Bundespolizei Virus (BKA Trojaner) - So entfernen Sie ihn
17. November 2022 | Von: ,
Felix Bauer
Felix Bauer Felix Bauer ist Security Consultant und beriet bereits zahlreiche Unternehmen als IT-Sicherheitsexperte. Felix Bauer schrieb zahlreiche Fachartikel für IT-Fachmagazine (u. a. für Computerwelt, IT-Administrator und für die Nachrichten-Website Heise online). Zudem findet Felix Bauer Erwähnung in diversen Büchern sowie in Fach- und News-Beiträgen (u. a. in der Wiener Zeitung, in der Computerworld und auf dem Nachrichtenportal Watson). Schauen Sie sich Felix Bauers Referenzen an.
Felix Bauer hat bereits mehr als 20 Jahre Erfahrung in der IT-Sicherheitsbranche.
Seit einigen Jahren beschäftigt sich Felix Bauer intensiv mit Virenscannern und deren verhaltensbasierte Erkennung. In seinem Blog berichtet er regelmäßig über aktuelle Themen zum Thema IT-Sicherheit.
Akademischer Grad: Felix Bauer besitzt den Abschluss Master of Science in Security and Forensic Computing.
René Hifinger
René Hifinger
René Hifinger beschäftigt sich bereits seit einigen Jahren mit den Themen IT-Sicherheit, Datenschutz und neue Technologien. Erste Erfahrungen sammelte er in verschiedenen Sicherheitsforen und auf diversen IT-Portalen. Er hat zahlreiche Fachartikel zu unterschiedlichen IT-Sicherheitsthemen veröffentlicht - u. a. für die österreichische Fachzeitung Computerwelt, für das Magazin Informatik-Aktuell und für das Magazin DIGITALE WELT. Weitere Fachartikel und Veröffentlichungen von René Hifinger finden Sie hier.
Abseits von Security-Themen verfügt René Hifinger über fundiertes Fachwissen im Bereich Softwareentwicklung. Er beherrscht die Programmiersprachen C, C ++, HTML, JavaScript, PHP und Python.
René Hifinger betreut Firmen weltweit in den Bereichen IT-Sicherheit und Softwareentwicklung. Er bringt über 15 Jahre Erfahrung mit und hat für verschiedene Firmen gearbeitet.
Bundespolizei Virus (BKA Trojaner)
Seit Anfang 2011 treibt der sogenannte Bundespolizei Virus / BKA Trojaner sein Unwesen im Internet und hat bereits Hunderttausende Computer und Handys befallen. Ziel der Malware ist es, Computer- und Handynutzer durch das Sperren des Systems zum Zahlen von Geld zu bewegen. Die Erpresser verlangen dafür meist Lösegeld in Form von Bitcoins, Paysafecard-PINs oder Internetgutscheinen. Um glaubhafter rüberzukommen missbraucht die Schadsoftware den Namen der Bundespolizei (oder des BKAs).
Beispiel-Meldungen: „Aus Sicherheitsgründen wurde Ihr Windowssystem blockiert ...“ „Ihr Computer/Handy wurde gesperrt ...“ „Du hast das Gesetz gebrochen ...“ „Achtung! Ihr Computer ist aus einem oder mehreren der unten ausgeführten Gründen gesperrt ...“. Es handelt sich hierbei um Abzocke!
Die als Bundespolizei Virus bzw. BKA Trojaner bekannte Ransomware ist keine offizielle Mitteilung der Bundespolizei oder des Bundeskriminalamtes. Weder von der Anschuldigung eine Straftat begangen zu haben, noch von der angezeigten Zahlungsaufforderung sollten Sie sich täuschen lassen.
Wenn Sie schon bezahlt haben (per Paysafecard), lassen Sie umgehend Ihre Paysafecard-PIN sperren. Online auf paysafecard.com oder per Telefon 00800 07297233 (kostenlos, Mo-So, 24 Stunden). Wenn Sie per iTunes-Geschenkkarte bezahlt haben, kontaktieren Sie den Apple Support (apple.com).
Wir stellen ihnen hier mehrere Lösungswege vor, mit denen Sie die Schadsoftware entfernen können. Da es inzwischen zahlreiche Varianten gibt, müssen Sie eventuell mehrere Lösungswege ausprobieren. Für eine individuelle Bereinigung nehmen Sie Kontakt zu uns auf, unsere Experten helfen Ihnen kostenlos.
Update vom 17.11.2022: Aktuell ist der Bundespolizei Virus / BKA Trojaner sehr aktiv (besonders Version 2.04 ↓). In den meisten Fällen handelt es sich um plumpe Javascript-Attacken und der Sperrbildschirm kann durch einen Neustart des Computers/Handys (Knopfdruck) geschlossen werden. Eine tatsächliche Schadsoftware-Infektion liegt in der Regel nicht vor (Scareware). Wir empfehlen die anschließende Überprüfung mit Malwarebytes-Anti-Malware ↓.
