Ein Banking-Trojaner kann lange unauffällig bleiben und trotzdem Passwörter, Kontodaten oder Sitzungen ausspähen. Der Trojaner Zeus gehört zu den bekanntesten Beispielen dieser Schadsoftware: Ich erkläre, wie er arbeitet, über welche Wege er auf Windows-Rechner gelangt, welche Schäden möglich sind und was bei einem Verdacht sofort zu tun ist.
Die wichtigsten Fakten zu Zeus auf einen Blick
- Banking-Trojaner stehlen vor allem Zugangsdaten und Finanzinformationen.
- Phishing, manipulierte Downloads und Sicherheitslücken gehören zu den typischen Infektionswegen.
- GameOver Zeus erweiterte das ursprüngliche Konzept um ein widerstandsfähiges Peer-to-Peer-Botnetz.
- Bei einem Verdacht sollten Sie Online-Banking sofort stoppen und die Bank über ein sauberes Gerät kontaktieren.
- Ein Virenscan kann helfen, bei begründetem Zweifel ist eine Neuinstallation die verlässlichere Lösung.
Was der Trojaner Zeus eigentlich ist
Zeus, auch Zbot genannt, ist keine einzelne moderne Schadsoftware mit einer einheitlichen Datei, sondern eine Malware-Familie. Bekannt wurde sie als Banking-Trojaner für Windows, der Zugangsdaten abfängt und infizierte Computer teilweise zu einem Botnetz zusammenschließt. Ein Botnetz ist ein Verbund fremder Geräte, die von Kriminellen zentral oder dezentral gesteuert werden.
Das ursprüngliche Programm wurde vor allem für den Diebstahl von Online-Banking-Daten entwickelt. Dazu konnten Tastatureingaben protokolliert, Browserdaten ausgelesen und bestimmte Webseiten manipuliert werden. Besonders gefährlich waren sogenannte Webinjects. Sie blenden zusätzliche Felder oder Hinweise in eine echte Banking-Seite ein, sodass das Opfer seine Daten scheinbar normal eingibt.
Die klassische Zeus-Infrastruktur ist inzwischen historisch, und das bekannte GameOver-Zeus-Botnetz wurde 2014 durch eine internationale Operation erheblich gestört. Trotzdem ist der Name weiterhin relevant, weil er für eine ganze Entwicklungsrichtung von Banking-Trojanern steht. Viele spätere Schadprogramme übernahmen Techniken wie Passwortdiebstahl, Browser-Manipulation und den Nachladen weiterer Malware.
Ich halte deshalb wenig davon, Zeus nur als „alten Virus“ abzutun. Die konkrete Variante kann verschwunden sein, das Angriffsmuster ist es nicht. Wer heute eine Warnung mit der Bezeichnung „Zeus“ sieht, sollte zunächst prüfen, ob es sich um einen echten Malware-Fund oder um eine gefälschte Browsermeldung handelt.
Wie die Schadsoftware auf einen Rechner gelangt
Zeus wurde typischerweise nicht durch einen sichtbaren Angriff installiert, sondern über eine Täuschung. Häufig begann die Infektion mit einer gefälschten Rechnung, einer angeblichen Paketbenachrichtigung oder einem manipulierten Download. Ein Klick auf den Anhang oder die vermeintliche Aktualisierung konnte ausreichen, wenn Sicherheitsfunktionen deaktiviert waren oder eine ungepatchte Schwachstelle ausgenutzt wurde.
Lesen Sie auch: Ransomware-Angriff erkennen und Schäden richtig begrenzen
Typische Infektionswege
- Phishing-E-Mails mit Word-, ZIP- oder ausführbaren Anhängen
- Gefälschte Browser-, Flash- oder Sicherheitsupdates
- Manipulierte Downloads und Raubkopien
- Infizierte Werbeanzeigen und kompromittierte Webseiten
- Ausgenutzte Sicherheitslücken in Windows, Browsern oder Erweiterungen
Ein häufiger Fehler besteht darin, nur auf den Absender einer Nachricht zu schauen. Absenderadressen lassen sich fälschen, und auch ein scheinbar vertrauter Name beweist nichts. Das BSI weist darauf hin, dass Schadprogramme unter anderem über Anhänge, manipulierte Webseiten und veraltete Software verbreitet werden können.
Für private Haushalte kommt noch ein unterschätzter Faktor hinzu. Ein ungeschützter Windows-PC kann nicht nur das eigene Online-Banking gefährden, sondern auch als Ausgangspunkt für Angriffe auf andere Geräte dienen. Dazu gehören vernetzte Drucker, NAS-Systeme, Kameras und Smart-Home-Komponenten, wenn sie über dasselbe Heimnetz erreichbar sind.
