Ja, man kann Malware bekommen, nur indem man eine Website besucht

Wie oft haben Sie schon jemanden sagen hören: „Ich habe nichts angeklickt“, während er Ihnen einen PC übergibt, der voll mit Malware ist? Es ist eine der Standardverteidigungen, aber Malware, die sich selbst herunterladen und installieren kann, wird ebenfalls überraschend oft missverstanden.

Das liegt zum Teil daran, dass, obwohl die Leute oft behaupten „es ist einfach passiert“, das Auffinden eines Drive-by-Downloads in der freien Wildbahn, der tatsächlich deinen Computer infiziert, heutzutage zu den selteneren Arten von Malware-Angriffen gehört - aus einigen Gründen, die ich erklären werde.

Das gesagt, existiert selbstinstallierende Malware, und in manchen Fällen reicht es aus, eine bösartige Webseite zu laden.

Sie können Malware nur durch den Besuch einer Website bekommen

Unsichtbare, unaufhaltsame Bedrohungen

Der Name „Drive-by-Download“ ruft etwas aus einem Gangster-Cop-Drama der 90er Jahre hervor; Ihr Computer wird mit Malware infiziert, während jemand die Straße hinunterrast. Die digitale Realität ist etwas ähnlich: Malware, die sich auf Ihrem Gerät installiert, als direkte Folge des Besuchs einer Webseite, ohne dass Sie bewusst aktiv werden.

In vielen Fällen werden Sie keinen verdächtigen Download-Prompt sehen oder dass ein Installer plötzlich startet. Es gibt kein "Zustimmen, um fortzufahren"-Warnzeichen, das Ihnen sagt, dass etwas Verdächtiges auf Ihrem Computer vor sich geht.

Drive-by-Downloads als Konzept gibt es mittlerweile seit Jahrzehnten. Die Techniken haben sich weiterentwickelt, da frühe Drive-by-Malware-Infektionen typischerweise erforderten, dass man versehentlich einen getarnten Knopf oder ähnliches auf der Webseite drückte, wodurch die Malware ausgelöst wurde.

Moderne Browser sind viel besser darin, sich gegen Drive-by-Download-Angriffe zu schützen. Vollständig passive Malware war in der Ära von Flash, Java und Adobe Reader am gefährlichsten, als Exploit-Kits über eine breite, relativ ungepatchte Angriffsfläche verfügten. Moderne Browser sind stärker isoliert, aktualisieren sich automatisch aggressiv und haben die Unterstützung für Plugins weitgehend abgeschafft.

Drive-by-Malware-Lieferung ist jedoch nicht veraltet - sie hat sich nur in ihrer Funktionsweise verändert.

Also, wie funktioniert ein Drive-by-Download-Malware-Angriff?

Das ist ein Überfall

Browser, die das moderne Internet ausführen, sind ziemlich komplexe Softwareprodukte. Jedes Mal, wenn Ihr Browser eine Seite lädt, verarbeitet er HTML, führt JavaScript aus, rendert CSS, verarbeitet Medien und führt Drittanbieterskripte aus - oft dutzende davon aus Quellen, die völlig außerhalb der Kontrolle der Website liegen.

Während Browser wirklich gut darin sind, uns zu schützen, ist jeder dieser Prozesse eine andere Möglichkeit, wie Ihr Browser ausgenutzt werden kann.

Der hartnäckige Mythos besagt, dass Malware etwas ist, das Menschen passiert, die unaufmerksam sind - jene, die auf verdächtige Links klicken, raubkopierte Software herunterladen oder in die dunkleren Ecken des Internets geraten. Es ist alles Teil eines Prozesses, der mehrere Exploits kombiniert.

Kompromittierte Websites

Wie Sie vielleicht erwarten, sind kompromittierte Websites ein großer Teil des Problems, wenn es um Drive-by-Malware geht. Es ist ein besonderes Problem, weil der Website-Betreiber möglicherweise nicht erkennt, dass er bösartigen Code oder Schlimmeres ausliefert, was die Infektionsgefahr erhöht.

Also berichtete The Hacker News im Jahr 2025, dass 150.000 Websites durch einen koordinierten JavaScript-Injektionsangriff kompromittiert wurden, der darauf ausgelegt war, chinesische Glücksspielseiten zu bewerben, und Millionen von Benutzer mit bösartigen Landingpages infizierte.

Eine weitere Variante von Drive-by-Downloads, bekannt als SocGholish, nutzt ebenfalls JavaScript-Exploits, um bösartigen Code in kompromittierte legitime Websites einzuschleusen — einschließlich hoch bewerteter und stark besuchter Websites — und zeigt den Besuchern überzeugende gefälschte Browser-Update-Aufforderungen an.

Diese Malware ist mit russischen Hackergruppen verbunden und machte laut dem Malware-Bericht des Center for Internet Security für das 4. Quartal 2024 mehr als 50 Prozent aller Malware in diesem Quartal aus.

