Gefälschter Microsoft-Support mit AnyDesk

Die kurze Antwort: Eine echte Warnung von Microsoft enthält niemals eine Telefonnummer. Eine Seite mit Alarmmeldung und der Aufforderung, eine Nummer anzurufen, ist daher Betrug. Wenn Sie dem Anrufer bereits Zugriff über AnyDesk gewährt haben, trennen Sie den Computer vom Netzwerk und kontaktieren Sie Ihre Bank von einem anderen Gerät aus. Ändern Sie anschließend auf einem sauberen Gerät die Passwörter für Ihr E-Mail-Konto und andere wichtige Konten. Lassen Sie den Computer vor der weiteren Nutzung darauf prüfen, ob ein unbeaufsichtigter Zugriff oder ein anderes Fernverwaltungsprogramm zurückgeblieben ist.

Trennen Sie zuerst den Computer vom Netz und legen Sie auf

Wenn eine fremde Person gerade über AnyDesk, TeamViewer, Supremo oder die Schnellhilfe (Quick Assist) auf Ihren Computer zugreift, ziehen Sie das Netzwerkkabel oder schalten Sie das WLAN aus und legen Sie auf. Verbinden Sie den Computer vorerst weder mit dem Firmennetzwerk noch mit einem Sicherungslaufwerk.

Rufen Sie die Nummer aus der Meldung „Microsoft hat einen Virus erkannt“ nicht an. Microsoft erklärt, dass echte Fehlermeldungen des Unternehmens keine Telefonnummer enthalten und Microsoft Sie nicht unaufgefordert wegen technischer Unterstützung kontaktiert. Eine gefälschte Seite kann den Browser in den Vollbildmodus versetzen, einen Alarm abspielen und das Schließen erschweren. Den Computer überprüft sie dabei überhaupt nicht.

Wenn die Sitzung bereits beendet ist, schalten Sie den Computer nicht nur deshalb aus, um vermeintlich „Spuren zu löschen“. Es genügt, ihn vom Netzwerk zu trennen und sofort aufzuschreiben, was geschehen ist, solange Sie sich daran erinnern. Wenn Sie sehen, dass Dateien verschlüsselt werden oder eine Lösegeldforderung erscheint, trennen Sie auch alle externen Laufwerke und behandeln Sie den Vorfall als Ransomware-Angriff, nicht als bloßes Pop-up.

Eine Browsermeldung ist kein Virenfund

Die Masche „Wir rufen von Microsoft an“ ist nicht verschwunden, nur der Vorwand ändert sich. Manchmal behauptet der Anrufer, von einer Bank, einem Internetanbieter oder einer Anlageberatung zu kommen. Die erste Reaktion ist jedoch immer dieselbe: auflegen und nichts freigeben.

Den Betrügern muss es nicht einmal um AnyDesk gehen. Microsoft beschrieb im Mai 2024 die Gruppe Storm-1811, die sich als IT-Support ausgab und über die in Windows integrierte Schnellhilfe Zugriff auf die Computer ihrer Opfer erhielt. Anschließend installierte sie dort die Ransomware Black Basta. Das Werkzeug selbst ist legitim – missbraucht wird lediglich das Vertrauen, wem Sie Zugriff gewähren.

Entscheidend ist, wo die Warnung erschien und was Sie anschließend getan haben.

Wenn Sie die Seite lediglich geschlossen, nichts heruntergeladen, niemanden angerufen und keinen Zugriff gewährt haben, ist das Risiko deutlich geringer. Entziehen Sie der Website die Berechtigung für Benachrichtigungen und überprüfen Sie den Download-Ordner sowie die Browsererweiterungen. Wie Sie einen echten Fund von einem Fehlalarm unterscheiden, erklärt der Artikel Antivirus meldet einen Virus: Was jetzt zu tun ist.

Was jemand über AnyDesk tatsächlich tun konnte

AnyDesk ist kein Virus, sondern ein gängiges Werkzeug zur Fernverwaltung. Wie groß das Risiko ist, hängt davon ab, wem Sie die Sitzung erlaubt und welche Rechte Sie gewährt haben. Ein Vollzugriff umfasst Tastatur, Maus, Zwischenablage und Dateiübertragung sowie das Bestätigen von Administratorfenstern, sofern Sie diese während des Gesprächs freigegeben haben.

