Wurde Mein Computer Gehackt? So Erkennen Sie Es (2026)

Ihre Maus hat sich bewegt. Sie haben sie nicht berührt. Das ist das einzige Zeichen, das wirklich bedeutet, dass gerade jemand auf Ihrem Computer ist — und es ist auch das seltenste. Meistens sind die Anzeichen leiser.

Wenn Sie hier sind, weil sich etwas komisch anfühlt und Sie es sicher wissen wollen, ist das Schnellste, was Sie tun können, eine Eingabeaufforderung zu öffnen und netstat -ano einzugeben. Dieser einzelne Befehl zeigt jede aktive Netzwerkverbindung Ihres Computers. Sie müssen nicht alles verstehen — scrollen Sie einfach durch und suchen Sie nach ESTABLISHED-Verbindungen zu IP-Adressen, die Sie nicht kennen, besonders auf Ports, die nicht 80 oder 443 sind. Port 4444 und 5555 sind Metasploit-Standards. Port 8080 wird häufig von RATs missbraucht. Wenn Sie um 2 Uhr nachts Datenverkehr zu einem seltsamen Ziel sehen, obwohl Sie nichts tun, ist das nicht Windows Update.

netstat und was es Ihnen wirklich sagt

Ich bekam einen Anruf von einem Typen, der überzeugt war, dass seine Ex-Freundin etwas auf seinem Laptop installiert hatte. Wollte nicht sagen, woher er es wusste, sagte nur immer wieder „es fühlt sich an, als würde jemand zusehen.” Wir öffneten netstat -ano und tatsächlich — da war eine ESTABLISHED-Verbindung zu einer privaten IP-Adresse auf Port 5900 — das ist VNC. Ein Remote-Desktop-Tool lief, und es war keins, das er installiert hatte. Die PID war 7384. Wir gingen zum Task-Manager, fanden PID 7384 — er nannte sich „WinUpdate64.exe” in seinem AppData\Local\Temp-Ordner. Das echte Windows Update legt keine Executables in Temp-Verzeichnisse und benutzt kein VNC.

Diese Verbindung war seit Wochen aktiv. Er hätte sie ohne netstat nie gefunden, weil das Programm vielleicht 0,2% CPU verbrauchte und kein sichtbares Fenster hatte.

So führen Sie es aus: Öffnen Sie cmd als Administrator, geben Sie netstat -ano | findstr ESTABLISHED ein, um den Lärm zu filtern. Sie erhalten eine Liste wie:

TCP    192.168.1.5:49832    185.143.xx.xx:443    ESTABLISHED    1284
TCP    192.168.1.5:50111    44.238.xx.xx:8080    ESTABLISHED    7384

Die letzte Zahl ist die PID. Gleichen Sie sie im Task-Manager ab — Reiter Details, sortiert nach PID. Wenn der Prozessname gefälscht aussieht oder die Datei an einem seltsamen Ort liegt, haben Sie Ihre Antwort. Sie können verdächtige IP-Adressen auch bei VirusTotal einfügen — es prüft gegen über 90 Sicherheitsanbieter und Community-Berichte.

Die meisten Leute, die Anleitungen zu „wurde ich gehackt?” lesen, bekommen gesagt, sie sollen prüfen, ob ihr Computer langsam ist. Ein langsamer Computer ist kein gehackter Computer. Es ist ein Computer mit zu viel Müll, eine sterbende Festplatte oder Chrome mit 47 Tabs. Ich schätze, dass vielleicht 3 von 10 Leuten, die uns anrufen und ernsthaft besorgt sind, gehackt worden zu sein, es tatsächlich wurden. Der Rest hat Malware, die nicht wirklich „Hacking” ist oder gar nichts.

Was wirklich auf unbefugten Zugriff hindeutet

Ein Hacker auf Ihrem Computer ist etwas anderes als ein Virus auf Ihrem Computer. Viren wollen Ihre CPU oder Ihre Klicks. Eine Person, die eingebrochen ist, will Ihre Dateien, Ihre Passwörter oder Ihre Webcam. Die Anzeichen sind unterschiedlich.

Ihre Webcam-Leuchte geht an und Sie sind nicht in einem Videoanruf. Das wird überall erwähnt und ich fasse mich kurz — wenn das Licht aufleuchtet und nichts Offensichtliches läuft, öffnen Sie den Task-Manager, sortieren Sie nach GPU und suchen Sie nach allem, was auf die Kamera zugreift. Die meisten legitimen Apps (Zoom, Teams, Discord) erscheinen im Systemtray. Wenn der Prozess, der auf Ihre Kamera zugreift, etwas ist, von dem Sie noch nie gehört haben, beenden Sie ihn und scannen Sie den Computer.

Passwörter auf Konten geändert, die Sie nicht angefasst haben. Nicht nur „Passwort vergessen”, sondern Sie können sich buchstäblich nicht bei Gmail anmelden, und als Sie die Wiederherstellungs-E-Mail überprüfen, wurde sie auf etwas geändert, das Sie nicht kennen. Das bedeutet manchmal, dass ein Keylogger Ihre Zugangsdaten abgefangen hat. Prüfen Sie die Ereignisanzeige — eventvwr.msc, dann Windows-Protokolle > Sicherheit, filtern nach Ereignis-ID 4624 (Anmeldeereignisse). Wenn Sie Anmeldetypen sehen, die Sie nicht kennen und die um 4 Uhr morgens stattfinden, ist das ein Problem.

