ACR Stealer und Co.: Woran du erkennst, ob ein Info-Stealer deinen Browser ausgelesen hat
Ein unauffälliger Browser ist keine Entwarnung: Ein Info-Stealer kann Zugangsdaten und Sitzungscookies abgreifen, ohne dass du beim Surfen etwas Auffälliges bemerkst. Auch eine Anmeldung mit Zwei-Faktor-Authentifizierung schützt eine bereits gestohlene Sitzung nicht automatisch. Wie Angreifer Sitzungen und andere Wege am Zweitfaktor vorbei nutzen, beschreibt unser Ratgeber Konto trotz Zwei-Faktor-Schutz übernommen.
Wenn du wegen einer Warnmeldung oder einer unbekannten Kontoaktivität an einen Info-Stealer denkst, brauchst du zuerst eine sichere Reihenfolge für die Prüfung. Dieser Ratgeber zeigt dir, welche Hinweise ernst zu nehmen sind, was sie allein nicht beweisen und wie du handelst, ohne auf einem möglicherweise befallenen Gerät weitere Zugangsdaten einzugeben. Ob eine konkrete Schadsoftware auf deinem Gerät läuft, lässt sich aus allgemeinen Browseranzeichen nicht bestimmen.
Warum Info-Stealer 2026 so verbreitet sind
Info-Stealer werden als Mietdienst angeboten und massenhaft verteilt. Als Microsoft, Europol und Partner im Mai 2025 die Infrastruktur von Lumma Stealer zerschlugen, zählten sie in nur zwei Monaten rund 394.000 infizierte Windows-Rechner und schalteten über 1.300 Steuerungsadressen ab (heise). Lumma griff Browserdaten, Zugangsdaten, Krypto-Wallets, VPN-Konfigurationen und Dokumente ab. Der Sicherheitsdienst Flashpoint zählte für 2025 über 11,1 Millionen infizierte Rechner und 3,3 Milliarden gestohlene Zugangsdaten und Cloud-Tokens (Notebookcheck, 10.8.2026).
Ein aktuelles Beispiel ist ACR Stealer. Microsoft warnte im Juli 2026 vor einer Welle von Angriffen, die zwischen Ende April und Mitte Juni beobachtet wurden (BleepingComputer, 18.7.2026). Der Einstieg erfolgt über „ClickFix“: Eine Webseite zeigt eine angebliche Fehlermeldung oder Bestätigung, dass du ein Mensch bist, und fordert dich auf, einen Befehl zu kopieren und selbst auszuführen. Danach liest die Schadsoftware Passwörter, Cookies, Sitzungsdaten und Anmelde-Tokens aus Chrome und Edge aus, dazu Dateien von Desktop und Downloads. Microsofts wichtigster Rat an Nutzer: Kopiere niemals Befehle von Webseiten und führe sie aus, schon gar nicht, um einen Fehler zu beheben oder dich als Mensch zu bestätigen.
Laut Notebookcheck kommen Info-Stealer außerdem häufig über geknackte Software, manipulierte Installer oder E-Mail-Anhänge auf den Rechner.
Was ein Info-Stealer aus dem Browser holen kann
Ein Info-Stealer ist Schadsoftware, die auf Daten zugreift, die später für Kontoübernahmen oder weitere Angriffe nützlich sein können. Dazu gehören gespeicherte Passwörter, Angaben aus der automatischen Formularausfüllung und Sitzungscookies. Welche Daten tatsächlich betroffen sind, hängt vom Angriff und davon ab, was auf dem Gerät gespeichert oder gerade zugänglich war.
Ein Sitzungscookie kann einem Dienst anzeigen, dass du bereits angemeldet bist. Gerät eine nutzbare Sitzung in fremde Hände, kann der Angreifer möglicherweise auf das Konto zugreifen, ohne dein Passwort erneut einzugeben. Deshalb reicht es bei einem begründeten Verdacht nicht, nur das Passwort zu ändern: Du musst auch prüfen, ob sich aktive Sitzungen beim jeweiligen Dienst abmelden lassen.
