Malvertising: Wenn die Suche nach einer Hilfs-App zur Falle wird

Du schließt den Mac mini an den neuen Monitor an, und alles sieht großartig aus. Dann willst du leiser stellen. Am MacBook mit eingebautem Bildschirm war das nie ein Thema, hier erscheint auf dem Bildschirm das Lautsprechersymbol, durchgestrichen. Die Helligkeitstasten tun gar nichts, obwohl das Bild zu hell ist, der Ton zu laut, und die Knöpfe am Monitor sitzen irgendwo hinten unter dem Rand. Du tippst in die Suche, was du willst: Mac Monitor Lautstärke regeln. Ganz oben steht ein Treffer mit einem kleinen Hinweis „Gesponsert“. Er verspricht genau die Funktion, die dir fehlt.

An dieser Stelle setzt Malvertising an. Das Wort steht für Werbung, die Schadsoftware verteilt, und am Mac sind es vor allem gekaufte Suchanzeigen. Was danach passieren kann, wirkt völlig normal, bis hin zur Abfrage nach den Bedienungshilfen, die bei so einer App sogar Sinn ergibt. Die Tasten funktionieren anschließend vielleicht tadellos. Ob nebenher ein Programm deine Passwörter einsammelt, siehst du nicht.

Ein Wort vorab zur Ehrlichkeit. Einen belegten Fall, in dem eine gefälschte Lautstärke-App für Monitore Schadsoftware verteilt hat, haben wir nicht gefunden. Die Szene oben zeigt das Muster. Die Belege dafür kommen von anderen Programmen, von TradingView, Microsoft Teams und Claude, und sie folgen alle demselben Ablauf.

Warum der Mac den Monitor nicht steuert

Hinter der Lücke steckt eine Entscheidung. Über HDMI, DisplayPort und Thunderbolt geht der Ton als digitales Signal mit fester Lautstärke an den Monitor, so erklärt es MacRumors in einer Anleitung von 2018. Wie laut es wird, entscheidet der Monitor. macOS gibt das Signal nur weiter und zeigt deshalb das durchgestrichene Symbol. Mit der Helligkeit ist es ähnlich. Die Tastatur regelt sie an Apples eigenen Displays, bei den meisten Monitoren anderer Hersteller bleibt sie wirkungslos.

Warum Apple das so gelöst hat, steht nirgends ausführlich, nachvollziehbar ist es trotzdem. Monitore sprechen über eine eigene Steuerleitung mit dem Rechner, und wie gut sie das tun, schwankt von Modell zu Modell. Ein Betriebssystem, das sich nur auf Bildschirme verlässt, die es kennt, vermeidet viele seltsame Fehler. Für dich am Schreibtisch heißt das aber: Die Funktion fehlt, und du willst sie haben.

Genau dafür gibt es Hilfs-Apps. Die bekannteste ist MonitorControl, ein Open-Source-Programm, das seit Jahren auf GitHub entwickelt wird. Daneben gibt es BetterDisplay und Lunar, beide mit eigener Website. Sie sprechen den Monitor über dessen Steuerleitung an und leiten die Tasten der Apple-Tastatur dorthin um. Das funktioniert, und es ist legitim. Das Risiko liegt woanders, nämlich auf dem Weg, über den du zu so einer App kommst.

Was Malvertising ist und warum es oben steht

Malvertising ist ein Kofferwort aus „malicious“, also bösartig, und „advertising“. Gemeint ist Werbung, die zu Schadsoftware oder Betrugsseiten führt. Bei Software-Downloads funktioniert das besonders gut, weil die Suche selbst schon die Absicht verrät. Wer „TradingView Mac download“ eintippt, will etwas installieren. Ein Angreifer muss nur dafür bezahlen, dass seine Anzeige vor dem echten Hersteller erscheint.

Google arbeitet dagegen, und zwar in großem Stil. Laut seinem Ads Safety Report für 2025 hat der Konzern in diesem Jahr über 8,3 Milliarden Anzeigen blockiert oder entfernt und 24,9 Millionen Werbekonten gesperrt. Davon hingen 602 Millionen Anzeigen und 4 Millionen Konten mit Betrug zusammen. Über 99 Prozent der regelwidrigen Anzeigen seien gestoppt worden, bevor sie überhaupt jemand sah.