Entscheidend ist, in welchem Zustand AnyDesk auf dem Computer zurückgeblieben ist:

Der unbeaufsichtigte Zugriff ist standardmäßig deaktiviert. Wer den Computer steuert, kann ihn jedoch innerhalb weniger Sekunden einschalten und ein Passwort festlegen. Das Löschen des Symbols vom Desktop beweist daher nichts. Sie müssen prüfen, ob AnyDesk installiert ist (Einstellungen → Apps → Installierte Apps, nach Installationsdatum sortieren), ob unter services.msc der AnyDesk-Dienst läuft und ob ein anderes Werkzeug hinzugekommen ist, etwa ScreenConnect, UltraViewer, RustDesk oder TeamViewer.

Das Risiko hängt davon ab, was während der Sitzung geöffnet war

Das Schadensausmaß richtet sich nach den sensibelsten Inhalten, die der Angreifer sehen oder kontrollieren konnte.

Warten Sie nicht auf eine unbekannte Abbuchung. Wenn der Angreifer das Onlinebanking oder Ihre Karte gesehen hat, rufen Sie sofort die Bank an und sperren Sie die Karte in der App. Verwenden Sie die Telefonnummer von der Website der Bank oder von der Rückseite Ihrer Karte, niemals eine Nummer aus dem Gespräch oder der Warnmeldung. Die Anruferkennung lässt sich fälschen, sodass auf dem Display sogar die echte Nummer der Bank erscheinen kann.

Ändern Sie Passwörter auf einem anderen, sauberen Gerät

Ein Passwort, das Sie auf dem ferngesteuerten Computer ändern, kann der Angreifer erneut sehen. Verwenden Sie ein anderes Telefon oder einen anderen Computer, an dessen Sicherheit Sie keinen Grund zu zweifeln haben, und gehen Sie in dieser Reihenfolge vor:

1. geschäftliche E-Mail und Microsoft-365- oder Google-Workspace-Konto,
2. Passwortmanager,
3. Onlinebanking und Zahlungsdienste,
4. Buchhaltung, Rechnungsstellung und Cloudspeicher,
5. soziale Netzwerke und alle Konten mit demselben oder einem ähnlichen Passwort.

Melden Sie in jedem Konto alle anderen Sitzungen ab, entfernen Sie unbekannte Geräte, prüfen Sie die hinterlegte Wiederherstellungs-E-Mail-Adresse und Telefonnummer und aktivieren Sie die Zwei-Faktor-Authentifizierung. Kontrollieren Sie bei Ihrem E-Mail-Konto auch Regeln und Weiterleitungen: In Outlook finden Sie diese unter Einstellungen → E-Mail → Regeln und Weiterleitung, in Gmail unter Filter und blockierte Adressen sowie Weiterleitung und POP/IMAP. Eine versteckte Weiterleitung ermöglicht es dem Angreifer, Ihre E-Mails auch nach einer Passwortänderung mitzulesen. Eine ausführliche Anleitung für einzelne Dienste finden Sie im Artikel So erhalten Sie ein gehacktes Konto zurück.

Bei einem Firmencomputer geht es nicht nur um einen einzelnen Laptop

Dokumentieren Sie den Vorfall, auch wenn bisher kein finanzieller Schaden entstanden ist. Notieren Sie Datum und Uhrzeit, die Telefonnummer des Anrufers, die Adresse der gefälschten Website, die AnyDesk-ID der Gegenstelle, die Namen heruntergeladener Dateien, geöffnete Inhalte und ob ein Passwort eingegeben oder eine Zahlung bestätigt wurde. Fotografieren Sie den Bildschirm mit Ihrem Handy, aber verbinden Sie dafür nicht erneut das Netzwerk.

Informieren Sie die Person, die für die Unternehmens-IT zuständig ist. Verbinden Sie den betroffenen Computer auch nicht mit dem Netzwerk, um nur schnell ein einzelnes Dokument zu versenden. Überprüft werden müssen ebenfalls die Anmeldungen bei E-Mail, Cloud, VPN, Buchhaltung und Website-Administration.

Wenn der Angreifer möglicherweise Kundenlisten, Verträge, Gehaltsdaten oder andere personenbezogene Daten sehen konnte, geht es nicht mehr nur um die Reparatur des Computers. Nach Art. 33 obecného nařízení o ochraně osobních údajů (nařízení (EU) 2016/679) meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst innerhalb von 72 Stunden nach Bekanntwerden an den Úřad pro ochranu osobních údajů (tschechische Datenschutzbehörde). Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Das Unternehmen muss dies bewerten und dokumentieren; es bedeutet jedoch nicht, dass jeder verdächtige Anruf gemeldet werden muss.

Warum es nicht genügt, AnyDesk zu deinstallieren

Die Deinstallation von AnyDesk schließt einen Zugangsweg, macht bereits vorgenommene Änderungen jedoch nicht rückgängig. Der Angreifer konnte ein Konto, eine geplante Aufgabe, eine Browsererweiterung, ein anderes Fernverwaltungsprogramm oder eine mit dem System startende Anwendung hinzufügen.