Wenn du Informationen zu einer Krypto-Wallet im Browser oder auf demselben Gerät verwaltest, nimm einen Infektionsverdacht besonders ernst. Gib Wiederherstellungsdaten keinesfalls zur angeblichen Prüfung in eine Warnseite ein. Entscheidend ist, welche Wallet-Daten auf dem möglicherweise betroffenen Gerät zugänglich waren; eine allgemeine Browserwarnung beantwortet diese Frage nicht.
Welche Warnsignale für einen Befall sprechen
Eine Anmeldung, die du nicht zuordnen kannst, ist ein konkreter Anlass zum Handeln. Das gilt ebenso für neue Sitzungen, geänderte Kontoeinstellungen oder unerwartete Sicherheitsmeldungen eines Dienstes. Prüfe solche Hinweise über die dir bekannte App oder indem du die Adresse des Dienstes selbst auf einem vertrauenswürdigen Gerät öffnest. Erinnerst du dich, kürzlich auf Anweisung einer Webseite einen Befehl ausgeführt zu haben, ist das ein starkes Warnsignal. Melde dich nicht über einen Link aus der Warnnachricht an.
Schau auch auf den Browser selbst: Ist eine Erweiterung installiert, die du nicht bewusst hinzugefügt hast? Wurden Schutzfunktionen verändert oder erhältst du plötzlich Meldungen, die dich zu einer Installation drängen? Solche Beobachtungen verdienen eine Prüfung, belegen für sich genommen aber keinen Info-Stealer. Eine Erweiterung kann unerwünscht sein, ohne dass sie Zugangsdaten gestohlen hat; eine Sicherheitsmeldung kann auch gefälscht sein.
Umgekehrt kann ein Gerät normal wirken, obwohl Daten abgeflossen sind. Warte daher nicht auf ein langsames System oder sichtbare Browserfehler, wenn ein Kontodienst bereits eine fremde Sitzung meldet. Trenne bei der Einschätzung zwei Fragen: Gibt es Hinweise auf eine Kontoübernahme? Und gibt es Hinweise darauf, dass dein Gerät die Ursache ist? Die Antworten können unterschiedlich ausfallen.
| Beobachtung | Was du daraus ableiten kannst | Was es nicht leistet |
|---|---|---|
| Unbekannte Anmeldung oder Sitzung | Das betroffene Konto braucht sofort Aufmerksamkeit. | Sie beweist allein nicht, welches Gerät oder welcher Angriff dahintersteckt. |
| Unerwartete Änderung am Konto | Prüfe Zugang und Wiederherstellungsoptionen über den offiziellen Dienst. | Sie identifiziert keine bestimmte Schadsoftware. |
| Unbekannte Browser-Erweiterung | Prüfe ihre Herkunft und Berechtigungen; verwende den Browser bis zur Klärung nicht für sensible Anmeldungen. | Ihr bloßes Vorhandensein beweist keinen Datendiebstahl. |
| Fund beim Malware-Scan | Behandle das Gerät als möglicherweise kompromittiert und sichere Konten von einem anderen Gerät aus. | Der Fund zeigt nicht automatisch, welche Daten abgeflossen sind. |
| Unauffälliger Scan | Ein Sicherheitswerkzeug hat nichts gemeldet. | Das ist keine Garantie, dass Gerät und Konten sicher sind. |
| Hinweis auf ein Datenleck | Prüfe, welches Konto oder welche Zugangsdaten betroffen sein könnten. | Ein solcher Hinweis beweist keinen aktuellen Befall deines Browsers. |
Prüfe den Verdacht, ohne neue Daten preiszugeben
Beginne mit der Quelle des Alarms. Bei einer Kontowarnung öffnest du den Dienst auf einem Gerät, dem du vertraust, und prüfst dort die Kontoaktivität. Behauptet dagegen eine Webseite, dein Browser sei infiziert, schließe die Seite. Installiere keine angebotene „Bereinigung“ und gib dort keine Passwörter ein. Die Meldung auf einer Webseite ist keine Diagnose deines Geräts.
Auf dem möglicherweise betroffenen Gerät kannst du die Liste der Browser-Erweiterungen und installierten Programme durchsehen. Suche nach Einträgen, die du nicht zuordnen kannst, und prüfe, ob Browser- oder Schutzfunktionen unerwartet verändert wurden. Notiere dir auffällige Namen oder Meldungen für die weitere Klärung, statt unbekannte Dateien zu öffnen oder eine verdächtige Erweiterung testweise zu benutzen.
