Das Wichtigste in Kürze
- Die allermeisten „Virus gefunden“-Meldungen auf dem Handy sind Werbeanzeigen im Browser, keine Systemwarnungen. Apple nennt sie wörtlich „usually fraudulent advertisements“.
- Der schnellste Test dauert fünf Sekunden: Steht über der Warnung eine Adresszeile, ist es eine Webseite. Eine Webseite kann dein Gerät nicht scannen.
- Die kursierenden Prüf-Codes wie *#21# beweisen nichts. Sie fragen Rufumleitungen im Mobilfunknetz ab und können keine einzige App sehen.
- Wenn wirklich etwas installiert ist, hilft die Reihenfolge: Netz trennen, verdächtige App suchen, Play Protect scannen lassen, Administratorrechte entziehen, im abgesicherten Modus löschen. Zurücksetzen steht am Ende.
Es beginnt fast immer gleich. Du liest etwas, tippst auf einen Link, und plötzlich füllt eine rote Warnung den Bildschirm: drei Viren gefunden, Akku beschädigt, sofort handeln. Ein Countdown läuft, das Gerät vibriert vielleicht sogar. Und darunter ein grüner Knopf, der verspricht, das alles zu beheben.
Dieser Moment ist unangenehm, und genau darauf ist er gebaut. Die gute Nachricht: In den meisten Fällen ist dein Handy völlig in Ordnung. Die Warnung selbst ist das Problem.
Der Test, der fünf Sekunden dauert
Bevor du irgendetwas anderes tust, beantworte eine einzige Frage: Woher kommt diese Meldung? Alles Weitere ergibt sich daraus.
Sieh nach oben. Erscheint über der Warnung eine Adresszeile mit einer Internetadresse, sitzt du in einer Webseite. Und eine Webseite kann dein Handy nicht durchsuchen. Sie kann nicht wissen, wie viele Apps du installiert hast, ob dein Akku in Ordnung ist oder ob irgendetwas Schädliches auf dem Gerät liegt. Sie kann nur behaupten.
Apple formuliert das in der eigenen Hilfe ungewöhnlich deutlich: Wer eine Meldung über Sicherheitsprobleme oder Viren auf dem Gerät sehe, solle ihr nicht glauben, denn solche Einblendungen seien „usually fraudulent advertisements“ – üblicherweise betrügerische Werbung. Der Rat lautet schlicht: die Seite verlassen oder den Tab schließen.
Warum diese Seiten überhaupt erscheinen
Die Erklärung ist unspektakulär: Werbung. Solche Seiten werden über Werbenetzwerke ausgeliefert, oft auf Portalen, die ihre Werbeplätze automatisiert verkaufen und nicht prüfen, wer sie bucht. Ein falscher Tipp auf ein Banner, eine automatische Weiterleitung, manchmal auch nur eine Seite mit aggressiven Anzeigen – schon bist du dort.
Das Ziel ist selten ein echter Virus. Es ist ein Abo, eine App mit teurer Zusatzfunktion oder eine Zahlung für eine Leistung, die es nicht gibt. Manchmal ist es auch nur ein Datensatz, der weiterverkauft wird.
Ein Nebeneffekt macht es glaubwürdiger: Diese Seiten lesen aus, welches Gerät du benutzt, und schreiben es in die Warnung. „Ihr Samsung Galaxy ist infiziert“ wirkt überzeugend, ist aber dieselbe Information, die jede Webseite ohnehin bekommt. Genauso wie dein ungefährer Standort und die Sprache deines Systems.
Was Google selbst als Anzeichen nennt
Wenn es kein Werbebanner war, lohnt der Blick auf die offiziellen Kriterien. Google führt in der eigenen Hilfe auf, woran sich Schadsoftware auf einem Android-Gerät bemerkbar macht: wenn Google dich zum Schutz von deinem Konto abgemeldet hat, wenn Pop-up-Werbung erscheint, die sich nicht schließen lässt, wenn du Nachrichten über einen Virus bekommst, wenn dein Virenschutz nicht mehr funktioniert, wenn das Gerät sehr langsam geworden ist oder wenn plötzlich weniger Speicherplatz verfügbar ist als vorher.
