Ein Keylogger erfasst Tastatureingaben eines Geräts. Kriminelle Varianten stehlen Passwörter, Nachrichten, Zahlungs- und Unternehmensdaten und sind häufig ein Modul umfangreicherer Malware. Diagnose-, Bedienhilfe- oder Überwachungssoftware kann ähnliche Funktionen besitzen; Rechtmäßigkeit hängt von transparentem Zweck, Einwilligung und anwendbarem Recht ab.
Welche Arten von Keyloggern gibt es?
| Art | Funktionsweise |
|---|---|
| Anwendungs-/User-Mode-Keylogger | Nutzt Eingabe-APIs, Hooks, Zwischenablage oder Browserfunktionen; vergleichsweise gut durch Endpoint-Telemetrie sichtbar. |
| Kernel-/Treiber-Keylogger | Erfasst Eingaben tiefer im Betriebssystem und kann Schutzfunktionen umgehen; benötigt meist hohe Rechte. |
| Browser/Form Grabbing | Liest Formularwerte oder Browserdaten direkt, teilweise bevor TLS sie für die Übertragung verschlüsselt. |
| Hardware-Keylogger | Physisches Zwischenstück, manipulierte Tastatur oder Implantat speichert beziehungsweise sendet Eingaben. |
| Mobile Eingabemethode | Bösartige Tastatur-App oder Accessibility-Missbrauch beobachtet Eingaben und Bedienhandlungen. |
Welche Daten werden erfasst?
Einfache Keylogger speichern Zeichen und aktive Fenster. Erweiterte Infostealer ergänzen Screenshots, Zwischenablage, Browser-Cookies, Formulardaten und Kontext wie URL oder Prozess. Bildschirmtastaturen verhindern nicht jede Erfassung, weil Malware Klicks, Bildschirm oder Formularwerte beobachten kann. Passwortmanager reduzieren manuelles Tippen und füllen auf falschen Domains meist nicht aus, aber kompromittierte Endpunkte können bereits angemeldete Sitzungen oder Formulardaten abgreifen.
Wie gelangen Keylogger auf ein Gerät?
Typische Wege sind schädliche Anhänge, manipulierte Downloads, Raubkopien, Browser-Erweiterungen, ausgenutzte Schwachstellen und bereits vorhandener Fernzugriff. Hardware-Varianten benötigen physischen oder Lieferkettenzugriff. Hohe Rechte und fehlender Anwendungsschutz erleichtern eine tiefe Verankerung, doch manche User-Mode-Varianten können bereits im Benutzerkontext wertvolle Eingaben sammeln.
Wie werden sie erkannt?
- Endpoint-Schutz erkennt bekannte Dateien, Eingabe-Hooks, verdächtige Treiber, Persistenz und Prozessinjektion.
- Ausgehende Verbindungen und periodische kleine Datenübertragungen zu unbekannten Zielen können Exfiltration anzeigen.
- Ungewöhnliche Browser-Erweiterungen, Accessibility-Rechte, Autostarts und neue Tastatur-Apps gehören in die Prüfung.
- Eine physische Inspektion kontrolliert USB-/Tastaturweg, Gehäuse und nicht inventarisierte Geräte.
- Kontodiebstahl trotz Passwortwechsel kann darauf hindeuten, dass weiterhin auf einem kompromittierten Gerät eingegeben wird.
Leistungsprobleme oder „seltsames Tippen“ sind keine verlässlichen Indikatoren. Gut implementierte Keylogger arbeiten unauffällig; negative Antivirenprüfung schließt einen Befall nicht aus.
Welche Schutzmaßnahmen helfen?
- Betriebssystem, Browser und Anwendungen aktuell halten und Software nur aus kontrollierten Quellen installieren.
- Lokale Administratorrechte, Treiberinstallation, Makros und nicht genehmigte Erweiterungen einschränken.
- Endpoint Detection, Anwendungskontrolle und Netzwerküberwachung kombinieren.
- Passwortmanager und phishing-resistente Mehrfaktor-Authentifizierung verwenden; sie begrenzen Folgen, heilen aber kein infiziertes Gerät.
- Geräte physisch kontrollieren und externe Peripherie inventarisieren, besonders an öffentlichen oder gemeinsam genutzten Arbeitsplätzen.
Was ist nach einem Fund zu tun?
Gerät isolieren und nicht weiter für Passwortänderungen verwenden. Beweise und Speicherzustand gemäß Incident-Prozess sichern, Persistenz und weitere Malware untersuchen und den Erstzugangsweg schließen. Alle während des möglichen Befalls eingegebenen Zugangsdaten sind von einem sauberen Gerät zu ändern; Sitzungen, Tokens und Recovery-Codes werden widerrufen. Bei Hardware-Funden Zugangsbereich, weitere Arbeitsplätze und mögliche Manipulationsdauer prüfen.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.