Überprüfen, ob jemand meinen Computer benutzt

Entdecken Sie in diesem Leitfaden, wie Sie überprüfen können, ob jemand unbefugt Ihren Computer genutzt hat, und lernen Sie, verdächtige Aktivitäten zu erkennen und zu verhindern.

Eines der lästigsten Probleme in der Familie oder im Haushalt ist die gemeinsame Nutzung desselben Computers. Ein PC ist persönlich, jeder organisiert ihn nach Belieben, und wir springen nicht vor Freude, wenn jemand anders ihn berührt, verschiebt oder Dateien darin verändert, vielleicht Einstellungen anpasst, Daten löscht oder sich um unsere Angelegenheiten kümmert. Wenn wir vermuten, dass jemand unseren PC verwendet, während wir nicht zu Hause sind, zeigen wir Ihnen in diesem Leitfaden, wie Sie überprüfen können, ob jemand unseren PC benutzt hat, was er angesehen hat und was er getan hat.

Die Sichtbaren Signale: Symptome von geheimen Aktivitäten

Ein Eindringen, sei es ein aktives Fernzugriff oder eine Überwachungssoftware, hinterlässt fast immer Spuren. Manchmal sind sie offensichtlich, manchmal erfordert es ein erfahrenes Auge. Eine plötzliche Verlangsamung der Leistung, ein System, das ohne erkennbaren Grund einfriert oder abstürzt, ist oft ein erstes Indiz: Ein bösartiges Programm, möglicherweise ein Crypto Miner oder ein Remote Access Trojan (RAT), verbraucht einfach wertvolle Ressourcen. Es ist ein Signal, das niemals unterschätzt werden sollte.

Man sollte auch auf Folgendes achten:

• Unerwartete Aktivitäten: Der Mauszeiger bewegt sich von selbst, Fenster öffnen sich, Programme starten ohne Befehl, oder die Webcam aktiviert sich mit eingeschaltetem Licht zu unpassenden Zeiten. Dies ist ein Indikator für aktiven Fernzugriff.
• Änderungen an den Konfigurationen: Änderungen der Startseite des Browsers, die Installation unerwarteter Toolbars oder schlimmer noch, das Auftauchen neuer Benutzerkonten im System, die nicht vom Administrator erstellt wurden. Ein unbefugter Zugriff zielt häufig darauf ab, eine Persistenz herzustellen.
• Erhöhung des Netzwerkverkehrs: Eine Internetverbindung, die sehr überlastet ist, selbst wenn der Computer scheinbar inaktiv ist, deutet darauf hin, dass jemand Daten remote überträgt oder empfängt, beispielsweise Dateien stiehlt.

Spuren von physischem Zugang und modifizierten Dateien

Nicht alle Zugriffe sind remote. Wenn der Computer geteilt oder unbeaufsichtigt gelassen wird, kann ein Eindringen lokal erfolgen. Um zu überprüfen, ob jemand den PC benutzt hat, während wir abwesend waren, kann eine schnelle Untersuchung unbefugten Zugang offenbaren. Unter Windows genügt es, den Datei-Explorer zu öffnen und den Bereich "Schnellzugriff" oder "Zuletzt verwendet" zu konsultieren. Hier werden die zuletzt geöffneten Dokumente, Ordner und Programme aufgelistet, selbst wenn sie sofort nach der Benutzung geschlossen wurden.

Um zu überprüfen, ob jemand unseren Computer ohne Erlaubnis verwendet hat, ist Everything ein schnelles Tool zur Dateisuche, das sich hervorragend für unseren Zweck eignet. Nach dem Herunterladen und Installieren des Programms starten wir die App und drücken am Ende des Ladevorgangs auf die Spalte Zuletzt geändert, um alle Dateien auf dem PC chronologisch (vom zuletzt geänderten zur ältesten) zu sortieren.

Indem wir die Liste durchscrollen, sehen wir jede einzelne Datei, die von Windows oder Programmen (die alle nicht gelöscht werden können) geändert oder erstellt wurde, einschließlich der Dateien für die Browserprofile oder für das Öffnen eines bestimmten Programms. Mit Geduld und Willen können wir die Nutzung unseres PCs vom Einschalten bis zum Ausschalten rekonstruieren, um genau zu wissen, was in unserer Abwesenheit gemacht wurde.

