Malware

Fileless Malware

Schadsoftware, die ohne dauerhafte Dateien auskommt und ausschließlich im Arbeitsspeicher oder durch Missbrauch legitimer Systemwerkzeuge operiert.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Normaler Hacker: Lädt eine verdächtige Datei runter, die Antivirensoftware erkennt sie. Fileless Malware: Macht alles im RAM, ohne Dateien zu schreiben. Der Antivirus hat nichts zu scannen — die Malware ist nur im Speicher und verschwindet nach einem Neustart, hat aber bis dahin alles erledigt.”

Ausführliche Erklärung

Fileless Malware hinterlässt keine Dateien auf der Festplatte und ist damit für klassische Antivirus-Lösungen (signaturbasiert) nahezu unsichtbar. Techniken: PowerShell-Missbrauch (Schadcode direkt in Memory geladen), Process Injection (Code in legitime Prozesse injiziert), Registry-basierte Persistenz, WMI-Missbrauch und Living-off-the-Land (LoL) Techniken (legitime Systemtools für bösartige Zwecke nutzen). Laut Studie sind fileless Angriffe bis zu 10x häufiger erfolgreich als dateibasierte.

>Wie funktioniert das?

Initialer Zugang: oft via Phishing-E-Mail mit Macro oder Exploit

Schadcode wird direkt in den Arbeitsspeicher geladen (kein File auf Festplatte)

Legitime Windows-Tools werden missbraucht: PowerShell, WMI, certutil, mshta

Persistenz via Registry oder WMI-Events (ohne sichtbare Dateien)

Aktionen (Lateral Movement, Datenexfiltration) werden ausschließlich im Memory ausgeführt.

?Häufig gestellte Fragen

Antwort

Hauptsächlich APT-Gruppen und professionelle Cyberkriminelle (Ransomware-Gruppen, Banking-Trojaner wie Emotet) die gezielt Erkennungssysteme umgehen wollen.

Antwort

"Living off the Land" (LoL) bedeutet ausschließlich legitime Systemtools nutzen: PowerShell, WMI, certutil, regsvr32 — diese sind vorinstalliert, signiert und werden von Antivirus nicht geblockt.

Antwort

EDR überwacht Prozessverhalten, PowerShell-Ausführung und Memory-Anomalien in Echtzeit — statt nach Datei-Signaturen zu suchen. Das ist der einzige effektive Schutz gegen Fileless-Techniken.

Antwort

Weil der RAM bei einem Neustart gelöscht wird. Daher nutzen Angreifer Registry-Keys oder WMI-Events für Persistenz — auch das ohne sichtbare ausführbare Dateien.

Antwort

Durch Überwachung von PowerShell- und WMI-Aktivitäten, Analyse von Prozess-Injection-Ereignissen, Memory-Forensik, Netzwerktraffic-Analyse und verhaltensbasierte EDR-Erkennung.

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC