Bundespolizei Virus (BKA Trojaner) - So entfernen Sie ihn
22. Januar 2023 | Von: ,
Felix Bauer
Felix Bauer Felix Bauer ist Security Consultant und beriet bereits zahlreiche Unternehmen als IT-Sicherheitsexperte. Felix Bauer schrieb zahlreiche Fachartikel für IT-Fachmagazine (u. a. für Computerwelt, IT-Administrator und für die Nachrichten-Website Heise online). Zudem findet Felix Bauer Erwähnung in diversen Büchern sowie in Fach- und News-Beiträgen (u. a. in der Wiener Zeitung, in der Computerworld und auf dem Nachrichtenportal Watson). Schauen Sie sich Felix Bauers Referenzen an.
Felix Bauer hat bereits mehr als 20 Jahre Erfahrung in der IT-Sicherheitsbranche.
Seit einigen Jahren beschäftigt sich Felix Bauer intensiv mit Virenscannern und deren verhaltensbasierter Erkennung. In seinem Blog berichtet er regelmäßig über aktuelle Themen der IT-Sicherheit.
Akademischer Grad: Felix Bauer besitzt den Abschluss Master of Science in Security and Forensic Computing.
René Hifinger
René Hifinger
René Hifinger beschäftigt sich bereits seit einigen Jahren mit den Themen IT-Sicherheit, Datenschutz und neue Technologien. Erste Erfahrungen sammelte er in verschiedenen Sicherheitsforen und auf diversen IT-Portalen. Er hat zahlreiche Fachartikel zu unterschiedlichen IT-Sicherheitsthemen veröffentlicht - u. a. für die österreichische Fachzeitung Computerwelt, für das Magazin Informatik-Aktuell und für das Magazin DIGITALE WELT. Weitere Fachartikel und Veröffentlichungen von René Hifinger finden Sie hier.
Abseits von Security-Themen verfügt René Hifinger über fundiertes Fachwissen im Bereich Softwareentwicklung. Er beherrscht die Programmiersprachen C, C ++, HTML, JavaScript, PHP und Python.
René Hifinger berät Unternehmen weltweit in den Bereichen IT-Sicherheit und Softwareentwicklung. Er bringt über 15 Jahre Erfahrung mit und hat für verschiedene Unternehmen gearbeitet.
Bundespolizei Virus (BKA Trojaner)
Seit Anfang 2011 treibt der sogenannte Bundespolizei Virus / BKA Trojaner sein Unwesen im Internet und hat bereits Hunderttausende Computer und Handys befallen. Ziel der Malware ist es, Computer- und Handynutzer durch Sperrung des Systems zur Zahlung von Geld zu bewegen. Die Erpresser verlangen dafür meist Lösegeld in Form von Bitcoins, Paysafecard-PINs oder Internetgutscheinen. Um glaubwürdiger rüberzukommen, missbraucht die Schadsoftware den Namen der Bundespolizei (oder des BKAs).
Beispiel-Meldungen: „Aus Sicherheitsgründen wurde Ihr Windowssystem blockiert ...“ „Ihr Computer/Handy wurde gesperrt ...“ „Du hast das Gesetz gebrochen ...“ „Achtung! Ihr Computer ist aus einem oder mehreren der unten ausgeführten Gründen gesperrt ...“.
Beim Bundespolizei Virus handelt es sich um Abzocke! Die als Bundespolizei Virus oder BKA Trojaner bekannte Ransomware ist keine offizielle Mitteilung der Bundespolizei oder des Bundeskriminalamtes. Lassen Sie sich weder von dem Vorwurf, eine Straftat begangen zu haben, noch von der angezeigten Zahlungsaufforderung täuschen.
Wenn Sie schon bezahlt haben (per Paysafecard), lassen Sie umgehend Ihre Paysafecard-PIN sperren. Online auf paysafecard.com oder per Telefon 00800 07297233 (kostenlos, Mo-So, 24 Stunden). Wenn Sie per iTunes-Geschenkkarte bezahlt haben, kontaktieren Sie den Apple Support (apple.com).
Wir stellen Ihnen hier mehrere Lösungswege vor, mit denen Sie die Schadsoftware entfernen können. Da es inzwischen zahlreiche Varianten gibt, müssen Sie eventuell mehrere Lösungswege ausprobieren. Für eine individuelle Bereinigung kontaktieren Sie uns, unsere Experten helfen Ihnen kostenlos.
Update vom 30.04.2023: Aktuell ist der Bundespolizei Virus / BKA Trojaner sehr aktiv (besonders Version 2.04 ↓). In den meisten Fällen handelt es sich um plumpe Javascript-Attacken und der Sperrbildschirm kann durch einen Neustart des Computers/Handys (Knopfdruck) geschlossen werden. Eine tatsächliche Schadsoftware-Infektion liegt in der Regel nicht vor (Scareware). Wir empfehlen die anschließende Überprüfung mit Malwarebytes-Anti-Malware ↓.