Falls der Sperrbildschirm nicht weg sein sollte, liegt eine Schadsoftware-Infektion vor und Sie sollten die nachfolgenden Lösungswege ausprobieren (unter Windows):
Bei Fragen stehen wir jederzeit kostenlos per E-Mail zur Verfügung. Wir setzen uns seit knapp 10 Jahren besonders für die Belange von "echten PC-Anfängern" ein. Als Anfänger kann es sehr schwerfallen, eine für Profis vermeintlich leichte Frage zu stellen. Bei uns brauchen Sie keine Panik davor haben, mag die Frage auch noch so simpel klingen.
Die zahlreichen Varianten des Bundespolizei-Virus, BKA-Trojaners
Bitte wählen Sie, welche Version Ihren Computer bzw. Ihr Handy infiziert hat. Das Aussehen des Sperrbildschirms kann sich aufgrund der zahlreichen Varianten von den hier vorgestellten Versionen unterscheiden. Selbst uns fällt die Klassifikation nicht immer leicht. Falls Sie die Schadsoftware - die Ihr System infiziert hat - nicht genau identifizieren können, können Sie uns ein Foto zusenden. Damit wir uns ein Bild davon machen können.
Der Sperrbildschirm wird sehr oft von Trittbrettfahrern verwendet: Über JavaScript wird ein Browserfenster mit dem Text „Ihr Browser hat gesperrt“ geöffnet. Per Taskmanager (Strg-Alt-Entf.) kann das Fenster geschlossen werden.
Es gibt 2 Varianten dieser Version. Eine sperrt lediglich den Browser, die andere sperrt den kompletten Computer. Wenn lediglich der Browser gesperrt wurde, drücken Sie die F11-Taste und schließen das Browserfenster. Wenn das keinen Erfolg bringt, versuchen Sie es mit der Esc-Taste oder beenden Sie den Browser mit Hilfe des Taskmanagers (Strg-Alt-Entf).
Der Bundesvirus sollte nun weg sein. Falls nicht, ist der komplette Computer gesperrt und Sie sollten die nachfolgenden Lösungswege ausprobieren:
Dieser recht einfach gehaltene Trittbrettfahrer sperrrt lediglich den Browser - unabhängig vom Betriebssystem. Auf gar keinen Fall zahlen. Es handelt sich um Fake-Seiten, die den Browser angeblich im Namen der Bundespolizei sperren.
Sperrbildschirm
Version
Merkmale
Entfernung
Version 2.01
2.01
Logos: Bundespolizei, BSI, Bundesnetzagentur
Lösegeld: 100 Euro
Zahlung per Paysafecard
Beispiel-Adresszeile im Browser: hxxp://polizei.dx.id336-36343.com
Fake-Text: Ihr Browser hat gesperrt
Unter Windows:
Löschen Sie den Browser-Cache Ihres Browsers. Um den Browser-Cache zu löschen, halten Sie im Browser die Tasten "Strg" + "Umschalt" + "Entf" gedrückt (Chrome / Edge / Firefox / Internet Explorer).
Löschen Sie den Browser-Cache und prüfen Sie Ihr Handy mit einer Antivirus-App.
Version 2.02
2.02
Logo: Bundeskriminalamt
Lösegeld: 100 Euro
Beispiel-Adresszeile im Browser: police-block.com
Zahlung innerhalb von 48 Stunden
Handynummer hinterlegt: u.a. +49 1629594479
Fake-Text: "Sie sind wegen der Ausbreitung von pornografischen Inhalten blockiert, die Materialen enthalten, die in Deutschland gesetzlich verboten sind. Um die Blockierung aufzuheben, möchten Sie ein Bußgeld in Höhe von 200,00 € bezahlen. Die Zahlung tätigen Sie mittels Prepaid iTundes-Karten. Senden Sie eine SMS-Nachricht mit dem Code, den Sie auf der Rückseite der Prepaid itunes-Karte finden, an die folgende Nummer XXX"
Unter Windows:
Löschen Sie den Browser-Cache Ihres Browsers. Um den Browser-Cache zu löschen, halten Sie im Browser die Tasten "Strg" + "Umschalt" + "Entf" gedrückt (Chrome / Edge / Firefox / Internet Explorer).
Löschen Sie den Browser-Cache und prüfen Sie Ihr Handy mit einer Antivirus-App.
Version 2.03
2.03
Logo: Bundespolizei
Lösegeld: 200 Euro
Beispiel-Adresszeile im Browser: bundespolizei-de/Web/DE/_Zugriffe_gesperrt
Zahlung innerhalb von 24 Stunden
Unter Windows:
Löschen Sie den Browser-Cache Ihres Browsers. Um den Browser-Cache zu löschen, halten Sie im Browser die Tasten "Strg" + "Umschalt" + "Entf" gedrückt (Chrome / Edge / Firefox / Internet Explorer).
