(Dieser Text wurde mit Unterstützung von KI aus dem Englischen ins Deutsche übersetzt.)
Ein Nutzer klickt auf den falschen Link und besucht eine dubiose Website, lädt eine PDF-Datei herunter, öffnet sie und plötzlich wirkt sein System träge. Also sucht er im Internet nach Hilfe. Ein hilfsbereiter Mensch, der in der IT arbeitet, könnte sinngemäß Folgendes sagen:
„Browser sind sicher, man kann sich nicht allein durch den Besuch einer Website infizieren.“
„Dafür wäre ein Zero-Day-Exploit nötig, und die sind extrem selten und teuer und werden nur bei gezielten Angriffen eingesetzt.“
„PDFs können keine Malware sein. Man muss eine EXE-Datei herunterladen und ausführen, um sich zu infizieren.“
Ich habe mehrere Probleme mit solchen Ratschlägen. Das liegt aber nicht nur daran, dass ich dazu neige, pedantisch zu sein – was mir durchaus bewusst ist. Ich glaube, dass solche pauschalen Aussagen langfristigen Bemühungen zur Malware-Prävention schaden. Aber beginnen wir zunächst damit, warum diese Aussagen falsch sind. Und wenn ich meine neurotypischen Leserinnen und Leser davon überzeugt habe, dass ich tatsächlich zur Pedanterie neige, schauen wir uns einmal an, wie genau solche Aussagen der Prävention langfristig schaden.
Aussage 1: „Browser sind sicher, man kann sich nicht allein durch den Besuch einer Website infizieren“ (sic!)
Browser sind tatsächlich vergleichsweise sicher, seit die Ära der Drive-by-Downloads über Java-Applets vorbei ist. Heutzutage verwenden jedoch immer mehr Menschen KI-Erweiterungen, die Eingaben von beliebigen besuchten Websites auslesen und für Prompt Injection anfällig sind. Schon der bloße Besuch der falschen Website kann dazu führen, dass eine KI-Erweiterung Daten exfiltriert oder schädliche Befehle ausführt. Auch wenn das kein Problem des Browsers selbst ist, stimmt die Aussage, ein System könne sich „nicht durch den Besuch einer Website infizieren“, nicht.
Browser-Exploits sind eine weitere Möglichkeit, wie der Besuch einer Website dem System schaden kann, womit wir bei der nächsten Aussage wären.
Aussage 2: „Dafür wäre ein Zero-Day-Exploit nötig, und die sind extrem selten und teuer und werden nur bei gezielten Angriffen eingesetzt“ (sic!)
Warum liegt der Fokus so stark auf Zero-Day-Exploits? Für gezielte Angriffe ist kein Zero-Day nötig. Tatsächlich reicht ein vier Tage alter Exploit, ein vier Monate alter oder manchmal sogar ein vier Jahre alter Exploit völlig aus. Zero-Day bezeichnet Exploits, die der Öffentlichkeit bislang unbekannt sind. Aber auch alte Exploits funktionieren und werden häufiger eingesetzt, weil sie bekannt sind, häufig Proof-of-Concept-Code auf GitHub verfügbar ist oder sie sich mit Exploitation-Frameworks automatisiert erzeugen lassen. Es gibt mehr als genug Systeme mit veralteter Software, und wenn man mit einer fremden Person im Internet spricht, die wegen einer möglichen Infektion um Rat bittet, besteht durchaus die Möglichkeit, dass auf ihrem System veraltete Software installiert ist.
Exploits sind nicht selten. Ich sehe sie nicht nur bei meiner Arbeit beinahe jeden zweiten Tag, auch die nackten Zahlen sollten überzeugen: Laut ZeroThreat wurden 2025 insgesamt 48.185 CVEs veröffentlicht. Das sind im Durchschnitt 133 pro Tag.