Unter Mac erfüllt der Bereich "Zuletzt verwendet" im Finder dieselbe Funktion. Wenn Dokumente erscheinen, die wir nicht berührt haben, oder sogar kürzlich geöffnete Systemprogramme und versteckte Ordner, ist es sehr wahrscheinlich, dass jemand im Dateisystem navigiert hat. Diese Methode, so banal sie auch erscheinen mag, wird oft von denen übersehen, die spionieren oder neugierig sind.

Analyse des Betriebssystems: Kontrolle von Prozessen und Benutzern

Bevor wir auf externe Software zurückgreifen, bieten die Betriebssysteme Windows und Mac äußerst leistungsstarke interne Diagnosetools, um mit der Suche nach dem Eindringling zu beginnen.

Aufgabenverwaltung und Überwachung (Task-Manager/Activity Monitor)

Zuerst öffnen wir den Task-Manager unter Windows (Strg+Shift+Esc) oder Activity Monitor unter Mac (Programme > Dienstprogramme). Hier haben wir eine Echtzeitansicht von allen

Prozesse, die ausgeführt werden.

Im Windows-Task-Manager konzentrieren Sie sich auf zwei grundlegende Registerkarten:

• Prozesse: Suchen Sie nach Prozessen mit ungewöhnlichem CPU, Speicher oder Netzwerk-Verbrauch. Wenn Sie einen seltsamen Programmnamen sehen oder eines, das viel verbraucht, obwohl es nicht gestartet wurde, ist dies ein Verdacht, der dringend untersucht werden sollte.
• Benutzer: Dies ist der offensichtlichste Hinweis. Überprüfen Sie, ob es aktive Benutzersitzungen neben Ihrer gibt. In einem Windows-System wird ein entfernter Benutzer oft hier als separate Sitzung angezeigt, es sei denn, es handelt sich um einen sehr fortgeschrittenen Zugriff.

Im Aktivitätsmonitor von Mac ist der Abschnitt Netzwerk nützlich, um Anwendungen mit hohem Datenfluss zu überprüfen. Unbekannte Programme, die große Datenmengen austauschen, sind ein deutliches Warnsignal.

Überprüfung der Fernzugriffsprogramme

Ein Angreifer wird selten das native RDP-Protokoll (Remote Desktop Protocol) verwenden, da es offensichtlich ist und deutlichere Spuren hinterlässt. Er wird bevorzugen, heimlich Fernsteuerungsprogramme zu installieren. Überprüfen Sie unter Installierte Anwendungen (Systemsteuerung > Programme oder Windows/Mac-Einstellungen), ob Namen wie TeamViewer, AnyDesk, LogMeIn, VNC oder GoToMyPC aufgeführt sind, an deren Installation Sie sich nicht erinnern oder die Sie nicht regelmäßig verwenden. Selbst wenn die Software nicht ausgeführt wird, ist die unbefugte Installation ein Alarmzeichen.

Das größte Problem bei diesen Programmen ist, dass sie einmal installiert, wenn sie für den unbeaufsichtigten Zugriff und mit schwachen Passwörtern konfiguriert sind, zu einem permanenten Hintertür werden, die viel gefährlicher ist als einfaches temporäres Malware. Die Überprüfung der Anwendungen ist eine wesentliche Kontrolle, die regelmäßig durchgeführt werden sollte.

Überprüfung der Zugriffsprotokolle (Ereignisanzeige)

Betriebssysteme führen ein detailliertes Protokoll jedes Zugriffs. Wenn jemand den Computer physisch genutzt hat, während wir nicht anwesend waren, oder sich remote verbunden hat, sind die Informationen vorhanden, auch wenn sie zwischen Hunderten von Ereignissen verborgen sind:

• Unter Windows: Öffnen Sie das Ausführen-Fenster (Win + R) und geben Sie eventvwr ein, um die Ereignisanzeige von Windows zu starten.

  Gehen Sie zu Windows-Protokolle > Sicherheit. Sie müssen die Ereignisse filtern oder durchscrollen, um nach Ereigniscodes zu suchen, die sich auf Logon (Anmeldung) und Logoff (Abmeldung) beziehen. Erfolgreiche Anmeldeereignisse zu Zeiten, in denen wir nicht am PC waren, sind sehr klare Anzeichen für eine Eindringung.

  Da die Einträge, nach denen im Ereignis-Viewer gesucht werden muss, für einen unerfahrenen Benutzer schwer zu interpretieren sein können, können wir uns helfen, indem wir auf unserem Computer WinLogOnView installieren, ein kostenloses Tool, das von der bekannten Firma Nirsoft entwickelt wurde, die für ihre zahlreichen nützlichen Tools für jede Situation bekannt ist. Um herauszufinden, wer auf unseren Computer zugegriffen hat, klicken wir auf die Spalte mit dem Titel Anmeldezeit, um die Zugriffe chronologisch anzuzeigen, vom neuesten bis zum ältesten: im Vergleich zu unseren Nutzungszeiten und -dauern ist es nicht schwierig zu verstehen, zu welcher Uhrzeit der Computer ohne unsere Erlaubnis verwendet wurde.

