Finden Sie heraus, ob jemand remote auf Ihren Windows-PC zugreift

Eine der gefährlichsten Arten von Malware ist darauf ausgelegt, remote auf den PC eines Opfers zuzugreifen, wie z.B. Remote Access Trojans (RATs) und Kernel-Rootkits. Sie arbeiten lautlos, was die Erkennung erschwert. Wenn Sie besorgt sind, ob jemand unbefugten remote Zugriff auf Ihren Windows-PC hat, erfahren Sie, wie Sie die Bedrohung bestätigen und entfernen können.

Warnzeichen, dass jemand Zugriff auf Ihren PC hat

Während die meisten Remote-Zugriffsversuche lautlos sind, gibt es einige Warnzeichen. Obwohl diese Zeichen als allgemeine Windows-Probleme angesehen werden könnten, können sie zusammen solide Beweise für remote Zugriffsaktivitäten sein.

• Ungewöhnliche Maus-/Tastaturaktivität: Wenn sich der Cursor unregelmäßig bewegt oder Text ohne Ihre Eingabe eingegeben wird, könnte dies das Werk eines Remote-Tools sein. Selbst wenn sie nicht aktiv steuern, können diese Tools Probleme verursachen, wie z.B. dass der Cursor springt/teleportiert. Dieses Zeichen kann auch als Bestätigung dienen, wenn die Maus und die Tastatur Aufgaben ausführen, wie z.B. den Zugriff auf die Adressleiste des Browsers und das Eingeben einer Website-Adresse.
• Programme öffnen und schließen sich von selbst: Ein Hacker könnte auch Befehle senden, um bestimmte Apps (wie Antivirus oder die Eingabeaufforderung) zu öffnen, um das System weiter zu steuern oder Sicherheitsfunktionen zu deaktivieren. Wenn Sie bemerken, dass Programme sich von selbst öffnen und schließen, ist das ein Warnsignal.
• Erstellung neuer unbekannter Benutzerkonten: Einige böswillige Akteure versuchen möglicherweise, sekundäre Konten zu erstellen, um auch nach der Entdeckung einen dauerhaften Zugriff zu haben. Sie werden wahrscheinlich den Benutzerwechsel deaktivieren, um die Konten vom Sperrbildschirm zu verbergen. Gehen Sie zu Windows Einstellungen -> Konten und suchen Sie nach sekundären Konten in den Abschnitten Familie und Andere Benutzer.

• Plötzliche langsame Leistung: Remote-Control-Aktivitäten verbrauchen ebenfalls viele Ressourcen, sodass Sie möglicherweise einen plötzlichen Leistungsabfall bemerken. Dies ist besonders zu beachten, wenn Leistungsabfälle gelegentlich aufgrund von Remote-Control-Aktivitäten auftreten.
• Windows Remote Desktop wird von selbst aktiviert: Windows Remote Desktop ist ziemlich anfällig, sodass Hacker es häufig verwenden, um eine Remote-Verbindung herzustellen. Es ist standardmäßig deaktiviert, daher könnte es sich um das Werk eines Hackers handeln, wenn es ohne Ihr Eingreifen aktiviert wird. Gehen Sie in den Windows-Einstellungen zu System -> Remote Desktop und prüfen Sie, ob es aktiviert wurde.

So bestätigen Sie, dass Ihr PC remote zugegriffen wird

Wenn Sie die oben genannten Zeichen bemerken, ergreifen Sie die notwendigen Schritte, um den Verdacht zu bestätigen. Sie können die Aktivität von Komponenten/Apps, die am Remote-Zugriffsprozess beteiligt sind, verfolgen, um zu bestätigen, dass jemand auf Ihren Windows-PC zugreift. Die folgenden sind einige der zuverlässigsten Methoden:

Überprüfen Sie die Protokolle des Windows-Ereignisanzeigers

Der Windows-Ereignisanzeiger ist ein großartiges integriertes Tool, um die Benutzeraktivität zu verfolgen und zu helfen, Remote-Zugriffsversuche zu erkennen, indem die RDP-Aktivität und Anmeldeprotokolle verfolgt werden.

Suchen Sie nach “Ereignisanzeiger” in der Windows-Suche und öffnen Sie den Ereignisanzeiger.

