Ein Programm oder Skript, der sich nach seiner Ausführung selbst vervielfältigt, wird Computerwurm genannt. Im Gegensatz zu einem Computervirus infiziert der Wurm keine fremden Dateien oder Bootsektoren. Meistens verbreiten sich Würmer über Wechselmedien oder Netzwerke. Normalerweise kann sich ein Computerwurm nur verbreiten, wenn ein Hilfsprogramm zur Verfügung steht. Hierfür eignen sich vor allem Netzwerkdienste oder andere Anwendungen, die als Schnittstelle zum Netzwerk genutzt werden können.

Merkmale eines Computerwurms: Er vervielfältigt sich eigenständig, nutzt Kommunikationswege wie E-Mail, Messaging oder Netzwerkdienste zur Ausbreitung und kann zusätzliche Schadfunktionen (Payload) nachladen. Häufige Payloads sind Spionagefunktionen, Backdoors, Kryptominer, Ransomware-Komponenten, Wiper-Module oder Botnetz-Clients.

Abgrenzung: Während Viren auf Wirtsdateien angewiesen sind, agieren Würmer als eigenständige Programme und setzen auf Automatisierung sowie das Ausnutzen von Schwachstellen. Moderne Varianten kombinieren beides und nutzen z. B. Makros oder Skripte, um ihren Start zu erleichtern.

Bekannte historische Ausbrüche (z. B. Blaster, Conficker, WannaCry, NotPetya) zeigen, wie „wormable“ Schwachstellen in Netzwerkdiensten eine rasante Ausbreitung erlauben. Aktuelle Varianten nutzen neben klassischen Protokollen auch Skripte (PowerShell), legitime Admin-Tools oder Cloud-Dienste, um sich unauffällig zu verbreiten.

Bei Wechselmedien, wie USB-Sticks, wird die Ausführung des Wurms häufig an die Autostart-Funktion des Mediums gekoppelt. Da Würmer schädliche Funktionen mit sich bringen können und durch die geheime Verbreitung ungefragt Ressourcen des kompromittierten Systems binden, zählen sie zur Familie der Malware. Diese Eigenschaft macht Schutzmaßnahmen gegen Computerwürmer notwendig.

Aktueller Hinweis zu Wechselmedien: Selbst wenn Autostart/Autorun auf modernen Systemen standardmäßig eingeschränkt ist, umgehen Würmer dies durch Tarnung als vermeintliche Dokumente, den Einsatz von LNK-Verknüpfungen, Skripte oder manipulierte Treiberpakete. Daher bleibt ein sorgfältiger Umgang mit externen Datenträgern unverzichtbar.

Verbreitungsarten von Würmern

Oft verbreiten sich Computerwürmer über E-Mails. Normalerweise wird eine E-Mail mit einer ausführbaren Datei im Anhang oder einem eingefügten Hyperlink zu einer solchen versendet. Der Wurm verschickt sich dann via Fernsteuerung von bereits installierten Programmen, zum Beispiel Microsoft Outlook, oder aber durch ein in die Malware integriertes SMTP-Programm. Die Adressaten der zu versendenden Mails bezieht diese unerwünschte Software aus auf dem System auffindbaren Adressbüchern oder aus anderen Dateien auf der Festplatte.

Heutige E-Mail-Taktiken: Würmer tarnen Anhänge als Rechnungen, Bewerbungen oder Lieferinformationen, nutzen Archivformate (ZIP/RAR), doppelte Dateiendungen oder Makros in Office-Dokumenten. Auch verlinkte Cloud-Speicher (anstatt klassischer Anhänge) werden missbraucht, um Filter zu umgehen.

Anfällig für Malware sind auch Instant Messenger, wie ICQ, AIM oder MSN. Bei dieser Verbreitungsart wird ein Link in einer Nachricht übermittelt, der zu einer Internetseite führt, die den Wurm beherbergt. Wenn der Empfänger der Nachricht diesen Link dann anklickt, installiert sich der Wurm auf seinem System und versendet seinen Link an alle gefundenen Kontakte weiter.

Aktualisierung: Moderne Messenger (z. B. WhatsApp, Telegram, Signal, Slack, Microsoft Teams, Discord) werden ebenfalls ins Visier genommen. Würmer senden automatisch Kurztexte mit bösartigen Links oder Dateien an Kontaktlisten, Gruppen oder Kanäle und nutzen Social Engineering, um Klicks zu provozieren.

Viele Internetnutzer tauschen sich in Echtzeit in sogenannten Internet Relay Chats (IRC) aus. Die IRC-Programme führen beim Start ein Script aus, das Befehle, wie das Einloggen und unter anderem auch den Dateiversand, beinhalten. Die IRC-Würmer suchen nach diesen Programmen und modifizieren das Script, welches automatisch geladen wird. Beim Start des Programms verschickt sich der Wurm selbst an alle anwesenden Benutzer. Akzeptiert einer von ihnen den Dateidownload, wiederholt sich das Prozedere.

