Rootkit: Was es ist, wie Sie es erkennen – und wann nur eine Neuinstallation hilft

Rootkits sind laut Microsoft eine komplexe und gefährliche Art von Malware: Sie laufen im Kernelmodus, also mit den Rechten des Betriebssystems, starten oft vor ihm und können sich und andere Anwendungen vollständig verstecken. Es gibt sie in mehreren Formen – als Firmware-Rootkit, Bootkit, Kernel- oder Treiber-Rootkit. Ein Verwandter aus früheren Zeiten ist der Bootsektorvirus, der bei jedem Start vor dem Betriebssystem geladen wird.

Woran Sie ein Rootkit erkennen

Für eine Infektion gibt es laut BSI Anzeichen wie Bluescreens, häufige Neustarts oder anderes merkwürdiges Verhalten des Computers. Die gute Nachricht: Viele seriöse Antivirenprogramme untersuchen Geräte automatisch auf Rootkits und entfernen sie sicher. Weil sich ein Rootkit im laufenden System verstecken kann, lohnt bei Verdacht aber eine Prüfung von außerhalb.

Prüfen mit der Microsoft Defender Offlineüberprüfung

1. Speichern Sie Ihre Arbeit – der PC startet neu.
2. Ist das Systemlaufwerk mit BitLocker verschlüsselt, setzen Sie den BitLocker-Schutz vorher aus, wie Microsoft rät.
3. Öffnen Sie die Windows-Sicherheit › „Viren- & Bedrohungsschutz“ › „Scanoptionen“ und wählen Sie „Microsoft Defender Antivirus (Offlineüberprüfung)“. Die Prüfung läuft in der Windows-Wiederherstellungsumgebung, außerhalb des normalen Systems – laut Microsoft konzentriert sie sich gerade auf Firmware und Rootkits.
4. Die Ergebnisse finden Sie danach im „Schutzverlauf“. Auf Windows-Geräten mit ARM-Prozessor funktioniert die Offlineüberprüfung nicht.

Wenn das Rootkit bleibt

Manche tiefen Infektionen lassen sich laut BSI selbst mit hochentwickelten Sicherheitslösungen nicht reparieren. Dann hilft nur, das Systemlaufwerk neu zu formatieren und ein sauberes, vorab gesichertes Abbild zurückzuspielen. Vorsicht bei der Wahl des Backups: Sicherungen, die sich während der Infektion auf dem PC befanden, können laut Microsoft bereits infiziert sein.

Was der sichere Start (Secure Boot) leistet

• Der sichere Start verhindert, dass schädliche Software geladen wird, wenn ein Windows-PC startet: Die Firmware prüft die digitale Signatur des Bootloaders.
• Einschalten lässt er sich in der UEFI-Firmware: „Einstellungen“ › „System“ › „Wiederherstellung“ › „Erweiterter Start“ › „Jetzt neu starten“ › „Problembehandlung“ › „Erweiterte Optionen“ › „UEFI-Firmwareeinstellungen“ › „Neu starten“. Der Startmodus muss dafür auf UEFI stehen, nicht auf Legacy/CSM.
• Microsoft ersetzt die ursprünglichen Zertifikate von 2011, die ab Juni 2026 ablaufen; auf unterstützten Windows-Versionen kommt das Update automatisch.

Bei einem Rootkit kann der Computer nicht für sich selbst bürgen. Prüfen Sie von außen – und setzen Sie im Zweifel neu auf.