Rogueware: Das gefälschte Virenschutzprogramm auf dem eigenen Rechner

Woran erkennst du sie?

• Das Programm ist tatsächlich auf dem Gerät installiert: Es taucht in der Programmliste auf, hat ein eigenes Symbol und startet beim Hochfahren automatisch mit
• Anders als beim Browser-Popup verschwindet die Warnung nicht, wenn man den Browser schließt oder den Tab beendet — das Programm läuft weiter auf dem Gerät und meldet sich erneut
• Oberfläche, Logos und Warnsymbole imitieren das Layout seriöser Antivirenprogramme oder bekannter Sicherheitsfirmen
• Ein angeblicher Systemscan läuft ungewöhnlich schnell durch und meldet eine unrealistisch hohe Bedrohungslage, etwa gleich mehrere Viren oder eine große Zahl angeblicher „Systemfehler“ auf einmal
• Die Bereinigung ist gesperrt: Zum Entfernen der angeblichen Funde wird der Erwerb des Programms oder einer Lizenz verlangt
• Wer nicht zahlt, bekommt in regelmäßigen Abständen immer wieder falsche Virenwarnungen mit Zahlungsaufforderung angezeigt
• Panikmache mit Großbuchstaben, vielen Ausrufezeichen und Drohszenarien — ein echtes Antivirenprogramm baut keine Drohkulisse auf, sondern zeigt ruhig und sachlich eine Lösung auf
• Die Software kam häufig ungewollt mit: Sie war in einem anderen, harmlos wirkenden Softwarepaket versteckt und wurde bei dessen Installation aktiv mitinstalliert
• Die Programme haben laut BSI häufig überhaupt keine Funktion; sie dienen dazu, zum Kauf zu bewegen und an die Kreditkartendaten zu gelangen

Typischer Ablauf

1. Beim Surfen erscheint in separaten Browserfenstern eine Warnung, der Rechner sei mit Schadsoftware infiziert; die Meldungen sehen denen seriöser Antivirenprogramme täuschend ähnlich und fordern zum Download eines angegebenen Virenschutzprogramms auf
2. Alternativer Weg auf das Gerät: Das Programm ist in einem anderen, harmlos wirkenden Softwarepaket versteckt und wird bei dessen Installation unbemerkt mitinstalliert
3. Nach der Installation startet die Software einen vorgetäuschten Scan und meldet nach kurzer Zeit zahlreiche angebliche Infektionen, Sicherheitslücken oder Systemfehler
4. Der Klick auf „Alle Bedrohungen entfernen“ bereinigt nichts, sondern führt zur Aufforderung, das Programm zu erwerben oder eine Lizenz zu kaufen beziehungsweise sich zu registrieren
5. Wird nicht gezahlt, erscheinen in regelmäßigen Abständen weiter falsche Virenwarnungen mit Zahlungsaufforderung; das Programm startet bei jedem Hochfahren erneut mit und lässt sich nicht einfach wegklicken
6. Wer bezahlt, gibt seine Kreditkartendaten in ein Bezahlformular ein und erhält ein Programm, das häufig überhaupt keine Funktion hat
7. Teilweise bleibt es nicht beim nutzlosen Kauf: Die Installation infiziert den Rechner tatsächlich mit Schadsoftware, die Daten ausspäht oder das Gerät beispielsweise an ein Botnetz anschließt

Typische Formulierungen der Täter

Sinngemäß wiedergegeben, keine wörtlichen Originalzitate.

• „Achtung, Ihr Computer ist von einem Virus befallen!!!! Laden Sie sofort dieses Schutzprogramm herunter!!!“ — typische Aufmachung mit Großbuchstaben und Ausrufezeichen
• Nach dem vorgetäuschten Scan: „Scan abgeschlossen — kritische Bedrohungen und zahlreiche Systemfehler gefunden. Ihr PC ist stark gefährdet.“
• Die Schaltfläche „Alle Bedrohungen entfernen“ öffnet statt einer Bereinigung ein Bezahlformular
• „Diese Funktion ist nur in der Vollversion verfügbar. Aktivieren Sie jetzt Ihre Lizenz, um die gefundenen Bedrohungen zu entfernen.“
• Wiederkehrende Meldung nach jedem Hochfahren: „Ihr Schutz ist nicht aktiviert — registrieren Sie Ihre Lizenz, um Ihr System zu bereinigen.“