Backdoor

Backdoor: Bedeutung, Funktionsweise, Erkennung und Schutz

Eine Backdoor ist ein zusätzlicher, meist verborgener oder undokumentierter Zugang zu einem IT-System. Sie ermöglicht es, vorgesehene Authentifizierungs- oder Zugriffskontrollen zu umgehen. Angreifer können eine solche Hintertür nutzen, um Befehle auszuführen, Informationen auszulesen oder weitere Schadsoftware einzuschleusen.

Backdoors können nach einer Kompromittierung installiert werden oder bereits in manipulierter Software, Firmware oder Hardware enthalten sein. Welche Aktionen sie ermöglichen und wie lange sie bestehen bleiben, hängt von ihrer technischen Umsetzung und den verfügbaren Berechtigungen ab.

Stand: 30. Oktober 2026

Was ist eine Backdoor?

Der englische Begriff „Backdoor“ bedeutet „Hintertür“. In der IT-Sicherheit bezeichnet er einen Zugangsweg außerhalb der vorgesehenen Zugriffskontrollen. NIST beschreibt Backdoors unter anderem als undokumentierte Möglichkeiten, Zugang zu einem Computersystem zu erhalten. [1]

Eine Backdoor kann beispielsweise aus einer versteckten Fernsteuerungsfunktion, einer manipulierten Anmeldeprüfung oder einem geheimen Zugang bestehen. Sie muss kein eigenständiges Schadprogramm sein: Auch wenige Veränderungen innerhalb einer ansonsten legitimen Anwendung können eine Hintertür schaffen.

Wichtig ist die Abgrenzung zu anderen Begriffen:

• Eine Sicherheitslücke ist eine Schwäche in einem System. Sie kann das Einschleusen einer Backdoor ermöglichen, ist aber nicht automatisch selbst eine Hintertür.
• Ein regulärer Administratorzugang ist keine Backdoor, sofern er zum vorgesehenen und autorisierten Zugriffskonzept gehört.
• Fernwartungssoftware ist nicht grundsätzlich schädlich. Sie kann jedoch von Angreifern missbraucht werden, um einen unerlaubten Zugang aufrechtzuerhalten.
• Eine Fehlkonfiguration kann unbefugten Zugriff ermöglichen, ohne dass eine versteckte Zugangsfunktion eingebaut wurde.

Nicht jede Backdoor gewährt vollständige Kontrolle. Manche erlauben nur bestimmte Aktionen oder arbeiten mit eingeschränkten Rechten. Auch ein begrenzter Zugang kann jedoch erhebliche Schäden verursachen.

Wie funktioniert eine Backdoor?

Eine Backdoor stellt einen zusätzlichen Weg bereit, über den auf Funktionen oder Daten eines Systems zugegriffen werden kann. Dabei lassen sich drei Eigenschaften unterscheiden:

Eigenschaft	Bedeutung
Zugang	Die Hintertür ermöglicht Aktionen außerhalb des vorgesehenen Zugriffsmodells.
Steuerung	Befehle erreichen die Backdoor beispielsweise über Netzwerkverbindungen oder speziell präparierte Anfragen.
Persistenz	Zusätzliche Mechanismen sorgen dafür, dass die Hintertür nach einem Neustart erneut aktiv wird.

Nicht jede Backdoor besitzt alle drei Eigenschaften in gleicher Form. Eine ausschließlich im Arbeitsspeicher laufende Komponente kann beim Neustart verschwinden, wenn kein Mechanismus zum erneuten Laden vorhanden ist. Andere Hintertüren werden über Dienste, geplante Aufgaben oder manipulierte Systemkomponenten wieder aktiviert.

Auch ein offen erreichbarer Netzwerkport ist keine Voraussetzung. Manche Backdoors nehmen selbst eine ausgehende Verbindung zu einer Steuerungsinfrastruktur auf. Diese wird als Command-and-Control-Infrastruktur, kurz C2, bezeichnet. Andere empfangen Befehle über eine bereits vorhandene Webanwendung.