Löschen Sie den Browser-Cache und prüfen Sie Ihr Handy mit einer Antivirus-App.
Version 2.04
2.04
Logo: Bundespolizei
Lösegeld: 200 Euro
Beispiel-Adresszeile im Browser: bundespolizei.de
Fake-Text: „Bundespolizei Mit Unterstützung Deutsche Telekom...“ Du hast das Gesetz gebrochen...“ „Achtung! Ihr Computer ist aus einem oder mehreren der unten ausgeführten Gründen gesperrt...“
In den meisten Fällen handelt es sich um plumpe Javascript-Attacken und der Sperrbildschirm kann durch einen Neustart des Computers/Handys (Knopfdruck) geschlossen werden.
Falls der Sperrbildschirm nicht weg sein sollte, liegt eine Schadsoftware-Infektion vor und Sie sollten die nachfolgenden Lösungswege ausprobieren (unter Windows):
Es gibt weitere Versionen. Und auch einige Nachahmer / Trittbrettfahrer des Schadsoftware. Zum Beispiel einfache Sperr-Textmeldungen & Fake-Seiten innerhalb des Browsers. Wir empfehlen die Entfernung per Kaspersky Rescue Disk ↓. Alternativ
kontaktieren Sie uns. Wir melden uns umgehend mit weiteren Anweisungen.
Eines haben alle Varianten gemeinsam: Abgesehen von der Meldung, die sich über den Bildschirm zieht, ist der Computer der Betroffenen komplett lahmgelegt. Was Sie tun sollen, um die Sperrung aufzuheben? Die eingeblendete Meldung ist deutlich: Bezahlen Sie per Bitcoin, Ukash (in älteren Versionen) oder Paysafecard einen Geldbetrag. Ansonsten bleibt der Computer gesperrt, und ein Strafverfahren seitens der Bundespolizei / des Bundeskriminalamts wird eingeleitet.
Erfahrene Computernutzer werden schnell bemerken, dass die Nachricht nicht vom BKA kommt und es sich um eine nicht vertrauenswürdige Fake-Seite, bzw. -Meldung handelt. Unerfahrene Computernutzer geraten jedoch nicht selten in Panik und überweisen die geforderte Geldsumme.
Häufige Fragen zum Bundespolizei Virus / BKA Trojaner
Wie gelangt die Schadsoftware auf ein Computer-System?
Ein typischer Angriff
Per manipulierter Internetseite
Werbeanbieter von illegalen Webseiten wie beispielsweise Kinox.to, Movie2k, sowie gehackte und pornografische Seiten verbreiten den Fake-Bundestrojaner in den meisten Fällen! Über so genannte Aktive Inhalte, beispielsweise Scripts und Programme wie Java Script und Flash. Die Hacker platzieren ihre Schadcodes gezielt auf den Seiten, deren Themen besonders viele Besucher anlocken. Hacker wissen genau, welche Inhalte im Internet sehr beliebt sind. Die Schadsoftware nutzt winzige Sicherheitslücken, versteckt sich manchmal auch in manipulierten Werbebannern auf ganz normalen Seiten.
Ruft man eine Internetseite auf, die solche Scripts und Programme enthält, wird der Programmcode über den Browser auf das eigene System geladen und dort gestartet. Und genau das stellt eine große Gefahr dar. Der Programmcode (möglicherweise ein Schadcode) hat nun dieselben Rechte, wie auch der aktuell unter Windows eingeloggte Nutzer. Zugriff auf sämtliche Betriebssystem-Einstellungen und auf die komplette Festplatte.
Beim Phishing senden Betrüger zum Beispiel eine einfache E-Mail mit Anhang. Der Anhang wird von arglosen Empfängern geöffnet und installiert die Schadsoftware automatisch. Prompt ist der Computer infiziert. Dies gelingt den Angreifern aktuell sehr gut über schädliche Makros für Office-Anwendungen.
Phishing-E-Mails sehen meistens so aus, als wären sie von einer vertrauenswürdigen Person oder Firma versendet worden. Den Betrügern fällt es leicht, zum Beispiel Logo oder auch übliche Formulierungen zu kopieren und für ihre Fälschungen zu missbrauchen. Meist werden riesige Botnetze genutzt, um massenhaft Phishing-Mails zu versenden.
Warum missbraucht die Schadsoftware den Namen der Bundespolizei, des BKAs?
Das ist ein Trick! Die Erpresser wollen offiziell wirken, um glaubhafter rüberzukommen.
Ist die Schadsoftware ein Virus oder ein Trojaner?
