Bei einem Schadsoftwareverdacht sind sichtbare Auffälligkeiten meist nur erste Hinweise, aber keine verlässliche Diagnose. Entscheidend ist, was auf dem System tatsächlich passiert ist und ob ein Sicherheitswerkzeug einen Fund mit noch offenem Handlungsbedarf meldet.
Dieser Ratgeber erklärt Schritt für Schritt, wie Sie Warnmeldungen unabhängig prüfen, Windows-, Android- und iPhone-Meldungen sicher einordnen und bei einem konkreten Schadensereignis besonnen und wirksam reagieren.
Akutfall: Nicht weiterklicken
- Befehl oder unbekannte Datei ausgeführt? Trennen Sie das Gerät sofort von allen Netzwerkverbindungen (LAN abziehen, WLAN deaktivieren).
- Browser meldet angeblichen Virenbefall? Klicken Sie keine Schaltflächen oder Telefonnummern an; schließen Sie den Tab über die Browserleiste.
- Ransomware oder Kontozugriff bemerkt? Schalten Sie das Gerät bei laufender Verschlüsselung sofort aus.
- Kennwörter absichern: Ändern Sie Zugangsdaten und Passwörter ausschließlich von einem separaten, nachweislich sauberen Zweitgerät aus.
Weitere Sofortmaßnahmen finden Sie in Kapitel 8, Hilfe für ungeklärte Fälle in Kapitel 9.
Das Wichtigste in Kürze
- Auffälligkeiten sind Hinweise, keine Beweise: Sichtbare Auffälligkeiten wie Langsamkeit oder Akkuverbrauch sind Hinweise, aber keine eindeutigen Beweise für Schadsoftware.
- Nur über das unabhängig geöffnete Schutzprogramm prüfen: Prüfen Sie Warnmeldungen grundsätzlich über das unabhängig im Betriebssystem geöffnete Schutzprogramm, niemals über Browser-Pop-ups. Achten Sie im Schutzverlauf auf den Maßnahmenstatus: Eine blockierte Datei erfordert andere Schritte als ein aktiver Handlungsbedarf.
- Keine Probe-Ausführungen, nichts auf Verdacht löschen: Starten Sie bei unklaren Systemzuständen keine Probe-Ausführungen und löschen Sie keine Systemdateien auf Verdacht.
Kapitel 1: Was bedeutet Schadsoftware und was können Anzeichen tatsächlich zeigen?
Schadsoftware, auch Malware genannt, ist der Oberbegriff für schädliche Programme. Trojaner können sich als nützliche Software tarnen; Ransomware kann Daten verschlüsseln oder Geräte sperren und Lösegeld fordern. Für Ihre erste Entscheidung müssen Sie den genauen Schadsoftwaretyp nicht selbst bestimmen.
Trennen Sie vier grundlegende Aspekte voneinander: Beobachtung – das Gerät reagiert spürbar anders als gewohnt. Warnmeldung – eine Website oder ein Sicherheitswerkzeug behauptet eine Gefahr; Herkunft und Inhalt müssen unabhängig geprüft werden. Konkreter Sicherheitsbefund – ein unabhängig geöffnetes Schutzprogramm zeigt eine Erkennung; auch diese kann eine Fehlklassifizierung sein, ist aber ernst zu nehmen und anhand des Status einzuordnen. Maßnahmenstatus – das Werkzeug meldet beispielsweise eine Blockierung, Quarantäne oder eine noch erforderliche Aktion.
Eine blockierte Datei beweist nicht automatisch, dass sie zuvor ausgeführt wurde. Umgekehrt ist ein Scan ohne Fund kein Nachweis vollständiger Schadsoftwarefreiheit. Lassen Sie bei einem bekannten Risikovorgang den Verdacht klären, auch wenn das Gerät äußerlich normal wirkt.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 2: Welche Auffälligkeiten sind mehrdeutig und wann besteht akuter Handlungsbedarf?
Langsamkeit, Abstürze und schnelle Akkuentladung können auch mit fehlerhafter oder veralteter Software beziehungsweise Hardwareproblemen zusammenhängen. Symptome allein erlauben keine sichere Zuordnung. Wie Sie eine konkrete Beobachtung einordnen, zeigt die Entscheidungstabelle in Kapitel 4.
Entscheidend ist der Zusammenhang: Ein Download ist nicht dasselbe wie eine Ausführung. Öffnen Sie eine verdächtige Datei keinesfalls nachträglich, um den Verdacht zu überprüfen. Falls unklar ist, ob Code ausgeführt wurde, geben Sie diesen Punkt bei der Fachhilfe ausdrücklich an.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 3: Wie unterscheiden Sie eine gefälschte Browserwarnung von einem echten Sicherheitsbefund?