Je nach Funktionsumfang können Angreifer beispielsweise:

• Dateien lesen, verändern oder übertragen;
• Programme und Befehle ausführen;
• Informationen über das System sammeln;
• zusätzliche Schadsoftware nachladen;
• den kompromittierten Rechner als Ausgangspunkt für weitere Angriffe nutzen.

Ob diese Aktionen möglich sind, hängt auch von den Rechten des betroffenen Prozesses ab.

Wie gelangt eine Backdoor in ein System?

Backdoors können vor der Auslieferung eines Produkts eingebaut oder nachträglich auf einem bereits betriebenen System eingerichtet werden.

Schadsoftware und manipulierte Dateien

Trojaner oder andere Schadprogramme können Backdoor-Funktionen mitbringen oder weitere Komponenten nachladen. Mögliche Einfallswege sind präparierte Anhänge, manipulierte Downloads und gefälschte Softwarepakete.

Ausgenutzte Sicherheitslücken

Angreifer können Schwachstellen in öffentlich erreichbaren Anwendungen, Betriebssystemen oder Netzwerkgeräten ausnutzen und anschließend eine Hintertür installieren. Dafür kommen sowohl bereits bekannte als auch zuvor unbekannte Schwachstellen infrage.

Kompromittierte Zugangsdaten

Gestohlene oder anderweitig erlangte Berechtigungen können es Angreifern ermöglichen, Software zu installieren, Konfigurationen zu ändern oder zusätzliche Zugänge einzurichten. Nicht jeder missbrauchte Zugang ist bereits eine Backdoor; er kann jedoch zu deren Einrichtung dienen.

Manipulierte Softwarelieferketten

Ein Angriff kann Quellcode, Softwareabhängigkeiten, Build-Systeme oder die Verteilung von Updates betreffen. Die spätere Installation erfolgt dann möglicherweise über einen regulären Update-Prozess. Der SolarWinds-Vorfall zeigt, dass Schadcode bereits während der Erstellung einer Software eingeschleust werden kann. [3]

Interne Manipulationen und zurückgelassene Sonderzugänge

Personen mit entsprechenden Rechten können verdeckte Zugriffsmöglichkeiten einbauen. Auch nicht entfernte Test- oder Wartungsfunktionen können problematische Zugänge hinterlassen. Ob tatsächlich eine Backdoor vorliegt, muss anhand ihrer Funktion und Einbindung bewertet werden.

Welche Formen von Backdoors gibt es?

Backdoors lassen sich nach ihrem technischen Ort und ihrer Funktion beschreiben. Die Kategorien überschneiden sich teilweise.

Form	Beschreibung
Software-Backdoor	Eine zusätzliche Zugangsfunktion in einer Anwendung oder einem Betriebssystem.
Webshell	Eine auf einem Webserver platzierte Komponente, über die unerlaubte Aktionen oder Befehle ausgeführt werden können.
Firmware-Backdoor	Eine Hintertür in gerätenaher Software, etwa in einer Netzwerk-Appliance oder einer Managementkomponente.
Hardware-Backdoor	Eine auf Ebene der Hardwareimplementierung geschaffene, verborgene Funktion.
Versteckter Authentifizierungsweg	Beispielsweise eine manipulierte Anmeldeprüfung oder ein nicht vorgesehener geheimer Zugang.

Webshells sind besonders für die Sicherheit öffentlich erreichbarer Server relevant. MITRE beschreibt sie als Mittel, mit dem Angreifer einen anhaltenden Zugang zu Webservern etablieren können. [2]

Firmware und Hardware sollten getrennt betrachtet werden: Manipulierter Code in einem Gerät ist nicht automatisch eine Veränderung des Chips selbst. Für Erkennung und Wiederherstellung ist dieser Unterschied wesentlich.

Sind Rootkits ebenfalls Backdoors?

Rootkits und Backdoors können zusammen eingesetzt werden, bezeichnen aber unterschiedliche Funktionen.

Eine Backdoor ermöglicht einen zusätzlichen Zugang. Ein Rootkit dient vor allem dazu, Veränderungen oder Aktivitäten zu verbergen und gegebenenfalls privilegierten Zugriff aufrechtzuerhalten. Ein Rootkit kann eine Backdoor tarnen oder entsprechende Funktionen enthalten. Deshalb sind die Begriffe weder gleichbedeutend noch generell als Ober- und Unterkategorie geeignet. [1]

Was ist der Unterschied zwischen einer Backdoor und einem Exploit?