Falls der Sperrbildschirm nicht weg sein sollte, liegt eine Schadsoftware-Infektion vor und Sie sollten die nachfolgenden Lösungswege ausprobieren (unter Windows):
Bei Fragen stehen wir jederzeit kostenlos per E-Mail zur Verfügung. Wir setzen uns seit knapp 10 Jahren besonders für die Belange von "echten PC-Anfängern" ein. Als Anfänger kann es sehr schwerfallen, eine für Profis vermeintlich leichte Frage zu stellen. Bei uns brauchen Sie keine Panik davor haben, mag die Frage auch noch so simpel klingen.
Die zahlreichen Varianten des Bundespolizei-Virus, BKA-Trojaners
Bitte wählen Sie, welche Version Ihren Computer bzw. Ihr Handy infiziert hat. Das Aussehen des Sperrbildschirms kann sich aufgrund der zahlreichen Varianten von den hier vorgestellten Versionen unterscheiden. Selbst uns fällt die Klassifikation nicht immer leicht. Falls Sie die Schadsoftware - die Ihr System infiziert hat - nicht genau identifizieren können, können Sie uns ein Foto zusenden. Damit wir uns ein Bild davon machen können.
Der Sperrbildschirm wird sehr oft von Trittbrettfahrern verwendet: Über JavaScript wird ein Browserfenster mit dem Text „Ihr Browser hat gesperrt“ geöffnet. Per Taskmanager (Strg-Alt-Entf.) kann das Fenster geschlossen werden.
Es gibt 2 Varianten dieser Version. Eine sperrt lediglich den Browser, die andere sperrt den kompletten Computer. Wenn lediglich der Browser gesperrt wurde, drücken Sie die F11-Taste und schließen das Browserfenster. Wenn das keinen Erfolg bringt, versuchen Sie es mit der Esc-Taste oder beenden Sie den Browser mit Hilfe des Taskmanagers (Strg-Alt-Entf).
Der Bundesvirus sollte nun weg sein. Falls nicht, ist der komplette Computer gesperrt und Sie sollten die nachfolgenden Lösungswege ausprobieren:
Dieser recht einfach gehaltene Trittbrettfahrer sperrrt lediglich den Browser - unabhängig vom Betriebssystem. Auf gar keinen Fall zahlen. Es handelt sich um Fake-Seiten, die den Browser angeblich im Namen der Bundespolizei sperren.
Sperrbildschirm
Version
Merkmale
Entfernung
Version 2.01
2.01
Logos: Bundespolizei, BSI, Bundesnetzagentur
Lösegeld: 100 Euro
Zahlung per Paysafecard
Beispiel-Adresszeile im Browser: hxxp://polizei.dx.id336-36343.com
Fake-Text: Ihr Browser hat gesperrt
Unter Windows:
Löschen Sie den Browser-Cache Ihres Browsers. Um den Browser-Cache zu löschen, halten Sie im Browser die Tasten "Strg" + "Umschalt" + "Entf" gedrückt (Chrome / Edge / Firefox / Internet Explorer).
Löschen Sie den Browser-Cache und prüfen Sie Ihr Handy mit einer Antivirus-App.
Version 2.02
2.02
Logo: Bundeskriminalamt
Lösegeld: 100 Euro
Beispiel-Adresszeile im Browser: police-block.com
Zahlung innerhalb von 48 Stunden
Handynummer hinterlegt: u.a. +49 1629594479
Fake-Text: "Sie sind wegen der Ausbreitung von pornografischen Inhalten blockiert, die Materialen enthalten, die in Deutschland gesetzlich verboten sind. Um die Blockierung aufzuheben, möchten Sie ein Bußgeld in Höhe von 200,00 € bezahlen. Die Zahlung tätigen Sie mittels Prepaid iTundes-Karten. Senden Sie eine SMS-Nachricht mit dem Code, den Sie auf der Rückseite der Prepaid itunes-Karte finden, an die folgende Nummer XXX"
Unter Windows:
Löschen Sie den Browser-Cache Ihres Browsers. Um den Browser-Cache zu löschen, halten Sie im Browser die Tasten "Strg" + "Umschalt" + "Entf" gedrückt (Chrome / Edge / Firefox / Internet Explorer).
Löschen Sie den Browser-Cache und prüfen Sie Ihr Handy mit einer Antivirus-App.