Zwei Dinge fallen daran auf. Erstens taucht der Punkt „Nachrichten über einen Virus“ auf – die Warnung selbst kann also tatsächlich ein Symptom sein, nur eben eines, das von außen kommt. Zweitens fehlt fast alles, was in Ratgebern sonst aufgezählt wird: kein Wort von warmen Gehäusen, keines von kurzer Akkulaufzeit.
Sieben Beobachtungen und was sie wert sind
Das liegt daran, dass die meisten genannten Anzeichen unspezifisch sind. Ein Akku, der nachlässt, ist nach drei Jahren schlicht normal. Ein warmes Gerät kann an einer Videoaufnahme liegen. Erst die Kombination mehrerer aussagekräftiger Beobachtungen ergibt einen belastbaren Verdacht.
Die aussagekräftigsten Punkte haben eines gemeinsam: Sie lassen sich nicht mit normalem Verschleiß erklären. Werbung, die außerhalb des Browsers erscheint, kann kein Alterungseffekt sein. Eine App, die du nie installiert hast, kommt nicht von selbst. Und Anrufe oder Kurznachrichten an Nummern, die du nicht kennst, stehen nicht ohne Grund in deiner eigenen Liste.
„Gehackt“ heißt meistens: das Konto, nicht das Gerät
Wer den Verdacht hat, gehackt worden zu sein, denkt an das Telefon. In der Praxis ist fast immer etwas anderes betroffen: ein Konto. Das Gerät funktioniert einwandfrei, aber jemand hat Zugang zu einem Dienst darauf.
Der Unterschied ist entscheidend, weil beide Fälle vollkommen verschiedene Gegenmaßnahmen verlangen. Ein übernommenes Konto lässt sich nicht durch Zurücksetzen des Handys lösen – die fremde Sitzung läuft auf einem anderen Gerät weiter, ganz gleich, was du mit deinem machst.
| Beobachtung | Was wahrscheinlich betroffen ist |
|---|---|
| Nachrichten in deinem Namen, die du nicht geschrieben hast | Das Konto des Messengers oder des sozialen Netzwerks |
| Anmeldungen aus fremden Städten in der Sicherheitsübersicht | Das Google- oder Apple-Konto |
| Käufe oder Abos, die du nicht ausgelöst hast | Das Konto im jeweiligen Store oder Bezahldienst |
| Werbung außerhalb des Browsers, unbekannte App im Starter | Das Gerät selbst |
| Standort oder Nachrichten sind jemandem bekannt, der sie nicht wissen kann | Eine App auf dem Gerät, meist mit direktem Zugang installiert |
Betrifft es ein Konto, führt der Weg über die Sicherheitseinstellungen des jeweiligen Dienstes: Passwort ändern, alle aktiven Sitzungen beenden, Zwei-Faktor-Bestätigung einschalten. Für den häufigsten Einzelfall, die Übernahme eines Instagram-Zugangs, gibt es eine eigene Schritt-für-Schritt-Anleitung im Ratgeber zum gehackten Instagram-Konto.
Nur wenn die Beobachtungen auf das Gerät zeigen – Werbung außerhalb des Browsers, fremde Apps, unerklärlicher Datenverkehr –, lohnt der Aufwand, den die folgenden Abschnitte beschreiben.
Den Datenverbrauch gezielt prüfen
Von den genannten Beobachtungen lässt sich eine nachmessen, und sie ist die aussagekräftigste: Eine App, die heimlich Daten weitergibt, muss dafür Daten senden. Das steht in der Statistik.
Du findest sie unter Einstellungen bei den Verbindungs- oder Netzwerkeinstellungen, meist unter Datennutzung. Sieh dir die mobile Nutzung und die WLAN-Nutzung getrennt an und sortiere nach Verbrauch. Interessant ist nicht die Spitze der Liste – dass ein Videodienst oben steht, ist normal –, sondern alles darunter, das du nicht zuordnen kannst.
Zwei Muster sind verdächtig. Eine App, die du nie bewusst benutzt, hat trotzdem nennenswerten Verbrauch. Oder eine App mit systemnahem Namen taucht auf, die auf keinem anderen Gerät in deinem Umfeld existiert. Tippe sie an: Android zeigt, wie viel davon im Hintergrund anfiel.