Gehen Sie zu Windows-Protokolle -> Sicherheit und klicken Sie auf die Registerkarte Ereignis-ID, um die Ereignisse nach ID zu sortieren. Suchen Sie nach allen Ereignissen mit der ID 4624 und überprüfen Sie deren Details, um sicherzustellen, dass es keine Ereignisse mit Anmeldetyp 10 gibt. Die Ereignis-ID 4624 steht für Anmeldeversuche, und Anmeldetyp 10 entspricht Remote-Anmeldungen über Remote-Zugangsservices, die Hacker möglicherweise verwenden.

Sie können auch nach der Ereignis-ID 4778 suchen, da sie die Wiederverbindung von Remote-Sitzungen anzeigt. Die Detailseite jedes Ereignisses gibt Ihnen wichtige Identifikationsdetails, wie z.B. den Kontonamen oder die Netzwerk-IP-Adresse.

Netzwerkverkehr verfolgen

Remote-Zugriff hängt von der Netzwerkverbindung ab, daher ist die Verfolgung des Netzwerkverkehrs eine zuverlässige Möglichkeit, ihn zu erkennen. Wir empfehlen, die kostenlose Version von GlassWire dafür zu verwenden, da sie sowohl hilft, bösartige Verbindungen zu verfolgen als auch automatisch zu verteidigen.

Im GlassWire-App sehen Sie alle App-Verbindungen im Abschnitt GlassWire Protect. Die App bewertet automatisch die Verbindungen und kennzeichnet unzuverlässige Verbindungen. In den meisten Fällen sollte sie in der Lage sein, bösartige Remote-Verbindungen zu erkennen und Sie zu warnen.

Neben den Algorithmen der App können Sie auch nach Hinweisen wie hohem Datenverbrauch einer unbekannten App suchen. Remote-Verbindungen verwenden kontinuierlich Daten, sodass sie leicht zu erkennen sein sollten.

Geplante Aufgaben überprüfen

Viele Remote-Zugriffsversuche werden mit dem Taskplaner-Tool in Windows verwaltet. Dies hilft ihnen, durch PC-Neustarts hindurch zu bestehen und Aufgaben auszuführen, ohne kontinuierlich laufen zu müssen. Wenn Ihr PC infiziert ist, sollten Sie Aufgaben von unbekannten Apps im Taskplaner sehen.

Suchen Sie nach “Taskplaner” in der Windows-Suche und öffnen Sie die Taskplaner-App. Im linken Bereich öffnen Sie Taskplaner (lokal) -> Taskplaner-Bibliothek. Suchen Sie nach einem unbekannten oder verdächtigen Ordner, der nicht Microsoft ist. Wenn Sie einen finden, klicken Sie mit der rechten Maustaste auf die Aufgabe und wählen Sie Eigenschaften.

Überprüfen Sie in den Eigenschaften die Registerkarten Trigger und Aktionen, um herauszufinden, was die Aufgabe tut und wann sie ausgeführt wird, was ausreichen sollte, um zu verstehen, ob es sich um etwas Schlechtes handelt. Wenn die Aufgabe beispielsweise eine unbekannte App oder ein Skript beim Anmelden oder wenn das System im Leerlauf ist, ausführt, könnte dies böswillige Zwecke haben.

Wenn Sie keine verdächtigen Aufgaben finden, sollten Sie sich den Microsoft-Ordner ansehen. Es besteht die Möglichkeit, dass sich ausgeklügelte Malware in den Systemordnern versteckt. Suchen Sie nach Aufgaben, die verdächtig erscheinen, wie z.B. generische Namen wie “systemMonitor” oder falsch geschriebene Namen. Glücklicherweise müssen Sie nicht jede Aufgabe recherchieren, da die meisten den Autor Microsoft Corporation haben, den Sie sicher überspringen können.

So stoppen Sie den Remote-Zugriff und sichern Ihren PC

Sobald Sie bestätigt haben, dass jemand remote auf Ihren Windows-PC zugreift, sollte Ihr erster Schritt darin bestehen, die Internetverbindung zu trennen, damit sie keinen weiteren Schaden anrichten können. Ihre Priorität sollte die Schadensbegrenzung sein, anstatt die Bedrohung zu beseitigen. Verwenden Sie daher ein anderes Gerät, um die Passwörter wichtiger Konten zurückzusetzen, wie z.B. E-Mail, Finanzkonten, soziale Medien usw. Stellen Sie außerdem sicher, dass Sie wichtige Daten sichern.