Version 2.03
2.03
Logo: Bundespolizei
Lösegeld: 200 Euro
Beispiel-Adresszeile im Browser: bundespolizei-de/Web/DE/_Zugriffe_gesperrt
Zahlung innerhalb von 24 Stunden
Unter Windows:
Löschen Sie den Browser-Cache Ihres Browsers. Um den Browser-Cache zu löschen, halten Sie im Browser die Tasten "Strg" + "Umschalt" + "Entf" gedrückt (Chrome / Edge / Firefox / Internet Explorer).
Löschen Sie den Browser-Cache und prüfen Sie Ihr Handy mit einer Antivirus-App.
Version 2.04
2.04
Logo: Bundespolizei
Lösegeld: 200 Euro
Beispiel-Adresszeile im Browser: bundespolizei.de
Fake-Text: „Bundespolizei Mit Unterstützung Deutsche Telekom...“ Du hast das Gesetz gebrochen...“ „Achtung! Ihr Computer ist aus einem oder mehreren der unten ausgeführten Gründen gesperrt...“
In den meisten Fällen handelt es sich um plumpe Javascript-Attacken und der Sperrbildschirm kann durch einen Neustart des Computers/Handys (Knopfdruck) geschlossen werden.
Falls der Sperrbildschirm nicht weg sein sollte, liegt eine Schadsoftware-Infektion vor und Sie sollten die nachfolgenden Lösungswege ausprobieren (unter Windows):
Es gibt weitere Versionen. Und auch einige Nachahmer / Trittbrettfahrer des Schadsoftware. Zum Beispiel einfache Sperr-Textmeldungen & Fake-Seiten innerhalb des Browsers. Wir empfehlen die Entfernung per Kaspersky Rescue Disk ↓. Alternativ
kontaktieren Sie uns. Wir melden uns umgehend mit weiteren Anweisungen.
Eines haben alle Varianten gemeinsam: Abgesehen von der Meldung, die sich über den Bildschirm zieht, ist der Computer der Betroffenen komplett lahmgelegt. Was Sie tun sollen, um die Sperrung aufzuheben? Die eingeblendete Meldung ist deutlich: Bezahlen Sie per Bitcoin, Ukash (in älteren Versionen) oder Paysafecard einen Geldbetrag. Ansonsten bleibt der Computer gesperrt, und ein Strafverfahren seitens der Bundespolizei / des Bundeskriminalamts wird eingeleitet.
Erfahrene Computernutzer werden schnell bemerken, dass die Nachricht nicht vom BKA kommt und es sich um eine nicht vertrauenswürdige Fake-Seite, bzw. -Meldung handelt. Unerfahrene Computernutzer geraten jedoch nicht selten in Panik und überweisen die geforderte Geldsumme.
Häufige Fragen zum Bundespolizei Virus / BKA Trojaner
Wie gelangt die Schadsoftware auf ein Computer-System?
Ein typischer Angriff
Per manipulierter Internetseite
Werbeanbieter von illegalen Webseiten wie beispielsweise Kinox.to, Movie2k, sowie gehackte und pornografische Seiten verbreiten den Fake-Bundestrojaner in den meisten Fällen! Über so genannte Aktive Inhalte, beispielsweise Skripte und Programme wie Java Script und Flash. Die Hacker platzieren ihren Schadcode gezielt auf Seiten, deren Themen besonders viele Besucher anziehen. Hacker wissen genau, welche Inhalte im Internet besonders beliebt sind. Die Schadsoftware nutzt winzige Sicherheitslücken, manchmal versteckt sie sich auch in manipulierten Werbebannern auf ganz normalen Seiten.
Ruft man eine Internetseite auf, die solche Skripte und Programme enthält, wird der Programmcode über den Browser auf das eigene System geladen und dort gestartet. Und genau darin liegt die große Gefahr. Der Programmcode (möglicherweise ein Schadcode) hat nun die gleichen Rechte wie der aktuell unter Windows angemeldete Benutzer. Zugriff auf alle Einstellungen des Betriebssystems und auf die gesamte Festplatte.
Beim Phishing versenden Betrüger beispielsweise eine einfache E-Mail mit einem Anhang. Der Anhang wird von ahnungslosen Empfängern geöffnet und installiert automatisch die Schadsoftware. Sofort ist der Computer infiziert. Dies gelingt den Angreifern derzeit sehr gut mit schädlichen Makros für Office-Anwendungen.
Phishing-Mails sehen meist so aus, als kämen sie von einer vertrauenswürdigen Person oder Firma. Den Betrügern fällt es leicht, zum Beispiel Logo oder auch übliche Formulierungen zu kopieren und für ihre Fälschungen zu missbrauchen. Meist werden riesige Botnetze eingesetzt, um massenhaft Phishing-Mails zu versenden.
Warum missbraucht die Schadsoftware den Namen der Bundespolizei, des BKAs?
Das ist ein Trick! Die Erpresser wollen offiziell wirken, um glaubwürdiger rüberzukommen.