Die Überprüfung sollte mindestens Folgendes umfassen:

• installierte Anwendungen und deren Installationsdatum,
• Dienste (services.msc), Autostartprogramme im Task-Manager und geplante Aufgaben (taskschd.msc),
• lokale Konten und die Mitgliedschaft in der Gruppe Administrators (unter Windows Home mit dem Befehl net localgroup administrators),
• Erweiterungen, Benachrichtigungsberechtigungen, Proxy-Einstellungen und gespeicherte Passwörter in den Browsern,
• Schutzverlauf sowie vollständigen und Offline-Scan mit Microsoft Defender,
• Anmeldungen und aktive Sitzungen bei wichtigen Onlinekonten.

Microsoft Defender Offline starten Sie in der App Windows-Sicherheit unter Viren- & Bedrohungsschutz → Scanoptionen. Die Überprüfung erfolgt nach einem Neustart außerhalb des laufenden Windows, sodass sich Schadsoftware schwerer verbergen kann. Auch ein sauberes Ergebnis beweist jedoch nicht, dass der Angreifer keine Daten kopiert oder Änderungen an Onlinekonten vorgenommen hat.

Wenn der Angreifer Administratorrechte hatte, unbekannte Befehle ausführte, mehrere Programme installierte oder sich nicht zuverlässig feststellen lässt, was er getan hat, ist eine Neuinstallation die vernünftigere Wahl. Wie Sie dabei vorgehen, ohne Ihre Dokumente zu verlieren, erklärt Windows 11 neu installieren, ohne Daten zu verlieren. Bei einem Firmencomputer mit vertraulichen Daten ist Sicherheit wichtiger als der Erhalt jeder einzelnen Einstellung.

Wenn der Computer tatsächlich infiziert ist, gehört der Fall zur Virenentfernung und Ransomware-Beseitigung.

Was eine gründliche Überprüfung umfassen sollte

Eine fachgerechte Untersuchung endet nicht mit dem Satz „Das Antivirenprogramm hat nichts gefunden“. Der Techniker erstellt einen zeitlichen Ablauf, ermittelt, welche Rechte und Konten der Angreifer verwendet hat, und trennt die Prüfung des Computers von der Absicherung der Onlinekonten.

Bei der Übergabe sollten Sie Folgendes erhalten:

• eine Liste der gefundenen Fernverwaltungsprogramme und Angaben dazu, wie sie entfernt wurden,
• das Ergebnis der Überprüfung von unbeaufsichtigtem Zugriff, Diensten und Autostart,
• die Scanergebnisse und eine Übersicht über weitere kontrollierte Bereiche,
• eine Empfehlung, welche Passwörter geändert und welche Sitzungen abgemeldet werden sollten,
• eine Begründung, ob eine Bereinigung genügt oder eine Neuinstallation erforderlich ist.

Wenn Sie sich die Überprüfung nicht selbst zutrauen oder es sich um einen Firmencomputer handelt, übernehmen wir sie für Sie in unserer Werkstatt. Bringen Sie den Computer vom Netzwerk getrennt und zusammen mit Ihren Notizen zum Ablauf des Gesprächs vorbei. Der Preis richtet sich nach dem Umfang der Prüfung und den festgestellten Änderungen; weitere Arbeiten stimmen wir vorab mit Ihnen ab. Bei mehreren Firmencomputern legen wir den Umfang individuell fest.

So erkennen Sie gefälschten Support beim nächsten Mal

Ein zuverlässiges Warnzeichen ist die Kombination aus Angst, einer Telefonnummer und der Forderung nach Fernzugriff. Microsoft ruft Sie nicht wegen eines Virus auf einem bestimmten Computer an, und echte Warnmeldungen zwingen Sie nicht dazu, eine im Fenster angezeigte Nummer zu wählen.

Legen Sie auch dann auf, wenn der Anrufer Ihren Namen oder den Namen Ihres Unternehmens kennt. Solche Angaben lassen sich leicht ermitteln. Kontaktieren Sie den Support selbst über die offizielle Website oder Ihren vertraglich vereinbarten Ansprechpartner. Gefälschte Bankmitarbeiter, imitierte Stimmen und betrügerische Anzeigen behandelt der Artikel KI-Betrug im Jahr 2026. Für Fernzugriffe gilt eine einfache Regel: Erlauben Sie einem unbekannten Anrufer niemals, Ihren Computer zu steuern.

Onlineauftrag: Antivirus / Ransomware / gehackte E-Mail — nennen Sie uns das Modell und beschreiben Sie, was passiert ist. Wir melden uns mit den nächsten Schritten.