Webseiten können Warnungen und Schaltflächen täuschend echt nachbilden, um Daten oder eine Softwareinstallation zu erschleichen. Auch ein scheinbares Schließen-Kreuz kann Teil der Betrugsmasche sein.
Schließen Sie den betroffenen Tab oder das Fenster über die reguläre Leiste des Browsers, niemals über einen Knopf innerhalb der Webseite. Wählen Sie auf Mobilgeräten die Tab-Übersicht und beenden Sie den Tab dort. Öffnen Sie anschließend Ihr echtes Schutzprogramm direkt über das Betriebssystem, anstatt Links aus der Meldung anzutippen.
Prüfen Sie im Schutzprogramm, ob ein aktueller Fund zum Vorfall verzeichnet ist.
Erfolgssignal
Sie können den manipulierten Browserinhalt klar von einer echten Systemanzeige unterscheiden. Ein geschlossener Tab beendet die Anzeige, bescheinigt jedoch noch keine Gerätegesundheit.
Fehlerweg
Reagiert die Browserbedienung nicht mehr oder kehrt die Meldung starr zurück, rufen Sie keine dort beworbene Hotline an. Nutzen Sie die Hilfewege in Kapitel 9 über ein separates Zweitgerät.
Beispiel: Eine Webseite blendet ein: „Ihr Computer ist schwer infiziert". Sie schließen den Tab und öffnen die Windows-Sicherheit oder Ihre Sicherheits-App. Dort liegt kein Fund vor. Damit ist die Behauptung der Webseite nicht durch einen unabhängigen Sicherheitsbefund bestätigt; ein fehlender Fund beweist aber auch nicht, dass das Gerät schadsoftwarefrei ist. Haben Sie allerdings zuvor Zugangsdaten eingetippt oder Dateien geladen, muss dieser Vorfall separat geklärt werden.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 4: Wie lesen Sie einen vorhandenen Schadsoftwarefund auf einem Windows-PC?
Die folgenden Schritte orientieren sich an der Microsoft-Dokumentation. Bezeichnungen können je nach Windows-Version leicht abweichen.
Öffnen Sie über die Windows-Suche die App „Windows-Sicherheit" und navigieren Sie zum „Schutzverlauf". Klicken Sie auf den betreffenden Eintrag, um die Details zu entfalten. Prüfen Sie Datum, Bedrohungsname und die getroffene Maßnahme.
Die Anzeigen im Schutzverlauf bedeuten im Einzelnen: „Bedrohung gefunden – Aktion erforderlich" – eine Entscheidung steht aus. Datei keinesfalls zulassen oder ausführen; Kapitel 8 und Kapitel 9 nutzen. „Bedrohung unter Quarantäne gestellt" – die Datei ist blockiert und isoliert, aber noch gespeichert. Nicht wiederherstellen; bei Unsicherheit Fachhilfe hinzuziehen. „Bedrohung blockiert" – der Defender meldet Blockierung und Beseitigung. Herkunft prüfen; bei vorheriger Ausführung trotzdem Sofortmaßnahmen beachten. „Wiederherstellung unvollständig" – die Bereinigung konnte nicht vollständig abgeschlossen werden. Sofort Kapitel 8 und Kapitel 9 hinzuziehen.
Erfolgssignal: Sie haben den genauen Meldungstext festgehalten und können zwischen einer erfolgreichen Isolierung und ausstehendem Handlungsbedarf unterscheiden. Fehlen Ihnen Administratorrechte zur Detailanzeige, wenden Sie sich an die verantwortliche Person oder die Firmen-IT. Stellen Sie unbekannte Dateien niemals auf Verdacht wieder her.