Die Bundespolizei- BKA-Ransomware ist streng genommen ein Trojaner, kein Virus. Die Schadsoftware bezeichnet man als "Bundespolizei-Trojaner", "Bundestrojaner" oder "BKA-Trojaner". Im Internet hat sich (irrtümlich) jedoch vor allem die Bezeichnung "Bundespolizei-Virus" etabliert.
Warum wird das Lösegeld per Paysafecard oder Bitcoin gefordert?
Für die Bezahlung des Lösegeldes verlangen die Angreifer verschiedene, online verfügbare Bezahlsysteme. Da die Akteure möglichst anonym bleiben möchten, werden Zahlungsmethoden bevorzugt, welche ohne Identitätsprüfung verwendet werden können. Die am häufigsten verwendeten Zahlungsmethoden des Fake-Bundestrojaners sind die Paysafecard und der Ukash-Code (in älteren Versionen). Aber auch die Online-Währung Bitcoin ist inzwischen sehr beliebt bei Cyberkriminellen. Als weitere Zahlungsmöglichkeiten sind Western-Union oder PayPal zu nennen, welche jedoch aufgrund der fehlenden Anonymität eher selten verwendet werden.
Seien Sie immer skeptisch, wenn jemand Geld von Ihnen möchte! Fragen Sie ggf. bei Bekannten nach, wenn eine Zahlungsaufforderung kommt. Wenden Sie sich im Notfall an eine Verbraucherberatungsstelle, die Polizei oder einen Rechtsbeistand, der auf Internetbetrug spezialisiert ist.
Wäre bezahlen nicht einfacher?
Klar wäre es das. Aber warum Verbrechern auch noch Geld schenken? Zudem bleibt der Computer (in den meisten Fällen) auch nach der Zahlung gesperrt! Sprich Geld für immer weg, Schädling weiterhin da! Wenn Sie den geforderten Paysafecard-Code eingeben, wird dieser, und das lässt sich mit geeigneten Tools mitschneiden, an eine bzw. mehrere IPs übertragen. Der Bildschirm bleibt unverändert. Es gibt sogar Varianten, welche NACH dem Bezahlen noch mehr Schädlinge runterladen und damit das System meist komplett lahmlegen und eine Neuinstallation unabdingbar machen.
Kann ich mich gegen den Bundespolizei Virus / BKA Trojaner wehren?
Ja und Nein. Die bisherigen Varianten, welche man "zurückverfolgen" konnte, kamen alle augenscheinlich aus den USA oder aus der Ukraine. Das blöde an der Geschichte ist, dass die IP nicht diejenige sein wird hinter der diese "Verbrecher" tatsächlich sitzen. Mittlerweile gibt es genug Möglichkeiten, um Tage/Wochen/Monate unerkannt bleiben zu können. Es lässt sich zwar im Endeffekt fast alles zurückverfolgen. Die Frage ist dann aber eher, wie viel Aufwand und Zeit steckt man darein. Melden kann man sich mit diesem Problem in Deutschland beim Bundesamt für Sicherheit in der Informationstechnik (E-Mail: antivir@bsi.bund.de, Telefon: 01805 274100).
Sind auch Handys gefährdet?
Ja, auch Smartphones und Tablets sind gefährdet. Vor allem bei Android- und Windows-Geräten tauchen Ransomware-Trojaner häufig auf. Meistens in Form von Trittbrettfahrern, die lediglich den Browser sperren. iOS-Geräte sind etwas seltener betroffen. Apple verfolgt einen strengen Sicherheitsansatz.
Meine Daten wurden verschlüsselt, wie bekomme ich meine Daten wieder?
Wenn Sie sich eine Schadsoftware mit Verschlüsselungsfunktion „eingefangen“ haben, sieht es recht düster aus. Während sich Trojaner und Lock-Screens relativ einfach entfernen lassen, ist es schwierig, verschlüsselte Dateien zu entschlüsseln. Mit Entschlüsselungstools lassen sich bisher nur recht wenige Varianten entschlüsseln.
Wie lange ist der Fake-Bundestrojaner bereits aktiv?
Der Fake-Bundestrojaner war vor allem in den Jahren 2011 bis 2016 sehr aktiv. Doch nach wie vor infizieren sich tagtäglich Tausende Windows-Nutzer mit diesem Trojaner. Seit 2016 taucht der Bundestrojaner vermehrt auch auf Android-Geräten auf.
Ein Blick auf unsere Zugriffszahlen verdeutlicht, dass die Schadsoftware seit Dezember 2020 wieder sehr aktiv ist. Lediglich im April 2021 hat die Schadsoftware eine Periode geringer Aktivität durchlaufen. Der beachtliche Anstieg an Attacken überrascht selbst uns. Im ersten Halbjahr 2021 wurden uns bereits mehr Infektionen gemeldet als im kompletten Vorjahr.