Das klingt beruhigend, und es ist auch eine echte Leistung. Der Rest ist trotzdem das Problem. Eine Anzeige, die durchrutscht, landet über allen anderen Treffern und läuft oft nur ein paar Tage, lange genug für ein paar hundert Downloads.

Die Täter kaufen dafür selten eigene Konten. In den Fällen, die Malwarebytes untersucht hat, liefen die Anzeigen über fremde Werbekonten, die vermutlich gekapert waren. Für Google sieht so ein Konto zunächst aus wie ein langjähriger Kunde mit sauberer Vorgeschichte.

Drei belegte Fälle: so sah die Falle bisher aus

Im September 2023 beschrieb die Sicherheitsfirma Malwarebytes eine Kampagne gegen Mac-Nutzer, die TradingView suchten, eine verbreitete App für Börsenkurse. Die Google-Anzeige zeigte eine Adresse, die mit Sonderzeichen dem echten Namen nachempfunden war. Sie führte auf eine Seite, die wie das Original aussah, mit Download-Knöpfen für Windows, Mac und Linux. Die Domain war erst ein paar Tage alt. In der heruntergeladenen Datei lag eine bebilderte Anleitung, wie man die Schutzprüfung von macOS umgeht. Nach dem Start fragte das Programm immer wieder nach dem Passwort, in einer Endlosschleife, bis die Opfer es eintippten. Danach gingen Browser-Passwörter, Einträge aus dem Schlüsselbund und Krypto-Wallets an die Täter. Die Schadsoftware hieß Atomic Stealer, kurz AMOS.

Im Juli 2024 folgte dasselbe Muster mit Microsoft Teams. Diesmal zeigte die Anzeige sogar microsoft.com als Adresse. Dahinter steckte ein Werbekonto aus Hongkong mit fast tausend Anzeigen ohne jeden Bezug zu Microsoft. Jeder Klick wurde vorab geprüft, damit nur echte Menschen und keine Sicherheitsforscher die gefährliche Seite sahen. Malwarebytes brauchte nach eigener Aussage mehrere Tage und viele Versuche, bis die Anzeige ihr wahres Ziel zeigte. Die Installation verlangte dann das Passwort und Zugriff auf Dateien. Wer gerade ein neues Programm einrichtet, findet das kaum verdächtig.

Der jüngste Fall ist feiner gebaut. Huntress, ein Anbieter von Sicherheitsüberwachung, schrieb im August 2026 über einen Kunden, der im Juli nach einer Anleitung gesucht hatte, wie man Claude auf dem Mac installiert. Er klickte auf den gesponserten Treffer und landete tatsächlich auf claude.ai, der echten Domain von Anthropic. Dort lag aber keine Installationsseite, sondern ein öffentlich geteilter Chat. Als Absender stand „Apple Support“. Der Chat empfahl, eine Zeile ins Terminal zu kopieren. Was dann lief, war ein Infostealer namens MacSync, der Browser-Cookies, Logins, den Schlüsselbund, Telegram-Sitzungen und Krypto-Schlüssel sammelt.

Die letzte Zeile verdient einen Satz extra. Im September 2025 meldete das Sicherheitsteam des Passwortmanagers LastPass eine groß angelegte Kampagne mit gefälschten GitHub-Seiten, die sich als bekannte Mac-Programme ausgaben, darunter LastPass selbst. Auch auf GitHub zählt also, ob du beim Projekt des Herstellers landest oder bei einer Kopie mit ähnlichem Namen.

In allen vier Fällen kam die Schadsoftware ohne technische Lücke im Mac herein. Sie lief, weil jemand sie selbst gestartet hat, mit gutem Grund und auf einem Weg, der ihm vernünftig vorkam.