Das Problem für alle Internetnutzer ist, dass Cross-Site-Scripting (XSS) und SQL-Injektionen nach wie vor die häufigsten Schwachstellentypen in Webanwendungen darstellen, was bedeutet, dass die zugrunde liegenden Schwächen, die eine Kompromittierung der Seiten ermöglichen, nicht verschwinden.

Darüber hinaus wird der Anstieg von vibe-codierten Web-Apps und Websites durch Menschen mit wenig Erfahrung Probleme wie dieses fast garantiert verschlimmern.

Malvertising

Schädliche Werbung, auch als Malvertising bekannt, ist eine der sicheren Methoden, um Malware aufzunehmen, ohne zu merken, was passiert ist. Obwohl es Möglichkeiten gibt, Malvertising-Kampagnen zu erkennen, entwickeln sie sich wie alle Malware schnell und sind darauf ausgelegt, schnell zu handeln.

Malvertising ist gefährlich, weil die meisten Websites Anzeigen über Drittanbieter-Werbenetzwerke schalten. Angreifer kaufen Werbeplätze über diese Netzwerke und betten bösartigen Code oder Weiterleitungen in die Werbekreative ein. Das bedeutet, dass eine ansonsten saubere Website versehentlich eine bösartige Anzeige ausliefern kann, ohne dass die Website selbst kompromittiert wurde, und Ihr Browser möglicherweise Schwierigkeiten hat, dies zu unterscheiden.

Malvertising stieg Anfang der 2020er Jahre stark an und nahm dann etwas ab. Aber seit 2024 hat Malware, die über bösartige Anzeigen verbreitet wird, stetig zugenommen, wobei AdMonsters berichtet, dass eine von 160 in den USA geschalteten Anzeigen bösartig war.

Browser sind wesentlich besser darin, vor Malvertising zu schützen, und Apps und Erweiterungen zum Blockieren von Werbung/Skripten sind eine hervorragende Möglichkeit, Ihren Rechner zu schützen, aber es gibt immer noch einige Malvertisements, die durchrutschen. Zum Beispiel nutzte die Malvertising-Kampagne RoughTed dynamische URLs, um etablierte Sperrlisten zu umgehen, was bedeutet, dass bösartige Werbeanzeigen auf legitime Websites gelangen konnten.

Exploit-Kits

Exploit-Kits durchsuchen Ihren Browser und seine Komponenten nach bekannten Sicherheitslücken, sobald Sie eine infizierte Seite laden. Wenn sie eine ungepatchte Version von Chrome, Firefox oder eine veraltete Systemkomponente finden, versuchen sie, über diese Lücke eine Schadsoftware einzuschleusen - ohne dass ein Klick erforderlich ist.

Werkzeuge wie die Angler- und RIG-Exploit-Kits verursachten zu ihrem Höhepunkt einen erheblichen Anteil der Ransomware-Infektionen genau auf diese Weise. Die Angriffsfläche für diesen Ansatz hat sich verringert, da Browser sich verbessert haben, aber sie ist nicht verschwunden. Laut dem Recorded Futures H1 2025 Bericht nutzten Angreifer allein in der ersten Hälfte des Jahres 2025 aktiv 161 Schwachstellen mit zugewiesenen CVEs aus, wobei fast 70 % keine Authentifizierung zur Ausführung erforderten.

Sie können sich tatsächlich vor Drive-by-Downloads schützen

Du machst das wahrscheinlich schon

Malware, die sich still installiert, ist offensichtlich besorgniserregend. Sie möchten nicht im Internet surfen und plötzlich feststellen, dass Ihre Bankkonten geleert wurden und jemand Ihre Identität benutzt, um Kredite aufzunehmen.

Beachten Sie, dass HTTPS zwar unsere Internetsicherheit enorm verbessert hat, es Ihnen jedoch nicht unbedingt hilft, dies zu vermeiden. HTTPS verschlüsselt die Verbindung zwischen Ihnen und dem Server, aber wenn der bereitgestellte Inhalt bösartig ist - über ein kompromittiertes Werbenetzwerk oder ein eingeschleustes Skript - ist das Vorhängeschloss irrelevant. Ich meine, das Vorhängeschloss ist nicht einmal mehr da, aber Sie verstehen, worauf ich hinaus will.

Eine vollständig HTTPS-fähige Website kann immer noch eine Malvertising-Nutzlast über ein Drittanbieter-Werbenetzwerk liefern, über das sie keine Kontrolle hat, weshalb legitieme Websites immer noch Malware verbreiten, wenn sie kompromittiert werden.

Halten Sie Ihre Browser gesichert

„Aber ich habe doch nichts angeklickt“ ist leider keine Garantie dafür, dass Sie keine gefährliche Malware beherbergen. Browser-Schutzmaßnahmen haben Drive-by-Malware-Angriffe erschwert, aber ohne die richtige Browser-Konfiguration sind Sie immer noch gefährdet.