• Unter Mac: Die Anwendung Konsole (Programme > Dienstprogramme) bietet Zugriff auf die Systemprotokolle, in denen Sie nach Einträgen suchen können, die sich auf Remote Desktop oder nicht erkannte SSH-Zugriffe beziehen. Die Suche nach Datum und Uhrzeit hilft, den verdächtigen Zeitraum einzugrenzen.

Erweiterte Tricks: Kommandozeile und Systemprotokolle

Für eine tiefere Analyse müssen Sie sich mit fortgeschrittenen Tools auseinandersetzen, die oft bereits im System vorhanden sind und eine detailliertere Sicht bieten.

Überprüfung der offenen Verbindungen mit Netstat

Dies ist die effektivste Methode, um eine remote Verbindung in Echtzeit zu identifizieren. Der Befehl Netstat zeigt alle eingehenden und ausgehenden Verbindungen vom Computer und die Ports an, die überwacht werden (Listening).

• Unter Windows: Öffnen Sie die Eingabeaufforderung (indem Sie cmd im Startmenü eingeben) und führen Sie den Befehl aus:

  netstat -bano

  • -a: Zeigt alle Verbindungen und...
  • Die Befehle für Windows:
    • -i: Zeigt aktive Verbindungen an.
    • -n: Zeigt Adressen und Ports im numerischen Format an (schneller).
    • -b: Zeigt den Namen der ausführbaren Datei (*.exe*), die die Verbindung hergestellt hat.
    • -o: Zeigt die PID (Process Identifier) des Prozesses an.
  • Auf Mac/Linux: Öffnen Sie das Terminal und geben Sie ein:

    sudo lsof -i -P -n oder netstat -an | grep LISTEN

    Der Befehl lsof ist umfassender und zeigt den Namen des Prozesses (COMMAND) sowie die zugehörige PID der Verbindung an.

  Wenn eine Verbindung mit dem Status ESTABLISHED zu einer unbekannten IP-Adresse oder einem LISTENING Port angezeigt wird, der mit einem Programm verbunden ist, das wir nicht gestartet haben, sollten Sie die PID notieren und im Task-Manager nach dem verantwortlichen ausführbaren Prozess suchen und diesen sofort beenden.

  Werkzeuge spezialisiert für die schwierigsten Fälle

  Manchmal versteckt sich der Eindringling mit wesentlich hinterhältigeren Techniken, wie Rootkits oder maskierten Prozessen. In diesen Fällen ist es erforderlich, auf fortschrittliche Diagnosetools zurückzugreifen, die tiefer im Betriebssystem graben.

  Fortgeschrittene Diagnose mit Sysinternals

  Das kostenlose **Sysinternals Suite**-Paket von Microsoft enthält forensische Analysetools für Windows, die weit über den Task-Manager hinausgehen und als Standard von Sicherheitsexperten angesehen werden:

  • Process Explorer: Eine super starke Alternative zum Task-Manager. Sie ermöglicht es, die Hierarchie der Prozesse zu sehen, wer sie gestartet hat und vor allem, die offenen Netzwerkverbindungen jedes ausführbaren Programms klarer zu überprüfen.
  • TCPView: Wie der Name schon sagt, ist es eine benutzerfreundlichere Version von netstat. Es zeigt in einer praktischen grafischen Oberfläche alle aktiven TCP- und UDP-Sockets (Verbindungen) an, einschließlich der Remote-Adresse und des Status, was hilfreich ist, um versteckten Datenverkehr zu erkennen, ohne die Eingabeaufforderung verwenden zu müssen.

  Scannen Sie nach Keylogger und Spyware auf der Webcam

  Keylogger und Werkzeuge zum Überwachen der Webcam zählen zu den heimtückischsten Formen von Spyware und Rootkits. Diese Programme sind spezifisch so konzipiert, dass sie von herkömmlichen Antivirenprogrammen nicht erkannt werden, indem sie sich auf Kernel-Ebene verstecken oder ihre Prozesse maskieren.