Warum die Bedienungshilfen-Abfrage nichts verrät

Zurück zum Monitor. Angenommen, du hast eine Hilfs-App installiert und startest sie. macOS meldet sich: Das Programm möchte deinen Mac über die Bedienungshilfen steuern. Das ist eine der weitreichendsten Freigaben, die macOS kennt. Apple schreibt dazu in seiner Hilfe, du solltest sie nur Apps geben, die du kennst und denen du vertraust. Wer sie bekommt, erhält nach Apples Worten auch Zugriff auf Kontakte, Kalender und andere Informationen.

Bei einer Lautstärke-App klingt die Abfrage trotzdem plausibel. Die App soll ja deine Tastendrücke abfangen und an den Monitor weiterreichen. Dafür muss sie mitbekommen, welche Taste du drückst. Die echte MonitorControl fragt genau das ab, und ihre Anleitung auf GitHub erklärt auch, warum: Die Freigabe ist nur nötig, wenn du die Medientasten der Apple-Tastatur nutzen willst. Wer mit den Schiebereglern in der Menüleiste zufrieden ist, könne den Schritt gefahrlos auslassen, heißt es dort.

Für eine Fälschung ist das ein Geschenk. Sie fragt dasselbe, mit derselben Begründung, und bekommt die Freigabe, weil sie so gut zum Zweck passt. Ein Programm, das Tastendrücke an den Monitor weitergibt, kann sie ebenso gut mitschreiben. Für dich sehen beide Fälle gleich aus: Die Tasten funktionieren, der Monitor wird leiser. Das ist der Moment, in dem man in die Falle getrieben wird, ohne einen Fehler zu machen, den man sich hinterher vorwerfen müsste.

Den Unterschied erkennst du an der Abfrage also nicht. Du erkennst ihn an der Herkunft der App und an allem, was sie außer dieser Abfrage noch von dir will.

Echte Hilfs-App oder Fälschung: der Check

Ein paar Merkmale tauchen in den belegten Fällen immer wieder auf. Keines davon ist allein ein Beweis, zusammen ergeben sie ein ziemlich klares Bild.

Der wichtigste Punkt steht in der ersten Zeile. Bei Software-Downloads ist die Anzeige oben fast nie der beste Weg, auch wenn sie seriös aussieht. Für MonitorControl heißt das konkret: Lite-Version im App Store, die Vollversion über die Releases-Seite des Projekts auf GitHub oder per Homebrew, so steht es in der Anleitung des Projekts. Für andere Programme gilt dasselbe Prinzip, und wir haben es am Beispiel gefälschter Tor-Browser-Kopien schon einmal durchgespielt.

Auch ein seriöser Name in der Adresszeile reicht nicht. Der Claude-Fall zeigt, dass die Falle auf der echten Domain liegen kann, wenn die Seite fremde Inhalte erlaubt, etwa geteilte Chats, Gists oder Dokumente. Eine Anleitung, die dir einen Befehl fürs Terminal in die Hand drückt, solltest du nicht ausführen, egal auf welcher Seite sie steht und wer als Absender genannt wird.

Selbst der App Store ist kein Freibrief, auch wenn die Hürde dort höher liegt. 2021 lag im iPhone-App-Store eine Kopie der App des Wallet-Herstellers Trezor. Ein Nutzer gab dort seine Zugangsdaten ein und verlor 17,1 Bitcoin, damals rund 600.000 Dollar, wie die Washington Post berichtete. 2024 stand bei der Suche nach der Krypto-Wallet Phantom eine Fälschung ganz oben, laut CryptoSlate sogar als bezahlte Anzeige im Store selbst und einsortiert unter „Bildung“. Beide Fälle betrafen das iPhone, das Muster ist dasselbe. Im Store lohnt deshalb der Blick auf den Entwicklernamen und die Kategorie, bevor du auf Laden tippst.

Download-Signatur selbst prüfen

Wer wissen will, von wem ein Download stammt, kann das am Mac nachsehen. Fast jedes seriöse Programm für macOS trägt eine digitale Signatur, und darin steht, mit wessen Entwicklerkonto bei Apple es unterschrieben wurde. Bei einem Monitor-Treiber von LG sollte dort LG stehen. Steht dort gar nichts, ein Privatname oder eine Firma, von der du nie gehört hast, ist das ein deutliches Signal.