Entscheidungstabelle: Beobachtung, Einordnung, sicherer Schritt
Die folgende Tabelle fasst zusammen, wie Sie eine konkrete Beobachtung aus Kapitel 2 einordnen:
| Beobachtung | Einordnung und nächster sicherer Schritt |
|---|---|
| Langsamkeit, Abstürze oder schnelle Akkuentladung | Mehrdeutig. Zeitpunkt und Begleitumstände notieren. Ohne Akutereignis zur passenden Geräteprüfung in Kapitel 4–7 gehen. |
| Werbung oder eine angebliche Virenwarnung im Browser | Mehrdeutig. Keine angebotenen Reparaturen starten. Herkunft nach Kapitel 3 unabhängig prüfen. |
| Unbekannte App, Datei oder automatisch gestartetes Programm | Mehrdeutig. Namen notieren; nichts zur Probe ausführen und keine Systembestandteile auf Verdacht löschen. Bei ungeklärter Herkunft Kapitel 9 nutzen. |
| Schutzprogramm meldet bereits blockierten oder isolierten Fund | Mehrdeutig. Aktuellen Status nach Kapitel 4 oder 5 lesen. Nicht mit noch ausstehender Abwehr oder vollständiger Bereinigung gleichsetzen. |
| Schutzwerkzeug verlangt eine Aktion, Bereinigung scheitert oder verdächtiger Code wurde ausgeführt | Warnsignal. Eigene Untersuchung beenden und Kapitel 8 sowie Kapitel 9 folgen. |
| Dateisperre mit Erpressung oder unbefugte Konto-/Zahlungsaktivität | Warnsignal. Kapitel 8 und Kapitel 9 folgen. Kontoaktivität allein beweist keine Geräteinfektion; sie verlangt trotzdem eine unmittelbare Reaktion. |
Langsamkeit, Abstürze oder Akkuentladung
Mehrdeutig: notieren, zur Geräteprüfung in Kapitel 4–7.
Werbung oder angebliche Virenwarnung
Mehrdeutig: keine Reparatur starten, Herkunft prüfen (Kapitel 3).
Unbekannte App oder Datei
Mehrdeutig: notieren, nichts ausführen, Kapitel 9 bei Unklarheit.
Schutzprogramm meldet blockierten Fund
Mehrdeutig: Status nach Kapitel 4 oder 5 lesen.
Aktion verlangt, Bereinigung scheitert, Code ausgeführt
Warnsignal: Untersuchung beenden, Kapitel 8/9.
Dateisperre mit Erpressung oder unbefugte Kontoaktivität
Warnsignal: Kapitel 8 und 9 folgen.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 5: Wie prüfen Sie einen Windows-PC ohne aktuellen Schadsoftwarefund?
Liegt nur ein unklarer Symptomverdacht ohne akutes Klickereignis vor: Öffnen Sie den Bereich „Viren- & Bedrohungsschutz" in Windows-Sicherheit, prüfen Sie die Aktualität der Definitionen und starten Sie eine vollständige Überprüfung oder die angebotenen Scan-Optionen.
Stellen Sie sicher, dass der Scan fehlerfrei durchläuft.
Erfolgssignal
Ein Scan-Ergebnis ohne Fund dokumentiert den Befund dieses spezifischen Scans, garantiert jedoch keine absolute Freiheit von unentdeckter Schadsoftware.
Fehlerweg
Bricht der Scan vorzeitig ab oder lässt sich der Schutzdienst nicht aktivieren, nutzen Sie Kapitel 9. Verbinden Sie ein bereits vom Netzwerk getrenntes Akut-Gerät nicht erneut mit dem Internet, nur um Signaturen nachzuladen.
Hinweis zu Drittanbieter-Antivirus: Wird eine kompatible Antivirensoftware eines Drittanbieters installiert, wird Microsoft Defender Antivirus laut Microsoft automatisch deaktiviert. Prüfen Sie in diesem Fall den Status direkt im Programm des Drittanbieters.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 6: Wie prüfen Sie auffällige Apps und Sicherheitsmeldungen auf einem Android-Handy?
Google Play Protect analysiert installierte Apps auf Geräten mit Google-Diensten und warnt vor schädlichen Programmen oder deaktiviert diese automatisch. Play Protect schützt primär vor schädlichen Apps, ist aber kein lückenloser Komplettschutz für das gesamte Betriebssystem.
Öffnen Sie den Google Play Store, tippen Sie oben rechts auf Ihr Profilsymbol und wählen Sie „Play Protect" → „Einstellungen" (Zahnrad). Vergewissern Sie sich, dass die Option „Apps mit Play Protect scannen" aktiviert ist.
Erfolgssignal
Der Schutzstatus ist aktiv und ein manueller Prüflauf scannt installierte Apps. Ein unauffälliges Ergebnis zeigt, dass Play Protect keine bekannten schädlichen Apps identifiziert hat.
Fehlerweg
Ist der Play Store deaktiviert oder lässt sich die Option nicht einschalten, nutzen Sie den Support des Geräteherstellers oder bei Arbeitsgeräten die zuständige IT-Abteilung.