Ein Exploit nutzt eine Schwachstelle aus. Eine Backdoor stellt einen zusätzlichen Zugangsweg bereit.

Ein typischer Ablauf kann so aussehen: Ein Angreifer nutzt zunächst eine Schwachstelle in einer Anwendung aus. Anschließend installiert er eine Backdoor, um später erneut zugreifen zu können, ohne denselben Einfallsweg nochmals zu benötigen.

Die Begriffe unterscheiden sich durch ihre Funktion, nicht durch eine festgelegte Lebensdauer. Exploits können automatisiert ausgeführt werden. Backdoors müssen weder dauerhaft aktiv sein noch einen Neustart überstehen.

Das Schließen der ursprünglichen Sicherheitslücke entfernt eine bereits eingerichtete Hintertür nicht zuverlässig. Nach einer bestätigten Kompromittierung müssen deshalb auch zusätzliche Zugänge und weitere Veränderungen untersucht werden.

Wie lassen sich Backdoors erkennen?

Eine Backdoor lässt sich selten an einem einzelnen Merkmal sicher erkennen. Erfolgversprechender ist die gemeinsame Auswertung verschiedener Hinweise.

Netzwerkkommunikation untersuchen

Verdächtig können unerwartete ausgehende Verbindungen, regelmäßig wiederkehrende Kontaktversuche, ungewöhnliche DNS-Anfragen oder unerklärliche Datenübertragungen sein. Auch eingehende Zugriffe auf nicht vorgesehene Dienste verdienen Aufmerksamkeit.

Verschlüsselte Kommunikation kann die Untersuchung erschweren. Sie ist für sich genommen jedoch kein Hinweis auf einen Angriff.

Prozesse und Systemänderungen prüfen

Ungewöhnliche Prozessketten, neue Dienste, veränderte Autostarts oder unerwartete geplante Aufgaben können auf eine Kompromittierung hinweisen. Auf Webservern sind außerdem auffällige Dateien und nicht erklärbare Veränderungen an Anwendungen relevant.

Konten und Berechtigungen kontrollieren

Neue Administratorkonten, unbekannte Zugriffsschlüssel oder unerwartete Rechteänderungen können zusätzliche Zugangswege schaffen. Solche Veränderungen sollten mit autorisierten administrativen Tätigkeiten abgeglichen werden.

Sicherheitsdaten zusammenführen

Antimalware-Lösungen können bekannte Schadkomponenten erkennen. Endpoint Detection and Response (EDR) ergänzt die Untersuchung von Aktivitäten auf Endgeräten. Network Detection and Response (NDR) betrachtet Netzwerkverhalten. Ein Security Information and Event Management (SIEM) kann Meldungen und Protokolle aus unterschiedlichen Quellen zusammenführen.

Diese Werkzeuge unterstützen die Erkennung, garantieren sie aber nicht. Ihre Wirksamkeit hängt unter anderem von Konfiguration, Datenabdeckung und Auswertung ab. Behördenleitlinien empfehlen deshalb auch die Inventarisierung von Fernzugriffssoftware und die Untersuchung ihrer tatsächlichen Nutzung. [4]

Ein auffälliger Prozess beweist noch keine Backdoor. Umgekehrt beweist ein unauffälliger Scan nicht, dass ein System frei von Hintertüren ist.

Wie schützt man sich vor Backdoors?

Wirksamer Schutz verbindet die Verringerung von Einfallswegen mit eingeschränkten Berechtigungen, Überwachung und vorbereiteter Reaktion.

Systeme aktuell halten

Sicherheitsupdates sollten risikoorientiert und zeitnah eingespielt werden. Besonders wichtig sind öffentlich erreichbare Anwendungen und Geräte. Firmware und Managementkomponenten müssen in das Patch-Management einbezogen werden.

