Emotet: Der Malware-Loader hinter Ransomware
Emotet ist der Malware-Loader hinter den meisten Ransomware-Angriffen. Nachfolger PikaBot und DarkGate verbreiten sich 2025 über Microsoft Teams und Phishing.
Was ist diese Bedrohung?
Ein Malware-Loader ist ein kleines Programm, dessen einzige Aufgabe es ist, Ihr Gerät still zu infizieren und dann eine zweite, gefährlichere Nutzlast herunterzuladen — typischerweise Ransomware, einen Banking-Trojaner oder ein Remote-Access-Tool.
Emotet (aktiv 2014–2023) war der gefährlichste Malware-Loader der Welt — von Europol als „gefährlichste Malware der Welt" bezeichnet. Er infizierte Millionen von Geräten durch in Microsoft-Office-Dokumente versteckte Malware in überzeugenden Phishing-E-Mails und vermietete Zugriff auf infizierte Rechner an andere kriminelle Gruppen.
Obwohl Emotet selbst seit Ende 2023 weitgehend inaktiv ist, leben das Infektionsmodell und seine Nachfolger in 2025–2026 fort.
So funktionierte Emotet (und seine Nachfolger heute)
Klassische Emotet-Kette (2018–2022):
2022 — Microsoft deaktiviert Makros:
Im Juli 2022 deaktivierte Microsoft VBA-Makros in aus dem Internet heruntergeladenen Office-Dokumenten standardmäßig — was Emotets primären Lieferweg fast über Nacht zerstörte.
2023–2026 — Neue Loader, neue Vektoren:
.one). Wird zur Lieferung von Cobalt Strike und Ransomware verwendet.2026: KI-gestützte Zustellung:
Malware-Loader nutzen zunehmend KI-generierte Phishing-Inhalte — fehlerfreie E-Mails in der Sprache des Ziels, personalisiert mit LinkedIn-Daten, versendet zu psychologisch optimalen Zeiten.
Reale Auswirkungen
Warnsignale
.one)- oder HTML-Anhänge, selbst von bekannten Absendern.Wie Sie sich schützen können
- Niemals Makros in per E-Mail empfangenen Office-Dokumenten aktivieren — Microsoft hat sie aus gutem Grund standardmäßig deaktiviert; das Reaktivieren ist fast immer eine Social-Engineering-Falle
- Externe Microsoft-Teams-Nachrichten von unbekannten Domains in den Mandanteneinstellungen blockieren oder Admin-Genehmigung erfordern — DarkGate nutzt die standardmäßig offene Konfiguration aus
- E-Mail-Sicherheits-Gateway mit Sandboxing für Anhänge (OneNote, ZIP, PDF) vor der Zustellung einsetzen
- Windows, Office und Browser-Erweiterungen vollständig gepatcht halten — viele Loader nutzen bekannte Sicherheitslücken in veralteter Software
- Endpoint Detection and Response (EDR) verwenden, das Prozessverhalten überwacht, nicht nur Datei-Signaturen
Was zu tun ist, wenn betroffen
- 1.Bei aktivierten Makros oder verdächtigen Dateien sofort vom Netzwerk trennen und IT-Team informieren
- 2.Vollständigen Offline-Antivirusscan mit einer bootfähigen Rettungsdiskette durchführen (ESET, Kaspersky, Bitdefender bieten kostenlose Rescue-ISOs an)
- 3.Alle Passwörter von einem sauberen, nicht infizierten Gerät ändern — Emotet und seine Nachfolger ernten gespeicherte Zugangsdaten
- 4.Phishing-E-Mail bei nationaler Cybersicherheitsbehörde melden (Österreich: cert.at, Deutschland: BSI)
- 5.In Unternehmensnetzwerken laterale Ausbreitung annehmen — alle Geräte prüfen, die in den 48 Stunden vor Erkennung mit dem infizierten Gerät kommunizierten