Viele Menschen scheinen zu glauben, dass Exploits ausschließlich gezielt und niemals opportunistisch eingesetzt werden. Vermutlich, weil sie außerdem davon ausgehen, dass Exploits enorme Ressourcen in Form von Zeit oder Geld erfordern und deshalb nicht an beliebige Ziele „verschwendet“ werden. Aber das ist falsch. Man muss sich nur WannaCry ansehen, das den öffentlich bekannten EternalBlue-Exploit nutzte, um weltweit massenhaft Systeme zu infizieren. Und sobald es einen einfach zu verwendenden, öffentlich bekannten Exploit gibt, kann man fast sicher davon ausgehen, dass Kriminelle ihn opportunistisch einsetzen werden. Es gibt keinen Grund anzunehmen, dass solche Exploits niemals Browser, verbreitete Browser-Erweiterungen oder gängige PDF-Viewer betreffen werden. In diesem Jahr allein hat Google mindestens drei aktiv ausgenutzte Chrome-Schwachstellen behoben, die Remote Code Execution ermöglichten: CVE-2026-2441, CVE-2026-3910 und CVE-2026-5281.
„Nur bei gezielten Angriffen eingesetzt“ scheint außerdem vorauszusetzen, dass die meisten Menschen gar nicht zum Ziel werden können. Das Argument mit gezielten Angriffen taucht häufig auf, nicht nur bei Exploits, sondern auch bei Bootkits oder allem anderen, was derzeit nicht zur üblichen Malware-Landschaft gehört. Offenbar gibt es die Vorstellung, gezielte Angriffe richteten sich ausschließlich gegen berühmte Personen, Politiker oder CEOs großer Unternehmen. Aber jeder kann zum Ziel werden. Natürlich ist es unrealistisch, dass jemand für Tausende Dollar einen Zero-Day kauft, nur um an deinen privaten Steam-Account zu gelangen. Wenn du beruflich jedoch einen Computer verwendest, könntest du allein deshalb zum Ziel werden, weil sich darüber ein Einstiegspunkt in das Unternehmensnetzwerk schaffen lässt.
Aussage 3: „PDFs können keine Malware sein. Man muss eine EXE-Datei herunterladen und ausführen, um sich zu infizieren“ (sic!)
Der Nutzer in diesem fiktiven Szenario beschreibt, dass er eine PDF heruntergeladen hat. Seit John Hammond in einem Video mit rund 130.000 Aufrufen behauptet hat, PDFs seien grundsätzlich sicher zu öffnen, verbreiten seine Zuschauer die pauschale Aussage „PDFs können keine Malware sein“ weiter – allerdings ohne Hammonds differenzierte Erklärungen und die eher ungewöhnliche Malware-Definition aus dem Video. Um das klarzustellen: PDF-Dateien können absolut Malware sein, sie sind heutzutage lediglich nicht so weit verbreitet.
Es ist außerdem etwas unklar, was genau mit dem Herunterladen und Ausführen einer „EXE“-Datei gemeint ist. Viele Menschen werden darunter eine Datei mit der Endung „.exe“ verstehen, und das deckt längst nicht alle Dateien ab, die schädlichen Code enthalten können. Die Person, die diese Aussage trifft, meint höchstwahrscheinlich alles, was „ausführbar“ ist. Die Allgemeinbevölkerung weiß jedoch nicht, was ausführbar ist und was nicht, und hat ihre eigenen Vorstellungen davon. So wissen Menschen beispielsweise möglicherweise nicht, welche Dokumenttypen ausführbaren Code enthalten können. Erschwerend kommt hinzu, dass auch nicht-ausführbare Dateien durchaus als Infektionsvektor dienen können, zum Beispiel externe Vorlagen in Office-Dokumenten oder OneNote-Dokumente.
Was passiert also, wenn ein wohlmeinender Helfer den besorgten Nutzer fragt, ob er eine „EXE“ ausgeführt habe? Der Nutzer wird höchstwahrscheinlich mit „Nein“ antworten – selbst wenn er eine LNK-Datei mit PDF-Symbol heruntergeladen und doppelt angeklickt hat, die über PowerShell Malware sowie eine Köder-PDF ausgeführt hat. In seiner Vorstellung hat er lediglich eine PDF geöffnet, die viele Menschen im Internet, einschließlich professioneller Sicherheitsforscher, bereits für sicher erklärt haben.