Mit der Entstehung der ersten Sperrtrojaner begann eine neue Ära für Schadsoftware, die inzwischen praktisch sämtliche Betriebssysteme und auch mobile Plattformen befallen kann. Aktuelle Sperrtrojaner (Ransomware) verschlüsseln sogar ganze Computersysteme.
Einen hundert Prozent wirksamen Schutz gibt es leider nicht. Mit ein paar einfachen Virenschutzmaßnahmen lässt sich die Gefahr, Opfer eines Erpresservirus zu werden, jedoch deutlich reduzieren:
Surfen Sie mit Bedacht im Internet. Stellen Sie sich das Internet als einen riesigen Marktplatz vor, wo Menschen aus aller Welt ihre Dienste anbieten. Diese Menschen können, wie im realen Leben, gut oder böse sein (Missverstehen Sie diese Verallgemeinerung bitte nicht). Klicken Sie also nicht auf jeden Link, der auf den ersten Blick vertrauenswürdig aussieht. Legen Sie bei allen Aktionen im Internet ein gewisses Maß an Misstrauen an den Tag.
Wenn Sie von unbekannten Absendern Dateianhänge per E-Mail erhalten, sollten Sie sehr misstrauisch sein. Gefahr geht dabei nicht mehr nur von ausführbaren .exe-Dateien, sondern immer mehr auch von vermeintlich harmlosen Dokumenten (Microsoft Office, PDF-Dateien), aus. Bereits das Öffnen einer manipulierten Office-Datei kann den Computer infizieren! Mit dem Online-Virenscanner Virustotal (virustotal.com) können Sie Mail-Anhänge und sonstige Downloads online auf Viren prüfen - von insgesamt 70 unterschiedlichen Antivirenprogrammen.
Das Aufrufen von unbekannten oder gehackten Internetseiten kann bereits genügen, um den PC zu infizieren. Um sich vor einer solchen Infektion zu schützen, lesen Sie bitte unseren Artikel über Drive-by-Downloads. Computer-Nutzer sollten unter anderem die Browser-Erweiterung "NoScript" installieren. Mit der Browser-Erweiterung regeln Sie, welche Internetseiten "Aktive Inhalte" ausführen dürfen.
Updaten Sie Ihr Betriebssystem und alle sonstigen Programme regelmäßig. Das müssen Sie meist nicht mal selbst machen, die meisten Programme fragen Sie, sobald ein neues Update vorhanden ist, ob Sie dieses durchführen möchten.
Alternative Betriebssysteme wie z. B. Linux sind von Viren, Würmern und Co. seltener betroffen. Das hat den einfachen Grund, dass sie nicht derart verbreitet sind wie Windows. Der Bundespolizei-, BKA-Ransomware infiziert beispielsweise nur Windows-Rechner. Direkt auf Linux zu wechseln wird aber vielen schwerfallen, da sich Linux und Windows erheblich unterscheiden.
Empfehlenswert ist ein gutes Antivirenprogramm. Grundlegend sind Virenscanner der erste Weg, um sich vor Schädlinge zu schützen. Doch nicht alle Virenscanner erfüllen hohe Sicherheitsstandards. Virenscanner funktionieren nur richtig, wenn Sie auch Schadprogramme erkennen, die noch nicht bekannt sind. Die kostenpflichtigen Virenscanner aus dem Hause Bitdefender und Kaspersky gelten als zuverlässige Antivirenprogramme. Aber auch einige kostenlose Antivirenlösungen (z. B. Avast Free Antivirus) schützen sehr gut. Unabhängige Virenscanner Tests finden Sie unter anderem auf den folgenden Internetseiten:
Ransomware SchutzWenn Sie den Windows Defender nutzen, aktivieren Sie unbedingt den Ransomware-Schutz. Mit der Funktion können Sie einen kontrollierten Ordnerzugriff einrichten, durch den Dateien und Ordner auf Ihrem Computer vor unbefugten Änderungen durch Schadsoftware geschützt werden. Die Aktivierung ist einfach. Navigieren Sie zum Windows Defender (Schild-Symbol in der Taskleiste) > Viren & Bedrohungsschutz > Ransomware-Schutz und aktivieren Sie die Option Überwachter Ordnerzugriff. Anschließend können Sie die geschützten Ordner bearbeiten und Apps auswählen, die kontrollierten Zugriff erhalten. Ein OneDrive-Konto kann bei einer Ransomware-Attacke als Datenwiederherstellung dienen.
So entfernen Sie den Bundespolizei Virus / BKA Trojaner
Backup machen - vor der Entfernung
Selbstverständlich wollen Sie die Schadsoftware schnellstmöglich loswerden, vorher sollten Sie jedoch ein Backup Ihrer Festplatte machen. Aus einem ganz einfachen Grund: Sollte während der Bereinigung etwas schief gehen, dann haben Sie mit einer Sicherungskopie trotzdem noch alle Daten.