Der einfachste Weg kommt ohne Terminal aus. Öffnest du ein Installationspaket mit der Endung .pkg, zeigt das Installationsfenster oben rechts ein Schloss- oder Zertifikatssymbol. Ein Klick darauf öffnet die Angaben zum Zertifikat. Fehlt das Symbol, ist das Paket nach Apples eigener Anleitung nicht signiert, und du solltest es nicht installieren. Für Programme und andere Dateien gibt es das kostenlose Werkzeug What’s Your Sign von Objective-See, der gemeinnützigen Stiftung des Sicherheitsforschers Patrick Wardle. Es ergänzt das Kontextmenü im Finder um den Punkt „Code Signing Info“. Ein grünes Schloss bedeutet Apple selbst, ein schwarzes einen registrierten Entwickler oder den App Store, ein rotes, offenes Schloss eine fehlende oder widerrufene Signatur. Das ist allerdings ein weiteres Programm, das du installierst, also auch hier nur direkt von objective-see.org.

Den Pfad zur Datei musst du nicht abtippen. Wenn du die Datei aus dem Finder ins Terminal-Fenster ziehst, setzt macOS den vollständigen Pfad ein, so steht es in der Terminal-Hilfe von Apple. Für ein Installationspaket nennt Apple in seiner Entwicklerdokumentation diesen Befehl:

pkgutil --check-signature ~/Downloads/Installer.pkg

Ein ordentlich signiertes Paket zeigt in der Ausgabe „Signed with a trusted timestamp“ und in der Zertifikatskette eine Zeile, die mit „1. Developer ID Installer:“ beginnt. Dahinter steht der Name des Herstellers.

Bei einem Programm, also einer Datei mit der Endung .app, zeigt codesign die Signatur an. Den Befehl in dieser Form führt die Handbuchseite von codesign als Beispiel:

codesign --display --verbose=4 /Applications/Programm.app

Interessant sind die Zeilen, die mit Authority= beginnen. Apple beschreibt in einer technischen Notiz die übliche Kette mit drei Stufen: oben „Developer ID Application:“ mit dem Namen des Entwicklers, darunter „Developer ID Certification Authority“ und zuletzt „Apple Root CA“.

Ob Gatekeeper das Programm durchlassen würde, beantwortet spctl. Die Handbuchseite nennt es die Schnittstelle zum selben Prüfsystem, das Gatekeeper verwendet. Apple führt den Befehl in seiner Dokumentation zur Notarisierung so auf:

spctl -vvv --assess --type exec /Applications/Programm.app

Bei einem sauberen, notarisierten Programm steht in der Ausgabe „accepted“, dazu „source=Notarized Developer ID“ und eine Zeile „origin=Developer ID Application:“ mit Name und Team-Kennung des Entwicklers. Für Disk-Images mit der Endung .dmg gibt es laut Apples Technote TN2206 eine eigene Variante:

spctl -a -t open --context context:primary-signature -v ~/Downloads/Programm.dmg

Apple beschreibt die Signatur eines Disk-Images dort als Möglichkeit, nicht als Pflicht. Meldet der Befehl bei einem Image keine Signatur, prüfst du nach dem Öffnen das Programm darin mit den beiden Befehlen davor.

Eine Signatur beweist allerdings nur, wer unterschrieben hat. Ob das Programm harmlos ist, steht dort nicht. Im August 2020 fand Patrick Wardle notarisierte Schadsoftware: Eine Kampagne auf der Adresse homebrew.sh, die sich an das echte Homebrew anlehnte, verteilte die Adware Shlayer als falsches Flash-Update, und spctl meldete „accepted source=Notarized Developer ID“. Als Entwickler standen dort zwei Personennamen. Bei einem angeblichen Adobe-Installer wäre das schon das Ende der Prüfung gewesen. Apple zog die Zertifikate nach Wardles Meldung zurück, danach meldete spctl die Freigabe als widerrufen. Laut Apple Platform Security ist das der übliche Ablauf: Apple widerruft die Entwicklerzertifikate und kann Sperrtickets auch für bereits notarisierte Programme ausstellen, die macOS regelmäßig abruft. Bis dahin vergeht aber Zeit, bei Shlayer lief die Kampagne zwei Tage nach dem Widerruf noch weiter. Passt der Name in der Signatur nicht zum Hersteller, lösch die Datei. Passt er, ist das ein gutes Zeichen, mehr aber auch nicht.

