Malware-Überblick: Banking-Trojaner sind nach wie vor im Umlauf und werden immer gefährlicher

Wie moderne Banking-Trojaner den Diebstahl von Zugangsdaten, die Übernahme von Mobilgeräten und den Fernzugriff nutzen, um das Risiko von Account Takeover, Fraud und Ransomware zu erhöhen

Die wichtigsten Erkenntnisse

• Banking-Trojaner werden auch 2026 noch häufig eingesetzt, operieren dann aber als Teil umfassenderer Angriffsketten.
• Moderne Varianten kombinieren Zugangsdatendiebstahl, Fernzugriff und Geräteübernahme.
• Banking-Trojaner breiten sich über Mobilgeräte schnell aus und verlagern Angriffe näher an Nutzer und nicht verwaltete Geräte.
• Bedrohungsakteure kombinieren vertraute Malware mit neueren Ködern, darunter KI-Tools und Social Engineering.
• Für KMUs sind Banking-Trojaner oft der erste Schritt zu Account Takeover, Fraud oder Ransomware.

Wofür werden Banking-Trojaner derzeit verwendet?

Schnelle Antwort: Banking-Trojaner sind 2026 immer noch aktiv, haben sich jedoch vom einfachen Diebstahl von Zugangsdaten zu mehrstufigen Tools entwickelt, die für Account Takeover, Fraud, Fernzugriff und Ransomware-Vorbereitung verwendet werden. Moderne Varianten können Desktops, Browser, Mobilgeräte und Cloud-Konten ins Visier nehmen, was sie besonders riskant für KMU und schlanke IT-Teams macht, die Nutzer über mehrere Zugangspunkte hinweg schützen müssen.

Jahrelang waren Banking-Trojaner leicht zu erklären. Sie infizierten ein Gerät, griffen Zugangsdaten ab und ermöglichten finanziellen Fraud. Dieses Modell existiert zwar nach wie vor, spiegelt jedoch nicht mehr die heutige Funktionsweise wider.

Moderne Banking-Trojaner verhalten sich eher wie Plattformen als Malware mit nur einem einzigen Zweck. Sie sind darauf ausgelegt, sich Zugang zu verschaffen, die Kontrolle zu behalten und Folgeaktivitäten zu ermöglichen. In vielen Fällen befinden sie sich im Zentrum einer umfassenderen Angriffskette, und verbinden Phishing und Social Engineering mit Account Takeover, Business E-Mail Compromise oder sogar Ransomware.

Sie sind Nutzern auch gefolgt. Was als Desktop-Bedrohung begann, hat sich auf Mobilgeräte, Browser-Erweiterungen und Cloud-basierte Anwendungen ausgeweitet. Und während KI die Art und Weise verändert, wie Angriffe durchgeführt werden, ist die zugrunde liegende Crimeware nicht verschwunden. Sie wurde lediglich neu verpackt und effizienter eingesetzt.

Das Ergebnis ist eine Kategorie von Malware, die auf den ersten Blick zwar noch vertraut wirkt, in der modernen Cyberkriminalität jedoch eine weitaus größere Rolle spielt. Betrachten wir drei Schlüsselbeispiele genauer.

Wie verändern Grandoreiro und BTMOB RAT plattformübergreifende Banking-Angriffe?

Jüngste Kampagnen mit Grandoreiro, einem seit 2016 aktiven Windows-Banking-Trojaner, zeigen, wie sich traditionelle Banking-Trojaner weiterentwickeln, anstatt zu verschwinden.

Grandoreiro ist seit Jahren aktiv und wird auch 2026 noch eingesetzt, um Geldinstitute und Nutzer in ganz Europa und Lateinamerika anzupeilen. Er wird typischerweise durch Phishing zugestellt und nutzt Techniken wie DLL-Sideloading, um der Erkennung zu entgehen und bösartigen Code auszuführen.

Auffällig an den jüngsten Aktivitäten ist, wie gut sie sich in den normalen Datenverkehr und das normale Verhalten einfügen. Die Malware nutzt Kommunikationsmethoden, die mit legitimen Diensten wie WebRTC verknüpft sind, um die Erkennung zu erschweren.

Gleichzeitig koppeln Kampagnen Desktop-Trojaner mit auf Mobilgeräte ausgerichteter Malware wie BTMOB RAT, einem Android-Fernzugriffs-Trojaner, der zum Abgreifen von Daten verwendet wird, um Angreifern die Fernkontrolle über infizierte Geräte zu ermöglichen.