Welche Varianten und Fähigkeiten besonders gefährlich waren
Die Zeus-Familie entwickelte sich über mehrere Generationen. Nicht jede Variante konnte alles, und nicht jede Meldung mit dem Namen Zeus bezog sich auf dieselbe technische Version. Für die praktische Einschätzung sind vor allem die Unterschiede zwischen dem ursprünglichen Banking-Trojaner und GameOver Zeus wichtig.
| Variante oder Begriff | Typische Funktion | Warum das wichtig ist |
|---|---|---|
| Zeus beziehungsweise Zbot | Diebstahl von Passwörtern, Tastatureingaben und Browserdaten | Der Rechner konnte lange unauffällig überwacht werden. |
| Jabber Zeus | Weiterentwicklung mit zusätzlicher Kommunikations- und Kontrolllogik | Zeigte, wie schnell sich der Baukasten an neue Schutzmaßnahmen anpassen ließ. |
| GameOver Zeus | Bankbetrug, Datendiebstahl und Nachladen weiterer Schadsoftware | Das Peer-to-Peer-Botnetz war schwerer zentral abzuschalten. |
| Zeus-abgeleitete Malware | Übernahme einzelner Techniken oder Quellcodebestandteile | Der Name kann auf eine Verwandtschaft hinweisen, aber nicht immer auf dieselbe Infektion. |
GameOver Zeus nutzte ein Peer-to-Peer-Netzwerk. Die infizierten Rechner waren dadurch nicht ausschließlich von wenigen zentralen Servern abhängig. Diese Architektur erschwerte die Abschaltung, weil die Kommunikation über mehrere Knoten verteilt werden konnte.
Zusätzlich konnte die Schadsoftware andere Programme nachladen. Im Zusammenhang mit GameOver Zeus wurde insbesondere CryptoLocker genannt, eine Ransomware, die Dateien verschlüsselte und Lösegeld forderte. Für Betroffene bedeutete das ein doppeltes Risiko: Kontodaten konnten gestohlen und persönliche Dateien unbrauchbar gemacht werden.
Woran Sie eine Infektion erkennen können
Ein befallener Rechner zeigt nicht immer eindeutige Symptome. Gerade Banking-Trojaner profitieren davon, möglichst wenig Aufmerksamkeit zu erregen. Ein langsamer Computer allein beweist daher keine Infektion, sollte zusammen mit anderen Auffälligkeiten aber ernst genommen werden.
- Unbekannte Weiterleitungen oder zusätzliche Felder auf Banking-Seiten
- Login-Hinweise, die plötzlich nach ungewöhnlichen Daten fragen
- Ungeplante Überweisungen oder neue Zahlungsempfänger
- Deaktivierter Virenschutz oder blockierte Sicherheitsprogramme
- Unbekannte Prozesse, Browser-Erweiterungen oder Autostart-Einträge
- Starke Netzwerkaktivität ohne erkennbaren Grund
- Passwortänderungen oder Anmeldewarnungen von fremden Geräten
Besonders kritisch ist eine Abweichung zwischen der am Bildschirm angezeigten Transaktion und der Freigabe auf dem Smartphone oder TAN-Gerät. Wenn Betrag oder Empfänger nicht übereinstimmen, breche ich den Vorgang sofort ab. Moderne Freigabeverfahren senken das Risiko deutlich, sie schützen aber nicht automatisch vor jeder manipulierten Sitzung.
Eine weitere Falle sind angebliche Sicherheitswarnungen wie „Zeus Trojan detected“. Solche Meldungen erscheinen oft als Browser-Popup und fordern zum Anruf bei einem „Support“ oder zum Kauf eines Programms auf. Ein Browser kann den Zustand des gesamten Computers in der Regel nicht zuverlässig diagnostizieren. Nicht anrufen, nichts installieren und keine Fernwartung zulassen ist hier die richtige Reaktion.
Was bei einem Verdacht sofort zu tun ist
Bei einem begründeten Verdacht zählt zuerst Schadensbegrenzung, nicht die perfekte Diagnose. Trennen Sie den Rechner vom Internet, indem Sie das Netzwerkkabel entfernen oder WLAN deaktivieren. Verwenden Sie das möglicherweise infizierte Gerät danach nicht mehr für Online-Banking, E-Mail-Logins oder Passwortänderungen.
- Bank oder Zahlungsdienstleister über ein sauberes Gerät informieren. Lassen Sie Online-Banking, Karten oder einzelne Zugänge bei Bedarf sperren.