Aktualisiere Betriebssystem und Sicherheitssoftware über ihre vorgesehenen Funktionen und führe einen vollständigen Malware-Scan durch. Ein Fund ist ein ernstes Signal. Bleibt der Scan ohne Fund, musst du andere Hinweise trotzdem weiterverfolgen: Sicherheitssoftware kann dir keine lückenlose Aussage darüber liefern, ob Zugangsdaten bereits entwendet wurden.
Ein Datenleck-Hinweis beantwortet wiederum eine andere Frage. Er kann auf offengelegte Kontodaten hinweisen, sagt aber allein nichts darüber, ob jetzt Schadsoftware auf deinem Gerät läuft. Vergleiche deshalb die betroffenen Konten mit deiner Kontoaktivität. Wenn ein Dienst fremde Sitzungen oder Änderungen zeigt, sichere das Konto unabhängig davon, ob du auf dem Gerät eine Schadsoftware findest.
Was bei starkem Verdacht zuerst zu tun ist
Wenn ein Scan Schadsoftware meldet oder mehrere konkrete Hinweise zusammenkommen, trenne das verdächtige Gerät vom Netz. Verwende es vorerst nicht für Anmeldungen, Zahlungen oder die Eingabe von Wiederherstellungsdaten. Die folgenden Kontoschritte erledigst du auf einem anderen Gerät, dem du vertraust.
Sichere zuerst den Zugang zu deinem E-Mail-Konto und zu den Konten, über die du andere Zugänge wiederherstellen kannst. Ändere betroffene Passwörter auf dem vertrauenswürdigen Gerät und verwende für jedes Konto ein eigenes Passwort. Kontrolliere anschließend hinterlegte Wiederherstellungsadressen, Telefonnummern und andere Sicherheitsoptionen. Wenn ein Angreifer diese Angaben verändert hat, kann eine bloße Passwortänderung zu kurz greifen.
Prüfe bei den betroffenen Diensten, ob du unbekannte oder alle aktiven Sitzungen abmelden kannst. Eine Passwortänderung meldet einen Angreifer mit gültigem Cookie nicht zwangsläufig ab. Laut Notebookcheck geht das so:
- Google: Im Google-Konto unter Sicherheit „Alle Geräte verwalten“ öffnen und unbekannte Sitzungen einzeln beenden.
- Microsoft: In den erweiterten Sicherheitsoptionen „Überall abmelden“ wählen; das kann bis zu 24 Stunden dauern.
- Apple: Im Apple-Account unter Geräte das unbekannte Gerät auswählen und vom Account entfernen.
Kontrolliere danach die Einstellungen deiner Zwei-Faktor-Authentifizierung: Sind dir alle hinterlegten Verfahren und Geräte bekannt? Falls du keinen Zugriff mehr auf ein Konto hast, nutze den offiziellen Wiederherstellungsweg des jeweiligen Dienstes. Gib Codes und Wiederherstellungsdaten nicht an Personen weiter, die dich wegen des Vorfalls kontaktieren.
Das Gerät selbst braucht eine getrennte Entscheidung. Ein gemeldeter Fund sollte mit der Sicherheitssoftware behandelt werden; prüfe danach erneut, ob noch Auffälligkeiten bestehen. Wenn du die Infektion nicht verlässlich eingrenzen oder bereinigen kannst, ist ein Neuaufsetzen des Systems die vorsichtigere Wahl; das BSI nennt es nach einem Schadsoftware-Befall als ersten Schritt (laut Notebookcheck). Sichere dafür persönliche Dateien mit Bedacht und übernimm keine unbekannten Programme oder Browser-Erweiterungen einfach in die neue Installation.
Betraf der Vorfall ein beruflich genutztes Gerät oder Konto, informiere die zuständige IT-Stelle, bevor du eigenständig größere Änderungen am System vornimmst. Sie kann Zugänge sperren und den Vorfall nach den dort geltenden Abläufen bearbeiten. Auf einem privaten Gerät gilt ebenfalls: Dokumentiere auffällige Kontomeldungen und Funde, damit du bei weiteren Änderungen nachvollziehen kannst, was wann passiert ist.
