Am 12. November 2026 veröffentlichte der IT-Sicherheitsanbieter Bitdefender seinen aktuellen macOS Threat Landscape Report. Die Analyse, die auf der Auswertung von mehr als 1,5 Milliarden Sicherheitsereignissen im Zeitraum von August 2025 bis Juli 2026 basiert, weist den Webbrowser als das wichtigste Einfallstor für Angriffe auf macOS-Systeme aus.
Web- und dokumentbasierte Bedrohungen machten demnach rund 45 Prozent aller erfassten Ereignisse aus und bildeten damit die größte Einzelkategorie. Angreifer setzten dabei verstärkt auf psychologische Manipulation der Nutzer direkt im Browserfenster, anstatt technische Schwachstellen im Betriebssystem auszunutzen. Bei den ausgewerteten Zahlen handelt es sich laut dem Bericht um blockierte Detektionen, nicht um bestätigte Infektionen.
Regionale Verteilung und Verschiebung der Bedrohungsarten
Geografisch betrachtet waren macOS-Nutzer in den USA am stärksten betroffen: Auf das Land entfielen 27,3 Prozent aller erfassten Bedrohungen. Deutschland folgte mit einem Anteil von 9,2 Prozent auf dem zweiten Rang.
Innerhalb der Kategorien abseits von Web- und Dokumentenbedrohungen beobachtete Bitdefender deutliche Verschiebungen. Der Anteil von Adware an den Detektionen kletterte von 22,6 Prozent auf 34,4 Prozent, was einem Anstieg um 11,8 Prozentpunkte entspricht.
Innerhalb der zehn größten Adware-Gruppen machten Popunder und Cryxos zusammen 72,5 Prozent der Fälle aus; beide Typen erzeugen gefälschte Warnmeldungen und leiten Betroffene auf Phishing-Websites um.
Was Apple-Experten jedem Mac-Einsteiger als Erstes empfehlen, um das System von Grund auf sicher und effizient zu konfigurieren, erfahren Sie in diesem kostenlosen Ratgeber. Er enthüllt die wichtigsten Einstellungen für einen optimalen Start, die kaum ein Nutzer von Beginn an kennt. Kostenloses Apple Mac Starterpaket jetzt sichern
Trojaner stellten mit 45,2 Prozent weiterhin die größte Gruppe dar, verloren im Vergleich zum Vorjahreswert von 51,8 Prozent jedoch an Boden. Potenziell unerwünschte Anwendungen verzeichneten einen Rückgang von 25,3 Prozent auf 20,4 Prozent.
Zugleich stiegen die Detektionen von Infostealern an: Lagen sie Mitte 2025 noch bei unter einem Prozent pro Monat, erreichten sie Mitte 2026 rund 1,5 Prozent, abgesehen von einem einmaligen Ausschlag im Juni.
Diese Schadprogramme zielen vor allem auf im Browser gespeicherte Zugangsdaten, Sitzungscookies, den macOS-Schlüsselbund sowie Krypto-Wallets ab. Klassische macOS-native Ransomware blieb hingegen eine Randerscheinung und kam lediglich auf 0,028 Prozent der Fälle.
Social Engineering über ClickFix und manipulierte Anwendungen
Ein zentrales Werkzeug der Angreifer bildet die sogenannte ClickFix-Methode. Dabei werden Nutzer über gefälschte Sicherheitsüberprüfungen, angebliche Audio- oder Kamera-Reparaturen, Installationsprogramme für KI-Werkzeuge oder vorgetäuschte Vorstellungsgespräche dazu verleitet, Befehle in das macOS-Terminal einzufügen.
Wer die volle Leistung seines Apple-Computers ausschöpfen und typische Fallstricke bei der Einrichtung vermeiden möchte, findet in diesem gratis PDF-Starterpaket wertvolle Unterstützung. Erfahren Sie mit wenigen Klicks, wie Sie Ihren Mac von Tag 1 an sicher und professionell bedienen. So werden Sie in kürzester Zeit zum Mac-Profi – völlig kostenlos
Wie ein Cybersecurity-Forscher in einem Bericht vom 15. November 2026 erläuterte, fordert diese Masche Nutzer auf, anstelle regulärer Bild- oder Buchstaben-Captchas eine Tastenkombination zu drücken und zu bestätigen. Dies gehöre mittlerweile zu den am häufigsten genutzten Tricks, um Systeme durch die Anwender selbst infizieren zu lassen.
Apple hat in macOS Tahoe 26.4 zwar eine Schutzwarnung beim Einfügen von Inhalten in das Terminal integriert, diese greift nach Herstellerangaben jedoch nur unter spezifischen Bedingungen: Das Terminal darf mehr als 30 Tage lang nicht genutzt worden sein, es darf keine Entwicklerumgebung wie Xcode installiert sein, und der kopierte Text muss direkt aus einem Browser oder Mailprogramm stammen.
Dass auch legitime Schutzprüfungen umgangen werden können, belegte die Sicherheitssparte Unit 42 von Palo Alto Networks anhand von drei notarisierten Dienstprogrammen namens PodcastsLounge, PDF-Brain und PDF-Ninja. Trotz gültiger Apple-Developer-ID-Signatur und offiziellem Notarisierungs-Ticket enthielten diese Programme den Loader FlutterShell.
Da die signierte Programmdatei unverändert blieb und Befehle stattdessen dynamisch über eingebettete Webinhalte nachgeladen wurden, ließ sich das Verhalten der Software aus der Ferne umschreiben. Zwei dieser Programme boten eine KI-basierte Textzusammenfassung an, bei der Dokumente vor der Weiterleitung an den eigentlichen Dienst über Server der Angreifer geschleust wurden.
Zudem enthielten sie Funktionen zur Browser-Manipulation sowie eine unfertige Hintertür. Unit 42 betonte in diesem Zusammenhang, dass die Notarisierung lediglich eine Momentaufnahme darstelle, wenngleich Apple Genehmigungen nachträglich widerrufen und Signatur-Updates für das interne Schutzsystem XProtect bereitstellen kann.