Ein Trojaner ist Schadsoftware, die sich als nützliches Programm ausgibt und nach dem Start verborgene Funktionen ausführt – etwa Fernzugriff, Datendiebstahl oder das Nachladen weiterer Malware.
Ein Trojaner – benannt nach dem hölzernen Pferd der griechischen Sage – ist Schadsoftware, die sich als etwas Harmloses oder Nützliches ausgibt: ein Dokument, ein Installationsprogramm, eine Browser-Erweiterung oder ein vermeintliches Software-Update. Die Person, die das Programm öffnet, sieht oft tatsächlich das Versprochene; im Hintergrund richtet sich die eigentliche Schadfunktion ein. Anders als Viren und Würmer verbreiten sich Trojaner nicht selbst – sie brauchen jemanden, der sie ausführt, oder eine Schwachstelle, die das übernimmt.
Die wichtigste Unterart im Unternehmenskontext ist der Remote Access Trojan (RAT): ein Implantat, das dem Angreifer dauerhaften Fernzugriff auf das System gibt – Dateien, Tastatureingaben, Bildschirm, Ausführung beliebiger Befehle. In MITRE ATT&CK ist die Ausführung durch Nutzende als „User Execution: Malicious File“ (T1204.002) beschrieben, die Tarnung als legitime Software als „Masquerading“ (T1036).
Varianten und Ablauf
Im Unternehmensalltag begegnen vor allem drei Typen:
- Remote Access Trojan: Verschafft Fernsteuerung und meldet sich regelmäßig bei einer Command-and-Control-Infrastruktur, getarnt als gewöhnlicher Web-Verkehr. Er ist der Ausgangspunkt für Lateral Movement und Datendiebstahl.
- Info-Stealer: Liest in Browsern gespeicherte Passwörter, Sitzungs-Cookies und Formulardaten aus und verschwindet oft wieder. Die Beute landet bei Initial Access Brokern und wird Wochen später für Angriffe auf das Unternehmen genutzt.
- Loader: Ein kleines Programm, dessen einzige Aufgabe es ist, die eigentliche Nutzlast – häufig Ransomware – zu einem späteren Zeitpunkt nachzuladen.
Nach der Ausführung sichert sich der Trojaner typischerweise einen Weg, Neustarts zu überleben (Persistence), und beginnt mit der Kommunikation nach außen. Genau diese beiden Schritte – Verankerung und Rückkanal – sind für Verteidiger die verlässlichsten Erkennungspunkte, weil sie sich kaum vermeiden lassen.
Bedeutung für Unternehmen
Ein Trojaner auf einem einzigen Arbeitsplatz ist der Startpunkt der gesamten weiteren Angriffskette. Der häufige Irrtum lautet: „Unser Virenscanner hätte das erkannt.“ Maßgeschneiderte Trojaner, wie sie professionelle Angreifer und auch wir im Red Teaming einsetzen, sind zum Zeitpunkt des Einsatzes keinem Scanner bekannt. Erkannt wird nicht die Datei, sondern das Verhalten: eine Office-Anwendung, die eine Skript-Umgebung startet; ein Programm im Benutzerprofil, das regelmäßig dieselbe externe Adresse kontaktiert.
Für Entscheider ist die Frage daher nicht, ob ein Trojaner ins Netz gelangen kann – das kann er –, sondern wie lange er unentdeckt bleibt und wie weit er kommt. Laut Mandiant M-Trends 2026 lag die mediane Dwell Time bei 14 Tagen.
Schutz und Prüfung
- Ausführung kontrollieren: Application Allowlisting verhindert, dass unbekannte Programme aus Download- und Temp-Ordnern starten; Makros aus dem Internet blockieren.
- Keine lokalen Admin-Rechte: Ein Trojaner mit Benutzerrechten kann sich weniger tief verankern und weniger auslesen.
- Verhaltensbasiertes EDR: Alarme auf verdächtige Prozessketten und ausgehende Verbindungen aus ungewöhnlichen Prozessen, mit klarem Reaktionsprozess.
- Browser-Hygiene: Keine Passwörter im Browser speichern, Passwort-Manager mit MFA, kurze Sitzungsdauer für kritische Anwendungen.
- Erkennungskette testen: Ein Red Teaming mit eigens entwickelten, kontrollierten Implantaten zeigt, ob die Verhaltenserkennung greift, bevor ein echter Trojaner es tut.