Das Muster dahinter: Sicherheit, die auf Umwege schickt

Die Monitor-Szene ist ein Sonderfall einer allgemeineren Beobachtung. Eine Entscheidung, die für sich genommen vernünftig ist, lässt eine Lücke im Alltag. Die Menschen suchen sich einen Weg drumherum, und an diesem Umweg wartet jemand. Für den Angreifer ist das bequem, er findet die Lücke fertig vor. Drei weitere Beispiele zeigen, wie verbreitet das ist.

Gatekeeper wird strenger, die Täter liefern die Anleitung mit

Bis macOS Sequoia konnte man eine Warnung beim Öffnen unbekannter Programme mit einem Rechtsklick übergehen. Apple hat das im August 2024 angekündigt und abgeschafft. Seitdem muss man für Software, die nicht korrekt signiert oder nicht von Apple geprüft ist, eigens in die Systemeinstellungen unter Datenschutz & Sicherheit gehen, und das ist eine sinnvolle Hürde.

Die Täter haben sich trotzdem schnell angepasst. Die gefälschten Installer aus den Fällen oben brachten von Anfang an ihre eigene Bildanleitung mit, wie man die Warnung umgeht. Als das mühsamer wurde, setzten viele Kampagnen auf eine Methode, die Fachleute ClickFix nennen. Das Opfer bekommt keine Datei mehr, sondern einen Befehl, den es selbst ins Terminal kopiert. Dann prüft Gatekeeper nichts, weil aus Sicht des Systems der Nutzer selbst handelt.

Auch darauf hat Apple reagiert: Mit macOS 26.4 prüft das Terminal eingefügte Befehle, bevor sie laufen. Die Sicherheitsforscher von Jamf beschrieben im April 2026 trotzdem prompt eine Variante, die das Terminal ganz umgeht und stattdessen den Skripteditor öffnet, getarnt als Anleitung zum Aufräumen der Festplatte. Jede neue Hürde von Apple ist richtig, und jede verschiebt den Angriff ein Stück weiter in Richtung Überredung.

Der Zwang zum Passwortwechsel

Lange galt in vielen Firmen die Regel, das Passwort alle 90 Tage zu ändern. Gut gemeint, im Alltag aber ein Umweg. Wer ständig ein neues Passwort braucht, nimmt das alte und ändert es ein bisschen. Aus Sommer2025! wird Herbst2025!.

Forscher der University of North Carolina haben das schon 2010 gemessen. Sie werteten die Passwortverläufe von über 7.700 stillgelegten Uni-Konten aus, die einen regelmäßigen Wechsel erzwangen. In 41 Prozent der Fälle ließ sich das neue Passwort offline in Sekunden aus dem alten ableiten. Bei 17 Prozent reichten im Schnitt weniger als fünf Versuche direkt am Login.

Die Regelwerke haben daraus gelernt. Die US-amerikanische Normungsbehörde NIST schreibt in ihrer aktuellen Richtlinie für digitale Identitäten, Anbieter dürfen einen regelmäßigen Wechsel nicht verlangen. Nur wenn es Hinweise gibt, dass ein Passwort in fremde Hände geraten ist, muss es geändert werden. Das Bundesamt für Sicherheit in der Informationstechnik hat den Wechsel ohne Anlass schon 2020 aus seinem IT-Grundschutz-Kompendium gestrichen. Ob dein Passwort tatsächlich in fremden Händen ist, kannst du übrigens prüfen, wie, steht in unserem Artikel Datenleck prüfen.