Sehr zu empfehlen ist die Datensicherung per Live-CD. Mit eine Live-CD können Sie - über eine grafische Oberfläche - auf die verbaute Festplatte zugreifen und die Daten z. B. auf eine externe Festplatte kopieren (So sieht das Ganze aus). Einfach die Live-CD in das CD-Laufwerk einlegen und das System neu starten. Der Computer startet automatisch von der CD. Falls nicht, müssen Sie die Bootreihenfolge im BIOS einstellen (Anleitung).
Tipp: Eine Datensicherung ist generell die beste Vorsorge für eine sehr breite Palette an Problemen mit dem Computer. Die steigende Zahl von Erpresser-Trojanern macht deutlich, dass es um die Datensicherung offensichtlich im Allgemeinen eher schlecht bestellt ist: Denn jedem, der seine Daten ordnungsgemäß gesichert hat, kostet die Drohung des Erpressers nur ein müdes Lächeln - er stellt seine böswillig gesperrten Daten einfach wieder her und arbeitet weiter. Sicher Sie Ihre für Sie wichtigen Dateien (Fotos, Videos, Unterlagen, etc.) in regelmäßigen Abständen z. B. auf externen Festplatten, CD-Roms oder Online-Diensten.
Die Schadsoftware per Systemwiederherstellung entfernen
Wichtig: Das Betriebssystem komplett neu zu installieren, ist die konsequenteste und sicherste Lösung.
Einige Versionen des Bundespolizei Virus / BKA Trojaners lassen sich ganz einfach entfernen, indem Sie eine Systemwiederherstellung durchführen. Mit der Systemwiederherstellung können Sie alle Systemdateien, Programme und Registrierungseinstellungen auf Ihrem Computer auf einen beliebigen Zeitpunkt zurückversetzen. Leider funktioniert diese Methode bei einigen Ransomware-Versionen nicht. In einigen Fällen wird der Aufruf des abgesicherten Modus vom Trojaner unterbunden. Aufgrund des geringen Aufwands ist diese Methode jedoch immer einen Versuch wert.
Persönliche Dateien wie Fotos, Videos oder Dokumente sind von der Systemwiederherstellung nicht betroffen. Diese verbleiben, unabhängig vom Erstellungsdatum, auch nach einer Systemwiederherstellung auf der Festplatte des Computers gespeichert. Die Systemwiederherstellung bezieht sich nur auf installierte Anwendungen. Sofern die Anwendungen nicht von dem Wiederherstellungspunkt umfasst sind, werden diese automatisch entfernt. Änderungen an der Registrierung oder an den Einstellungen von Windows werden über die Systemwiederherstellung in ihren vorherigen Stand zurück versetzt.
Ruhe bewahren! Nehmen Sie sich Zeit! Falls möglich, holen Sie einen fachkundigen PC-Betreuer zu Hilfe.
Starten Sie Ihren Computer und drücken Sie beim Start mehrmals die F8-Taste. Es erscheint ein schwarzer Bildschirm mit erweiterten Windows-Startoptionen. Wählen Sie mit den Pfeiltasten die Startoption Abgesicherten Modus mit Eingabeaufforderung aus und drücken Sie die Enter-Taste.
Erhalten Sie Zugriff auf die Eingabeaufforderung, geben Sie dort rstrui.exe ein und drücken Sie die Enter-Taste.
Der Wiederherstellungs-Assistent startet. Klicken Sie auf Weiter und wählen Sie einen Wiederherstellungspunkt aus. Per Klick auf Weiter -> Fertig stellen wird Ihr Windows zurückgesetzt.
Das Schadprogramm sollte nun weg sein. Falls nicht, empfehlen wir die Entfernung per Kaspersky Rescue Disk ↓.
Die Schadsoftware per Kaspersky Rescue Disk entfernen
Wichtig: Das Betriebssystem komplett neu zu installieren, ist die konsequenteste und sicherste Lösung.
Kaspersky Rescue Disk
Sollten alle Wiederherstellungs-Versuche wider Erwarten nicht gelingen, dann bleibt Ihnen immer noch das Booten über eine externe Rettungs-CD. Für umfangreiche Rettungsaktionen empfehlen wir die Kaspersky Rescue Disk. Ist der Computer erst einmal mit der Rescue Disk von Kaspersky gebootet, genießt man volle Operationsfreiheit: Sie können das System scannen, den Bundespolizei Virus / BKA Trojaner löschen und alle Schädlings-Spuren entfernen. Im Folgenden eine Schritt-für-Schritt-Anleitung.
Laden Sie sich die Kaspersky Rescue Disk herunter. Die Kaspersky Rescue Disk können Sie hier (kaspersky.com) kostenlos herunterladen. Wenn Sie keinen Zweit-Rechner haben, um die Notfall-CD herunterzuladen, kontaktieren Sie uns. Gerne senden wir Ihnen eine Kaspersky Notfall-CD zu (kostenlos, auf dem Postweg).