Ist die Schadsoftware ein Virus oder ein Trojaner?
Bei der Bundespolizei- BKA-Ransomware handelt es sich streng genommen um einen Trojaner und nicht um einen Virus. Die Schadsoftware wird als "Bundespolizei-Trojaner", "Bundestrojaner" oder "BKA-Trojaner" bezeichnet. Im Internet hat sich jedoch (fälschlicherweise) vor allem die Bezeichnung "Bundespolizei-Virus" etabliert.
Warum wird das Lösegeld per Paysafecard oder Bitcoin gefordert?
Für die Zahlung des Lösegeldes verlangen die Angreifer verschiedene online verfügbare Zahlungssysteme. Da die Täter möglichst anonym bleiben wollen, werden Zahlungsmethoden bevorzugt, die ohne Identitätsprüfung verwendet werden können. Die am häufigsten verwendeten Zahlungsmethoden des Fake-Bundestrojaners sind die Paysafecard und der Ukash-Code (in älteren Versionen). Aber auch die Online-Währung Bitcoin ist mittlerweile bei Cyberkriminellen sehr beliebt. Weitere Zahlungsmöglichkeiten sind Western Union oder PayPal, die jedoch aufgrund der fehlenden Anonymität eher selten verwendet werden.
Seien Sie immer skeptisch, wenn Sie jemand um Geld bittet! Fragen Sie gegebenenfalls bei Bekannten nach, wenn Sie eine Zahlungsaufforderung erhalten. Wenden Sie sich im Notfall an eine Verbraucherberatungsstelle, die Polizei oder einen auf Internetbetrug spezialisierten Rechtsanwalt.
Wäre bezahlen nicht einfacher?
Natürlich wäre es das. Aber warum sollte man Kriminellen auch noch Geld schenken? Außerdem bleibt der Computer (in den meisten Fällen) auch nach der Zahlung gesperrt! Das Geld ist für immer weg, die Schadsoftware bleibt! Wenn man den geforderten Paysafecard Code eingibt, wird dieser, und das kann man mit entsprechenden Tools mitschneiden, an eine oder mehrere IPs übertragen. Der Bildschirm bleibt unverändert. Es gibt sogar Varianten, die NACH dem Bezahlen noch mehr Schädlinge nachladen und damit das System meist komplett lahm legen und eine Neuinstallation unumgänglich machen.
Kann ich mich gegen den Bundespolizei Virus / BKA Trojaner wehren?
Ja und Nein. Die bisherigen Varianten, die man "zurückverfolgen" konnte, kamen anscheinend alle aus den USA oder der Ukraine. Das Dumme an der Geschichte ist, dass die IP-Adressen nicht die sind, hinter denen die "Kriminellen" tatsächlich stecken. Es ist schwierig, die wirklichen Personen hinter einer Ransomware-Attacke ausfindig zu machen. Meistens handelt es sich um kriminelle Organisationen, die ihre Identität und ihren Standort verschleiern. Strafverfolgungsbehörden arbeiten weltweit daran, solche Angreifer ausfindig zu machen und zur Rechenschaft zu ziehen. Es ist wichtig, jeden Ransomware-Angriff sofort der Polizei zu melden, um die Ermittlungen zu unterstützen.
Sind auch Handys gefährdet?
Ja, auch Smartphones und Tablets sind gefährdet. Vor allem auf Android- und Windows-Geräten tauchen häufig Ransomware-Trojaner auf. Meist in Form von Trittbrettfahrern, die lediglich den Browser sperren. iOS-Geräte sind etwas seltener betroffen. Apple verfolgt einen strengen Sicherheitsansatz.
Meine Daten wurden verschlüsselt, wie bekomme ich meine Daten wieder?
Wenn Sie sich eine Schadsoftware mit Verschlüsselungsfunktion „eingefangen“ haben, sieht es ziemlich düster aus. Während sich Trojaner und Lock-Screens relativ leicht entfernen lassen, ist es schwierig, verschlüsselte Dateien wieder zu entschlüsseln. Mit Entschlüsselungstools können bisher nur wenige Varianten entschlüsselt werden.
Wie lange ist der Fake-Bundestrojaner bereits aktiv?
Der Fake-Bundestrojaner war vor allem in den Jahren 2011 bis 2016 sehr aktiv. Doch nach wie vor infizieren sich tagtäglich Tausende Windows-Nutzer mit dem Trojaner. Seit 2016 taucht der Bundestrojaner vermehrt auch auf Android-Geräten auf.
