Wurde mein Mac gehackt? So prüfen Sie es, und das ist zu tun

Gehackt, infiziert oder Betrug?

Was nach einem Hack aussieht, ist meist eines von drei verschiedenen Dingen, und jedes hat seine eigene Lösung:

• Betrug: ein Pop-up im Browser oder eine E-Mail, die behauptet, Ihr Mac sei gehackt oder Sie seien über Ihre Kamera aufgenommen worden. Auf Ihrem Mac hat sich nichts geändert. Siehe die Betrugsmasche „Apple Security Alert“; eine E-Mail, die eine Zahlung in Bitcoin verlangt, ist Sextortion, und die richtige Antwort ist, sie zu löschen.
• Malware oder Adware: eine geänderte Startseite oder Suchmaschine, Werbung, wo vorher keine war, Apps, die Sie nicht installiert haben. Siehe Malware vom Mac entfernen.
• Ein gehacktes Konto: Anmeldewarnungen, E-Mails zum Zurücksetzen des Passworts, die Sie nicht angefordert haben, Nachrichten in Ihrem Namen. Jemand hat Ihr Passwort, aber nicht unbedingt Ihren Mac. Beginnen Sie mit Schritt 6 unten.

Dass jemand tatsächlich einen Mac steuert, ist der seltenste Fall. Meist beginnt es mit einer Fernwartungs-App, die bei einem gefälschten Support-Anruf installiert wurde, oder mit jemandem, der den Mac in den Händen hatte.

Anzeichen, dass jemand Zugriff auf Ihren Mac hat

• Der Zeiger bewegt sich, Fenster öffnen sich oder Text wird eingegeben, ohne dass Sie etwas tun.
• Eine Fernsteuerungs-App wie AnyDesk, TeamViewer oder ein Bildschirmfreigabe-Tool, das Sie nicht installiert haben oder um dessen Installation Sie jemand am Telefon gebeten hat.
• Ein Benutzeraccount unter Benutzer:innen & Gruppen, den Sie nicht angelegt haben, oder Ihr Passwort funktioniert plötzlich nicht mehr.
• Das grüne Kameralicht oder der orangefarbene Mikrofonpunkt erscheint, obwohl keine von Ihnen geöffnete App sie nutzen sollte.
• Einstellungen, die Sie korrigiert haben, sind wieder verstellt, etwa eine ausgeschaltete Firewall oder ein Profil, das sich nicht entfernen lässt.

1. Die Internetverbindung trennen

Schalten Sie das WLAN aus oder ziehen Sie das Kabel, bevor Sie beginnen. Fernsteuerung und Datenuploads stoppen, und wer verbunden ist, kann weder zusehen, was Sie prüfen, noch es rückgängig machen. Schalten Sie die Verbindung nur wieder ein, wenn Sie sie brauchen, etwa am Ende zum Ändern der Passwörter.

2. Fernzugriff ausschalten

Öffnen Sie Systemeinstellungen › Allgemein › Teilen. Schalten Sie alles aus, was Sie nicht selbst nutzen, vor allem Bildschirmfreigabe, Entfernte Verwaltung, Entfernte Anmeldung, Dateifreigabe und Entfernte Apple Events. Mit „Entfernte Anmeldung“ kann jeder, der das Passwort eines Accounts kennt, über das Netzwerk Befehle auf Ihrem Mac ausführen.

Suchen Sie dann im Ordner Programme nach Fernsteuerungs-Apps wie AnyDesk, TeamViewer, Splashtop, ConnectWise oder RustDesk. Wenn Sie keine davon aus einem Ihnen bekannten Grund installiert haben, beenden Sie sie und entfernen Sie sie samt ihren Hilfsprogrammen; siehe Apps vollständig deinstallieren.

3. Die Benutzeraccounts prüfen

Öffnen Sie Systemeinstellungen › Benutzer:innen & Gruppen. Jeder aufgeführte Account kann sich am Mac anmelden, und ein Admin kann alles daran ändern. Löschen Sie Accounts, die Sie nicht angelegt haben, und stellen Sie sicher, dass nur Sie Administrator sind. Ändern Sie dann Ihr eigenes Mac-Passwort mit Passwort ändern, falls jemand das alte kennt.