Häufige Veränderungen der Bedrohungslandschaft
Seit ich vor elf Jahren angefangen habe, in diesem Bereich zu arbeiten – und weil ich mich dafür interessiere, wie Malware sich im Laufe der Zeit verändert und warum sie sich so entwickelt hat – habe ich häufige und plötzliche Veränderungen der Malware-Landschaft erlebt. Innerhalb von ein oder zwei Jahren sind bestimmte Malware-Typen beinahe ausgestorben, während neue Infektionsvektoren auftauchten und innerhalb weniger Monate die Landschaft dominierten.
Um einige Beispiele zu nennen: Um 2015 waren Flash-Malware und Java-Drive-by-Downloads noch weit verbreitet und verschwanden kurz darauf nahezu vollständig, weil Browser diese Technologien nicht mehr zuließen. Ransomware, die Dateien verschlüsselt, hatte gerade erst begonnen aufzutauchen und entwickelte sich zu einer sehr weit verbreiteten Malware-Kategorie. Screenlocker-Ransomware hingegen wurde ungefähr zur gleichen Zeit beinahe bedeutungslos, weil die Verschlüsselung von Dateien für Kriminelle deutlich lukrativer war – und weiterhin ist.
Zu den jüngeren Veränderungen gehört der Wechsel von klassischen Malware-Loader-Familien hin zum Missbrauch legitimer Fernwartungssoftware für die initiale Infektion. Der Hauptgrund dafür ist die Zerschlagung von Loader-Familien durch Strafverfolgungsbehörden im Rahmen der Operation Endgame, die im Mai 2024 begann und deren jüngste Aktionen im Juni 2026 stattfanden. Ende 2022 begann ein massiver Anstieg von Malware, die über OneNote-Dokumente verbreitet wurde; mittlerweile ist diese Entwicklung nahezu vollständig abgeklungen. Heutzutage sehen wir Nutzer, die selbst schädliche Befehle kopieren, einfügen und ausführen, weil sie glauben, damit ein Captcha zu lösen (ClickFix-Angriffe).
Ungenaue Verallgemeinerungen schaden der Malware-Prävention
Pauschale Aussagen wie „PDFs sind niemals schädlich“ oder „der Besuch einer Website infiziert das System nicht“ wurden den Menschen über Jahre hinweg immer wieder eingetrichtert und auch zum Training großer Sprachmodelle verwendet. Doch wenn sich die Bedrohungslandschaft plötzlich verändert, werden genau solche Aussagen zu einem entscheidenden Faktor dafür, dass entsprechende Methoden als Infektionsvektoren besonders effektiv werden. Sie funktionieren hervorragend, nachdem Nutzer darauf „trainiert“ wurden, Sicherheitsvorkehrungen zu ignorieren, die eine Infektion eigentlich verhindern könnten.
Anstatt also allen zu erzählen, bestimmte Handlungen seien grundsätzlich immer sicher, wäre es wesentlich besser, generell zu einem gewissen Maß an Vorsicht beim Besuch beliebiger Websites und beim Herunterladen von Dateien aus dem Internet zu raten. Das erfordert allerdings differenzierte Antworten auf Hilfegesuche – und daran haben Internetnutzer häufig wenig Interesse.
Andererseits: Der Nutzer, dem man antwortet, möchte in diesem Moment lediglich hören, dass alles in Ordnung ist. Das kann ich auch durchaus verstehen. Und vielleicht ist auch gerade in genau dieser Situation sogar wirklich alles in Ordnung. In seiner Verzweiflung will er keine differenzierte Betrachtung. „Der Besuch einer Website infiziert dich nicht“ ist für diesen Moment eine funktionierende Abkürzung, aber die langfristige Wirkung auf alle, die das mitlesen, ist tatsächlich schädlich.
Den durchschnittlichen Reddit-Nutzer werde ich nicht überzeugen können. Dass das unrealistisch wäre, weiß ich selbst. Dennoch hoffe ich, an meine Kolleginnen und Kollegen aus Forschung und Analyse appellieren zu können, auf Verallgemeinerungen zu verzichten, nur um Dinge „abzukürzen“. Schließlich seid ihr diejenigen, denen die Menschen bei Sicherheitsempfehlungen am meisten vertrauen – oder zumindest vertrauen sollten.