SMS als zweiter Faktor

Der dritte Umweg ist der unauffälligste. Viele Dienste schicken beim Anmelden einen Code per SMS, was deutlich besser ist als ein Passwort allein. Es bindet die Sicherheit des Kontos aber an deine Mobilfunknummer, und die lässt sich unter Umständen auf eine fremde SIM-Karte umschreiben. NIST stuft die Zustellung über das Telefonnetz deshalb als eingeschränkt ein und rät Anbietern, einen SIM-Wechsel oder eine Rufnummernmitnahme als Warnsignal zu werten. Wie so ein Angriff abläuft, steht in unserem Artikel über SIM-Swapping. Was SMS-Codes ablösen kann, erklären wir bei den Passkeys.

Können Macs Viren bekommen?

Die Frage taucht in diesem Zusammenhang fast immer auf, und die ehrliche Antwort ist ja, mit einer Einschränkung. Klassische Viren, die sich von selbst von Datei zu Datei oder von Rechner zu Rechner verbreiten, spielen am Mac kaum eine Rolle. Was es gibt, und zwar reichlich, ist Schadsoftware, die du selbst startest. Atomic Stealer wurde laut Malwarebytes erstmals im April 2023 zum Kauf angeboten, als Werkzeug für Kriminelle, mit Schwerpunkt auf Krypto-Wallets und Passwörtern aus Browser und Schlüsselbund. MacSync gehört zur selben Familie von Infostealern.

Diese Programme brauchen keine Sicherheitslücke. Sie brauchen dein Passwort, deine Freigabe oder deinen Befehl im Terminal, und sie bekommen das über eine gute Geschichte. Ein Virenscanner kann helfen, bekannte Varianten zu erkennen. macOS bringt mit XProtect selbst einen mit, der still im Hintergrund läuft. Gegen eine frische Variante, die du eigenhändig startest, hilft die Frage nach der Herkunft aber mehr als jedes Zusatzprogramm.

Du hast so etwas schon installiert

Vielleicht liest du das hier, weil dir beim Lesen der Tabelle mulmig geworden ist. Dann der Reihe nach. Trenne den Mac vom Internet, damit nichts mehr abfließt, und lösche das verdächtige Programm. Öffne danach die Systemeinstellungen und dort Datenschutz & Sicherheit. Unter Bedienungshilfen, Festplattenvollzugriff und Bildschirmaufnahme sollte nichts stehen, das du nicht kennst. Unter Allgemein findest du die Anmeldeobjekte, also alles, was beim Start automatisch mitläuft.

Damit ist das Programm vielleicht weg, aber das Gestohlene ist schon unterwegs. Infostealer greifen Passwörter und angemeldete Sitzungen ab, also das, womit du in deinen Konten eingeloggt bleibst. Ändere deshalb die wichtigsten Passwörter, und zwar von einem anderen, sauberen Gerät aus. Fang mit dem Mail-Konto an, weil sich über die Mail alle anderen Konten zurücksetzen lassen, danach kommen Bank, Apple-Account und Passwortmanager dran. Melde dich überall von allen Geräten ab, wo das geht. Wer Krypto-Wallets auf dem Mac hatte, zieht das Guthaben auf eine neue Wallet um, weil die alten Schlüssel als verbrannt gelten müssen. Bei Auffälligkeiten auf dem Konto informierst du deine Bank.

Am sichersten ist danach eine Neuinstallation von macOS. Das kostet einen Nachmittag, beseitigt aber auch Reste, die du nicht gefunden hast. Woran man sonst noch merkt, dass ein Gerät kompromittiert ist, steht in unserem Artikel Wurde ich gehackt?.

Was bleibt

Die meisten Hilfs-Apps sind seriös, MonitorControl eingeschlossen. Gefährlich ist der Moment davor. Wenn dein Gerät etwas nicht kann, das du gerade dringend brauchst, bist du anfälliger als sonst. Wer in Eile sucht, klickt eher auf das Erstbeste und gibt Rechte frei, sobald die Begründung halbwegs passt. Genau mit dieser Ungeduld rechnen die Täter, und sie bezahlen dafür, ganz oben zu stehen.