Es gibt neue Benutzerkonten auf Ihrem Computer. Öffnen Sie cmd, geben Sie net user ein. Wenn es ein Konto gibt, das Sie nicht erstellt haben — besonders etwas Generisches wie „admin2” oder „support” — hat jemand oder etwas es hinzugefügt. Malware erstellt normalerweise keine Benutzerkonten. Menschen schon.

Ihr Antivirus ist deaktiviert und lässt sich nicht wieder einschalten. Vieles kann Defender vorübergehend deaktivieren — ein Game-Booster, VPN-Software, ein fehlerhaftes Update. Aber wenn Sie zu Windows-Sicherheit gehen und der Echtzeitschutz-Schalter ausgegraut ist, oder er sich fünf Minuten nach dem Einschalten von selbst wieder deaktiviert, kämpft etwas aktiv gegen Sie um die Kontrolle dieser Einstellung.

Ereignisanzeige — Niemand prüft sie, aber Sie sollten es tun

Die Ereignisanzeige ist der Flugschreiber Ihres PCs und niemand liest sie. Das ist in Ordnung, Sie müssen nicht alles lesen. Hier ist die eine Sache, die sich zu prüfen lohnt:

Öffnen Sie eventvwr.msc, navigieren Sie zu Windows-Protokolle > Sicherheit. Klicken Sie rechts auf „Aktuelles Protokoll filtern” und geben Sie 4625 im Feld Ereignis-ID ein. Das zeigt fehlgeschlagene Anmeldeversuche. Auf einem normalen Heimcomputer sollten Sie fast keine sehen. Wenn Sie Hunderte von 4625-Ereignissen von derselben Quelle innerhalb weniger Stunden sehen, versucht etwas, sich Zugang zu Ihrem Computer zu verschaffen. Die FBI IC3-Berichte erfassen das landesweit — Fernzugriffsbetrug ist eine ihrer am schnellsten wachsenden Beschwerdekategorien.

Schauen Sie auch nach Ereignis-ID 4720 — das ist „Benutzerkonto erstellt”. Wenn Sie kein neues Konto erstellt haben und dieses Ereignis existiert, nun ja.

Ich hatte letztes Jahr eine Kundin, deren Laptop sich nachts zu zufälligen Zeiten aus dem Ruhezustand aufweckte. Der Bildschirm war morgens an, wenn sie herunterkam. Es stellte sich heraus, dass jemand eine geplante Aufgabe eingerichtet hatte — sichtbar im Aufgabenplaner — die den Computer um 3 Uhr morgens aufweckte, ein PowerShell-Skript ausführte, das ihren Dokumente-Ordner zu einem Cloud-Speicher-Endpunkt exfiltrierte, und den Computer dann wieder in den Ruhezustand versetzte. Die Ereignisanzeige hatte die gesamte Zeitleiste. Die geplante Aufgabe wurde drei Wochen erstellt, bevor sie etwas bemerkte. Sie fand es heraus, weil ihre Upload-Bandbreite stark angestiegen war und ihr ISP ihr eine Nutzungswarnung geschickt hatte.

Wenn es kein echter Hack ist

Ich will bei diesem Teil ehrlich sein, weil viele Anleitungen ihn überspringen.

Pop-up-Werbung in Ihrem Browser ist kein Hacking. Das ist Adware oder ein Browser-Hijacker und obwohl es nervt, ist niemand „in Ihrem Computer”. Ihr ISP oder ein Tech-Support-Betrug, der Ihnen sagt „Ihr Computer wurde kompromittiert”, ist fast immer gefälscht. Zufällige Langsamkeit nach einem Windows-Update ist einfach Windows, das Windows macht.

Wenn jede dieser Überprüfungen sauber zurückkommt — netstat zeigt nichts Seltsames, die Ereignisanzeige sieht normal aus, Task-Manager-Prozesse sind alle legitim, keine unbekannten Benutzerkonten — dann wurde Ihr Computer wahrscheinlich nicht gehackt. Manchmal verhält sich ein Computer einfach seltsam, weil ein Treiber gestreikt hat oder ein Update schiefgelaufen ist. Ich verbringe einen großen Teil meiner Woche damit, Leuten zu sagen, dass ihre Maschine in Ordnung ist, obwohl sie sicher waren, dass sie es nicht war.

Wenn die Überprüfungen nicht sauber zurückkommen, oder wenn Sie etwas in netstat oder der Ereignisanzeige gefunden haben, bei dem Sie sich nicht sicher sind, ist der nächste Schritt ein ordentlicher Malware-Scan im abgesicherten Modus — unsere Anleitung zur Malware-Entfernung führt Sie durch den Prozess. Das Wichtige ist, dass Sie jetzt wissen, ob Sie es mit einem echten Eindringling oder einem Fehlalarm zu tun haben, und diese Unterscheidung ist wichtig, weil die Reaktion völlig anders ist.

Bei allem, was einen RAT oder aktiven Fernzugriff betrifft — jemand ist buchstäblich auf Ihrem Computer — trennen Sie zuerst die Internetverbindung. Ziehen Sie das Ethernet-Kabel oder schalten Sie das WLAN aus. Tun Sie es vor allem anderen. Dann können Sie die nächsten Schritte planen, ohne dass derjenige Ihnen dabei zusieht.