Browserhygiene hilft – ein VPN löst das Problem nicht
Halte Browser und Betriebssystem aktuell und installiere Erweiterungen nur, wenn du sie brauchst. Prüfe vor der Installation, wer sie anbietet und welche Berechtigungen sie verlangt; entferne Erweiterungen, deren Zweck du nicht mehr kennst. Auch bei Downloads zählt die Herkunft der Datei. Eine vertraut wirkende Bezeichnung allein macht eine Installation nicht sicher.
Browser rüsten nach. Chrome verschlüsselt Cookies seit Version 127 an die Anwendung gebunden und bietet seit Version 146 unter Windows „Device Bound Session Credentials“: Die Sitzung wird an einen Schlüssel im TPM-Chip gebunden, ein gestohlener Cookie lässt sich ohne diesen Schlüssel nicht erneuern (Help Net Security, 10.4.2026). Webseiten müssen das aber selbst unterstützen. Firefox speichert seine Cookie-Datenbank laut Notebookcheck weiterhin unverschlüsselt. Und Google räumt ein, dass sich Cookie-Diebstahl auf keinem Betriebssystem allein mit Software verlässlich verhindern lässt, wenn die Schadsoftware erst einmal auf dem Gerät ist.
Ein Passwortmanager kann dir helfen, für Konten unterschiedliche Passwörter zu verwenden. Passkeys können dort, wo ein Dienst sie anbietet, die Anmeldung ohne ein klassisches Passwort ermöglichen. Beides ersetzt bei einem Infektionsverdacht jedoch nicht die Prüfung aktiver Sitzungen und des verwendeten Geräts. Auch ein separates Browserprofil ist keine sichere Trennung, wenn das zugrunde liegende System kompromittiert ist.
Ein VPN schützt eine Verbindung in seinem jeweiligen Einsatzbereich; es untersucht dein Gerät nicht auf Info-Stealer und meldet gestohlene Sitzungen nicht automatisch ab. Lass dich deshalb von einem aktiven VPN-Symbol nicht beruhigen, wenn ein Dienst unbekannte Anmeldungen meldet.
Häufige Fehler bei Info-Stealer-Verdacht
| Fehler | Was stattdessen gilt |
|---|---|
| Du kopierst einen Befehl von einer Webseite, um einen Fehler zu beheben oder eine Bestätigung abzuschließen. | Führe niemals Befehle aus, die dir eine Webseite vorgibt. |
| Eine Warnseite bietet eine Bereinigung an, und du installierst sie sofort. | Schließe die Seite und nutze die vorgesehenen Funktionen deiner Sicherheitssoftware. |
| Du meldest dich über den Link einer Alarmnachricht an. | Öffne den Dienst selbst auf einem vertrauenswürdigen Gerät und prüfe dort die Meldung. |
| Du änderst Passwörter auf dem verdächtigen Gerät. | Erledige Kontoänderungen von einem Gerät aus, dem du vertraust. |
| Du änderst nur das Passwort und lässt Sitzungen aktiv. | Prüfe zusätzlich die Möglichkeit, Sitzungen abzumelden. |
| Du hältst Zwei-Faktor-Authentifizierung für einen Beweis, dass niemand im Konto war. | Kontrolliere Kontoaktivität und aktive Sitzungen; eine gestohlene Sitzung erfordert womöglich keine erneute Anmeldung. |
| Du deutest einen Datenleck-Hinweis als Nachweis für Schadsoftware auf deinem Gerät. | Prüfe das betroffene Konto und untersuche das Gerät als eigene Frage. |
| Du wertest einen unauffälligen Scan als endgültige Entwarnung. | Berücksichtige auch fremde Anmeldungen, Kontoänderungen und weitere Auffälligkeiten. |
| Du installierst nach einer Bereinigung alle alten Erweiterungen ungeprüft erneut. | Übernimm nur Erweiterungen, deren Herkunft und Zweck du geprüft hast. |
| Du verlässt dich auf ein VPN, während du das betroffene Gerät weiterverwendest. | Unterbrich bei starkem Verdacht die Nutzung für sensible Vorgänge und sichere deine Konten getrennt ab. |
Praktische Handlungsempfehlungen Oktober 2026
Führe keine Befehle von Webseiten aus. Fehlermeldungen oder Bestätigungen, die dich zum Kopieren eines Befehls auffordern, sind die aktuelle Hauptmasche für Info-Stealer.