Ein Blick auf unsere Zugriffszahlen verdeutlicht, dass die Schadsoftware seit Dezember 2020 wieder sehr aktiv ist. Lediglich im April 2021 hat die Schadsoftware eine Periode geringer Aktivität durchlaufen. Der beachtliche Anstieg an Attacken überrascht selbst uns. Im ersten Halbjahr 2021 wurden uns bereits mehr Infektionen gemeldet als im kompletten Vorjahr.
Mit der Entstehung der ersten Sperrtrojaner begann eine neue Ära für Schadsoftware, die inzwischen praktisch sämtliche Betriebssysteme und auch mobile Plattformen befallen kann. Aktuelle Sperrtrojaner (Ransomware) verschlüsseln sogar ganze Computersysteme.
Einen hundertprozentig wirksamen Schutz gibt es leider nicht. Mit ein paar einfachen Virenschutzmaßnahmen lässt sich die Gefahr, Opfer eines Erpresservirus zu werden, jedoch deutlich reduzieren:
Surfen Sie vorsichtig im Internet. Stellen Sie sich das Internet als einen riesigen Marktplatz vor, wo Menschen aus aller Welt ihre Dienste anbieten. Diese Menschen können, wie im realen Leben, gut oder böse sein (Missverstehen Sie diese Verallgemeinerung bitte nicht). Klicken Sie also nicht auf jeden Link, der auf den ersten Blick vertrauenswürdig aussieht. Legen Sie bei allen Aktionen im Internet ein gewisses Maß an Misstrauen an den Tag.
Seien Sie besonders misstrauisch, wenn Sie Dateianhänge per E-Mail von unbekannten Absendern erhalten. Die Gefahr geht nicht mehr nur von ausführbaren .exe-Dateien aus, sondern zunehmend auch von vermeintlich harmlosen Dokumenten (Microsoft Office, PDF-Dateien). Bereits das Öffnen einer manipulierten Office-Datei kann den Computer infizieren! Mit dem Online-Virenscanner Virustotal (virustotal.com) können Sie Mail-Anhänge und sonstige Downloads online auf Viren prüfen - von insgesamt 70 unterschiedlichen Antivirenprogrammen.
Schon das Aufrufen unbekannter oder gehackter Internetseiten kann ausreichen, um den PC zu infizieren. Um sich vor einer solchen Infektion zu schützen, lesen Sie bitte unseren Artikel über Drive-by-Downloads. Computer-Nutzer sollten unter anderem die Browser-Erweiterung "NoScript" installieren. Mit dieser Browsererweiterung können Sie steuern, welche Internetseiten "Aktive Inhalte" ausführen dürfen.
Updaten Sie Ihr Betriebssystem und alle sonstigen Programme regelmäßig. Das müssen Sie meist nicht mal selbst machen, die meisten Programme fragen Sie, sobald ein neues Update vorhanden ist, ob Sie dieses durchführen möchten.
Alternative Betriebssysteme wie z. B. Linux sind von Viren, Würmern und Co. seltener betroffen. Das hat den einfachen Grund, dass sie nicht derart verbreitet sind wie Windows. Der Bundespolizei-, BKA-Ransomware infiziert beispielsweise nur Windows-Rechner. Der direkte Umstieg auf Linux wird vielen aber schwer fallen, da sich Linux und Windows stark unterscheiden.
Empfehlenswert ist ein gutes Antivirenprogramm. Grundsätzlich sind Virenscanner der erste Weg, um sich vor Schädlinge zu schützen. Doch nicht alle Virenscanner erfüllen hohe Sicherheitsstandards. Virenscanner funktionieren nur richtig, wenn Sie auch Schadprogramme erkennen, die noch nicht bekannt sind. Die kostenpflichtigen Virenscanner aus dem Hause Bitdefender und Kaspersky gelten als zuverlässige Antivirenprogramme. Aber auch einige kostenlose Antivirenlösungen (z. B. Avast Free Antivirus) schützen sehr gut. Unabhängige Virenscanner Tests finden Sie unter anderem auf den folgenden Internetseiten:
Ransomware SchutzWenn Sie den Windows Defender nutzen, aktivieren Sie unbedingt den Ransomware-Schutz. Mit dieser Funktion können Sie einen kontrollierten Ordnerzugriff einrichten, der Dateien und Ordner auf Ihrem Computer vor unbefugten Änderungen durch Schadsoftware schützt. Die Aktivierung ist einfach. Navigieren Sie zum Windows Defender (Schild-Symbol in der Taskleiste) > Viren & Bedrohungsschutz > Ransomware-Schutz und aktivieren Sie die Option Überwachter Ordnerzugriff. Anschließend können Sie die geschützten Ordner bearbeiten und Apps auswählen, die kontrollierten Zugriff erhalten. Ein OneDrive-Konto kann bei einer Ransomware-Attacke als Datenwiederherstellung dienen.