Administrative Zugänge absichern

Mehrfaktor-Authentifizierung, getrennte Administratorkonten und minimale Berechtigungen erschweren viele Erstzugriffe. MFA schützt allerdings nicht automatisch vor einer Backdoor, die den regulären Anmeldeweg umgeht.

Fernwartung kontrollieren

Unternehmen sollten wissen, welche Fernwartungswerkzeuge eingesetzt werden, wer sie nutzen darf und welche Verbindungen zulässig sind. Nicht benötigte Zugänge sollten deaktiviert werden.

Netzwerke segmentieren

Die Trennung von Arbeitsplatzsystemen, Servern und administrativen Bereichen erschwert die Ausbreitung. Auch ausgehende Verbindungen sollten entsprechend dem tatsächlichen Bedarf kontrolliert werden. [4]

Softwarelieferketten absichern

Vertrauenswürdige Bezugsquellen, geschützte Entwicklungs- und Build-Prozesse sowie kontrollierte Softwareabhängigkeiten reduzieren Risiken. Digitale Signaturen helfen, Herkunft und Integrität im jeweiligen Vertrauensmodell zu prüfen. Sie garantieren jedoch keine Schadcodefreiheit: Bei SolarWinds war auch die manipulierte Komponente legitim signiert. [5]

Erkennung und Reaktion vorbereiten

Zentrale Protokollierung, geeignete Erkennungssysteme und ein geübter Incident-Response-Prozess erleichtern die Untersuchung. Audits und Penetrationstests können Schwächen aufdecken, belegen aber nicht die vollständige Abwesenheit versteckter Zugänge.

Was tun bei Verdacht auf eine Backdoor?

Ein begründeter Verdacht sollte als möglicher Sicherheitsvorfall behandelt werden. Ein vorschnelles Löschen einzelner Dateien kann Spuren vernichten und weitere Zugänge übersehen.

1. Zuständige Stellen informieren: IT-Sicherheit oder Incident Response einschalten und Beobachtungen mit Zeitpunkt und betroffenen Systemen dokumentieren.
2. Vorfall eindämmen: Betroffene Systeme koordiniert isolieren. Bei produktionskritischen Anlagen müssen betriebliche und sicherheitsrelevante Auswirkungen berücksichtigt werden.
3. Beweise sichern: Relevante Protokolle und gegebenenfalls Speicher- oder Datenträgerabbilder sichern. Unüberlegte Neustarts können flüchtige Spuren zerstören.
4. Umfang untersuchen: Einfallsweg, weitere betroffene Systeme, zusätzliche Zugänge und möglicherweise entwendete Daten prüfen.
5. Vertrauenswürdigen Zustand herstellen: Abhängig vom Befund kann eine Neuinstallation oder ein vollständiger Neuaufbau erforderlich sein.
6. Zugänge erneuern und nachkontrollieren: Betroffene Passwörter, Schlüssel und Sitzungen koordiniert zurücksetzen beziehungsweise widerrufen und die Umgebung weiter überwachen.

Behördliche Empfehlungen betonen insbesondere Eindämmung, Beweissicherung und eine systematische Untersuchung. [6]

Backups können die Wiederherstellung unterstützen. Sie sollten jedoch auf Eignung und möglichen Befall geprüft werden. Eine Rücksicherung allein beseitigt weder die ursprüngliche Ursache noch zwangsläufig weitere kompromittierte Zugänge.

Sind Backdoors legal?

Der Begriff „Backdoor“ allein erlaubt keine abschließende rechtliche Bewertung. Entscheidend sind unter anderem Befugnis, Zweck, tatsächliche Verwendung und anwendbares Recht.

Ein dokumentierter und autorisierter Wartungszugang ist nicht allein aufgrund seiner Funktion eine Backdoor. Umgekehrt macht ein behaupteter Wartungszweck einen verdeckten Zugriff nicht automatisch zulässig.

Für Deutschland kann beispielsweise § 202a StGB relevant sein, wenn unbefugt Zugang zu besonders gesicherten Daten unter Überwindung der Zugangssicherung erlangt wird. Ob die Voraussetzungen im Einzelfall erfüllt sind, hängt vom konkreten Sachverhalt ab. [7]

Auch Forderungen nach staatlichen Zugriffsmöglichkeiten müssen technisch und rechtlich getrennt betrachtet werden. Eine rechtliche Erlaubnis beantwortet nicht die Frage, wie sich zusätzliche Zugangswege auf die Sicherheit aller Nutzer auswirken.