Die Codes, mit denen halbe Ratgeberseiten arbeiten
Wer nach einem Test sucht, landet schnell bei einer Liste von Codes, die man in die Telefon-App eintippen soll. Angeblich verraten sie, ob das Gerät überwacht wird. Das ist falsch, und zwar nicht ein bisschen, sondern grundsätzlich.
Es handelt sich um Steuerbefehle aus dem Mobilfunkstandard, mit denen sich Zusatzdienste im Netz abfragen lassen. Der bekannteste, *#21#, zeigt an, ob eine Rufumleitung eingerichtet ist. Das ist eine Einstellung beim Mobilfunkanbieter, kein Blick ins Gerät.
Und weil die Mailbox technisch nichts anderes ist als eine Umleitung bei Nichterreichbarkeit, zeigt so ein Code bei vielen Menschen eine aktive Umleitung an. Das ist der Grund, warum diese Listen funktionieren: Sie erzeugen einen Treffer, der nach Befund aussieht und in Wahrheit die Mailbox ist.
Was auf einem Android-Gerät überhaupt möglich ist
Klassische Viren, die sich von selbst verbreiten, gibt es auf Smartphones praktisch nicht. Jede App läuft in ihrem eigenen abgeschotteten Bereich und kommt nicht ohne Weiteres an die Daten anderer Apps. Was es dagegen gibt, sind Apps, die der Nutzer selbst installiert – und die dann mehr tun, als sie sollen.
Der übliche Weg führt an Google Play vorbei. Eine Datei aus einer Nachricht, ein Download von einer Seite, die eine kostenpflichtige App gratis verspricht, ein angeblich nötiges Update für einen Videoplayer. Das Installieren aus fremden Quellen ist auf Android möglich, und genau das nutzen diese Apps.
Einmal installiert, fragen sie nach Rechten, die zu weit gehen. Zwei davon sind besonders folgenreich: die Bedienungshilfen, mit denen eine App den Bildschirminhalt lesen und Eingaben ausführen kann, und die Geräteadministrator-Rechte, die eigentlich für Firmenverwaltung gedacht sind. Wer beides hat, kann mitlesen und sich gegen das Löschen wehren.
Wenn die Überwachung aus dem Umfeld kommt
Ein Sonderfall wird in Ratgebern selten behandelt, ist aber häufiger als der klassische Schädling: Apps, die jemand mit direktem Zugang zum Gerät installiert hat. Ein Partner, ein Elternteil, jemand aus dem Umfeld. Solche Programme tragen unauffällige Namen, verstecken ihr Symbol und melden Standort, Nachrichten oder Anrufe weiter.
Technisch verraten sie sich an denselben Stellen wie andere Schadsoftware: Sie brauchen die Bedienungshilfen, oft Geräteadministrator-Rechte, und sie erzeugen Datenverkehr. Der Unterschied ist, dass sie ohne Trick auf das Gerät kamen – jemand hatte es in der Hand und kannte den Entsperrcode.
Nutze für diese Vorbereitung ein anderes Gerät, nicht das verdächtige. Und ändere anschließend nicht nur die Passwörter, sondern auch den Entsperrcode – sonst steht die App nach kurzer Zeit wieder drauf.
Entfernen: die Reihenfolge, die funktioniert
Hast du einen begründeten Verdacht, arbeite die Schritte der Reihe nach ab. Das Zurücksetzen steht bewusst am Ende – auch das BSI nennt es ausdrücklich als letzte Maßnahme, wenn alles andere erfolglos war.
Beginne damit, WLAN und mobile Daten abzuschalten. Das nimmt einer aktiven App die Verbindung, solange du aufräumst, und verhindert, dass währenddessen noch etwas nachgeladen wird.
Dann die Frage, mit der auch das BSI anfängt: Welche App kam kurz vor den Problemen dazu? Gehe in die App-Übersicht und sortiere nach Installationsdatum, wenn dein Gerät das anbietet. Alles, was du nicht selbst bewusst installiert hast, ist verdächtig – besonders Apps ohne erkennbares Symbol oder mit Namen wie „System Service“ oder „Update“.