Brennen/Kopieren Sie die heruntergeladene ISO-Datei auf eine CD oder einen USB-Stick und starten Sie den Computer neu (CD im Laufwerk, bzw. USB-Stick im USB-Port). Die Kaspersky Rescue Disk prüft Ihren PC automatisch auf Schadprogramme und löscht den Bundespolizei Virus (BKA Trojaner).
Detaillierte Anleitung:
Ruhe bewahren! Nehmen Sie sich Zeit! Falls möglich, holen Sie einen fachkundigen PC-Betreuer zu Hilfe.
Nach dem Download der Kaspersky Rescue Disk (kaspersky.com) erhalten Sie eine .iso Datei. Diese Datei brennen Sie auf eine CD (Rechter Mausklick -> Datenträgerabbild brennen). Alternativ mit einem Brennprogramm wie CDBurnerXP. Oder kopieren Sie die Datei mit dem USB Rescue Disk Maker (chip.de) auf einen USB-Stick.
Es erscheint ein grüner Bildschirm. Wählen Sie mit den Pfeiltasten Ihre Sprache und drücken Sie Enter.
Bestätigen Sie die Lizenzbestimmungen mit der 1-Taste und wählen Sie den Grafikmodus.
Unten Links finden Sie das folgende Symbol: - Klicken Sie auf dieses Symbol und anschließend auf Terminal
Es öffnet sich ein Fenster mit dem Terminal. Geben Sie windowsunlocker ein und drücken Sie die Enter-Taste.
Das Programm durchsucht jetzt Ihre Registrierungsdatenbank nach Viren und entfernt diese automatisch.
Ist der Vorgang abgeschlossen, schließen Sie das Terminal-Fenster und lassen Sie den integrierten Anti-Viren-Scanner Ihre Festplatte scannen. Den Scanner finden Sie im Startmenü (Symbol: ) unter K. Rescue Disk. Hinweis: Aktualisieren Sie die Virendatenbank vorher über den Reiter Update, Button Update ausführen.
Wird der Virenscanner fündig, bereinigen Sie die Dateien mit dem Button Desinfizieren oder Löschen.
Die Schadsoftware sollte nun weg sein. Prüfen Sie Ihren Computer (zur Sicherheit) anschließend mit Malwarebytes-Anti-Malware ↓.
Wurden Ihre Dateien verschlüsselt?Hier listen wir einige Entschlüsselungs-Werkzeuge auf.
Installieren Sie anschließend ein gutes Antivirenprogramm und lesen Sie sich unsere Sicherheitstipps durch. Sonst haben Sie die Schadsoftware bald wieder auf Ihrem Rechner. Besteht nach der Entfernung ein Restverdacht oder verhält sich Ihr Computer in irgendeiner Weise verdächtig, sollten Sie den Computer neu aufsetzen!
Alternativ könnten Sie den Bundestrojaner auch mit den folgenden Rettungs-CDs entfernen: AVG Rescue CD, Avira AntiVir Rescue System, Bitdefender Rescue-CD, ESET SysRescue-CD.
Den Computer mit Malwarebytes-Anti-Malware auf Schadprogramme prüfen
Malwarebytes Anti-Malware ist ein Programm, mit dem Sie Ihren Computer kostenlos auf Schadprogramme untersuchen können. „Malwarebytes“ legt den Fokus stark auf Zero-Day-Exploits und ist ein empfehlenswerter Zusatz zu Ihrem Antivirenprogramm. Gehen Sie wie folgt vor, um das Programm herunterzuladen, zu installieren und auszuführen:
Sie können das Programm „Malwarebytes Anti-Malware“ von den folgenden Webseiten kostenlos herunterladen: chip.de, heise.de, malwarebytes.com.
Schließen Sie alle geöffneten Programme auf Ihrem Computer und starten Sie die Installation. Folgen Sie den Anweisungen.
Starten Sie nach Abschluss der Installation den „Scanner“.
Malwarebytes Anti-Malware
Ihr Computer wird nun auf Malware geprüft. Werden Schadprogramme auf Ihrem Computer gefunden, können Sie diese nach Abschluss des Scans entfernen bzw. in Quarantäne verschieben.
Malwarebytes Anti-Malware Scanner
Manuelle Anleitung zum Löschen des Bundespolizei Virus (Version 1.01)
Wichtig
Da es inzwischen weitere Versionen des Bundespolizei Virus gibt, möchten wir darauf hinweisen, dass diese Anleitung nur bei Version 1.01 funktioniert. Wichtig: Das Betriebssystem komplett neu zu installieren, ist die konsequenteste und sicherste Lösung.