Wo werden Backdoors eingesetzt?

Backdoors werden unter anderem bei Spionage, Datendiebstahl und zur Vorbereitung weiterer Angriffe eingesetzt. Betroffen sein können Arbeitsplatzrechner, Server, Webanwendungen, Netzwerkgeräte und Virtualisierungsumgebungen.

Eine allgemeingültige Häufigkeitszahl ist wenig aussagekräftig: Sicherheitsberichte untersuchen unterschiedliche Vorfälle und verwenden teilweise unterschiedliche Kategorien. Zahlen sollten deshalb immer mit Zeitraum, Datengrundlage und Definition genannt werden.

Bei Berichten über mutmaßliche Hintertüren ist außerdem zwischen technischer Möglichkeit, begründetem Verdacht und nachgewiesener Manipulation zu unterscheiden.

Welche bekannten Beispiele gibt es?

SolarWinds/SUNBURST: Manipulation der Softwarelieferkette, 2020

Beim SolarWinds-Angriff gelangte die SUNBURST-Backdoor über manipulierte Orion-Software zu Kunden. Die Schadsoftware SUNSPOT wurde eingesetzt, um den schädlichen Code während des Build-Prozesses einzufügen. Die Verteilung erfolgte anschließend über reguläre Softwareupdates. [3]

Der Fall zeigt, dass auch vertrauenswürdig erscheinende und signierte Software eine Backdoor enthalten kann. Die Auslieferung der manipulierten Komponente ist dabei von den nachfolgenden Angriffsschritten bei ausgewählten Organisationen zu unterscheiden. [5]

XZ Utils: Manipulierte Open-Source-Komponenten, 2024

In den Versionen 5.6.0 und 5.6.1 von XZ Utils wurde eine Backdoor entdeckt. Unter bestimmten technischen Voraussetzungen konnte sie die Verarbeitung im SSH-Server beeinflussen und einem Angreifer mit dem passenden Schlüssel die Ausführung von Befehlen ermöglichen.

Nicht sämtliche Linux-Systeme waren betroffen. Entscheidend waren die eingesetzten Versionen sowie die konkrete Integration und Systemumgebung. Der Fall verdeutlicht die Bedeutung von Abhängigkeiten und Build-Prozessen für die Sicherheit von Software. [8]

BRICKSTORM: Verdeckter Zugriff auf Unternehmensumgebungen

BRICKSTORM wurde unter anderem bei Spionagevorfällen in Unternehmens- und Virtualisierungsumgebungen untersucht. Mandiant veröffentlichte 2025 detaillierte Erkenntnisse; im selben Jahr folgte eine gemeinsame Behördenveröffentlichung.

Das Beispiel unterstreicht, dass auch zentrale Infrastruktur wie Virtualisierungs- und Managementsysteme in die Erkennung und Reaktion einbezogen werden muss. [9]

Quellen und weiterführende Informationen

1. NIST: Backdoor und Rootkit.
2. MITRE ATT&CK: Web Shell – T1505.003.
3. SUNSPOT Malware: A Technical Analysis, 2021.
4. CISA und Partnerbehörden: Guide to Securing Remote Access Software, 2023.
5. Microsoft: Technische Beschreibung von Solorigate und Analyse der nachfolgenden Angriffsschritte.
6. Canadian Centre for Cyber Security: What to do when your organization has been compromised by a cyber attack.
7. Gesetze im Internet: § 202a StGB – Ausspähen von Daten.
8. CERT-EU: Critical Vulnerability in XZ Utils, 2024; Microsoft: FAQ and guidance for XZ Utils backdoor, 2024.
9. Google Threat Intelligence/Mandiant: Another BRICKSTORM, 2025; Canadian Centre for Cyber Security: Joint malware analysis report on Brickstorm backdoor, 2025.

Zurück zur Übersicht des Glossars