Play Protect: der Scanner, den du längst hast
Bevor du eine zusätzliche App installierst: Auf jedem Android-Gerät mit Google-Diensten ist bereits ein Schutz eingebaut. Du erreichst ihn im Play Store über dein Profilbild oben rechts, dort steht Play Protect.
Starte dort einen Scan. Hast du Apps aus anderen Quellen als dem Play Store installiert, aktiviere zusätzlich die Option zur verbesserten Erkennung schädlicher Apps – genau für diesen Fall ist sie gedacht.
Play Protect ist kein Wundermittel, aber es kostet nichts, ist bereits da und braucht keine weiteren Rechte. Damit ist es jedem nachinstallierten Scanner mindestens gleichwertig, solange du nicht regelmäßig an Google Play vorbei installierst.
Die Falle, die fast alle Anleitungen auslassen
Jetzt kommt der Schritt, an dem die meisten scheitern. Du findest die verdächtige App, tippst auf Deinstallieren – und der Knopf ist ausgegraut oder die App ist nach dem Neustart wieder da.
Der Grund sind die erwähnten Geräteadministrator-Rechte. Solange eine App sie hat, lässt Android sie nicht löschen. Du musst ihr diese Rechte zuerst entziehen. Den Punkt findest du je nach Hersteller unter Einstellungen bei Sicherheit oder Datenschutz, meist heißt er Geräteverwaltungs-Apps oder Geräteadministratoren. Deaktiviere dort den Eintrag der verdächtigen App, danach lässt sie sich normal deinstallieren.
Sieh bei der Gelegenheit auch in die Bedienungshilfen. Eine Taschenlampen- oder Taschenrechner-App hat dort nichts zu suchen. Alles, was du nicht bewusst für einen Zugänglichkeitszweck eingeschaltet hast, kannst du abschalten.
Wenn sie sich immer noch wehrt: abgesicherter Modus
Bleibt die App hartnäckig, hilft der abgesicherte Modus. Android startet dann nur die eigenen Bestandteile; alles Nachinstallierte bleibt aus und kann sich folglich nicht wehren. Das BSI empfiehlt genau diesen Weg bei Problemen mit der Deinstallation.
Du kommst hinein, indem du die Ein-Aus-Taste hältst, bis das Ausschaltmenü erscheint, und dann die Schaltfläche Ausschalten gedrückt hältst, bis die Nachfrage nach dem abgesicherten Modus kommt. Am unteren Bildschirmrand steht danach der Hinweis. Deinstalliere dort die App, dann starte normal neu.
Zurücksetzen: was dabei wirklich passiert
Erst wenn all das nichts gebracht hat, ist das Zurücksetzen auf Werkseinstellungen an der Reihe. Das BSI weist darauf hin, dass dabei alle später installierten Apps sowie persönliche Einstellungen und Daten wie Fotos, Videos und Musik verloren gehen.
Richte das Gerät danach als neu ein und installiere Apps einzeln aus dem Play Store nach, statt eine alte App-Liste automatisch wiederherstellen zu lassen.
Nach dem Aufräumen: die Passwörter
Das Gerät zu säubern ist nur die eine Hälfte. Konnte eine App über die Bedienungshilfen mitlesen, sind sämtliche Zugangsdaten betroffen, die du in dieser Zeit eingegeben hast.
Ändere sie deshalb – aber von einem anderen Gerät aus, solange du dir beim befallenen nicht sicher bist. Sonst tippst du die neuen Passwörter dort ein, wo möglicherweise noch mitgelesen wird. Die Reihenfolge: zuerst das Google- oder Apple-Konto, weil daran alles andere hängt, dann E-Mail, dann Banking und Bezahldienste.
Prüfe im Google-Konto zusätzlich unter den Sicherheitseinstellungen die Liste der angemeldeten Geräte und melde alles ab, was du nicht zuordnen kannst. Wie du das Konto dauerhaft absicherst, steht ausführlich in der Checkliste zum sicheren Android-Handy.
Brauchst du einen Virenscanner?