So entfernen Sie den Bundespolizei Virus / BKA Trojaner
Backup machen - vor der Entfernung
Selbstverständlich wollen Sie die Schadsoftware schnellstmöglich loswerden, vorher sollten Sie jedoch ein Backup Ihrer Festplatte machen. Aus einem ganz einfachen Grund: Sollte während der Bereinigung etwas schief gehen, dann haben Sie mit einer Sicherungskopie trotzdem noch alle Daten.
Sehr zu empfehlen ist die Datensicherung per Live-CD. Mit eine Live-CD können Sie - über eine grafische Oberfläche - auf die verbaute Festplatte zugreifen und die Daten z. B. auf eine externe Festplatte kopieren (So sieht das Ganze aus). Einfach die Live-CD in das CD-Laufwerk einlegen und das System neu starten. Der Computer startet automatisch von der CD. Falls nicht, müssen Sie die Bootreihenfolge im BIOS einstellen (Anleitung).
Tipp: Eine Datensicherung ist generell die beste Vorsorge gegen eine Vielzahl von Problemen mit dem Computer. Die steigende Zahl von Erpressungstrojanern macht deutlich, dass es um die Datensicherung im Allgemeinen offenbar eher schlecht bestellt ist: Denn wer seine Daten ordnungsgemäß gesichert hat, den kostet die Drohung des Erpressers nur ein müdes Lächeln - er stellt seine böswillig gesperrten Daten einfach wieder her und arbeitet weiter. Sichern Sie Ihre wichtigen Dateien (Fotos, Videos, Dokumente etc.) in regelmäßigen Abständen, z. B. auf externen Festplatten, CD-ROMs oder Online-Diensten.
Die Schadsoftware per Systemwiederherstellung entfernen
Wichtig: Das Betriebssystem komplett neu zu installieren, ist die konsequenteste und sicherste Lösung.
Einige Versionen des Bundespolizei Virus / BKA Trojaners lassen sich ganz einfach entfernen, indem Sie eine Systemwiederherstellung durchführen. Mit der Systemwiederherstellung können Sie alle Systemdateien, Programme und Registrierungseinstellungen auf Ihrem Computer auf einen beliebigen Zeitpunkt zurückversetzen. Leider funktioniert diese Methode bei einigen Ransomware-Versionen nicht. In einigen Fällen verhindert der Trojaner den Aufruf des abgesicherten Modus. Aufgrund des geringen Aufwands ist diese Methode jedoch immer einen Versuch wert.
Persönliche Dateien wie Fotos, Videos oder Dokumente sind von der Systemwiederherstellung nicht betroffen. Diese verbleiben, unabhängig vom Erstellungsdatum, auch nach einer Systemwiederherstellung auf der Festplatte des Computers gespeichert.
Ruhe bewahren! Nehmen Sie sich Zeit! Falls möglich, holen Sie einen fachkundigen PC-Betreuer zu Hilfe.
Starten Sie Ihren Computer und drücken Sie beim Start mehrmals die F8-Taste. Es erscheint ein schwarzer Bildschirm mit erweiterten Windows-Startoptionen. Wählen Sie mit den Pfeiltasten die Startoption Abgesicherten Modus mit Eingabeaufforderung aus und drücken Sie die Enter-Taste.
Erhalten Sie Zugriff auf die Eingabeaufforderung, geben Sie dort rstrui.exe ein und drücken Sie die Enter-Taste.
Der Wiederherstellungs-Assistent startet. Klicken Sie auf Weiter und wählen Sie einen Wiederherstellungspunkt aus. Per Klick auf Weiter -> Fertig stellen wird Ihr Windows zurückgesetzt.
Das Schadprogramm sollte nun weg sein. Falls nicht, empfehlen wir die Entfernung per Kaspersky Rescue Disk ↓.
Die Schadsoftware per Kaspersky Rescue Disk entfernen
Wichtig: Das Betriebssystem komplett neu zu installieren, ist die konsequenteste und sicherste Lösung.
Kaspersky Rescue Disk
Sollten alle Wiederherstellungs-Versuche wider Erwarten nicht gelingen, dann bleibt Ihnen immer noch das Booten über eine externe Rettungs-CD. Für umfangreiche Rettungsaktionen empfehlen wir die Kaspersky Rescue Disk. Ist der Computer erst einmal mit der Rescue Disk von Kaspersky gebootet, genießt man volle Operationsfreiheit: Sie können das System scannen, den Bundespolizei Virus / BKA Trojaner löschen und alle Schädlings-Spuren entfernen. Im Folgenden eine Schritt-für-Schritt-Anleitung.