Hinweis: IRC wird weiterhin von Botnetzen als Steuerkanal genutzt. Würmer integrieren sich dort als Bots, warten auf Befehle („Command-and-Control“) und verbreiten sich im Hintergrund weiter.

In Peer-to-Peer-Netzwerken wird eine direkte Verbindung zwischen einzelnen Computern hergestellt. Diese Netzwerkform wird von den meisten Tauschbörsen genutzt.
Innerhalb dieser Netzwerke bieten sich drei grundlegende Möglichkeiten der Verbreitung für Würmer:

• Der Wurm kann sich in einen freigegebenen Ordner kopieren, aus dem er dann von anderen Nutzern des Netzwerkes heruntergeladen werden kann. Dabei gibt es für die Malware allerdings zwei Schwierigkeiten. Erstens braucht der Wurm einen interessanten Namen, denn sonst lädt ihn niemand herunter. Außerdem benutzen die meisten Filesharing-Programme inzwischen Filter, die relativ wirksam verdächtige Dateiformate herausfischen.
• Eine schwierig zu programmierende Art der Verbreitung ist die Möglichkeit, dass der Wurm bei einer Suchabfrage eine infizierte Datei als Ergebnis anbietet. Diese Methode ist sehr effektiv, aber aufgrund der komplizierten Umsetzung nur wenig verbreitet.
• Das Ausnutzen von Sicherheitslücken der Systeme von den Mitnutzern eines Peer-to-Peer-Netzwerkes ermöglicht eine sehr schnelle Verbreitung des Wurms. Da keine Aktion des Benutzers mehr erforderlich ist, verbreitet sich die Malware vollautomatisch.

Ergänzend: In modernen Filesharing-Umgebungen (z. B. Torrent-Netzen) werden verlockende Dateinamen („Cracks“, „Keygens“, „HD-Filme“) genutzt. Die eigentliche Schadfunktion steckt dann oft in mitgelieferten Installationsprogrammen oder Skripten.

Auch für Wechseldatenträger gibt es spezialisierte Würmer. Sie kopieren sich eigenständig auf die Datenträger und verbreiten sich, meist unter Nutzung der Autostartfunktion, von einem System zum anderen.

Praxis: Neben USB-Sticks sind externe Festplatten, Speicherkarten, digitale Kameras oder Smartphones im „Mass-Storage“-Modus potenzielle Träger. Unternehmensumgebungen sollten daher Portkontrollen, Gerätekontingente und Richtlinien für Wechselmedien umsetzen.

Handywürmer tauchten zum ersten Mal im Juni 2004 auf. Sie verbreiten sich in den meisten Fällen über MMS oder Bluetooth.

Aktuelle Entwicklung bei Mobilgeräten: Heute werden mobile Betriebssysteme primär über Messaging-Apps, schädliche APKs (Android), manipulierte SMS/MMS (z. B. Ausnutzen von Multimedia-Parsern) oder Bluetooth-/WLAN-Schwachstellen ins Visier genommen. iOS ist durch seine Architektur stärker geschützt, doch Jailbreaks, unsichere Profile oder ausgenutzte Zero-Days können das Risiko erhöhen. Mobile Device Management (MDM), regelmäßige Updates und das Meiden von Sideloading sind zentrale Schutzmaßnahmen.

Typische Anzeichen eines Wurmbefalls:

• Plötzliche Systemverlangsamung, hohe Netzwerk- oder CPU-Auslastung
• Unerklärliche E-Mail-Versendungen, Nachrichten an Kontakte ohne eigenes Zutun
• Unerwartete Prozesse, Skripte oder Dienste, deaktivierter Echtzeitschutz
• Neue oder veränderte Dateien/Verknüpfungen auf Wechselmedien
• Gesperrte Dateien, veränderte Berechtigungen oder unerklärliche Neustarts

Vorbeugung und Abwehr in Kurzform:

• Patch- und Update-Management für Betriebssysteme, Firmware und Anwendungen
• Deaktivierung unnötiger Dienste/Protokolle, Netzwerksegmentierung und restriktive Firewalls
• Mehrstufiger Schutz: aktuelle Schutzsoftware, EDR/Monitoring, E-Mail-Filter mit Anhangsprüfung
• Makros standardmäßig deaktivieren, Applikationskontrolle/Allowlisting einsetzen
• Sichere Handhabung von Wechselmedien, nur vertrauenswürdige Quellen nutzen
• Regelmäßige, geprüfte und offline/immutable Backups zur schnellen Wiederherstellung
• Minimalprinzip bei Berechtigungen, starke Authentifizierung, Protokollierung und Alarmierung

Häufige Fragen und Antworten