Der Schutz dagegen ist unspektakulär, eine Garantie ist er nicht. Wer bei Software die Anzeige überspringt und die Projektseite direkt aufruft, ist den meisten dieser Kampagnen schon aus dem Weg gegangen. Auch im App Store schaust du auf den Entwickler, bevor du etwas lädst. Befehle aus fremden Anleitungen gehören nicht ins Terminal, egal wie hilfsbereit die Seite wirkt. Will ein Programm mehr, als seine Aufgabe erklärt, schließt du das Fenster lieber. Der Monitor ist dann eben noch einen Tag zu laut.

Häufige Fragen

Was ist Malvertising?

Malvertising setzt sich aus "malicious" und "advertising" zusammen und meint Werbung, die Schadsoftware verbreitet oder auf betrügerische Seiten führt. Am Mac läuft es meist über gekaufte Suchanzeigen: Jemand sucht nach einem Programm, ganz oben steht eine Anzeige, die wie der Hersteller aussieht, und dahinter wartet eine nachgebaute Download-Seite. Google sperrt nach eigenen Angaben über 99 Prozent der regelwidrigen Anzeigen, bevor sie ausgespielt werden. Was durchrutscht, steht trotzdem ganz oben.

Können Macs Viren bekommen?

Ja. Klassische Viren, die sich selbst verbreiten, sind am Mac selten, aber Schadsoftware gibt es. Verbreitet sind Infostealer wie Atomic Stealer (AMOS) oder MacSync, die Passwörter aus dem Browser, den Schlüsselbund und Krypto-Wallets abgreifen. Sie überwinden die Schutzmechanismen von macOS meistens nicht mit Technik. Sie bringen dich dazu, sie selbst zu öffnen, ein Passwort einzugeben oder einen Befehl ins Terminal zu kopieren.

Ist MonitorControl sicher?

MonitorControl ist ein seriöses Open-Source-Programm, das seit Jahren auf GitHub entwickelt wird. Es gibt eine Lite-Version im Mac App Store, die Vollversion kommt über die Releases-Seite des Projekts auf GitHub oder über Homebrew. Dass es nach der Bedienungshilfen-Freigabe fragt, ist normal und in der Anleitung beschrieben, und zwar nur für die Medientasten der Apple-Tastatur. Unsicher wird es erst, wenn du das Programm über eine Anzeige oder ein Download-Portal statt von der Projektseite holst.

Warum kann ich die Lautstärke am Monitor über HDMI nicht mit dem Mac regeln?

Über HDMI, DisplayPort und Thunderbolt geht der Ton als digitales Signal mit fester Lautstärke an den Monitor. Geregelt wird am Monitor selbst, deshalb zeigt macOS bei den Lautstärketasten ein durchgestrichenes Symbol. Die Bildschirmhelligkeit externer Monitore steuert macOS ebenfalls nicht über die Tastatur, mit Ausnahme einiger Apple-Displays. Hilfs-Apps sprechen den Monitor über dessen eigene Steuerleitung an.

Wie prüfe ich, ob ein Mac-Download echt ist?

Bei einem Installationspaket (.pkg) klickst du im Installationsfenster oben rechts auf das Schloss- oder Zertifikatssymbol. Fehlt es, ist das Paket nicht signiert. Im Terminal zeigen pkgutil --check-signature, codesign --display --verbose=4 und spctl --assess, wer die Datei signiert hat und ob Apple sie notarisiert hat. Diese Befehle lesen nur und brauchen kein Passwort. Der Name des Entwicklers muss zum Hersteller passen. Eine gültige Signatur zeigt allerdings nur, wer unterschrieben hat, und Apple hat schon notarisierte Schadsoftware nachträglich gesperrt.

Was tue ich, wenn ich einer unbekannten App die Bedienungshilfen freigegeben habe?

Nimm den Mac vom Netz und entferne die App. Unter Systemeinstellungen, Datenschutz & Sicherheit prüfst du dann die Listen für Bedienungshilfen, Festplattenvollzugriff und Bildschirmaufnahme, außerdem die Anmeldeobjekte unter Allgemein. Weil solche Programme oft Passwörter und angemeldete Sitzungen abgreifen, änderst du die wichtigsten Passwörter von einem anderen Gerät aus und meldest offene Sitzungen ab. Am sichersten ist danach eine Neuinstallation von macOS.