Prüfe den Anlass. Öffne eine betroffene Kontoseite über deine bekannte App oder eine selbst eingegebene Adresse auf einem vertrauenswürdigen Gerät. Klicke nicht auf Anmeldelinks aus unerwarteten Warnungen.
Trenne bei starkem Verdacht das Gerät vom Netz. Verwende es nicht weiter für Passwörter, Bestätigungscodes oder Wiederherstellungsdaten. So vermeidest du, bei der Absicherung weitere sensible Angaben auf einem möglicherweise befallenen System einzugeben.
Sichere danach deine Konten. Beginne bei E-Mail und wichtigen Wiederherstellungszugängen, ändere betroffene Passwörter und kontrolliere Sicherheitsoptionen. Melde unbekannte Sitzungen ab, soweit der jeweilige Dienst diese Möglichkeit bietet.
Untersuche anschließend das Gerät. Prüfe Programme, Browser-Erweiterungen und Schutzeinstellungen, aktualisiere die Sicherheitssoftware und führe einen vollständigen Scan aus. Verlasse dich bei der Bewertung nicht allein auf dessen Ergebnis.
Setze ein unklar kompromittiertes System neu auf. Wenn du den Zustand des Geräts nicht verlässlich klären kannst, ist weiteres Anmelden darauf keine gute Abkürzung. Übernimm bei der Neueinrichtung keine unbekannten Programme und Erweiterungen.
Fazit
Ein Info-Stealer muss im Browser keine sichtbaren Spuren hinterlassen. Unbekannte Kontositzungen verlangen Aufmerksamkeit, zeigen aber für sich genommen weder die Ursache noch eine bestimmte Schadsoftware. Auch ein Scan ohne Fund klärt nicht, ob bereits Daten abgeflossen sind.
Prüfe Warnungen über den betroffenen Dienst auf einem vertrauenswürdigen Gerät. Bei starkem Verdacht sicherst du dort zuerst deine Konten und Sitzungen und untersuchst das verdächtige Gerät getrennt. Kannst du seinen Zustand nicht verlässlich klären, verwende es nicht weiter für sensible Anmeldungen und setze es neu auf.
Quellen und weiterführende Informationen
Haftungsausschluss
Transparenzhinweis: Dieser Artikel ordnet öffentlich zugängliche Informationen ein, vor allem die oben genannten Quellen (Stand: Oktober 2026). Wir testen und messen nicht selbst. Wo es um Produkte geht, stützen sich die Aussagen auf Herstellerangaben und die Tests anderer Redaktionen.
Sicherheitshinweis: Verlass dich bei Verdacht auf einen Info-Stealer nicht auf einen unauffälligen Browser oder einen Scan ohne Fund. Nutze ein vertrauenswürdiges Gerät, um betroffene Konten zu sichern und aktive Sitzungen abzumelden. Hol dir fachliche Hilfe, wenn du einen Befall nicht verlässlich klären oder bereinigen kannst.
Aktueller Stand: Angriffswege und Schutzfunktionen verändern sich. Prüfe die aktuellen Sicherheitshinweise deines Betriebssystems, Browsers und der betroffenen Kontodienste. Behandle jede Maßnahme als Risikominderung, nicht als Gewissheit, dass keine Daten abgeflossen sind.
Affiliate-Hinweis: Enthält dieser Artikel Links zu Produkten oder Händlern, kann es sich um Affiliate-Links handeln: Bei einem Kauf darüber erhält vpnsafe.de eine Provision, ohne dass sich dein Preis erhöht. Genannte Markennamen sind Warenzeichen der jeweiligen Inhaber und dienen der sachlichen Information; es handelt sich um keine bezahlte Empfehlung.
Affiliate-Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * oder als Amazon-Partnerlink gekennzeichnet). Bei einem Kauf über diese Links erhalten wir eine kleine Provision – für dich entstehen dabei keine zusätzlichen Kosten. Wir empfehlen nur Produkte, die wir für sinnvoll halten.
