasste Variante, die ein Angreifer kurz vor dem Einsatz erstellt hat. Entscheidend ist Verhaltenserkennung – welcher Prozess startet aus welchem Kontext, greift auf welche Ressourcen zu und kommuniziert wohin.
In unseren Red-Team-Einsätzen verwenden wir eigene, vollständig kontrollierte Implantate, deren Verhalten dem realer Angreifer entspricht: ohne Selbstverbreitung, ohne destruktive Funktionen, mit vollständigem Rückbau nach Projektende. Sie zeigen, ob EDR und SOC das Verhalten erkennen – nicht nur, ob der Scanner eine bekannte Datei blockiert.
Schutz und Prüfung
- Verhaltensbasierte Erkennung: EDR auf allen Endpunkten und Servern mit aktivem Monitoring der Alarme – ein EDR ohne Reaktionsprozess ist nur ein Logbuch.
- Ausführung einschränken: Application Allowlisting, Blockieren von Makros aus dem Internet, Attack-Surface-Reduction-Regeln, keine lokalen Admin-Rechte.
- Zustellwege absichern: Anhänge in einer Sandbox prüfen, Downloads ausführbarer Dateien filtern, Nutzung von Wechseldatenträgern regeln.
- Patch-Disziplin: Malware, die Schwachstellen ohne Nutzerinteraktion ausnutzt, scheitert an aktuellen Systemen.
- Erkennung testen: Purple Teaming oder Red Teaming mit realistischen Implantaten zeigt, wo die Kette aus Zustellung, Ausführung und Kommunikation tatsächlich unterbrochen wird.