Sicherheitsexperten zeigen auf, wie sich verdächtige Verbindungen und unbefugte Zugriffe auf Rechnern mit Windows 10 und Windows 11 mithilfe integrierter Befehlszeilenwerkzeuge erkennen lassen. Die Analysefunktionen der bordeigenen Befehle netstat und tasklist ermöglichen eine Bestandsaufnahme aktiver Netzwerkaktivitäten und laufender Prozesse, ohne dass hierfür erweiterte Administratorrechte zwingend erforderlich sind.
Analyse von Netzwerkverbindungen und aktiven Prozessen
Über den Befehl netstat -ano werden alle offenen Netzwerkverbindungen zusammen mit der jeweiligen Prozess-Identifikationsnummer (PID) aufgeführt. Zu den grundlegenden Verbindungszuständen gehören LISTENING für wartende Ports sowie ESTABLISHED für aktive Verbindungen.
Während lokale IP-Adressen wie 127.0.0.1 und [::1] den internen Verkehr abbilden, gehören Bereiche wie 192.168.x.x und 10.x zum lokalen Netzwerk. Regulärer Webverkehr nutzt üblicherweise die Ports 80 für HTTP und 443 für verschlüsseltes HTTPS, während auch Port 22 für SSH gebräuchlich ist.
Als hochriskant gilt hingegen ein ESTABLISHED-Status bei einer Verbindung zu einer externen IP-Adresse über Port 3389 für das Remote Desktop Protocol (RDP) oder Port 5900 für VNC. Die Zuordnung einer verdächtigen PID zum zugehörigen Programmnamen lässt sich über tasklist /FI "PID eq X" oder mittels tasklist | findstr "PID" vornehmen.
Da sich die PID bei einem Systemneustart ändert, muss die Zuordnung zeitnah erfolgen. Der Befehl tasklist /svc listet die innerhalb des Host-Prozesses svchost.exe laufenden Dienste auf, während tasklist /v aktive Benutzer sowie Fenstertitel anzeigt.
Ergänzend steht mit dem 1,5 Megabyte großen Werkzeug TCPView aus der Sysinternals-Reihe ab Windows 8.1 ein Hilfsmittel zur Verfügung, das Verbindungen im Sekundentakt aktualisiert.
Überprüfung von Pfaden, Systemdiensten und Fernwartung
Da Dateinamen gefälscht werden können, raten Experten zur genauen Kontrolle des tatsächlichen Speicherpfads. Als auffällig gelten Ausführungen aus Verzeichnissen wie AppData, Temp oder Downloads.
Wer sich mit der manuellen Analyse von Systemprozessen befasst, erkennt schnell, wie komplex die Fehlerbehebung unter Windows sein kann. Dieser kostenlose Report zeigt Ihnen, wie Sie die häufigsten Windows-Probleme in wenigen Minuten selbst beheben. 5 häufige Windows-Fehler erfolgreich gelöst
Häufig werden legitime Systemdateien nachgeahmt: Der Pfad der svchost.exe muss im Verzeichnis C:WINDOWSsystem32 liegen, wobei mehr als fünf Instanzen oder abweichende Schreibweisen wie svch0st.exe, schvost.exe oder scvhost.exe auf Schadsoftware hinweisen können.
Die explorer.exe gehört in den Pfad C:Windows, iexplore.exe in C:Program FilesInternet Explorer und rundll32.exe in C:Windowssystem32. Der Druckspoolerdienst spoolsv.exe kann beendet werden, falls kein Drucker verwendet wird. Verdächtige Prozesse lassen sich mit dem Befehl taskkill /im name /f stoppen.
Besondere Aufmerksamkeit erfordern installierte Fernwartungswerkzeuge wie AnyDesk, TeamViewer, ScreenConnect oder NetSupport. Über den Task-Manager lässt sich feststellen, ob derartige Anwendungen aktiv sind, um sie bei unberechtigter Nutzung zu deinstallieren.
Zudem empfiehlt sich die Abschaltung der Windows-Fernsteuerung über das Menü unter Einstellungen, System und Remotedesktop. Der Ressourcenmonitor (resmon) bietet über die Reiter für zugehörige Handles (Associated Handles) und die Analyse der Warteschlange (Analyze Wait Chain) weitere Einblicke in blockierte Ressourcen oder hängende Programme.
Die manuelle Überwachung von Netzwerkverbindungen ist ein wichtiger Schritt für die Systemsicherheit, erfordert jedoch oft tiefgehende Fachkenntnisse. Mit diesem gratis PDF-Ratgeber erhalten Sie eine verständliche Schritt-für-Schritt-Anleitung, um Update-Fehler und andere Systemprobleme ohne teure IT-Hilfe zu lösen. Erste Hilfe für Windows-Nutzer kostenlos sichern
Kontrolle der Ereignisanzeige und Folgemaßnahmen
Eine nachträgliche Prüfung unautorisierter Anmeldungen erfolgt über die Ereignisanzeige, die über die Computerverwaltung oder den Befehl eventvwr.msc aufgerufen werden kann. Im Bereich der Windows-Protokolle unter Sicherheit sind Protokolleinträge mit Zeitstempel, Quelle, Aufgabenkategorie und Ereignis-ID hinterlegt.
Die ID 4624 signalisiert eine erfolgreiche Anmeldung, während die ID 4672 Anmeldungen mit besonderen Rechten ausweist. In den Details oder der XML-Ansicht ist dabei der Anmeldetyp ersichtlich, etwa LogonType 5 für Dienste. Die Systemstarts und -abschaltungen werden unter den Ereignis-IDs 6005 und 6006 erfasst.
Zusätzlich sollten der Verlauf zuletzt geöffneter Dateien im Datei-Explorer sowie in Programmen wie Word und Excel, der Browserverlauf und eingegangene Sicherheitswarnungen per E-Mail geprüft werden.
Bestätigt sich der Verdacht auf einen unberechtigten Zugriff, raten Sicherheitsexperten zur sofortigen Änderung der Passwörter, der Aktivierung einer Zwei-Faktor-Authentifizierung, einem vollständigen Systemscan mit Microsoft Defender sowie der Bereinigung fremder Apps und Benutzerkonten.