- Kontobewegungen prüfen und unbekannte Buchungen sofort melden. In Deutschland kann bei Bedarf der Sperr-Notruf 116 116 genutzt werden.
- Passwörter von einem vertrauenswürdigen Gerät ändern. Beginnen Sie mit E-Mail, Bank, Passwortmanager und wichtigen Cloud-Konten.
- Mehr-Faktor-Authentifizierung aktivieren, sofern der Dienst sie anbietet. Verwenden Sie für jedes Konto ein eigenes Passwort.
- Beweise sichern. Notieren Sie Zeitpunkte, verdächtige Nachrichten, Dateinamen und Kontobewegungen.
- Den Rechner professionell prüfen oder neu aufsetzen. Bei sensiblen Konten ist eine saubere Neuinstallation oft sicherer als eine vermeintlich erfolgreiche Einzelbereinigung.
Ein aktuelles Antivirenprogramm und ein Offline-Scan können die Entfernung unterstützen. Ich würde mich nach einem Banking-Verdacht jedoch nicht allein auf die Meldung „keine Bedrohung gefunden“ verlassen. Wenn die Schadsoftware Administratorrechte hatte oder Passwörter abgegriffen wurden, ist ein vollständig neu installiertes Betriebssystem die klarere Sicherheitsentscheidung.
Vor dem Neuaufsetzen sollten persönliche Dokumente gesichert werden, aber nicht ungeprüft Programme, Autostart-Dateien oder ausführbare Dateien zurückkopiert werden. Backups sind wertvoll, können im schlimmsten Fall jedoch ebenfalls manipulierte Dateien enthalten.
Wie Sie sich heute gegen ähnliche Angriffe schützen
Der wirksamste Schutz besteht nicht aus einem einzelnen Produkt. Entscheidend ist eine Kombination aus aktuellen Geräten, vorsichtigem Verhalten und begrenzten Zugriffsrechten. Windows, Browser, Router und wichtige Anwendungen sollten automatisch oder zeitnah aktualisiert werden.
- Programme nur aus vertrauenswürdigen Quellen installieren
- Makros in Office-Dokumenten nicht ungeprüft aktivieren
- Für jedes Konto ein eigenes langes Passwort verwenden
- Passwortmanager und Mehr-Faktor-Authentifizierung einsetzen
- Online-Banking über ein fest gespeichertes oder manuell eingegebenes Bank-Lesezeichen öffnen
- Regelmäßige Backups auf einem getrennten Datenträger erstellen
- Administratorkonto und Alltagskonto möglichst trennen
Im Heimnetz lohnt sich außerdem eine einfache Trennung. Smart-Home-Geräte, Kameras und ältere Netzwerkgeräte sollten möglichst in einem Gast- oder separaten IoT-Netz laufen. Das verhindert nicht jede Infektion, begrenzt aber die Möglichkeiten, von einem kompromittierten PC aus weitere Geräte zu erreichen.
Auch Sicherheitssoftware sollte realistisch eingeordnet werden. Sie ist eine wichtige Schutzschicht, erkennt aber nicht jede neue oder verschleierte Variante sofort. Am meisten bringt sie zusammen mit Updates, Backups und der Bereitschaft, eine unerwartete Zahlungs- oder Login-Aufforderung abzubrechen.
Warum der alte Name für neue Sicherheitsentscheidungen wichtig bleibt
Die Geschichte von Zeus zeigt, dass erfolgreiche Malware nicht nur durch technische Raffinesse gefährlich wird. Entscheidend ist die Verbindung aus Täuschung, Datendiebstahl, Fernsteuerung und finanzieller Motivation. Genau diese Kombination findet sich auch bei vielen späteren Banking-Trojanern und Phishing-Kampagnen.
Wenn heute eine Zeus-Warnung auftaucht, sollte man daher zwei Dinge gleichzeitig tun. Die Meldung darf nicht automatisch als Beweis einer Infektion gelten, aber sie darf ebenso wenig ignoriert werden. Prüfen Sie den Fund mit einer seriösen Sicherheitslösung, stoppen Sie sensible Vorgänge und wenden Sie sich bei Bankbezug sofort an das Institut.
Mein wichtigster Rat lautet deshalb schlicht, aber wirkungsvoll: Niemals auf dem verdächtigen Gerät weiterarbeiten, wenn Finanzdaten betroffen sein könnten. Ein sauberer Zweitrechner, ein Anruf über eine selbst recherchierte offizielle Nummer und ein konsequenter Passwortwechsel verhindern oft, dass aus einer verdächtigen Datei ein echter finanzieller Schaden wird.