Die ehrliche Antwort fällt anders aus, als es die Suchergebnisse nahelegen – dort stehen fast ausschließlich Anbieter, die Sicherheitssoftware verkaufen.
| Deine Nutzung | Zusätzlicher Scanner |
|---|---|
| Apps ausschließlich aus dem Play Store, Updates werden zeitnah installiert | Nicht nötig. Play Protect deckt diesen Fall ab. |
| Gelegentlich Apps aus anderen Quellen, etwa für Spiele oder Werkzeuge | Kann sinnvoll sein, ersetzt aber keine Vorsicht beim Installieren. |
| Gerät bekommt keine Sicherheitsupdates mehr | Ein Scanner schließt die Lücken nicht. Hier hilft nur ein neueres Gerät. |
| Konkreter Verdacht, etwas sei bereits installiert | Ein einmaliger Scan ist vertretbar. Danach wieder deinstallieren. |
Wichtig ist der dritte Fall. Ein Virenscanner kann eine bekannte Schadsoftware erkennen, aber er kann keine Sicherheitslücke im System schließen. Läuft dein Gerät ohne Updates, ist das das eigentliche Problem. Wie lange dein Modell versorgt wird, zeigt der Überblick zu den Update-Zeiträumen der Android-Hersteller.
Die Apps, die selbst das Problem sind
Es gibt eine ganze Kategorie von Apps, die mit Sicherheit werben und das Gegenteil bewirken. Sie heißen „Cleaner“, „Booster“, „Speed Up“ oder „Battery Saver“ und versprechen, das Gerät aufzuräumen oder schneller zu machen.
Android verwaltet Arbeitsspeicher und Hintergrundprozesse selbst, und zwar besser als jede App von außen. Was diese Programme tatsächlich tun: Sie laufen ständig mit, zeigen Werbung, verlangen weitreichende Rechte und verbrauchen genau die Ressourcen, die sie angeblich freiräumen.
Besonders heikel wird es, wenn eine solche App nach den Bedienungshilfen oder nach Administratorrechten fragt. Für das Leeren eines Zwischenspeichers braucht niemand die Fähigkeit, den Bildschirm mitzulesen.
iPhone: warum es hier anders liegt
Auf dem iPhone ist die Lage klarer. Apps kommen praktisch ausschließlich aus dem App Store, laufen streng abgeschottet und können einander nicht ohne Weiteres beeinflussen. Klassische Schadsoftware, die sich einnistet und verbreitet, ist für normale Nutzung kein realistisches Szenario.
Was bleibt, sind genau die Dinge, um die es hier ohnehin geht: gefälschte Warnseiten im Browser, unerwünschte Kalendereinladungen, die Termine mit Werbelinks anlegen, und Phishing über Nachrichten. Dagegen hilft kein Virenscanner, sondern Aufmerksamkeit.
Praktisch kannst du unter Einstellungen bei Safari die Optionen zum Blockieren von Pop-ups und zur Warnung vor betrügerischen Webseiten einschalten. Beide sind normalerweise ohnehin aktiv. Mehr zur Einordnung steht im Artikel dazu, ob iPhones überhaupt Viren bekommen können.
Drei Verwechslungen, die kein Virus sind
Bevor du dein Gerät zurücksetzt, prüfe, ob nicht eine der häufigen Verwechslungen vorliegt.
Werbung im Browser, die überall auftaucht. Wenn die Einblendungen nur beim Surfen erscheinen, liegt es an den besuchten Seiten, nicht am Gerät. Ein Werbeblocker oder ein anderer Browser löst das.
Termine im Kalender, die du nie eingetragen hast. Das ist Kalender-Spam über eine abonnierte Kalenderdatei. Du entfernst ihn, indem du das Abo löschst – nicht die einzelnen Termine.
Ein Gerät, das einfach langsam geworden ist. Voller Speicher, viele Jahre Nutzung, ein alternder Akku. Das fühlt sich an wie ein Befall, ist aber keiner. Die Ursachen dafür stehen im Ratgeber zum schnell leeren Android-Akku.
Was du in dieser Lage nicht tun solltest
Sechs Reaktionen machen die Sache regelmäßig schlimmer, und alle sechs wirken im Moment naheliegend.
Eine zweite Sicherheits-App installieren, um die erste zu prüfen. Wer gerade auf eine gefälschte Warnung hereingefallen ist, landet dabei häufig beim nächsten Angebot derselben Machart. Nutze Play Protect, das ist bereits da.