Laden Sie sich die Kaspersky Rescue Disk herunter. Die Kaspersky Rescue Disk können Sie hier (kaspersky.com) kostenlos herunterladen. Wenn Sie keinen Zweit-Rechner haben, um die Notfall-CD herunterzuladen, kontaktieren Sie uns. Gerne senden wir Ihnen eine Kaspersky Notfall-CD zu (kostenlos, auf dem Postweg).
Brennen/Kopieren Sie die heruntergeladene ISO-Datei auf eine CD oder einen USB-Stick und starten Sie den Computer neu (CD im Laufwerk, bzw. USB-Stick im USB-Port). Die Kaspersky Rescue Disk prüft Ihren PC automatisch auf Schadprogramme und löscht den Bundespolizei Virus (BKA Trojaner).
Detaillierte Anleitung:
Ruhe bewahren! Nehmen Sie sich Zeit! Falls möglich, holen Sie einen fachkundigen PC-Betreuer zu Hilfe.
Nach dem Download der Kaspersky Rescue Disk (kaspersky.com) erhalten Sie eine .iso Datei. Diese Datei brennen Sie auf eine CD (Rechter Mausklick -> Datenträgerabbild brennen). Alternativ mit einem Brennprogramm wie CDBurnerXP. Oder kopieren Sie die Datei mit dem USB Rescue Disk Maker (chip.de) auf einen USB-Stick.
Es erscheint ein grüner Bildschirm. Wählen Sie mit den Pfeiltasten Ihre Sprache und drücken Sie Enter.
Bestätigen Sie die Lizenzbestimmungen mit der 1-Taste und wählen Sie den Grafikmodus.
Unten Links finden Sie das folgende Symbol: - Klicken Sie auf dieses Symbol und anschließend auf Terminal
Es öffnet sich ein Fenster mit dem Terminal. Geben Sie windowsunlocker ein und drücken Sie die Enter-Taste.
Das Programm durchsucht jetzt Ihre Registrierungsdatenbank nach Viren und entfernt diese automatisch.
Ist der Vorgang abgeschlossen, schließen Sie das Terminal-Fenster und lassen Sie den integrierten Anti-Viren-Scanner Ihre Festplatte scannen. Den Scanner finden Sie im Startmenü (Symbol: ) unter K. Rescue Disk. Hinweis: Aktualisieren Sie die Virendatenbank vorher über den Reiter Update, Button Update ausführen.
Wird der Virenscanner fündig, bereinigen Sie die Dateien mit dem Button Desinfizieren oder Löschen.
Die Schadsoftware sollte nun weg sein. Prüfen Sie Ihren Computer (zur Sicherheit) anschließend mit Malwarebytes-Anti-Malware ↓.
Wurden Ihre Dateien verschlüsselt?Hier listen wir einige Entschlüsselungs-Werkzeuge auf.
Installieren Sie anschließend ein gutes Antivirenprogramm und lesen Sie sich unsere Sicherheitstipps durch. Sonst haben Sie die Schadsoftware bald wieder auf Ihrem Rechner. Besteht nach der Entfernung ein Restverdacht oder verhält sich Ihr Computer in irgendeiner Weise verdächtig, sollten Sie den Computer neu aufsetzen!
Alternativ können Sie den Bundestrojaner auch mit den folgenden Rettungs-CDs entfernen: AVG Rescue CD, Avira AntiVir Rescue System, Bitdefender Rescue-CD, ESET SysRescue-CD.
Den Computer mit Malwarebytes-Anti-Malware auf Schadprogramme prüfen
Malwarebytes Anti-Malware ist ein Programm, mit dem Sie Ihren Computer kostenlos auf Schadprogramme untersuchen können. „Malwarebytes“ legt den Fokus stark auf Zero-Day-Exploits und ist ein empfehlenswerter Zusatz zu Ihrem Antivirenprogramm. Gehen Sie wie folgt vor, um das Programm herunterzuladen, zu installieren und auszuführen:
Sie können das Programm „Malwarebytes Anti-Malware“ von den folgenden Webseiten kostenlos herunterladen: chip.de, heise.de, malwarebytes.com.
Schließen Sie alle geöffneten Programme auf Ihrem Computer und starten Sie die Installation. Folgen Sie den Anweisungen.
Starten Sie nach Abschluss der Installation den „Scanner“.
Malwarebytes Anti-Malware
Ihr Computer wird nun auf Malware geprüft. Werden Schadprogramme auf Ihrem Computer gefunden, können Sie diese nach Abschluss des Scans entfernen bzw. in Quarantäne verschieben.
Malwarebytes Anti-Malware Scanner
Manuelle Anleitung zum Löschen des Bundespolizei Virus (Version 1.01)
Wichtig
Da es inzwischen weitere Versionen des Bundespolizei Virus gibt, möchten wir darauf hinweisen, dass diese Anleitung nur bei Version 1.01 funktioniert. Wichtig: Das Betriebssystem komplett neu zu installieren, ist die konsequenteste und sicherste Lösung.