  Um sie zu erkennen, ist es entscheidend, Tools zu verwenden, die über einen Standard-Scan hinausgehen:

  • Malwarebytes Anti-Rootkit: Bietet eine spezielle kostenlose Version zur Suche und Entfernung der bekanntesten Rootkits und arbeitet auf einer tieferen Ebene als ein Standard-Antivirus-Scan. Es ist ein wesentlicher erster Schritt, um die Spuren von Keyloggern und Überwachungssoftware aufzuspüren.
  • GMER: Ein sehr altes Tool, das hauptsächlich für erfahrene Benutzer (nur Windows) bestimmt ist und eine Kernel-Inspektion durchführt, um versteckte Hooks und unsichtbare Prozesse zu entdecken. Spyware für die Webcam oder Keylogger manipuliert oft den Kernel, um sich zu verstecken.

  Eine weitere Gegenmaßnahme, die ich immer empfehle, ist die physische Kontrolle: Die Verwendung eines kleinen Webcam-Deckels (z.B. ein Stück undurchsichtiges Klebeband) verhindert jede Form von visueller Spionage, selbst wenn die Überwachungssoftware eine Erkennung umgehen sollte.

  Mehr über Eindringlinge

  Unbefugter Zugriff beschränkt sich nicht nur auf die Entdeckungsphase, sondern wirft auch wesentliche Fragen zur zukünftigen Sicherheit und den Auswirkungen des Eindringens auf. Lassen Sie uns die Schlüsselpunkte für ein umfassendes Management des Problems betrachten:

  • Was sofort nach der Entdeckung des unbefugten Zugriffs zu tun? Die erste Maßnahme besteht darin, den Computer sofort vom Netzwerk zu trennen (indem Sie das Ethernet-Kabel abziehen oder das WLAN deaktivieren), um die aktive Remote-Sitzung zu unterbrechen und den Diebstahl weiterer Daten zu verhindern. Isolation hat oberste Priorität.
  • Kann der Eindringling nach der Trennung weiterhin auf das System zugreifen? Das hängt ab. Wenn der Zugriff durch einen...
• Malware mit einer Backdoor oder einem Rootkit (die bei jedem Start ausgeführt werden), könnte der Eindringling beim nächsten Neustart und Verbindung zurückkehren. Aus diesem Grund ist der Einsatz von Rootkit-Scannern essenziell, und in schwerwiegenden Fällen ist eine formatierte und saubere Neuinstallation des Betriebssystems notwendig.
• Welche Daten wurden kompromittiert? Wenn eine Remote-Verbindung gefunden wurde, ist es sehr wahrscheinlich, dass Passwörter, Dokumente und Finanzinformationen kopiert wurden. Höchste Priorität hat es, alle Passwörter von einem sicheren Gerät (wie einem Smartphone oder einem anderen PC) zu ändern und überall, wo möglich, die Zwei-Faktor-Authentifizierung (MFA) zu aktivieren.
• Wie zukünftige Remote-Zugriffe verhindern? Die besten Abwehrmaßnahmen sind nicht kompliziert und basieren auf wenigen, aber grundlegenden, guten Gewohnheiten:
  • Überflüssige Dienste deaktivieren: Die Funktion Remotedesktop (RDP) deaktivieren, wenn sie nicht unbedingt notwendig ist.
  • Robuste Passwörter und MFA: Komplexe und nicht wiederverwendete Kombinationen nutzen, immer die Multi-Faktor-Authentifizierung für jedes sensitive Konto aktivieren.
  • Router überprüfen: Im Administrationspanel des Routers (in der Regel durch Eingabe von 192.168.1.1 oder 192.168.0.1 im Browser) überprüfen, ob Portweiterleitungen oder VPN-Dienste offen sind, die wir nicht konfiguriert haben und die einen externen Zugangspunkt darstellen könnten.
  • Ständige Updates: Das Betriebssystem und alle Programme aktuell zu halten, ist entscheidend, um die weit verbreiteten Sicherheitslücken, die von Angreifern genutzt werden, zu schließen.

Um zukünftige Probleme zu vermeiden, sollten Sie stets ein Login- und Sperrpasswort für Windows setzen, wie in unserem Leitfaden Schutz des Zugangs zum Windows-PC mit Bildschirmsperre und Passwort beschrieben.

Wenn Sie jedoch möchten, dass auch andere Personen oder Familienmitglieder den Computer nutzen, ohne Zugriff auf Ihr persönliches Konto zu gewähren, empfehlen wir Ihnen, unsere Leitfäden zu lesen, wie man Konten unter Windows erstellt und die Benutzer des Computers verwaltet oder Wie man den PC sicher und getrennt von Freunden und Gästen nutzen lässt.