Vorgehen bei unbekannten Apps: Finden Sie eine unbekannte App, notieren Sie deren Namen. Prüfen Sie, ob es sich um eine Systemanwendung des Herstellers handelt. Starten Sie verdächtige Apps keinesfalls zur Probe. Verlangt Play Protect die Deinstallation einer App, bestätigen Sie diesen Schritt direkt im Menü.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 7: Was können Sie auf einem iPhone prüfen und wo liegen die Grenzen?
Auf Apple iOS laufen Apps in einer geschützten Umgebung („Sandbox") isoliert voneinander. Sie haben keinen Zugriff auf Systemdateien oder Daten anderer Apps. Daher existieren für iOS keine klassischen Virenscanner, die das gesamte Dateisystem durchleuchten können. Diese Architektur erschwert Infektionen erheblich, bietet aber keine vollständige Immunität gegen Phishing oder manipulierte Profile.
Bei einer Warnung in Safari: Beenden Sie den Tab über die Tab-Übersicht in Safari (zwei überlappende Quadrate), anstatt auf den Text im Fenster zu reagieren. Prüfen Sie, ob Sie die Seite ohne Interaktion verlassen konnten.
Schutz vor betrügerischen Meldungen: Öffnen Sie unter iOS die App „Einstellungen" → „Apps" → „Safari" und vergewissern Sie sich, dass „Pop-ups blockieren" sowie „Betrugswarnung" eingeschaltet sind. Dies verhindert störende Weiterleitungen, bereinigt aber keinen Vorfall, bei dem Sie bereits Daten eingegeben haben.
Bei anhaltendem Verdacht: Notieren Sie verdächtige Beobachtungen. Löschen Sie keine unbekannten Konfigurationsprofile auf gut Glück, wenn es sich um ein Firmengerät handelt, sondern kontaktieren Sie Fachhilfe nach Kapitel 9. Ein einfacher Neustart allein entfernt keine tiefergehenden Systemmanipulationen.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 8: Wie handeln Sie bei einem konkreten Fund oder bereits eingetretenem Schaden sicher?
In diesem Abschnitt begrenzen Sie den Schaden im Akutfall. Weitergehende Bereinigungen erfordern einen separaten Spezialprozess.
1. Verbindungen unterbrechen: Ziehen Sie am PC sofort das Netzwerkkabel ab und deaktivieren Sie das WLAN. Schalten Sie am Smartphone WLAN, mobile Daten und Hotspots aus. Verlassen Sie sich nicht allein auf das Flugmodus-Symbol, sondern kontrollieren Sie die Schalter in den Einstellungen. Alle Verbindungsanzeigen sollten auf getrennt stehen. Testen Sie die Trennung nicht durch den Aufruf einer Website. Lässt sich ein privates Gerät nicht mehr bedienen, schalten Sie es vollständig ab. Bei Arbeitsgeräten informieren Sie unverzüglich die IT und führen keine eigenen Bereinigungsversuche durch.
2. Befund übergeben: Halten Sie auf Papier oder einem Zweitgerät die Meldung, den Zeitpunkt und den vorausgegangenen Vorgang fest. Starten Sie verdächtige Dateien nicht erneut. Wenden Sie sich an eine Fachkraft gemäß Kapitel 9. Die Fachstelle sollte Ihre Aufzeichnungen erhalten und das weitere Vorgehen abstimmen. Lassen Sie das betroffene Gerät bis dahin außer Betrieb.
3. Zugänge und Zahlungen sichern: Verwenden Sie ein garantiert sauberes Zweitgerät. Öffnen Sie die Dienste über offizielle Apps oder Lesezeichen. Ändern Sie umgehend Passwörter (vor allem beim E-Mail-Konto). Bei unbefugten Buchungen oder Banking-Verdacht kontaktieren Sie sofort Ihre Bank. Der Dienst sollte die Kennwortänderung bestätigen, die Bank erforderliche Kontosperren einleiten.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 9: Wann brechen Sie die eigene Prüfung ab und holen fachliche Hilfe?
Beenden Sie eigenständige Versuche, wenn Funde wiederkehren, Bereinigungen fehlschlagen, Sicherheitsdienste blockiert sind, Erpresser-Nachrichten erscheinen oder ein Arbeitsgerät betroffen ist.
Recherchieren Sie Hilfskontakte ausschließlich von einem separaten Gerät aus über offizielle Service-Unterlagen oder Behördenseiten. Für Windows-PCs kann eine qualifizierte Fachwerkstatt vor Ort helfen; bei Firmenrechnern greift die betriebliche Notfallnummer. Der Kontakt sollte nachweislich aus verifizierten Quellen stammen und nicht aus einem Warnfenster. Vereinbaren Sie ein geordnetes Vorgehen (zum Beispiel Spurensicherung, Systemneuinstallation).