4. Prüfen, welche Apps den Mac beobachten oder steuern können

Öffnen Sie Systemeinstellungen › Datenschutz & Sicherheit und gehen Sie diese Listen durch. Schalten Sie jede App, die Sie nicht kennen oder nicht mehr nutzen, aus oder entfernen Sie sie mit der Taste −:

• Bedienungshilfen: Die App kann Ihren Mac steuern und für Sie klicken und tippen.
• Bildschirm- & Systemaudioaufnahme: Die App kann alles auf Ihrem Bildschirm sehen.
• Eingabeüberwachung: Die App kann lesen, was Sie tippen, auch Passwörter.
• Festplattenvollzugriff, Kamera und Mikrofon.

Während ein Mikrofon benutzt wird, erscheint in der Menüleiste ein orangefarbener Punkt; die Kamera hat ihr grünes Licht. Öffnen Sie das Kontrollzentrum, um zu sehen, welche App sie gerade nutzt oder zuletzt genutzt hat.

5. Prüfen, was mit Ihrem Mac startet

Alles, was seinen Zugriff behalten will, muss sich nach einem Neustart selbst wieder starten. Prüfen Sie Systemeinstellungen › Allgemein › Anmeldeobjekte & Erweiterungen und die Ordner für Launch Agents, wie in Malware vom Mac entfernen beschrieben, und entfernen Sie unter Allgemein › Geräteverwaltung Profile, die Sie nicht installiert haben. Führen Sie dann einen Malware-Scan aus.

6. Ihre Konten von einem anderen Gerät aus prüfen

1. Apple Account: Sehen Sie auf account.apple.com oder in den Systemeinstellungen unter Ihrem Namen bei Geräte nach. Entfernen Sie alle, die Ihnen nicht gehören, und ändern Sie dann das Passwort. Wer es kennt, kann Ihre iCloud-Fotos, Nachrichten und Backups sehen und Ihre Geräte über „Wo ist?“ sperren.
2. E-Mail: Prüfen Sie die letzten Anmeldeaktivitäten und die Weiterleitungsregeln. Über eine Regel, die Ihre Mails anderswohin weiterleitet, bekommt ein Angreifer Ihre Codes zum Zurücksetzen auch dann noch, wenn Sie das Passwort längst geändert haben.
3. Ändern Sie die Passwörter für E-Mail, Apple Account, Bank und jedes im Browser gespeicherte Konto, beginnend mit der E-Mail, und melden Sie alle anderen Sitzungen ab, wo die Website das anbietet.
4. Aktivieren Sie überall die Zwei-Faktor-Authentifizierung, am besten mit einer Authenticator-App oder einem Passkey statt per SMS.

Tun Sie das von einem Telefon oder einem anderen Computer aus, dem Sie vertrauen: Ist der Mac noch kompromittiert, können auch neue Passwörter, die Sie darauf eingeben, gestohlen werden.

Wenn Sie einen Betrüger auf Ihren Mac gelassen haben

Hatte ein Fremder die Fernsteuerung, etwa über einen gefälschten Support-Anruf oder eine vorgetäuschte Rückerstattung, gehen Sie davon aus, dass er gesehen hat, was auf Ihrem Bildschirm war, und vielleicht etwas installiert hat, um wiederzukommen. Rufen Sie zuerst Ihre Bank an, wenn er Ihr Onlinebanking gesehen oder bedient hat. Führen Sie dann alle Schritte oben aus und erwägen Sie, den Mac zu löschen: Sichern Sie Ihre Dokumente, wählen Sie dann Systemeinstellungen › Allgemein › Übertragen oder zurücksetzen › Alle Inhalte & Einstellungen löschen und installieren Sie Ihre Apps neu, direkt von ihren Entwicklern.

Prüfen Sie Ihren Mac mit Tidy My Mac

• Security Settings bewertet die Schutzfunktionen Ihres Mac, darunter FileVault, die Firewall, Gatekeeper und SIP, und sagt Ihnen, wie Sie jede ausgeschaltete wieder in Ordnung bringen.
• Privacy Access listet an einem Ort jede App auf, die Ihre Kamera, Ihr Mikrofon, Ihren Bildschirm und Ihre Dateien nutzen darf, und Sudo Activity zeigt die Befehle, die in den letzten 30 Tagen mit Administratorrechten ausgeführt wurden.
• Antivirus sucht nach Malware und Fernzugriffs-Trojanern, Startup Items zeigt alles, was mit Ihrem Mac startet, und die Firewall zeigt, welche Apps nach außen verbinden, und blockiert sie.