Version 1.01Der Bundestrojaner (Version 1.01) wird in zwei Schritten entfernt. Zuerst machen Sie den Trojaner unschädlich, anschließend entfernen Sie diesen.
Den Start des Bundespolizei-Trojaners verhindern:
Schalten Sie Ihren Computer ein und drücken sie mehrmals die F8-Taste, bis der Bootvorgang abgebrochen wird und eine schwarze Seite mit weißem Text erscheint.
Wählen Sie die Option Abgesicherter Modus Eingabeaufforderung indem Sie die Pfeiltasten Ihrer Tastatur benutzen und drücken Sie auf die Enter-Taste. Der Computer startet nun in einer reduzierten Variante (Keine Autostartprogramme etc.).
Abgesicherter Modus
Rufen Sie die Registrierungsdatenbank von Windows auf, indem Sie die Start-Taste Ihrer Tastatur drücken und in das untere Eingabe-Suchfeld ("Programme/Dateien durchsuchen") das Wort regedit eingeben und Enter drücken.
Es öffnet sich das Registrierungsdatenbank-Fenster. Klicken Sie sich zu dem folgenden Verzeichnis (Windows XP Nutzer): "HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon". Windows 7 Nutzer klicken sich zu dem folgenden Verzeichnis: "HKEY_CURRENT_USER\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon".
Notieren Sie sich den Pfad und Dateinamen des "Shell" Schlüssels (z. B. C:\verzeichnis\zur\jashla.exe oder mahmud.exe). Der Pfad wird im rechten Teil des Fensters angezeigt, hinter dem Begriff "Shell".
Shell Schlüssel
Klicken Sie mit der rechten Maustaste doppelt auf Shell. Es öffnet sich ein neues Fenster mit dem Titel Zeichenfolge bearbeiten. Entfernen Sie den gerade notierten Pfad, der unter Wert in der zweiten Zeile angezeigt wird, und ersetzen Sie ihn durch explorer.exe. Klicken Sie anschließend auf OK und schließen Sie das Registrierungsdatenbank-Fester.
Update Bundespolizei-Virus 2.0:
Wenn die Registry-Einträge in HKEY_CURRENT_USER bzw. HKEY_LOCAL_MACHINE in Ordnung sind (Wert: explorer.exe), schauen Sie bitte in den folgenden Pfaden nach auffälligen *.exe-Dateien und entfernen diese:
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
Auffällige EXE = langer, sinnloser Name. Bisher gefundene .exe-Dateien listen wir weiter unten ↓ auf.
Den Bundespolizei-Trojaner löschen:
Geben Sie in das Suchfeld des Startmenüs explorer.exe ein und drücken Sie die Enter-Taste.
Suchen Sie den in Schritt 5 handschriftlich notierten Dateinamen (zb. jashla.exe oder mahmud.exe) und entfernen Sie die gefundene Datei (Rechte Maustaste -> Löschen). Eventuell enthält die gefundene Datei, Ziffern und Buchstaben am Ende des Dateinamens. Beispiel: mahmud.exe.987654321.pd
Starten Sie Ihren Computer neu.
Die Schadsoftware ist nun weg. Trotzdem sollten Sie Ihren Computer anschließend mit einem guten Antivirus-Programm (z. B. Bitdefender) prüfen/schützen. Eine Übersicht der besten Antivirenprogramme finden Sie auf av-comparatives.org oder in unserem Virenschutz Test.
Wurden Ihre Dateien verschlüsselt? Der Trojaner kann viele Gesichter haben. Falls auch Ihre Dateien verschlüsselt wurden, müssen Sie diese noch entschlüsseln. Das geht mit sogenannten Decryptor-Programmen (siehe Navigation: Entschlüsselungs-Tools).
Die Chancen, verschlüsselte Dateien zu entschlüsseln, sind inzwischen leider recht gering. Es sei denn, die Autoren selbst geben auf oder werden verhaftet. Über unsere Ransomware Liste können Sie herausfinden, ob es bereits einen Decryptor (zum Entschlüsseln) für Ihre verschlüsselten Dateien gibt.
Wie heißen die schädlichen Dateien des BKA Trojaners bislang?
Hier veröffentlichen wir bisher gefundene Bundestrojaner-Dateien & -Namen. So oder ähnlich könnten die infizierten Dateien aussehen.
Bisherige Programmnamen (teilw. auch Herstellernamen):
Auf der Seite des Verbandes der Internet-Wirtschaft „eco“ botfrei.de sowie beim Bundesamt für Sicherheit in der Informationstechnik (bsi.de) finden Sie weitere nützliche Hinweise.
- Klicken Sie auf dieses Symbol und anschließend auf 