Für die Bereinigung bezahlen. Keine seriöse Lösung verlangt eine sofortige Zahlung in einer Warnmeldung. Wenn Geld verlangt wird, ist das der eigentliche Zweck der Übung.
Die Codes eintippen und dem Ergebnis glauben. Bei ##002# löschst du zusätzlich deine Rufumleitungen und damit womöglich die Mailbox.
Sofort auf Werkseinstellungen zurücksetzen. Das löscht alles, auch die Fotos, und in vielen Fällen war gar nichts installiert.
Ein frisches Vollbackup zurückspielen. Wurde es angelegt, als die App schon drauf war, holst du sie damit zurück.
Das Gerät rooten, um „durchzugreifen“. Root hebt genau die Trennung auf, die Android schützt. Danach kann eine Schadsoftware deutlich mehr als vorher.
Häufige Fragen
Kann eine Webseite wirklich sehen, ob mein Handy einen Virus hat?
Nein. Eine Webseite läuft im Browser und kommt nicht an die installierten Apps oder das Dateisystem heran. Sie erfährt nur, welches Gerät und welchen Browser du benutzt. Jede Warnung mit einer konkreten Zahl gefundener Viren ist deshalb erfunden.
Ich habe versehentlich auf so eine Warnung getippt. Was jetzt?
Meist passiert nichts weiter, als dass sich eine weitere Seite öffnet oder ein Download startet. Brich den Download ab und lösche die Datei. Hast du bereits eine App installiert, deinstalliere sie und lass Play Protect scannen. Hast du Daten eingegeben oder gezahlt, ändere die betroffenen Passwörter und wende dich an deine Bank.
Zeigt *#21# wirklich, ob mein Handy überwacht wird?
Nein. Der Code fragt beim Mobilfunkanbieter ab, ob eine Rufumleitung aktiv ist. Bei vielen Menschen ist sie das, weil die Mailbox technisch eine Umleitung bei Nichterreichbarkeit ist. Mit installierten Apps oder Schadsoftware hat das nichts zu tun.
Warum lässt sich die App nicht deinstallieren?
Weil sie Geräteadministrator-Rechte besitzt. Entziehe sie ihr zuerst unter den Sicherheitseinstellungen bei den Geräteverwaltungs-Apps, danach funktioniert das Löschen. Hilft auch das nicht, deinstalliere im abgesicherten Modus.
Reicht Google Play Protect als Schutz?
Für die meisten ja. Wer Apps ausschließlich aus dem Play Store installiert und Updates zeitnah einspielt, braucht keinen zusätzlichen Scanner. Wer regelmäßig an Google Play vorbei installiert, kann einen ergänzen – ersetzt damit aber keine Vorsicht.
Können iPhones Viren bekommen?
Im klassischen Sinn praktisch nicht. Apps sind streng voneinander abgeschottet und kommen fast ausschließlich aus dem App Store. Die realen Gefahren sind gefälschte Warnseiten, Kalender-Spam und Phishing – also nichts, was ein Virenscanner abfangen würde.
Hilft Zurücksetzen auf Werkseinstellungen immer?
Bei Schadsoftware, die als App installiert wurde, ja. Es löscht allerdings auch alle deine Daten und sollte deshalb der letzte Schritt sein. Achte darauf, kein vollständiges Systembackup zurückzuspielen, das unmittelbar vorher entstanden ist – darin kann die App enthalten sein.
Muss ich nach dem Aufräumen wirklich alle Passwörter ändern?
Wenn die App Zugriff auf die Bedienungshilfen hatte, konnte sie Eingaben mitlesen. Dann ja, zumindest für Konto, E-Mail und Bank. Ändere sie von einem anderen Gerät aus, solange du dem gesäuberten nicht vollständig traust.
Quellen
- Google-Konto-Hilfe: Malware oder unsichere Software entfernen (Android)
- Android-Hilfe: Apps und Daten mit Google Play Protect schützen
- BSI: Infektionsbeseitigung bei Smartphones und Tablets
- Apple Support: Social-Engineering-Maschen erkennen und vermeiden
- Apple Support: Pop-up-Werbung und Fenster in Safari blockieren