Version 1.01Der Bundestrojaner (Version 1.01) wird in zwei Schritten entfernt. Zuerst machen Sie den Trojaner unschädlich, anschließend entfernen Sie diesen.
Den Start des Bundespolizei-Trojaners verhindern:
Schalten Sie Ihren Computer ein und drücken sie mehrmals die F8-Taste, bis der Bootvorgang abgebrochen wird und eine schwarze Seite mit weißem Text erscheint.
Wählen Sie die Option Abgesicherter Modus Eingabeaufforderung indem Sie die Pfeiltasten Ihrer Tastatur benutzen und drücken Sie auf die Enter-Taste. Der Computer startet nun in einer reduzierten Variante (Keine Autostartprogramme etc.).
Abgesicherter Modus
Rufen Sie die Registrierungsdatenbank von Windows auf, indem Sie die Start-Taste Ihrer Tastatur drücken und in das untere Eingabe-Suchfeld ("Programme/Dateien durchsuchen") das Wort regedit eingeben und Enter drücken.
Es öffnet sich das Registrierungsdatenbank-Fenster. Klicken Sie sich zu dem folgenden Verzeichnis (Windows XP Nutzer): "HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon". Windows 7 Nutzer klicken sich zu dem folgenden Verzeichnis: "HKEY_CURRENT_USER\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon".
Notieren Sie sich den Pfad und Dateinamen des "Shell" Schlüssels (z. B. C:\verzeichnis\zur\jashla.exe oder mahmud.exe). Der Pfad wird im rechten Teil des Fensters angezeigt, hinter dem Begriff "Shell".
Shell Schlüssel
Klicken Sie mit der rechten Maustaste doppelt auf Shell. Es öffnet sich ein neues Fenster mit dem Titel Zeichenfolge bearbeiten. Entfernen Sie den gerade notierten Pfad, der unter Wert in der zweiten Zeile angezeigt wird, und ersetzen Sie ihn durch explorer.exe. Klicken Sie anschließend auf OK und schließen Sie das Registrierungsdatenbank-Fester.
Update Bundespolizei-Virus 2.0:
Wenn die Registry-Einträge in HKEY_CURRENT_USER bzw. HKEY_LOCAL_MACHINE in Ordnung sind (Wert: explorer.exe), schauen Sie bitte in den folgenden Pfaden nach auffälligen *.exe-Dateien und entfernen diese:
HKEY_LOCAL_MACHINE\ Software\ Microsoft\ Windows\ CurrentVersion\ Run HKEY_CURRENT_USER\ Software\ Microsoft\ Windows\ CurrentVersion\ Run
Auffällige EXE = langer, sinnloser Name. Bisher gefundene .exe-Dateien listen wir weiter unten ↓ auf.
Den Bundespolizei-Trojaner löschen:
Geben Sie in das Suchfeld des Startmenüs explorer.exe ein und drücken Sie die Enter-Taste.
Suchen Sie den in Schritt 5 handschriftlich notierten Dateinamen (zb. jashla.exe oder mahmud.exe) und entfernen Sie die gefundene Datei (Rechte Maustaste -> Löschen). Eventuell enthält die gefundene Datei, Ziffern und Buchstaben am Ende des Dateinamens. Beispiel: mahmud.exe.987654321.pd
Starten Sie Ihren Computer neu.
Die Schadsoftware ist nun weg. Trotzdem sollten Sie Ihren Computer anschließend mit einem guten Antivirus-Programm (z. B. Bitdefender) prüfen/schützen. Eine Übersicht der besten Antivirenprogramme finden Sie auf av-comparatives.org oder in unserem Virenschutz Test.
Wurden Ihre Dateien verschlüsselt? Der Trojaner kann viele Gesichter haben. Falls auch Ihre Dateien verschlüsselt wurden, müssen Sie diese noch entschlüsseln. Das geht mit sogenannten Decryptor-Programmen (siehe Navigation: Entschlüsselungs-Tools).
Die Chancen, verschlüsselte Dateien zu entschlüsseln, sind inzwischen leider recht gering. Es sei denn, die Autoren selbst geben auf oder werden verhaftet. Über unsere Ransomware Liste können Sie herausfinden, ob es bereits einen Decryptor (zum Entschlüsseln) für Ihre verschlüsselten Dateien gibt.
Wie heißen die schädlichen Dateien des BKA Trojaners bislang?
Hier veröffentlichen wir bisher gefundene Bundestrojaner-Dateien & -Namen. So oder ähnlich könnten die infizierten Dateien aussehen.
Bisherige Programmnamen (teilw. auch Herstellernamen):
Auf der Seite des Verbandes der Internet-Wirtschaft „eco“ botfrei.de sowie beim Bundesamt für Sicherheit in der Informationstechnik (bsi.de) finden Sie weitere nützliche Hinweise.
- Klicken Sie auf dieses Symbol und anschließend auf 