Diese Kombination spiegelt einen umfassenderen Wandel wider. Anstatt einen einzelnen Endpunkt anzugreifen, erstellen Angreifer plattformübergreifende Kampagnen, die Nutzer über verschiedene Geräte hinweg verfolgen und so die Chancen auf einen erfolgreichen Account Takeover und Fraud erhöhen.

Warum sind mobile Banking-Trojaner wie Rokarolla heute gefährlicher?

Wer verstehen möchte, wie weit sich Banking-Trojaner entwickelt haben, sieht sich am besten mobile Malware genauer an.

Rokarolla, ein kürzlich identifizierter Android-Banking-Trojaner, zeigt, wie sich diese Bedrohungen weit über den Diebstahl von Zugangsdaten hinaus ausgeweitet haben. Er zielt auf Hunderte von Bank- und Kryptowährungsanwendungen ab und ist darauf ausgelegt, nahezu vollständige Kontrolle über ein infiziertes Gerät zu erlangen.

Nach der Installation nutzt die Software Overlay-Angriffe, um gefälschte Anmeldeseiten über legitimen Apps anzuzeigen und so alle Eingaben des Nutzers zu erfassen. Er kann auch SMS-Nachrichten abfangen, einschließlich Einmalpasscodes, wodurch Angreifer gängige Authentifizierungskontrollen umgehen können.

Was sich geändert hat, ist der Grad der Kontrolle. Rokarolla kann die Benutzeraktivitäten überwachen, das Geräteverhalten manipulieren und sogar Anrufe oder Warnungen blockieren, die das Opfer vor verdächtigen Transaktionen warnen könnten.

Dies spiegelt einen breiteren Trend bei Malware für mobiles Banking wider. Das Ziel ist nicht mehr nur, Zugangsdaten zu stehlen und sie später zu verwenden, sondern Fraud direkt auf dem Gerät in Echtzeit durchzuführen, was die Erkennung erheblich erschwert.

Warum werden manche Banktrojaner immer schwerer zu erkennen?

Nicht jede moderne Banking-Malware folgt demselben Modell. Einige Varianten werden immer zielgerichteter, unauffälliger, und sogar teilweise menschlich gesteuert.

Die UnregStealer-Kampagne, eine von Menschen geführte Bank-Malware-Kampagne, die Browsersitzungen ins Visier nimmt, hebt diesen Wandel hervor. Die Malware tarnt sich als legitimes Browser-Update und verleitet die Nutzer dazu, eine scheinbar erforderliche Sicherheitskomponente zu installieren.

Sobald sie aktiv ist, überwacht sie Browser-Sitzungen und zielt auf bestimmte Bank-Websites ab. Anstatt den Angriff automatisch auszuführen, ermöglicht sie einem menschlichen Betreiber, Aktivitäten zu beobachten und zu entscheiden, wann er handelt, etwa indem er Sitzungsdaten oder Zugangsdaten während einer aktiven Banksitzung erfasst.

Dieser Ansatz verringert die Sichtbarkeit des Angriffs. Da Aktionen nicht automatisch, sondern selektiv ausgelöst werden, sind sie für automatisierte Erkennungssysteme schwerer zu identifizieren.

Es zeigt auch, wie Banking-Trojaner sich in Richtung gezielterer, hochwertiger Angriffe entwickeln, die sich auf maximalen Erfolg statt auf Skalierung konzentrieren.

Wie können Sie das Risiko von Banking-Trojanern reduzieren?

Zusammengenommen deuten diese Beispiele auf ein einheitliches Muster hin. Banking-Trojaner sind keine eigenständigen Bedrohungen mehr. Sie sind Teil eines größeren Ökosystems von Tools, die verwendet werden, um sich Zugang zu verschaffen, Persistenz zu erhalten und finanzielle oder Folgeangriffe zu ermöglichen.

Für schlanke IT-Teams hat das einige praktische Auswirkungen. Erstens kann man diese nicht als isolierte Infektionen von Endgeräten behandeln. Ein kompromittiertes Gerät – sei es ein Laptop oder ein Mobiltelefon – kann schnell zu Account Takeover oder zu einem umfassenderen Zugriff auf Unternehmenssysteme führen.