Befolgen Sie die folgenden Methoden, um die Remote-Zugriffs-Malware loszuwerden:

Führen Sie einen Offline-Scan mit Microsoft Defender durch

Wenn Ihr Sicherheitssystem nicht in der Lage ist, diesen Remote-Zugriffangriff zu erkennen oder zu schützen, könnte es sich um fortschrittliche Malware wie Rootkits oder Bootkits handeln. Der Offline-Scan von Microsoft Defender könnte Ihnen helfen. Er wird Ihren PC beim Start in einer sicheren und minimalen Umgebung scannen, um Malware zu finden, wenn sie inaktiv ist.

Um den Scan auszuführen, suchen Sie nach “Windows-Sicherheit” in der Windows-Suche und öffnen Sie die Windows-Sicherheits-App.

Gehen Sie zu Virus- & Bedrohungsschutz -> Scanoptionen, wählen Sie Microsoft Defender Antivirus (Offline-Scan) und klicken Sie auf Jetzt scannen.

Dies wird Ihren PC neu starten und einen vollständigen Systemscan durchführen. Wenn Bedrohungen gefunden werden, befinden sie sich im Abschnitt Schutzverlauf der Windows-Sicherheits-App.

Verdächtige Programme loswerden

Egal, ob der Scan etwas erkennt oder nicht, Sie sollten eine manuelle Überprüfung der Programme durchführen, um sicherzustellen, dass Sie kein unbekanntes Programm haben, das als Gateway fungiert. Gehen Sie in den Windows-Einstellungen zu Apps -> Installierte Apps und suchen Sie nach Apps, die nicht Teil von Windows sind und an deren Installation Sie sich nicht erinnern. Entfernen Sie außerdem Remote-Zugriffs-Apps, die möglicherweise kompromittiert wurden, wie TeamViewer, AnyDesk, VNC, Chrome Remote Desktop usw.

Es besteht die Möglichkeit, dass eine bösartige Browsererweiterung die Ursache ist. Stellen Sie sicher, dass Sie alle Erweiterungen überprüfen und verdächtige Erweiterungen deinstallieren.

Eingehende Remote-Zugangsports in der Firewall blockieren

Wenn Sie nicht remote auf Ihren PC zugreifen oder von niemandem Unterstützung erhalten, können Sie gängige eingehende Ports für Remote-Verbindungen in der Firewall blockieren. Dies blockiert eingehende Remote-Verbindungen, erlaubt Ihnen jedoch, andere Geräte bei Bedarf zu steuern.

Suchen Sie nach “Windows Defender Firewall” in der Windows-Suche und öffnen Sie die Windows Defender Firewall mit erweiterter Sicherheit-App.

Wählen Sie Eingehende Regeln -> Neue Regel, dann Port -> Weiter. Wählen Sie TCP und geben Sie eine der unten aufgeführten Portnummern an.

• 3389 (Windows Remote Desktop)
• 5900 (Virtual Network Computing)
• 5938 (TeamViewer)
• 6568 (AnyDesk)
• 8200 (GoToMyPC)

Wählen Sie Verbindung blockieren und schließen Sie die Einrichtung ab, um die Regeln zu erstellen. Stellen Sie sicher, dass Sie der Regel einen klaren Namen geben, damit Sie sie später identifizieren können. Wiederholen Sie diesen Prozess für jeden Port, den Sie blockieren möchten.

Führen Sie bei Bedarf eine saubere Windows-Installation durch

Wenn nichts funktioniert oder Sie kein Risiko eingehen möchten, ist eine saubere Windows-Installation eine weitere Option. Es ist äußerst selten, dass Malware sowohl einen Offline-Antivirus-Scan als auch eine saubere OS-Installation übersteht. Sie müssen jedoch Ihre wichtigen Daten sichern, da eine saubere Installation alle Daten auf Ihrem PC löscht.

Sehen Sie sich unseren Leitfaden an, wie Sie eine saubere Windows-Installation durchführen, um alle Schritte zu erfahren, um sicher eine saubere Windows-Installation durchzuführen.

Nehmen Sie niemals Risiken in Kauf, wenn Sie den Verdacht auf PC-Zugriff haben, sei es remote oder lokal. Eine solche Kontrolle eskaliert immer zu größeren Sicherheitsproblemen. Natürlich ist es am besten, zu verhindern, dass es überhaupt passiert, also stellen Sie sicher, dass Sie diese Windows-Sicherheitseinstellungen und erweiterten Windows Defender-Optionen verwenden.

Bildnachweis: Vecteezy. Alle Screenshots von Karrar Haider.