Erfolgssignal: Eine qualifizierte Stelle übernimmt den Fall. Übergeben Sie Ihre Notizen zum Ablauf und zu den beobachteten Meldungen. Gewähren Sie niemandem Fernzugriff, der Sie unaufgefordert kontaktiert oder in Pop-up-Fenstern als Support beworben wird. Lassen Sie das betroffene Gerät bis zur Begutachtung konsequent ausgeschaltet.
↑ Zurück zum Inhaltsverzeichnis
Kapitel 10: Wie kontrollieren Sie Ihren Schadsoftwareverdacht systematisch Schritt für Schritt?
Die folgende Reihenfolge dokumentiert erledigte Kontrollschritte, ersetzt aber keine fachliche Entwarnung:
Schritte für den Alltag
1. Beobachtungen dokumentieren: Dokumentieren Sie Beobachtungen, Zeitpunkte und den Auslöser gefahrlos, ohne eine verdächtige Datei erneut zu öffnen.
2. Warnungen unabhängig prüfen: Schließen Sie verdächtige Browser-Tabs über die Browserleiste und laden Sie keine Reparaturprogramme. Öffnen Sie das Schutzprogramm direkt über das Betriebssystem und prüfen Sie den Status.
3. Maßnahmenstatus beachten: Prüfen Sie bei Funden den Maßnahmenstatus, stellen Sie keine isolierten Dateien wieder her und führen Sie unbekannte Dateien nicht zur Probe aus.
4. Im Akutfall trennen und absichern: Trennen Sie im Akutfall sämtliche Netzwerkverbindungen (Kabel, WLAN, Mobilfunk). Ändern Sie betroffene Passwörter über ein sicheres Zweitgerät und kontaktieren Sie bei Zahlungs- oder Banking-Risiken sofort die Bank über offizielle Nummern.
5. Bei Unklarheit fachliche Hilfe holen: Ziehen Sie bei unklaren oder wiederkehrenden Funden fachkundige Hilfe hinzu und informieren Sie bei Arbeitsgeräten unverzüglich die zuständige Firmen-IT (Kapitel 9).
↑ Zurück zum Inhaltsverzeichnis
Offizielle Hilfe und Anlaufstellen
Vier offizielle Angebote für unterschiedliche Anliegen rund um Schadsoftware. Bei einem laufenden Betrugsversuch oder betroffenem Konto nutzen Sie zuerst die passenden Sofortmaßnahmen in Kapitel 8. Diese Übersicht ersetzt keine unmittelbare Kontosicherung oder Kontaktaufnahme mit der eigenen Bank.
Service-Center des BSI
IT-SicherheitInformationen und Unterstützung bei Fragen zur IT- und Cybersicherheit.
Onlinewachen der Polizeien der Länder
StrafanzeigeFür geeignete Sachverhalte können Sie online Strafanzeige erstatten oder Hinweise geben. Das Portal führt zur zuständigen Landespolizei; es ist nicht für akute Notfälle gedacht.
Bürger-CERT (BSI)
WarndienstVerbraucher-Newsletter und Sicherheitshinweise zu Schwachstellen in verbreiteter Software.
Verbraucherzentrale
GeräteschutzUnabhängige Verbraucherinformationen, unter anderem eine Schrittfolge bei Virenverdacht auf dem Gerät.
Quellen
Ministerium des Innern des Landes Nordrhein-Westfalen / cybersicherheit.nrw: Schadprogramme: Ransomware & Co. Abrufdatum: 06.10.2026.
Verbraucherzentrale: Virus auf dem Gerät? Das müssen Sie jetzt tun – in 4 Schritten. Abrufdatum: 06.10.2026.
Malwarebytes: Anzeichen eines gehackten Telefons und was zu tun ist, wenn Ihr Telefon gehackt wurde. Abrufdatum: 06.10.2026.
Microsoft: Schutzverlauf in der App „Windows-Sicherheit". Abrufdatum: 06.10.2026.
Microsoft: Viren- und Bedrohungsschutz in der Windows-Sicherheit-App. Abrufdatum: 06.10.2026.
Apple Support: Pop-Up-Werbung/Fenster in Safari blockieren. Abrufdatum: 06.10.2026.
Google Play-Hilfe: Apps und Daten mit Google Play Protect besser schützen. Abrufdatum: 06.10.2026.
Apple Platform Security: Sicherheit des Laufzeitprozesses in iOS, iPadOS und visionOS. Abrufdatum: 06.10.2026.