Zweitens können herkömmliche Erkennungsverfahren sie übersehen. Diese Bedrohungen beruhen oft auf legitim wirkendem Verhalten, Nutzerberechtigungen, und Echtzeitinteraktionen, statt auf offensichtlich bösartigen Aktivitäten.

Schließlich entwickeln sich auch die Zustellungsmethoden ständig weiter. Phishing bleibt zwar ein Hauptangriffspunkt, wird aber zunehmend mit Social Engineering, Messaging-Plattformen und KI-gestützten Ködern kombiniert, um die Angriffe überzeugender zu gestalten.

Um Risiken zu reduzieren, sollten Sie Phishing-Schutz, Identitätsüberwachung, Sichtbarkeit mobiler Geräte und Nutzerschulung priorisieren, da Banking-Trojaner sich inzwischen über E-Mail, Endpunkte, Konten und mobile Apps verbreiten. Ein mehrschichtiger Ansatz sollte Folgendes beinhalten:

• starken E-Mail- und Phishing-Schutz zur Blockierung von ersten Zugriffsversuchen
• Einblick in Identität und Kontoaktivitäten, insbesondere bei ungewöhnlichem Verhalten
• Abdeckung für Mobilgeräte und nicht verwaltete Endgeräte
• fortlaufende User Awareness rund um App-Downloads, Berechtigungen und „Sicherheitsupdates“

Ein vielschichtiges Vorgehen ist ebenfalls entscheidend. Plattformen wie Barracuda Email Protection und Barracuda Managed XDR sind darauf ausgelegt, verdächtige Nachrichten frühzeitig zu erkennen, Aktivitäten zwischen Nutzern und Endgeräten zu korrelieren und Verhalten aufzudecken, das auf den ersten Blick legitim wirkt, es aber nicht ist. Diese Art von Transparenz ist bei Bedrohungen wichtig, die zunehmend auf Nutzerinteraktion und Kontozugriff statt auf offensichtliche Malware-Signaturen setzen.

Banking-Trojaner machen zwar nicht in gleichem Maße Schlagzeilen wie KI-gesteuerte Angriffe, spielen jedoch weiterhin eine zentrale Rolle bei echten Kompromittierungen. Wenn Sie ihre weitere Entwicklung verstehen, können Sie erkennen, wo die Angriffe ihren eigentlichen Ursprung haben und wie Sie sie stoppen können, bevor sie eskalieren.

FAQ: Banking-Trojaner im Jahr 2026

Sind Banking-Trojaner auch 2026 noch eine Bedrohung? Ja. Banking-Trojaner bleiben aktiv, weil sie Angreifern weiterhin helfen, Zugangsdaten zu stehlen, Sitzungen zu kapern, Konten zu übernehmen und finanziellen Fraud zu unterstützen. Verändert hat sich ihre Rolle in umfassenderen Angriffsketten, die zu Business E-Mail Compromise, Ransomware oder anderen Folgeangriffen führen können.

Warum sind mobile Banking-Trojaner jetzt gefährlicher? Mobile Banking-Trojaner können Geräteberechtigungen missbrauchen, gefälschte Anmeldebildschirme anzeigen, SMS-Codes abfangen und Aktivitäten über Apps hinweg überwachen. Dadurch erhalten Angreifer die Möglichkeit, Zugangsdaten zu stehlen und betrügerische Transaktionen direkt von einem vertrauenswürdigen Nutzergerät aus durchzuführen.

Wie umgehen Banking-Trojaner die MFA? Manche Banking-Trojaner stehlen Session-Cookies, fangen Einmalpasswörter ab oder übernehmen die Kontrolle über das Gerät, das zur Genehmigung einer Transaktion verwendet wird. Andere verlassen sich auf die Bedienersteuerung in Echtzeit, sodass ein Angreifer agieren kann, während der legitime Nutzer bereits angemeldet ist.

Was sollten Unternehmen und Security-Teams tun, um sich vor Banking-Trojanern zu schützen? Setzen Sie schwerpunktmäßig auf die Abwehr von Phishing-Angriffen, die Überwachung ungewöhnlicher Kontoaktivitäten, den Schutz mobiler Geräte sowie die Schulung der Nutzer, um gefälschte Updates, seitlich geladene Apps und unerwartete Berechtigungsanfragen zu vermeiden. Diese Kontrollmaßnahmen tragen dazu bei, das Risiko zu verringern, dass ein einzelnes infiziertes Gerät zu einer größeren Kompromittierung des Unternehmens führt.