Die Systemwiederherstellung entfernt keine Viren — der Mythos, der PCs infiziert hält

Was die Systemwiederherstellung wirklich sichert — und was nie

Ein Wiederherstellungspunkt ist eine Momentaufnahme der Windows-Registry, der Systemdateien und Treiber — ein paar hundert Megabyte, verwaltet von der Schattenkopie-Funktion, angelegt vor Updates, Treiberinstallationen und manchen Setups. Ihre Dokumente, Downloads, Browserprofile und im Grunde alles im Benutzerprofil werden bewusst ausgespart. Genau dort lebt moderne Schadsoftware aber überwiegend: Launcher in AppData, Skripte in Temp, böse Verknüpfungen im Autostart-Ordner, gekaperte Browser-Erweiterungen. Rollen Sie das System zurück, erwacht jede dieser Nutzlasten in der Sekunde, in der der Desktop erscheint.

Der Mechanismus schlägt auch in die andere Richtung aus. Wiederherstellungspunkte können infizierte Systemdateien aus Zeiten enthalten, in denen Sie noch nichts ahnten — ein Rollback kann einen Trojaner wiederbeleben, den Sie bereits entfernt hatten. Und ganze Familien — vor allem kommerzielle Stealer und Ransomware — schalten als eine ihrer ersten Aktionen die Systemwiederherstellung ab oder wischen vorhandene Schattenkopien weg. Auf einer wirklich infizierten Maschine ist das Werkzeug, auf das Sie gesetzt haben, dann längst weg.

Die Sicherheits-Falle des Rollbacks, vor der niemand warnt

Selbst wenn ein Rollback eine Infektion tatsächlich erwischt — alte Bootkits und Treiber-Dropper lebten wirklich im abgedeckten Bereich — reißt er das Loch wieder auf, durch das die Malware kam. Spulen Sie über ein kumulatives Update hinaus zurück, führen Sie Code aus, den Microsoft Wochen zuvor gestopft hat, auf einer Maschine, die der Angreifer längst kennt. Der Passwort-Stealer aus demselben Paket hat unterdessen weiter Daten abgezogen, während Sie experimentiert haben. Die Systemwiederherstellung als Antivirus zu behandeln reinigt nicht nur nichts — sie schenkt dem Angreifer Beständigkeit und Zeit.

Was eine Infektion wirklich entfernt

Die funktionierende Reihenfolge ist unspektakulär: Starten Sie in Microsoft Defender Offline oder einen anderen Rettungsscanner, damit die Malware während der Prüfung nicht läuft; entfernen Sie danach die Persistenz — Autostart-Ordner, Aufgaben in der Aufgabenplanung, Run-Schlüssel der Registry — mit einem echten Werkzeug; und spielen Sie alle ausstehenden Updates ein, bevor Sie der Maschine wieder vertrauen. Der Wiederherstellung gehört ein anderer Job: einen kaputten Treiber oder ein Update zurückrollen, das den Start zerlegt hat — dort ist sie schnell und richtig. Für alles, was Daten abfließen ließ — Stealer, Keylogger, Ransomware — ist die einzige ehrliche Bereinigung eine Neuinstallation plus Passwortwechsel von einem anderen Gerät, denn kein Cleaner der Welt kann ein abgefischtes Passwort zurückholen.

• Starten Sie einen Offline-Scan über die Windows-Sicherheit: Microsoft Defender Offline bootet in eine saubere Umgebung, in der sich nichts im Speicher verstecken kann
• Gehen Sie danach die klassischen Persistenzstellen durch — Autostart-Ordner, Aufgabenplanung, Run-Schlüssel der Registry
• Setzen Sie Browser-Verknüpfungen und Profile zurück: Hijacker und Stealer leben dort und überstehen jeden System-Rollback
• Installieren Sie direkt nach der Bereinigung alle Updates, damit das ursprüngliche Loch wirklich geschlossen ist
• Bei Stealern oder Ransomware: Verlust akzeptieren, Dateien sichern, neu installieren, jedes Passwort von einem anderen Gerät ändern
• Heben Sie sich Wiederherstellungspunkte für ihren echten Job auf — schlechte Treiber und Updates zurückrollen, nicht desinfizieren

Fragen und Antworten

Weiterlesen